SOU 1993:10
En ny datalag : slutbetänkande
SOU 1993: 10 3
Till statsrådet Reidunn Laurén
Utredningen (Ju 1989:02) om en översyn av datalagen tillsattes i maj 1989 med uppdrag att göra en översyn av datalagen (19731289) från såväl saklig som lagteknisk synpunkt.
Till särskild utredare förordnades lagmannen Ulf Arrfelt. Utredningen, som påbörjade sitt arbete i november 1989, antog namnet Datalagsutredningen.
I en första etapp i utredningsarbetet har utredningen övervägt vissa principiella utgångspunkter för en framtida datalag. Utredningens över- väganden och förslag i denna del redovisades i betänkandet (SOU 1990:61) Skärpt tillsyn — huvuddrag i en reformerad datalag som överlämnades i september 1990.
I en andra etapp har utredningen behandlat vissa frågor som rör integritetsskyddet i samband med personregistrering och automatisk databehandling inom områdena för forskning och statistik samt för massmediernas och arbetslivets del. Övervägandena i denna del redovisades i april 1991 ibetänkandet (SOU 1991:21) Personregistre- ring inom arbetslivs-, forsknings- och massmedieområdena m.m.
I en tredje etapp, som i september 1991 redovisades i (SOU 1991:62) Vissa särskilda frågor beträffande integritetsskyddet på ADB— området, har utredningen behandlat vissa särskilda frågor på in- tegritetsområdet. Det gällde framför allt begreppen personregister och registeransvarig, liksom frågor om straff och skadestånd samt fullföljd mot Datainspektionens beslut.
Samtliga tre delbetänkanden har remissbehandlats. Den avslutande etappen som redovisas i föreliggande betänkande, har bedrivits under parlamentarisk medverkan. Utredningen har, med beaktande av de remissyttranden som avgctts, arbetat fram ett förslag till en ny datalag.
Till ledamöter förordnades (om inte annat sägs fr.o.m. den 16 maj 1991) riksdagsledamöterna Stig Bertilsson (t.o.m. den 6.10.91 ) och Lars Bäckström (t.o.m. den 19.1.92), f.d. riksdagsledamöterna Helge Hagberg (fr.o.m. den 20.292) och Maria Hed (t.o.m. den 19.2.92), riksdagsledamöterna Chris Heister (fr.o.m. den 291191), Eva Johansson, Kurt Ove Johansson och Bengt Kindbom, systemvetaren Ulrika Landergren (fr.o.m. den 9.1.92), f.d. riksdagsledamoten Arne Mellqvist, riksdagsledamöterna Ingela Mårtensson och Inger René (fr.o.m. den 7.10.91), ombudsmannen Stig Sandström (fr.o.m. den 20.1.92), civilekonomen Jerker Sjögren (fr.o.m. den 9.1.92) samt riksdagsledamoten Richard Ulfvengren (fr.o.m. den 29.11.91).
Som experter har medverkat (om inte annat sägs fr.o.m. den
4 SOU1993110
8.11.89) departementsrådet i Justitiedepartementet Börje Alpsten, universitetslektorn vid juridiska institutionen vid Lunds universitet Jan Evers, numera avdelningschefen vid Statskontoret Håkan Färm, numera arbetsmarknadsrådet Kerstin Gustafsson (fr.o.m. den 13.6.91 t.o.m. den 16.6.92), chefsjuristen vid TCO Stig Gustafsson (fr.o.m. 17.6.92), numera kanslirådet i Justitiedepartementet Erik Göransson (fr.o.m. den 25.2.92), numera lagmannen vid Ängelholms tingsrätt Sigurd Heuman (fr.o.m. den 17.10.89), numera bolagsjuristen Bertil Persson (fr.o.m. den 21.4.92), direktören Gert Persson, f.d. av- delningschefen Edmund Rapaport (fr.o.m. den 1.10.90 t.o.m. 31.3.91), numera kanslirådet i Kulturdepartementet Björn Rosén, numera departementsrådet i Justitiedepartementet Carina Stävberg (fr.o.m. den 17.10.89 t.o.m. den 24.2.92), t.f. professorn Lars Söderström (fr.o.m. den 1.10.90 t.o.m. den 31.3.91) samt f.d. verksjuristen vid Datainspektionen numera kammarrättslagmannen Sten Wahlqvist.
Sekreterare åt utredningen har varit numera statssekreteraren Krister Thelin (fr.o.m den 13.9.89 t.o.m. den 101091), numera bolags- juristen Bertil Persson (fr.o.m. den 1.11.89 t.o.m. den 20.492) och hovrättsassessorn Eva Wendel (fr.o.m. den 1.1.92). Hovrättsassessorn Monica Felding har biträtt utredningen (fr.o.m. den 18. 1.93 t.o.m. den 10.2.93).
Härmed överlämnas utredningens slutbetänkande (SOU 1993: 10) En ny datalag.
Till betänkandet fogas reservationer och särskilda yttranden. Kommitténs uppdrag är härmed slutfört.
Malmö i februari 1993
Ulf Arrfelt
Helge Hagberg Chris Heister Eva Johansson Kurt Ove Johansson Bengt Kindbom Ulrika Landergren Arne Mellqvist Ingela Mårtensson Inger René
Stig Sandström Jerker Sjögren Richard Ulfvengren
/Eva Wendel
SOU 1993:10 5
Innehåll Sammanfattning ............................. l 3 1 Utredningsuppdraget och direktiven .......... 21 2 Gällande rätt i huvuddrag ................. 23 3 Den tekniska utvecklingen ................. 27 3.1 Inledning ............................ 27 3.2 Datoranvändningen i början av 1970-talet ......... 27 3.3 Dagens informationssamhälle ................ 28 3 . 4 Datorprogram ......................... 29 3.4.1 Allmänt ........................ 29 3.4.2 Ordbehandlingsprogram m.m ............ 30 3 . 5 Datakommunikation ...................... 3 1 3.5.1 Nätverk ........................ 31 3.5.2 Överföring av textmeddelanden .......... 32 3.5.3 Mobila system för meddelandeöverföring . . . . 35 3.5.4 Teleguide ....................... 36 3 . 6 Databaser ............................ 37 3.7 Optiska lagringsmedia .................... 39 3 . 8 Multimedia ........................... 44 3.9 Övrigt ............................. 45 3.9.1 Kontorsinformationssystem (KI) ......... 45 3.9.2 Aktiva kort ...................... 46 3.9.3 Penndatorer ...................... 46 3.10 Datorteknikens användning inom arbetslivet ....... 47 . 1 1 Avslutning ........................... 49 4 Den internationella utvecklingen på dataskydds- området ............................. 51 4.1 Inledning ............................ 51 4.2 Europarådets konvention ................... 52 4.3 Europarådets rekommendationer .............. 54 4.3.1 Rekommendationen om skydd för personuppgifter som används för anställningsändamål ...... 55
4.3.2 Rekommendationen om skydd för personuppgifter som används för forskning eller för statistik . . 58
4.4 4.5 4.6
6.1 6.2 6.3 6.4
6.5 6.6
7.1
7.2 7.3 7.4 7.5 7.6
6 SOU 1993: 10
4.3.3 Rekommendationen om skydd för personuppgifter
som används för direktreklamändamål ...... 60 OECD:s rekommendation och riktlinjer m.m. ...... 62 EG-kommissionens förslag till direktiv .......... 65 Något om EG-rätten och EES-avtalet ........... 69 Förhållandet mellan förslaget till EG-direktiv och utredningens förslag till en ny datalag ......... 73 Inledning ............................ 73 Lagens tillämpningsområde ................. 75 Information till den enskilde och underrättelse till dataskyddsmyndigheten m.m. .............. 76 Utlämnande av personuppgifter ............... 85
Lagens tillämpningsområde; personregister, person—
datamängd eller personuppgift? ............. 97 Gällande rätt .......................... 97 Europarådets konvention ................... 99 Förslaget till EG-direktiv ................... 99 Utredningens tidigare ställningstaganden ........ 100 Allmänna utgångspunkter ................. 100 Register, ADB, ändamål och personuppgift ...... 100 En avgränsning med hänsyn till syftet att utnyttja de tekniska möjligheterna ................. 103 En bestämning med hänsyn till enbart teknisk möjlighet ........................... 105 Remissutfallet ........................ 107 Överväganden ........................ 108
Förhållandet mellan datalagen samt tryckfrihets-
förordningen och yttrandefrihetsgrundlagen . . . . 113 Gällande rätt ......................... 113 TF ............................ 113 YGL ............................ 116 RF ............................ 116 Internationella förhållanden ................ 117 Personregister hos tidningar m.m. ............ 119 Utredningens tidigare ställningstaganden ........ 125 Remissutfallet ........................ 1 32 Överväganden ........................ 134 Normkonflikten mellan grundlagarna och datalag— stiftningen ........................... 1 35 Klipparkiven ......................... 141
Avslutande synpunkter ................... 146
SOU l993:10 7
8.3 8.4 8.5 8.6 8.7
9.1 9.2 9.3 9.4 9.5 9.6 9.7 9.8
10
10.1 10.2 10.3 10.4
10.5 10.6
Den materiella regleringen i datalagen; ett allmänt begrepp som obehörigt intrång i personhg integritet eller särskilda regler för de olika momenten i informationsbehandlingen? ............... 149 Gällande rätt ......................... 149 Olika uttalanden om begreppet otillbörligt intrång i personlig integritet ..................... 150 Offentlighets- och sekretesslagstifmingskommittén
(OSK) m.m. ......................... 150 Datalagstiftningskommittén (DALK) m.m. ....... 151 Datainspektionens praxis m.m. .............. 154 Konstitutionsutskottets granskningsbetänkande ..... 155 Den datapolitiska propositionen .............. 156 Data- och offentlighetskommittén (DOK) m.m. . . . . 157 Europarådets konvention .................. 158 Förslaget till EG-direktiv .................. 159 Utredningens tidigare ställningstaganden ........ 159 Remissutfallet ........................ 161 Överväganden ........................ 161 Specialreglering genom s.k. statsmaktsregister . . . 165 Nuvarande ordning ..................... 165 Data- och offentlighetskommittén (DOK) ........ 167 Uttalanden i tidigare lagstiftningsärenden ........ 167 Europarådets konvention .................. 168 Förslaget till EG-direktiv .................. 169 Utredningens tidigare ställningstaganden ........ 169 Remissutfallet ........................ 171 Överväganden ........................ 171
Behandling av känsliga personuppgifter för
forsknings- eller statistikändamål ........... 175 Gällande rätt ......................... 175 Europarådets rekommendation .............. 178 Förslaget till EG-direktiv .................. 179 Utredningens tidigare ställningstaganden ........ 179 Allmänna utgångspunkter ................. 179 Bestämningen av begreppet forskningsregister ..... 182 Undantag från kravet på informerat samtycke ..... 183 Registerforskning ...................... 184 Remissutfallet ........................ 1 88 Överväganden ........................ 190 Inledning ........................... 190 Informerat samtycke .................... 191 Undantag från kravet på informerat samtycke ..... 193
11
11.1
11.2 11.3 11.4
12
12.1 12.2 12.3 12.4 12.5 12.6
13 13.1 13.2 13.3
13.4 13.5 13.6 13.7
8 SOU 1993: 10
Behandling av personuppgifter för forsknings-
ändamål ............................ 197 Utlämnande av personuppgifter som används för forsknings- eller statistikändamål ............. 198 Förslaget till EG-direktiv .................. 199 Behandling av känsliga personuppgifter för anställningsändamål .................... 201 Gällande rätt ......................... 201 11.1.1 Datalagen ...................... 201 11.1.2 Vissa arbetsrättsliga bestämmelser ....... 202 11.1.3 Datainspektionens föreskrifter m.m. ...... 208 11.1.4 Datainspektionens praxis ............. 209 Europarådets rekommendation .............. 210 Tidigare utredningsarbete ................. 210 Utredningens tidigare ställningstaganden ........ 214 Allmänna utgångspunkter ................. 214 Inrättande av register .................... 215 Insamling och lagring av uppgifter ............ 217 Utlämnande av uppgifter .................. 217 Insynsrätt ........................... 219 Remissutfallet ........................ 219 Överväganden ........................ 222 Inledning ........................... 222 Informerat samtycke m.m .................. 222 Information till de anställda ................ 229 Förslaget till EG-direktiv .................. 230 Vem är ansvarig för behandlingen av person- uppgifter? .......................... 233 Gällande rätt ......................... 233 Europarådets konvention .................. 235 Förslaget till EG—direktiv .................. 235 Utredningens tidigare ställningstaganden ........ 236 Remissutfallet ........................ 241 Överväganden ........................ 241 Tillstånd eller tillsyn? ................... 249 Gällande rätt ......................... 249 Bakgrunden till gällande ordning ............. 251 Framställning från Datainspektionen om ändringar i datalagen ........................... 254 Europarådets konvention .................. 255 Förslaget till EG-direktiv .................. 255 Utredningens tidigare ställningstaganden ........ 256 Remissutfallet ........................ 258
SOU l993:10 9
13.8
14
14.1 14.2
14.3 14.4
15 15.1
15.2
16
16.1
16.2 16.3 16.4
17 17.1 17.2
Överväganden ........................ 259 Vissa förutsättningar för en renodlad tillsyns- verksamhet ......................... 263 Gällande rätt ......................... 263 Utredningens tidigare ställningstaganden ........ 263 Datainspektionens bransch- eller sektorsreglering . . . 263 Ändring i grundlagen .................... 264 Anmälningsskyldigheten .................. 265 Huvudpunkter i den framtida tillsynsverksamheten . . 266 Remissutfallet ........................ 267 Överväganden ........................ 269 Gallring av personuppgifter ............... 277 Den materiella gallringsregeln .............. 277 15.1.1 Gällande ordning .................. 277 15.1.2 Europarådets konvention ............. 279 15.1.3 Förslaget till EG-direktiv ............. 279 15.1.4 Utredningens tidigare ställningstaganden . . . 280 15.1.5 överväganden ................... 283 Vem skall besluta om gallring? .............. 286 15.2.1 Inledning ...................... 286 15.2.2 Gällande rätt .................... 286 15 .2.3 Förslaget till EG-direktiv ............. 288 15.2.4 Utredningens tidigare ställningstaganden . . . 289 15.2.5 Remissutfallet ................... 291 15.2.6 Överväganden ................... 292 Behövs en samordning av datalagen med annan integritetslagstiftning? ................... 295 Gällande rätt ......................... 295 Regeringsformen m.m. ................... 295 Brottsbalken ......................... 296 Lagen om övervakningskameror m.m. ......... 297 Sekretesslagen ........................ 299 Kreditupplysningslagen och inkassolagen ........ 300 Utredningens tidigare ställningstaganden ........ 301 Remissutfallet ........................ 302 Överväganden ........................ 302 Organisatoriska frågor .................. 303 Nuvarande ordning ..................... 303 Utredningens tidigare ställningstaganden ........ 305 Tillståndsprövningen upphör ................ 305 Förstärkt tillsyn ....................... 305 Inspektionens normgivning ................. 308
17.3 17.4
18 18.1 18.2 18.3 18.4
19 19.1
19.2
19.3
19.4
20
21 21.1 21.2
22 22.1 22.2
10 SOU 1993:10
Handläggningen av anmälningar ............. 309 Information m.m. ...................... 309 Remissutfallet ........................ 309 Överväganden ........................ 3 10 Finansiella frågor ..................... 315 Nuvarande ordning ..................... 315 Utredningens tidigare ställningstaganden ........ 315 Remissutfallet ........................ 3 16 Överväganden ........................ 3 17 Vissa övriga frågor .................... 319 Straffbestämmelser ..................... 3 1 9 19.1.1 Gällande rätt .................... 319 19.1.2 Praxis ........................ 322 19.1.3 Internationella överenskommelser ........ 325 19.1.4 Utredningens tidigare ställningstaganden . . . 325 19.1.5 Remissutfallet ................... 328 19.1.6 Överväganden ................... 328 Skadestånd .......................... 328 19.2.1 Gällande rätt .................... 328 19.2.2 Praxis ........................ 331 19.2.3 Tidigare utredningsarbete ............ 337 19.2.4 Internationella överenskommelser ........ 340 19.2.5 Utredningens tidigare ställningstaganden . . . 340 19.26 Remissutfallet ................... 341 19.2.7 Överväganden ................... 341 Överklagande ......................... 342 19.3.1 Gällande rätt .................... 342 19.3.2 Förslaget till EG-direktiv ............. 342 19.3.3 Utredningens tidigare ställningstaganden . . . 342 19.3.4 Remissutfallet ................... 247 19.3.5 Överväganden ................... 348 Datalagens tillämpning på bilder m.m. ......... 350 Övergången till ett nytt system ............. 355 Ekonomiska konsekvenser av utredningens förslag 359 Löpande kostnader ..................... 359 Övergångskostnader ..................... 360 Specialmotivering ..................... 363 Förslaget till lag om ändring i regeringsformen . . . . 363
Förslaget till lag om ändring i tryckfrihets- förordningen ......................... 366
SOU 1993:10 11
22.3 Förslaget till lag om ändring i yttrandefrihets-
grundlagen .......................... 368 22.4 Förslaget till datalag .................... 369 22.5 Förslaget till lag om ändring i förvaltningsprocess-
lagen ............................ 462 22.6 Förslaget till lag om ändring i sekretesslagen ..... 463 22.7 Förslaget till lag om upphävande av lagen om auto-
matisk databehandling vid taxeringsrevision, m.m. . 468 22.8 Förslaget till lag om ändring i arkivlagen ........ 468 23 Reservationer och särskilda yttranden ........ 471 Summary ............................ 519
Bilagor (separat volym)
Innehåll .............................. 3 Bilaga 1 Författningsförslag ...................... 5 1.1 Förslag till lag om ändring i regeringsformen ........ 7 1.2 Förslag till lag om ändring i tryckfrihetsförordningen . . 11 1.3 Förslag till lag om ändring i yttrandefrihetsgrundlagen . . 13 1.4 Förslag till datalag ........................ 15 1.5 Förslag till lag om ändring i förvaltningsprocesslagen . . 27 1.6 Förslag till lag om ändring i sekretesslagen ......... 29 1.7 Förslag till lag om upphävande av lagen om automatisk databehandling vid taxeringsrevision, m.m. ........ 33 1.8 Förslag till lag om ändring i arkivlagen ........... 35 Bilaga 2 Utredningens direktiv ................... 37 2.1 Direktiv ............................. 39 2.2 Tilläggsdirektiv ......................... 49 Bilaga 3 Internationella dokument ................. 51 3.1 Europarådets dataskyddskonvention ............. 53
3.2.1 Europarådets rekommendation om skydd för personuppgifter som används för anställnings- ändamål ........................ 87 3.2.2 Europarådets rekommendation om skydd för personuppgifter som används för forskning eller för statistik .................. 121 3.2.3 Europarådets rekommendation om skydd för personuppgifter som används för direktreklam- ändamål ....................... 139
12 SOU l993:10
3.3 OECD:s rekommendation och riktlinjer ......... 155 3.4 EG-kommissionens förslag till direktiv .......... 161 Bilaga 4 Utländsk rätt ........................ 291 Inledning ............................ 293 4.1 Norden ............................ 294 4. 1. 1 Danmark ...................... 294 4. 1.2 Finland ....................... 299 4.1.3 Island ........................ 303 4.1.4 Norge ........................ 305 4.2 Utom Norden .......................... 308 4.2.1 Frankrike ...................... 308 4.2.2 Nederländerna ................... 309 4 . 2 . 3 Storbritannien ................... 31 1 4.2.4 Tyskland ...................... 313 4.2.5 Österrike ...................... 315 4.2.6 Australien ...................... 316 4.2.7 Japan ......................... 317 4.2.8 Kanada ........................ 318 4.2.9 USA ......................... 319 Bilaga 5 Förteckning över remissinstanser ........... 321 Bilaga 6 Förteckning över registerförfattningar ....... 325 Bilaga 7 Statistisk undersökning ................. 329
SOU 1993:10 13
Sammanfattning
Datalagsutredningen har haft i uppdrag att göra en översyn av datalagen (1973z289) från såväl saklig som lagteknisk synpunkt. Den svenska datalagen var den första nationella lagstiftningen i sitt slag och väckte berättigad uppmärksamhet vid sin tillkomst. Sedan dess har 20 år gått, vilket i dessa sammanhang är en mycket lång tid, utan att lagens grundläggande struktur har ändrats. Lagen får såväl innehålls- mässigt som till sin tekniska utformning anses vara ganska föråldrad.
Den nuvarande datalagen reglerar användningen av personregister. Med personregister förstås register, förteckning eller andra anteck- ningar som förs med hjälp av automatisk databehandling (ADB) och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Avgörande för frågan om datalagen överhuvudtaget är tillämplig på ett register är således huruvida registret förs med ADB eller inte. Register som förs med hjälp av annan teknik än ADB faller i dag utanför datalagens tillämpningsområde.
För varje register skall finnas en registeransvarig. Därmed förstås den för vars verksamhet personregistret förs, om han förfogar över registret. Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. Med att förfoga över ett register avses närmast en befogenhet att överföra registrets innehåll till läsbar form. En registeransvarig måste också kunna påverka innehållet i registret genom att tillföra eller ändra de uppgifter som ingår i registret för att anses förfoga över det.
Personregister får inrättas och föras endast av den som efter anmälan har fått licens av Datainspektionen. En sådan licens berättigar den registeransvarige att föra ett eller flera personregister.
För vissa register, som bedöms innebära särskilda risker för otillbörligt intrång i enskilds personliga integritet, krävs utöver licens även ett särskilt tillstånd från Datainspektionen.
Tillstånd behövs i regel för att inrätta och föra ett personregister som innehåller 1) känsliga personuppgifter, 2) omdömen om den registrerade, 3) uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundför— hållande eller något därmed jämförligt förhållande samt
14 SOU 1993:10
4) personuppgifter som inhämtats från något annat personregister (s.k. samkörning).
En grundläggande förutsättning för att Datainspektionen skall kunna ge tillstånd att inrätta och föra personregister är att det inte finns anledning att anta att registeringen medför otillbörligt intrång i de registrerades personliga integritet.
Finns det anledning anta att personuppgifter skall användas för ADB i utlandet, får uppgifterna lämnas ut endast efter medgivande av Datainspektionen. Sådant medgivande får lämnas endast om det kan antas att utlämnandet av uppgifterna inte kommer att medföra otillbörligt intrång i personlig integritet. Något medgivande behövs dock inte, om personuppgifter skall användas för ADB enbart i en stat som har anslutit sig till Europarådets konvention om skydd för enskilda vid ADB-behandling av personuppgifter.
I datalagen finns allmänna bestämmelser om gallring av personupp- gifter.
Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet.
Har förande av personregister medfört eller kan antas medföra otillbörligt intrång i personlig integritet kan Datainspektionen meddela villkor eller, om rättelse inte på annat sätt kan åstadkommas, förbjuda fortsatt förande av personregister eller återkalla meddelat tillstånd.
Datainspektionens beslut får överklagas hos regeringen genom besvär.
Enligt Datalagsutredningens förslag skall datalagen även i fortsätt- ningen bara reglera sådan informationshantering som sker med hjälp av ADB. Liksom hittills skall lagen gälla både för den privata och offentliga sektorn. I övrigt innebär den föreslagna lagen mycket betydande förändringar i förhållande till vad som gäller i dag. De viktigaste förändringarna och nyheterna är följande.
* Personregisterbegreppet, som har gett upphov till en hel del tolkningsproblem, slopas. Den nya datalagen blir tillämplig på behandling av personuppgifter. Med behandling förstås varje åtgärd som vidtas med personuppgifter genom ADB. Vissa undantag görs från huvudregeln, bl.a. tas ordbehandling och behandling som sker uteslutande för personligt bruk undan från lagens tilllämpnings- område.
* Det blir lättare att avgöra vem som är registeransvarig, person- datansvarig enligt utredningens terminologi, i system som används av flera. Endast den är persondataansvarig som bestämmer ända- målet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas.
SOU l993:10 15
* Systemet med licens och tillstånd avskaffas. Trots olika försök att rationalisera tillståndshanteringen och begränsa antalet tillstånds- ärenden är arbetet med dessa ärenden så omfattande att Datainspek- tionen i stort sett inte hinner ägna sig åt några inspektioner ute på fältet. Den uteblivna tillsynen medför en bristande respekt för datalagens regler. Det kan t.ex. nämnas att det f.n. finns omkring 50 000 meddelade licenser. Enligt utredningens beräkningar hade antalet bort vara mellan 500 000 och 1 milj.
* De resurser som frigörs genom att systemet med licens och tillstånd avskaffas skall användas för en intensifierad tillsyn, särskilt inspektioner ute på fältet. En sådan tillsyn är enligt utredningens uppfattning det bästa sättet att upprätthålla ett gott integritetsskydd.
* En förutsättning för att man skall kunna övergå till ett renodlat tillsynsförfarande är att datalagen ger en så utförlig reglering som möjligt av de förutsättningar som gäller för ADB-hantering av personuppgifter. Det nuvarande begreppet otillbörligt intrång i personlig integritet, som aldrig har kunnat ges ett någorlunda preciserat innehåll, avskaffas. I stället införs regler för de olika momenten i informationsbehandlingen. I den nya datalagen finns bestämmelser om bl a den nödvändiga anknytningen till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka person— uppgifter som får behandlas, formen för samtycke från den enskilde, säkerhet och gallring.
* Regleringen i den nya datalagen skall kunna kompletteras med be- stämmelser som utfärdas av Datainspektionen och som avser olika branscher eller sektorer.
* Ett system med anmälningsskyldighet för vissa persondataansvariga införs. En anmälan skall göras till Datainspektionen när vissa känsliga uppgifter behandlas med ADB. Anmälningarna skall ligga till grund för Datainspektionens tillsyn. Anmälningsförfarandet blir betydligt enklare och riktar sig mot betydligt färre persondata- ansvariga än det nuvarande tillståndssystemet.
* Liksom i dag skall personuppgifter få ADB- behandlas bara för bestämda ändamål. Ändamålet skall dock enligt utredningens förslag anges med större precision än enligt nuvarande datalag. Möjlig- heterna begränsas att använda personuppgifter som samlats in för ett ändamål för andra ändamål.
* I den föreslagna lagen anges i sex olika punkter de alternativa grunder som ger rätt att ADB-behandla personuppgifter. En av grunderna är samtycke från dem som berörs av behandlingen.
16 SOU 1993: 10
När den enskildes samtycke behövs för en viss ADB-behandling skall det vara ett uttryckligt samtycke. Passivitet eller s k konklu- dent handlande kommer inte att vara tillräckligt.
För känsliga personuppgifter, t.ex. politisk uppfattning, sjukdom, hälsotillstånd eller olika slags omdömen, kommer särskilda regler att gälla. Enligt dessa bestämmelser får de känsliga uppgifterna ADB-behandlas bara om, när samtycke inte föreligger, det finns särskilt stöd i författning för behandlingen. Det kommer att behövas åtskilliga sådana författningar, särskilt på den offentliga sidan.
I några paragrafer i den föreslagna datalagen ges sådant särskilt för- fattningsstöd i fråga om behandling av känsliga uppgifter på forskningsområdet och hos arbetsgivare. Dessa bestämmelser anger alltså de förutsättningar som måste föreligga för att känsliga upp- gifter, utan samtycke från de berörda enskilda, skall få ADB- behandlas för forskningsändamål och i förhållandet mellan arbets- givare samt arbetstagare och arbetssökande. På forskningsområdet avses bestämmelserna tillgodose den viktiga registerforskningen.
En uttrycklig regel om förbud för den persondataansvarige att ADB- behandla personuppgifter för direktreklamändamål i strid med den enskildes önskan tas in i datalagen.
Särskilda regler införs i datalagen som klargör hur de intressen som följer av tryckfrihetsförordningen och yttrandefrihetsgrundlagen skall avvägas mot integritetsintressena.
Vid gallring av personuppgifter som utgör allmän handling hos myndigheter kan integritetsintressena komma i konflikt med intresset att bevara uppgifterna, t.ex. för framtida användning inom forsk- ningen. En särskild bestämmelse i utredningens förslag till datalag anger hur den avvägningen skall ske.
Bestämmelserna i den gällande datalagen om överföring av person- uppgifter till utlandet för ADB-behandling av uppgifterna där har berörts i det föregående. Enligt utredningen förslag skall överföring utan särskilt medgivande kunna ske till en stat som visserligen inte har anslutit sig till Europarådets konvention men som har ett integritetsskydd som motsvarar det som följer av konventionens regler. Den nya bestämmelsen bör få ganska stor praktisk betydelse.
Datainspektionens beslut skall i fortsättningen överklagas till domstol, inte som i dag till regeringen.
SOU l993:10 17
EG-kommissionen antog i september 1990 ett förslag till direktiv om skydd för enskilda vid behandling av personuppgifter och om det fria flödet av sådana uppgifter. Sedan förslaget behandlats i EG:s minister- råd och EG-parlamentet har EG-kommissionen i oktober 1992 antagit ett nytt förslag till direktiv. Detta förslag har förelagts Ministerrådet och enligt tidsplanen skall Rådet ta slutlig ställning till det nya förslaget under år 1993.
Ätskillig diskussion om hur integritetsskyddet skall vara utformat har förekommit i anslutning till det tidigare utkastet till direktiv från Kommissionen och EG-parlamentets behandling av detta utkast. Fortfarande förekommer inom EG, såvitt man kan bedöma, oenighet om hur ett framtida direktiv skall vara utformat. Detta har bl.a. lett till att tidsplanen för antagandet av direktivet har förskjutits. Enligt företrädare för Kommissionen kommer Minsterrådet troligen inte att kunna ta slutlig ställning till förslaget förrän sommaren 1994. I den debatt som förts efter det Kommissionen presenterade sitt reviderade förslag i oktober 1992 har vissa bl.a. pekat på den s.k. subsidiaritets- principen. Vidare kan nämnas att vid Europeiska Rådets möte i Edinburgh den 11 - 12 december 1992 Kommissionen förklarat att den avser att revidera ett antal förslag i syfte att göra dem mindre detaljerade. Sett i ljuset av att samtliga medlemsländer snart kommer att ha nationella dataskyddslagar och anslutit sig till Europarådets dataskyddskonvention har det från vissa håll ifrågasatts om behovet av att anta direktivförslaget kommer att kvarstå.
Redovisningen i det följande bygger på det nuvarande direktiv- förslagets lydelse.
Direktiv som beslutas av behöriga EG—organ är bindande i fråga om det resultat som skall uppnås men överlämnar åt medlemsländerna att välja form och metod för detta.
I förslaget till EG-direktiv har man beaktat den utveckling på data- skyddsområdet som har skett och förslaget bygger på de integritets- skyddslagar och den internationella reglering som har kommit fram under de senaste åren. I förhållande till den svenska datalagen innefattar direktivförslaget i en hel del hänseenden en önskvärd skärpning av reglerna för integritetsskyddet. Av dessa och andra skäl, särskilt det intensifierade europeiska samarbetet, har utredningen efter— strävat att få i huvudsak samma regler för integritetsskyddet som de som kan komma att gälla inom EG. Utredningens förslag till materiella regler för dataskyddet ligger också nära motsvarande bestämmelser i direktivförslaget. Det gäller bl.a. sådana frågor som ändamålsanknyt- ning och byte av ändamål, förutsättningar för behandling av person— uppgifter, hur samtycke från den enskilde skall lämnas, vilka person- uppgifter som får behandlas, säkerhet, gallring och regleringen av känsliga personuppgifter.
Vissa avvikelser förekommer emellertid i förhållande till förslaget till EG-direktiv. Som har nämnts i det föregående skall datalagen i
18 SOU 1993:10
motsats till vad som gäller enligt direktivförslaget även i fortsättningen bara reglera sådan informationshantering som sker med hjälp av ADB. Såvitt utredningen känner till är nämligen varken omfattningen av eller innehållet i den manuella registreringen av någon betydenhet och innebär inte några mera påtagliga integritetsrisker. Vidare berör en del föreskrifter i direktivförslaget den svenska offentlighetsprincipen. De bestämmelser i förslaget till EG-direktiv som reglerar utlämnande av personuppgifter tillåter enligt utredningen inte något utlämnande enligt offentlighetsprincipen. Ett utlämnande av personuppgifter med stöd av offentlighetsprincipen kan heller inte anses förenlig med det sätt på vilket ändamålet för en viss ADB—behandling skall anges enligt direktivförslaget. Förslaget till EG—direktiv påverkar vidare principen i tryckfrihetsförordningen att en sökande som begär att få ut en handling har rätt att vara anonym. Slutligen innehåller inte direktiv- förslaget något undantag från huvudregeln om gallring som gör det möjligt att bevara personuppgifter med hänsyn till offentlighets- principen. I de hänseenden som nu har nämnts innebär utredningens lagförslag avvikelser från det föreslagna EG-direktivet för att offentlig- hetsprincipen skall lämnas orörd.
Avvikelser i förhållande till förslaget till EG-direktiv förekommer också när det gäller informtion till den enskilde och underrättelser till dataskyddsmyndigheten.
Kraven på information till den enskilde är långtgående. Enligt direktivförslaget skall den enskilde ha rätt att på begäran bli in- formerad om förekomsten av en viss ADB-behandling och om olika uppgifter som hänför sig till ADB-behandllingen. När en persondata- ansvarig lämnar ut personuppgifter skall vidare den enskilde vars personuppgifter det är fråga om i princip underrättas om utlämnandet. Tanken bakom dessa bestämmelser i direktivförslaget är att den enskilde skall bli medveten om att personuppgifter som rör honom ADB—behandlas och kunna göra sin rättigheter enligt dataskyddslag- stiftningen gällande. Ett iakttagande av bestämmelserna skulle emellertid innebära en betungande informationsskyldighet för de persondataansvariga och en ganska betydande byråkratisering av kontrollsystemet.
Utredningen har kommit till den slutsatsen att de skäl som från integritetssynpunkt talar för den angivna ordningen inte är tillräckligt starka för att väga över den byråkrati som skulle bli följden. Ut- redningen har då också beaktat att det finns goda möjligheter till insyn genom andra regler i den föreslagna datalagen och i sekretesslagen. Liksom i dag kommer den enskilde att få möjlighet att kontrollera om uppgifter som hänför sig till honom är föremål för ADB-behandling och, om så är fallet, att kontrollera om uppgifterna är riktiga, fullständiga och aktuella. Information om vilka känsliga personupp- gifter som ADB-behandlas kan man vidare få hos Datainspektionen. Den persondataansvarige skall nämligen, innan han får börja att
SOU 1993:10 19
behandla sådana personuppgifter, göra en anmälan till Datainspek- tionen om ADB-behandlingen. Slutligen finns i sekretesslagen särskilda regler om dokumentationsskyldighet beträffande datasamlingar som en myndighet har tillgång till. Reglerna syftar till att tillgodose allmän- hetens intresse av överblick över och orientering i det ADB-material som finns hos myndigheterna.
När det gäller underrättelser till dataskyddsmyndigheten är utgångs- punkten i förslaget till EG-direktiv att all ADB-behandling skall anmälas. Vad som får tas undan från anmälningsskyldigheten är vissa slag av behandling som inte menligt påverkar de enskildas integritet. Åtgärder för att göra undantag från anmälningsskyldigheten förutsätter dataskyddsmyndighetens medverkan.
Utredningen konstaterar att, även om många undantag görs från huvudregeln om anmälningsskyldighet, det finns en betydande risk för att ett mycket stort antal datasamlingar måste anmälas till dataskydds- myndigheten, bl.a. beroende på den höga takten i datoriseringen här i landet. Antalet kan bli så stort att den överblick över den integri— tetskänsliga databehandlingen som dataskyddsmyndigheten bör ha helt går förlorad. De åtgärder som behövs för att göra undantag från an- mälningsskyldigheten kommer vidare att innebära en betydande belastning på dataskyddsmyndigheten. Utredningen har samman- fattningsvis kommit till den slutsatsen att det sätt på vilket avgräns— ningen av anmälningsskyldigheten har gjorts och det förfarande för att göra undantag från anmälningsskyldigheten som anges i direktiv- förslaget är förenade med så betydande olägenheter att någon harmoni— sering med förslaget till EG-direktiv inte bör ske i denna del. I stället har i den nya datalagen anmälningsskyldigheten avgränsats på samma sätt som tillståndsplikten enligt den gällande datalagen, dvs. det anges uttryckligen i lagen vilken behandling som måste amnälas till Data- inspektionen. Anmälningsskyldigheten har begränsats till att avse ADB-behandling av i sig känsliga personuppgifter.
Även i övrigt görs i olika frågor avvikelser från direktivförslaget. Den nya datalagen är avsedd att träda i kraft den 1 januari 1995.
ulwhmtnu—uumnm wwmmm.mhwmmm menar:-immapmn-anMH-l—m." MWhrhr'irMHJ-H.nm3lhn Furia ..ilJl'l "j.-" | II:-| Miu-l..]- IF.-* m | ”EPU—'#- mnmni-u Munnani-_. AMF.-w_— nmm Inn 111an Il-illlihmill- MIn-tum mh mulm-Iman annah—wti."— .'|l.'l.|llll.51 'tis Jill-fll IIHF-lm 'J- m m- m milf-r mm rl-r'l "I-lllhu lilu the. '#!- l-|-J"| L-Il'le-Illll'ul ”Timm? I-IuLl _l" 'i— -- &- IF.-. .|
SOU 1993:10 21
1 Utredningsuppdraget och direktiven
Utredningens direktiv (Dir. 1989:26) innebär ett uppdrag att göra en såväl saklig som lagteknisk översyn av datalagen (1973z289, omtryckt 1992:446).
Direktiven i sin helhet framgår av bilaga 2. Enligt ett direktiv riktat till alla kommittéer och särskilda utredare (Dir. 1988:43) åligger det utredningen att bland annat redovisa hur det förslag som läggs fram förhåller sig till EG:s motsvarande regler, direktiv eller förslag till direktiv från EG-kommissionen. Om utred- ningens förslag skiljer sig härifrån skall skälen för detta redovisas.
Arbetet, som inleddes i november 1989, har utredningen valt att utföra i etapper.
I den inledande etappen, som i september 1990 redovisades i del- betänkandet (SOU 1990:61) Skärpt tillsyn - huvuddrag i en reformerad datalag, diskuterade utredningen vissa principer för en ny datalag. Tyngdpunkten i det arbetet låg på en undersökning av om det nuvarande systemet med tillståndsprövning och licens kunde ersättas med en ordning med ökad tillsyn för att på det sättet effektivisera integritetsskyddet. Vissa av datalagens grundbegrepp såsom otillbörligt intrång i personlig integritet, automatisk databehandling och person- register, togs också upp till övervägande.
I en andra etapp, som redovisades i betänkandet (SOU l991:21) Personregistrering inom arbetslivs-, forsknings- och massmedie- områdena, m.m. behandlade utredningen skilda frågor som rör ADB- registrering av personuppgifter inom vissa områden. Det gällde personregistrering inom området för forskning och statistik, inom massmedieområdet och personregistrering i anställningsförhållande. Vidare diskuterade utredningen frågan om samordning med annan integritetslagstiftning och gallringsfrågor. Utredningen redovisade också EG—kommissionens förslag till direktiv angående skydd för enskilda vid behandling av personuppgifter.
Utredningen fick därefter tilläggsdirektiv (Dir 1991:18). Genom tilläggsdirektiven ålades utredningen att utnyttja det underlag som presenterats i de båda delbetänkandena och att beakta de remissyttran- den som avgetts. Dessa direktiv har tagits in som bilaga 1.
I en tredje etapp, redovisad i september 1991 i det tredje delbe- tänkandet (SOU I991.'62) Vissa särskilda frågor betrafande in- tegritetsskyddet på ADB-området, diskuterade utredningen särskilda
22 SOU 1993: 10
frågor inom integritetsSkyddsområdet, främst begreppen personregister och registeransvarig. Även frågor om straff och skadestånd, utlands- överföringar samt fullföljdsfrågor behandlades.
Den avslutande etappen, som redovisas i föreliggande betänkande, har bedrivits under parlamentarisk medverkan. Utredningen har, med beaktande av de remissyttranden som avgetts, arbetat fram ett förslag till en ny datalag. Lagförslaget innebär, med vissa undantag, en harmonisering med ett förslag till direktiv från EG-kommissionen om skydd för enskilda vid behandling av personuppgifter och om det fria flödet av sådana uppgifter. Förslaget från EG—kommissionen samt vissa andra internationella dokument finns i bilaga 3. En redovisning av utländsk rätt har tagits in i bilaga 4. Den internationella utvecklingen på dataskyddsområdet behandlas också i avsnitt 4 i betänkandet.
Som framgått har utredningen tidigare lagt fram tre delbetänkanden. Varje delbetänkande har remissbehandlats. En stor del av de frågor som diskuteras i slutbetänkandet har alltså tidigare behandlats av utredningen och varit föremål för remissbehandling. I dessa delar redovisas i slutbetänkandet först utredningens tidigare ställnings— taganden. Därefter anges i korthet remissutfallet och sist följer utredningens slutliga överväganden. En förteckning över de remiss- instanser som har yttrat sig över de tre tidigare betänkandena finns i bilaga 5.
I den utsträckning utredningen under tiden för de tre delbetänkan— dena har ändrat sina förslag redovisas bara den sista versionen.
SOU 1993: 10 23
2 Gällande rätt i huvuddrag
Datalagen (1973:289, omtryckt 1992z446) inleds med en definition av begreppen personuppgift, personregister, registrerad och register- ansvarig (1 5).
Med personuppgij? avses upplysning som avser enskild person. Det kan vara upplysningar om namn, personnummer, födelsedatum, nationalitet, utbildning, familj och anställningsförhållanden. Även andra typer av upplysningar av mindre personlig karaktär räknas som personuppgifter. Enligt lagmotiven (prop. 1973:33 s. 117) avses även uppgifter om en persons bostadsförhållanden, banktillgodohavanden, fastighets— eller bilinnehav och upplysningar i övrigt om en persons ekonomiska ställning.
Med personregister förstås register, förteckning eller andra an- teckningar som förs med hjälp av automatisk databehandling (ADB) och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Endast register som förs med hjälp av ADB omfattas således av datalagen. Register som förs med hjälp av annan teknik än ADB faller i dag utanför lagens tillämpningsområde.
En personuppgift kan hänföras till en viss person antingen direkt genom själva uppgiften eller med hjälp av en identitetsuppgift som också ingår i registret. Även register som innehåller identitetsuppgifter av sådan art att endast den invigde kan utläsa vilka personer som finns registrerade omfattas av datalagen. Likaså omfattas statistiska uppgifter där beteckningar som också återfinns på dokument gör det möjligt att knyta uppgifterna till en viss person.
Med begreppet registrerad avses en enskild person beträffande vilken det förekommer en personuppgift i ett personregister.
Registeransvarig är den för vars verksamhet personregister förs, om han förfogar över registret. Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga.
Endast den som anmält sig till Datainspektionen och erhållit licens får inrätta och föra personregister (2 G). Datainspektionen granskar inte anmälan i sak utan ger endast den registeransvarige ett bevis (licens) om att anmälan har gjorts samt ett särskilt licensnummer (10 & data- förordningen 1982:480). En licens berättigar den registeransvarige att föra ett eller flera personregister. Licens erfordras inte för person- register som en enskild person inrättar eller för uteslutande för personligt bruk (2 & tredje stycket).
Den som erhållit licens skall erlägga en årlig avgift till Datainspek- tionen (1 och 3 åå förordningen, 1982:481, om avgifter för Data- inspektionens verksamhet). Inspektionen får, om det föreligger särskilda skäl, sätta ned eller efterskänka avgiften. Med hjälp av ADB för Datainspektionen ett register över licensanmälningar, licensregistret
24 SOU 1993:10
(3 & dataförordningen). Licensregistret får Datainspektionen använda för sin tillsyns- och informationsverksamhet samt som underlag för uppbörd av licensavgifter.
För vissa typer av register med känsliga uppgifter krävs utöver licens även ett särskilt tillstånd från Datainspektionen (2 & andra stycket datalagen). Sådant tillstånd behövs i regel för att inrätta och föra register som innehåller 1) i sig känsliga personuppgifter, 2) omdömen om den registrerade, 3) uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kund- förhållande eller något därmed jämförligt förhållande samt 4) personuppgifter som inhämtas från något annat personregister (s.k. samkörning), om inte registreringen av uppgifterna eller utlämnandet av dessa sker med stöd av författning, Datainspektionens beslut eller den registrerades medgivande.
Tillstånd erfordras inte för personregister som någon inrättar eller för uteslutande för personligt bruk (25 tredje stycket). Tillstånd behövs inte heller för register vars inrättande beslutats av riksdagen eller regeringen (s.k. statsmaktsregister) eller för register som har tagits emot för förvaring av en arkivmyndighet (2 a 5 första och andra styckena).
Sammanslutningar får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska upp- fattning, religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskapet i sammanslutningen (2 a & tredje stycket 1).
Myndigheter inom hälso- och sjukvården får utan tillstånd för vård- eller behandlingsändamål inrätta och föra personregister som innehåller uppgifter om någons sjukdom eller hälsotillstånd i övrigt (2 a & tredje stycket 2). Likaså får myndigheter inom socialtjänsten utan tillstånd inrätta och föra personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten (2 a & tredje stycket 3).
Läkare och tandläkare får utan tillstånd inrätta och föra person- register som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har erfarit i sin yrkesverksamhet (2 a & tredje stycket 4).
Arbetsgivare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 5 andra stycket lagen (1962:381) om allmän försäkring (2 a & tredje stycket 5).
Vid sin tillståndsprövning skall Datainspektionen ta ställning till om det finns anledning att anta att registreringen medför ett otillbörligt intrång i den registrerades personliga integritet. Om så anses vara fallet skall tillstånd inte meddelas. Vid prövningen skall inspektionen särskilt beakta arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall inhämtas samt vilken inställning de som kan komma att registreras har eller kan antas ha till
SOU 1993: 10 25
saken. Inspektionen skall även särskilt beakta att inte andra uppgifter eller andra personer registreras än som står i överenstämmelse med ändamålet med registret (3 5).
Särskilda skäl krävs för att tillstånd skall kunna meddelas för in- rättande och förande av personregister som omfattar andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning (3 a 5).
Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna erhålla tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att någon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden (4 5 första stycket).
Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom social- tjänsten eller varit föremål för åtgärd enligt utlänningslagen får endast om särskilda skäl föreligger meddelas annan än myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter. Särskilda skäl krävs även för registrering av uppgifter om någons ras eller politiska uppfattning eller religiösa övertygelse (4 & andra och tredje styckena).
Det förhållandet att ett personregister skall användas för statistiska bearbetningar eller vetenskapliga undersökningar kan, enligt lagens förarbeten, i sig utgöra "särskilda" eller "synnerliga skäl" under förut— sättning att enskilda personers identitet inte offentliggörs.
När Datainspektionen meddelar tillstånd att inrätta och föra person- register, skall inspektionen samtidigt meddela beslut om ändamålet med registret (5 6). I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet skall inspektionen i samband med tillståndsgivningen även meddela särskilda villkor (6 5). Sådana villkor får meddelas beträffande exempelvis inhämtande av uppgifter, vilka personuppgifter som får ingå i registret, utlämnande, bevaring och gallring.
Personregister skall inrättas och föras så att inte otillbörligt intrång i registrerads personliga integritet uppkommer. I 7 & anges närmare vad som skall iakttas för att nå upp till vad som brukar kallas "god registersed". Den registeransvarige är också skyldig att förteckna de personregister som han är ansvarig för (7a 5). Förteckningen skall vara aktuell och hållas tillgänglig för Datainspektionen.
I datalagen finns också särskilda bestämmelser om ADB-använd- ningen som är avsedda att garantera att personuppgifter är riktiga och fullständiga. Dessa bestämmelser, som återfinns i 8 och 9 55, behandlar bl.a. rättelse av oriktiga och missvisande uppgifter.
En central bestämmelse är vidare datalagens 10 5. Den ger den enskilde en rätt till insyn i personregister. Där stadgas att den registeransvarige på skriftlig begäran av den enskilde skall underrätta denne om innehållet i registret, såvitt det gäller honom eller henne. Ett sådant registerutdrag, s.k. 10 å-utdrag, har den enskilde rätt att kostnadsfritt få en gång per år.
26 SOU l993:10
I datalagen finns allmänna bestämmelser om gallring av personupp- gifter och om vad som skall iakttas då en registeransvarig upphör att föra ett personregister för vilket Datainspektionen meddelat tillstånd (12 5). Vissa bestämmelser om tystnadsplikt finns i 13 5.
En särskild bestämmelse om dokumentationsskyldighet avser att göra det möjligt att i efterhand fastställa vilka uppgifter i en ADB-upp- tagning som har legat till grund för avgörandet av ett mål eller ärende hos en myndighet. Sådan ADB-upptagning skall tillföras handlingarna i målet eller ärendet i läsbar form. Undantag gäller endast, om det finns särskilda skäl (14 5).
Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet (15 — 18 55)- Inspektionen har möjlighet att meddela villkor eller, om rättelse inte kan åstadkommas på annat sätt, förbjuda förandet av personregister eller återkalla meddelade tillstånd.
Datainspektionens beslut enligt datalagen överklagas hos regeringen. Justitiekanslern får föra talan för att ta tillvara allmänna intressen (25 ä)-
Bestämmelser om straff och skadestånd finns i 20 - 21 55 och 23 5. Ett personregister kan förklaras förverkat, om det inrättas eller förs utan nödvändig licens eller tillstånd (22 5).
I datalagen regleras även det statliga person- och adressregistret (SPAR), 26 - 28 åå.
Kompletterande bestämmelser om bl.a. licensanmälan, tillstånds- ansökan, handläggningen hos Datainspektionen, verkställighetsföre— skrifter och bistånd till personer som är registrerade utomlands finns i dataförordningen (1982:480).
SOU 1993: 10 27
3 Den tekniska utvecklingen
3. 1 Inledning
Informationsteknologin (vari inkluderas datortekniken) har sedan datalagens tillkomst genomgått en explosionsartad utveckling och har kommit att användas inom de flesta områden och fått en allt större betydelse för samhällsutvecklingen.
ADB-teknik utnyttjas i dag inom alla områden där man har behov av information och av att förmedla information. Sådan teknik används inte bara av myndigheter, organisationer och företag utan i allt högre grad även av enskilda människor som privat behöver använda eller förmedla information. Vi har i dag ett samhälle där informations- behandling med hjälp av ADB utgör ett naturligt inslag.
3.2 Datoranvändningen i början av 1970-talet
Offentlighets- och sekretesslagstiftningskommittén (OSK) konstaterade i sitt delbetänkande (SOU 1972:47) Data och integritet att det fanns ungefär 340 datorsystem med personuppgifter på den offentliga sidan. ADB förekom eller planerades inom folkbokföringen, skatteadministra- tionen, personaladministrationen, rättsväsendet, exekutionsväsendet, sjuk— och hälsovården, administrationen av de allmänna försäkringarna, socialvården, utbildningsväsendet, arbetsplaneringen och fastighets- registreringen.
Ett antal datorsystem var gemensamma för flera myndigheter. Stora datorsystem var vanligast på den statliga sidan men förekom också hos större kommuner.
Antalet datorsystem var i början av 1970-talet väsentligt större på den privata sektorn än på den offentliga. Antalet sådana system med personuppgifter uppskattades av OSK till ca 3 000. Systemen med flest antal registrerade personer återfanns hos företag som tillhandahöll uppgifter för selektiv direktreklam. En del omfattade hela Sveriges befolkning.
De vanligast förekommande registren gällde personaladministration samt olika slags medlemsregister och kundregister, t.ex. över prenumeranter, bankkunder, kontokunder, försäkringstagare och hyresgäster.
Antalet register, som endast innehöll uppgifter av mindre känslig art eller från vilka uppgifter inte lämnades ut till utomstående, var väsentligt större inom den privata sektorn än inom den offentliga.
28 SOU l993:10
Informationsutbyte förekom mellan företag och myndigheter, bl.a. mellan löneregister och skattemyndigheternas register. Vidare förekom informationsutbyte mellan centrala bilregistret och vissa försäkrings— bolag.
Andra typer av informationsutbyte innebar att arbetsgivare via sina branschorganisationer lämnade uppgifter om sina anställda till arbets- tagarorganisationerna.
Den tekniska hanteringen av datorsystemen ägde rum i stora maskin- hallar under överinseende av särskilt utbildad personal. OSK bedömde år 1972 antalet sådana datamaskinanläggningar i Sverige till 600 stycken.
3.3 Dagens informationssamhälle
Dagens datorutrustning är väsentligt kraftfullare, billigare och enklare att hantera än den som fanns att tillgå tidigare. Ett mycket stort antal människor har fått möjlighet att tillgodogöra sig information av olika slag och att bearbeta den efter egna önskemål.
En alltmer långtgående standardisering inom datakommunikation har ägt rum och har förenklat informationsutbytet mellan olika system. En effekt härav har blivit en allt intensivare internationell datakom- munikation. Även trådlös datakommunikation är allt vanligare.
Genom den hittillsvarande utvecklingen av lagringstekniken finns numera möjlighet att enkelt lagra i stort sett obegränsade mängder information, inkluderat lagring av bilder, till väsentligt lägre kostnader än bara för några år sedan.
Kraftfulla och användaranpassade databashanteringssystem har förenklat möjligheten att lägga upp och bearbeta stora mängder data. Den tekniska utvecklingen har även medfört att användare via terminal själva enkelt kan göra valfria sammanställningar ur en databas.
Datortekniken utnyttjas inom allt fler nya tillämpningsområden. Exempel på sådana områden är bevakning och tillträdesskydd, revision, ekonomiska transaktioner med hjälp av aktiva kort, journal- hantering inom sjukvården och massmedias textarkiv. Ett markant inslag i ADB-teknikens utveckling är att den inte längre är bunden till centrala system vars funktioner kan påverkas bara av ett fåtal männi- skor. Genom utbredningen av persondatorer och lokala system har olika användare inom arbetslivet fått utökade möjligheter att påverka och själva utforma sitt ADB-stöd.
De små bärbara datorerna har kommit att medföra ytterligare nya användningsområden för informationsbehandling med hjälp av ADB. Exempelvis inom sjukvården kommer en distriktssköterska vid sjukbesök att kunna söka information om patienten och även notera journalanteckningar i datorn.
Statistiska centralbyrån fann i en är 1990 utgiven studie att 1,5 milj svenskar är 1989 använde datorer i sitt arbete, en ökning med 50 procent på fem år. Det motsvarade 32 procent av alla sysselsatta. Enligt undersökningen hade antalet datoranvändande företag ökat med 200 procent från år 1984 till 1989. Under samma tidsperiod hade
SOU 1993: 10 29
antalet personer som hade datorutrustning i bostaden tredubblats från 178 000 personer till 546 000 personer. Studien visade vidare att över hälften av de statligt anställda använde datorer i sitt arbete mot bara 14 procent av de anställda inom kommuner och landsting. Antalet dator- användare varierade mycket mellan olika yrkesområden och närings- grenar, från knappt 10 procent inom jord- och skogsbruk till närmare 90 procent inom bank- och försäkringsväsendc.'
I det följande ges en kortfattad översikt över vissa delar av den moderna informationsteknologin.
3 .4 Datorprogram
3.4.1 Allmänt
En definition av dator betecknar den som en apparat för databehand— ling som utan mänskligt ingripande under körning kan utföra om- fattande beräkningar med ett stort antal aritmetiska operationer eller logikoperationer.2 Datorn kan sägas ha tre huvuduppgifter, nämligen bearbetning (inbegripet beräkningar), lagring och kommunikation. Datorns arbete styrs av systemprogram (t.ex. operativsystem) och tillämpningsprogram (t.ex. för sortering, beräkning m.m.). Närmare tekniska beskrivningar av hur ett datorsystem är uppbyggt och fungerar har getts i Upphovsrättsutredningens delbetänkande (SOU 1985z51) Upphovsrätt och datateknik s. 29 ff och i Datastraffrättsutredningens betänkande (SOU 1992:110) Information och den nya informations- teknologin — straff— och processrättsliga frågor m.m. s 84 ff.
De delar av ett datorsystem som består av elektroniska kompo- nenter, ledningar, plåt m.m. går ofta under den gemensamma benämningen maskinvara ("hardware", "hårdvara"). Maskinvaran i en dator är generell och kan fås att bl.a. utföra bearbetning, datalagring och kommunikation av olika slag. Vad den kommer att göra bestäms av instruktioner, som liksom data lagras i datorns inre och yttre minnen. En samling av sådana instruktioner kallas för ett dator- program.
Begreppet programvara ("software", " mjukvara") kan sägas omfatta såväl själva programmet (programinstruktionerna) som tillhörande dokumentation för användare och för personal som skall handha och sköta driften av programmet. Ibland innefattas i begreppet också t.ex. service och utbildning.
Anpassning och specialisering görs i programvaran, som är lättare att ändra eller byta ut än maskinvaran. De unika egenskaperna i ett datorsystem bestäms därför i hög grad av den programvara som
1 Datorvanor 1990, utgiven av statistiska centralbyrån och Dataföre- ningen i Sverige, 1990
2 SIS Dataordboken, utgåva 4, 5.72, utgiven av SIS Standardiserings- kommissionen i Sverige, 1989
30 SOU l993:10
datortillverkaren utvecklat eller som kunden kan köpa från fristående programtillverkare eller själv utvecklar.
Det finns i princip två huvudkategorier av datorprogram, system- program och applikationsprogram.
Systemprogram är oberoende av den tillämpning som datorsystemet skall utnyttjas för. En viktig kategori av systemprogram är operativ- systemen som bl.a. förenklar ett antal ofta förekommande funktioner som t.ex. flyttningar mellan olika enheter i datorsystemet eller igång- sättande av program och kontroll av att dessa program kan arbeta till synes parallellt, trots att datorn endast kan utföra en instruktion i taget. Antalet generella operativsystem på marknaden är starkt begränsat. Bland de mest använda operativsystemen för mindre datorer märks MS—DOS, PC-DOS, OS/2, Macintosh OS och UNIX.
Ett applikationsprogram är ett program som utför en bestämd uppgift. Programmen kan delas in efter sin funktion i olika områden. Det finns program som medför att användaren kan använda sin dator för ard— och textbehandling, dvs. man skriver in och redigerar sin text på en bildskärm i stället för på papper. Först när man är nöjd med texten skriver man ut den på skrivare. Fördelen jämfört med en vanlig skrivmaskin är att man enkelt kan ändra och justera texter utan att behöva skriva om allt. Man får dessutom tillgång till många funktioner som sökning av text, flyttning av större textblock, automatisk stavningskontroll och automatisk avstavning. Andra program används för kalkylering, administration (t.ex. order— och lagerhantering, fakturering och bokföring), datakommunikation, grafik och s.k. Computer Aided Design, CAD. Det finns även applikationsprogram som möjliggör s.k. Desktop Publishing (DTP), dvs. gör det möjligt för användaren att sammanställa en trycksak med utgångspunkt från material som behandlats i datorn - texter från ordbehandlingsprogram, ritningar från grafik- och CAD-program och bilder ritade med ritprogram eller inlästa med bildläsare, s.k. scanner. Vissa applika- tionsprogram är registerhanteringsprogram som gör det möjligt för an- vändaren att registrera, söka bland, sortera och skriva ut sorterade data. Några applikationsprogram är direkta hjälpprogram som på olika sätt förenklar användningen av datorn. Det finns också integrerade applikationsprogram som innehåller flera programdelar som löser separata uppgifter, men som ändå har förmågan att samverka med varandra. Exempelvis kan en kalkyldel av programmet samverka med en ordbehandlingsdel och en grafikdel, så att ett brev kan innehålla siffermaterial presenterat som diagram av olika slag.
3.4.2 Ordbehandlingsprogram m.m.
De flesta av de ordbehandlingsprogram som i dag finns på marknaden ger möjlighet till fri textsökning, dvs. även möjlighet att i en text återsöka vissa namn eller liknande. Flera av programmen har bl.a. en funktion som möjliggör framställning av personligt utformade mass- brev. Så är fallet med bl.a. de marknadsledande programmen Word- Perfect och Microsoft Word.
SOU l993:10 31
Många av programmen har sådana egenskaper att användaren förutom ordbehandling även får tillgång till kalkylering, register- hantering, grafik, kommunikation och elektronisk post. Så är t.ex. fallet med ett annat stort program på marknaden, Framework. De flesta ordbehandlingsprogram ger även möjlighet att föra över data till och från andra registerhanterings- och kalkylprogram.
På marknaden finns i dag ordbehandlings- och registerhanterings— program som kostar från ca 300 kr och uppåt. Det finns även program som tillhör det s.k. Public Domain-området, dvs. program som kan kopieras fritt och användas gratis eller för en obetydlig summa.
3 . 5 Datakommunikation
Överföring av information sker idag via datakommunikation av olika slag. Det kan ske i rikstäckande - eller världsomspännandc - publika datanät. Det kan också ske via privata nät som används av en viss bestämd krets. De nya tekniska möjligheterna i kombination med ökad standardisering och avreglering av telemonopolet medför att geo- grafiska avstånd inte längre utgör något större hinder för överföring av information.
Det är i dag möjligt att koppla ihop två eller flera lokala nät via externa nät. Detta medför att man från en persondator kan få möjlighet att nå fram till databaser i andra organisationers lokala nät. Det finns inte längre några tekniska begränsningar för möjligheten att via datanät koppla samman olika datorsystem.
Systemen medger att den överförda informationen kan lagras om användaren så önskar. Därefter kan användaren strukturera och använda informationen som kan utgöra personuppgifter på önskat sätt i sin persondator. Dessutom finns adresskataloger inbyggda i de flesta nätverkstyper.
Ett annat sätt att överföra information som blir allt vanligare när det är fråga om stora och relativt stabila informationsmängder är att skicka datamedia, oftast CD—ROM-skivor (se avsnitt 3.7), per post.
3 . 5. 1 Nätverk
Genom att använda ett s.k. modern (&dulator/de_modulator), vars uppgift är att omvandla elektriska pulser till tonsignaler, kan det vanliga telefonnätet användas för datakommunikation. Dataöverföring— en kan antingen ske via det vanliga telefonnätet, Datel, eller via ett speciellt nät för dataöverföring, Datex. Ett annat nät för datakommuni- kation är Datapak. *
Datorer kan kopplas samman i lokala datanät (Local Area Networks, LAN) för överföring av information dem emellan. Sådana datanät ökar kraftigt i antal. Trenden är att dessa lokala nät kommer att integreras till enorma persondatanät med tusentals användare i olika städer.
Merparten av Europas teleförvaltningar har enats om att införa ett integrerat digitalt telenät, Integrated Services Digital Network, (ISDN). ISDN, som bygger på en internationell standard, kan hantera kom—
32 SOU 1993:10
binerad kommunikation av data, text, ljud och bild över samma för- bindelse i telefonnätet. Det kommer även att bli möjligt att koppla in persondatorer på ISDN-nätet och använda nätet som ett lokalt nät oberoende av avståndet.
3.5.2 Överföring av textmeddelanden
Det pågår en intensiv utveckling av nya tekniker för överföring av textmeddelanden. Tidigare medier som t.ex. telegram har nästan för- svunnit helt.
Telex har en relativt låg överföringshastighet och begränsad tecken- uppsättning, men är ändå på grund av sin världsomfattande spridning fortfarande ett mycket använt medium.
Teletex, en modern variant av traditionell telex, kommer dock troligen på sikt att ersätta telex. Den utrustning som i huvudsak används vid teletex är i stort sätt en vanlig persondator med ett ord- och textbehandlingsprogram och möjlighet till datakommunikation. En text, t.ex. ett brev eller ett meddelande, skapas med hjälp av ord- och textbehandlingsprogrammet på teletexutrustningen. Därefter skickas texten till önskad mottagare via i första hand Datexnätet till mottaga- rens teletexutrustning. Överföringshastigheten för teletex är ca 50 gånger högre än med vanlig telex.
Telefax började på allvar att användas som ett generellt kommunika- tionsmedel i början av 1980-talet. Bl.a. förekomsten av internationella standarder, kompatibiliteten mellan olika telefaxutrustningar, den relativt låga kostnaden och möjligheten att utnyttja det allmänna telefonnätet har lett till en snabb spridning av utnyttjandet av telefax. I dag kan i praktiken alla företag och förvaltningar i Sverige nås med telefaxmeddelanden.
Hittills har det vanligaste sättet att utnyttja telefaxtekniken varit att sända ett pappersdokument i en speciell utrustning ansluten till telefonnätet, omvandla det till elektronisk information och, i en annan utrustning, få ut en kopia av dokumentet på ett papper. För att i datorsammanhang ytterligare öka effektiviteten och minska kostnaderna har s.k. telefaxkort till datorer börjat komma ut på marknaden. Fördelarna med dessa är att man direkt från exempelvis en persondator med ett ordbehandlingsprogram, utan att behöva skriva ut en pappers- kopia, kan skicka ett dokument till en eller flera användare. Även mottagning av dokument kan ske direkt i datorn. Man kan sedan läsa dokumentet på bildskärmen. Det finns datorprogram som kan omvandla mottagen telefaxinformation till textformat.
Elektronisk post innebär att text som kan skapas med hjälp av ord- och textbehandling skickas till önskade mottagare via ett datanät där meddelandet motsvarar ett "brev". Meddelandena kan utväxlas externt eller internt. De brukare som använder intern elektronisk post utnyttjar befintliga terminaler och persondatorer och kan därigenom kommuni- cera med varandra via en gemensam dator. Varje användare har sin personliga "elektroniska brevlåda" i den gemensamma datorn. Det finns också möjlighet att utvidga systemet så att användarna kan delta i datakonferenser genom att systemet får en gemensam "brevlåda" för
SOU 1993:10 33
flera användare. Detta ger användarna möjligheter att kommunicera med varandra oberoende av tid och rum. Elektronisk post kan också ingå som en funktion i ett kontorsinformationssystem (se avsnitt 3.9. 1). I Videotex (se nedan) finns också tillgång till elektronisk post.
Med de flesta varianter av elektronisk post kan användaren samtidigt skicka samma text till flera mottagare, kontrollera om mottagaren har tagit del av den översända texten, i datorn arkivera de texter man vill spara, ha en egen "brevlåda" på den centrala datorns skivminne där inkomna texter lagras, om man inte omedelbart kan läsa det in- kommande meddelandet, samt ha en egen behörighetskod som hindrar obehöriga att få tillgång till "brevlådan". En del elektroniska post- system har som nämnts särskilda funktioner för att också stödja grupp- kommunikation. I dessa s.k. datakonferenssystem kan avsändaren adressera ett skrivet meddelande som ett inlägg till ett elektroniskt möte eller konferens, i vilket ett flertal personer kan vara deltagare. Exempel på sådana system är KOM, SuperKOM, PortaCom och EARN (European Academic and Research Network). Det finns även s.k. Bulletin Board Systems, BBS, mot vilka man kan koppla upp sig för att ställa frågor, delta i erfarenhetsutbyte eller hämta programfiler.
De elektroniska postsystemen har utvecklats kraftigt under den senare delen av 1980-talet och många företag använder sig idag av intern elektronisk post. Den internationella standardiseringen har fortsatt och möjligheten att låta olika system för elektronisk post kommunicera med varandra har ökat markant. Det beräknas att antalet elektroniska "brevlådor" i Europa kommer att öka med ca 45 procent per år fram till år 1993. Tekniken tillåter i dag överföring av datafiler, texter, brev (inkl. fax) och även bilder mellan olika datorer. En del system kan endast användas inom ett lokalt datanät, andra kopplar samman stordatorer med varandra och omfattar hela världen.
EDI, (Electronic Data Interchange) är en metod för att överföra dokument, främst affärsdokument mellan datorer. Tillämpningen av EDI utmärks av att data som utbyts är formaliserade och strukturerade enligt någon EDI-standard, att datautbytet mellan datasystemen sker automatiskt och utan mellanliggande manuell hantering samt att datautbytet sker mellan datasystem i olika organisationer och i olika datamiljöer. EDI avviker från elektronisk post genom att meddelandet innehåller formaliserad och strukturerad information. Dessutom innebär EDI en kommunikation mellan datasystem till skillnad från elektronisk post som är en kommunikation mellan enskilda användare. Den information som överförs med EDI är direkt bearbetningsbar i datasystemen.
Metoden har använts i USA i över 20 år, men fick sitt internatio- nella genombrott först år 1986 då Västeuropa och USA slog samman sina två standarder till en internationell sådan kallad EDIFACT (Electronic Data Interchange For Administration, Commerce and Transport). Sedan FN sanktionerat denna standard har den nu det officiella namnet UN/EDIFACT. Denna standard har förutom i USA och Västeuropa nu även vunnit stöd i Australien och Japan.
Inom nationella och internationella organ, liksom inom olika branschföreningar, pågår sedan några år tillbaka ett intensivt arbete
34 SOU 1993: 10
med EDI-standardisering av olika slags handelsinformation. Bland armat driver EG och EFTA ett gemensamt projekt, TEDIS (Trade Electronic Data Interchange Systems), med uppgift att koordinera och främja spridningen av EDI. I Sverige har bilindustrin kommit längst med sitt EDI-projekt kallat ODETTE (Organisation for Data Exchange by Tele Transmission in Europe), som skapat standarder för in- formationsöverföring avseende leveransplanering, streckkodsmärkning, fakturering etc. ODETTE är anpassat till EDIFACT-standarden.
Enligt vissa uppskattningar kommer EDI att användas för en väsentlig del av Sveriges varuflöde år 1995. I vissa branscher kan det komma att gälla för mer än hälften av varuflödet, t.ex. i bilindustrin, medan det tar längre tid innan andra branscher när så långt. Vissa statliga myndigheter, t.ex. tullen, och ett antal stora branscher, t.ex. bilindustrin, byggindustrin, transportbranschen och bankerna räknar med en snabb spridning för EDI. Det nya svenska s.k. tulldatasystemet (TDS) medger t.ex. att export- och importhandlingar tas emot och behandlas med hjälp av EDI. TDS avses hantera klarering av import-, export-, och transitärenden samt debitering. I slutet av 1990—talet beräknas EDI ha nått en mycket bred användning. Huvuddelen av penningflödet i Sverige beräknas t.ex. då ske med EDI. Vidare räknar tullen med att 80 procent av alla tullärenden sker med hjälp av EDI år 1995. Se vidare en i maj 1990 utgiven rapport, EDI för miljoner (TELDOK Rapport nr 56, 1990).
Videotex är beteckningen på ett informations- och kommunikations- system för spridning av text och viss grafisk information. Användar- utrustningen består vanligen av speciella videotexterminaler med modern. Det är dock även möjligt att använda vissa TV-apparater som monitorer. Också persondatorer kan utnyttjas under förutsättning att de kompletteras med program för datakommunikation.
Televerket sköter det svenska videotexnätet till vilket ett antal företag har anslutit sina datorer så att deras databaser blivit åtkomliga för användaren av Videotex. De företag som anslutit sig ansvarar för den information och de Specialtjänster som erbjuds genom Videotex, medan televerket svarar för kommunikation och service. Söktekniken är enkel och gemensam för alla databaser i Videotex. Man väljer från menyer och bläddrar fram bilder. Informationen är nämligen lagrad bildvis och inte som en sammanhängande textmassa. De anslutna företagen kan göra det möjligt för kunderna att sköta sina affärer direkt från videotexterminaler i hemmen. Avgränsade grupper kan även skapa slutna informationstjänster som bara är tillgängliga för den egna kretsen i Videotex. I Videotex finns också tillgång till olika elektroniska tjänster såsom telex, telefax, elektronisk post och personsökning (Minicall). Användaren betalar en mindre abonnemangs- och trafik- avgift till televerkets videotextjänst och särskilda bildavgifter till de företag eller institutioner som gjort bilderna. Televerket sköter dock all debitering.
Databaser anslutna till det svenska videotexsystemet omfattar bl.a. ekonomi och börsinformation, reseinformation, statistik, kreditupp- lysningar, information från offentliga register (bl.a. bilregistret och
SOU 1993: 10 35
fastighetsregistret), tidtabeller, valutakurser, telefonkatalog samt spelinformation.
3.5.3 Mobila system för meddelandeöverföring
Mobitex, som är ett system för mobil data- och textöverföring, har funnits iSverige sedan år 1986. Mobitexnätet, som sköts av Televerket Radio, består av ett antal basradiostationer som kommunicerar med mobila terminaler. Textmeddelanden kan sändas mellan användare som har textfunktion på sina terminaler. Meddelanden kan vara på högst 512 tecken, varför längre texter måste skickas uppdelade som många korta. Systemet ger uppgift huruvida meddelanden har kommit fram eller inte. Inom ramen för systemet finns även möjlighet för viss kompletterande talöverföring. Om man för tillfället inte kan ta emot meddelanden, kan dessa lagras i en "brevlåda". Mobitex används idag bl.a. för kommunikation mellan polisbilar och befintliga datorsystem, sjukhus och ambulanser, vid budservice och i övrigt inom transport- sektorn.
Möjligheten att lagra personuppgifter i de olika personsökarsystem som finns på den svenska marknaden är än så länge relativt begränsad och de uppgifter som förekommer är oftast av mindre känslig art, huvudsakligen namn och telefonnummer. Trots detta förtjänar dock några av systemen att nämnas.
Ett rikstäckande personsökningssystem, MBS, har varit i drift i drygt tio år. MBS-mottagaren är en liten avancerad FM-mottagare som auto- matiskt ställer in sig på rätt FM-sändare. Den har bl.a. minnesfunktion för lagring av flera sökningar. Då någon ringer upp en MBS går sökningen från telefonen till en MBS-växel, som sänder sökningen vidare till FM-näten. Signalen når MBS-mottagaren, som avger en ljudsignal och i sitt teckenfönster visar den uppringandes telefon- nummer. Det är inte bara den sökandes telefonnummer som kan sändas till en MBS-mottagare utan även kodnummer. Det är möjligt att nå flera mottagare samtidigt genom ett enda söknummer. MBS är Sveriges enda rikstäckande system för personsökning. Televerket Radio har byggt upp MBS-systemet och svarar för dess funktion och underhåll.
År 1985 startade ett system med tonsignalering för mera regionala behov, Minicall. Systemet är landsomfattande och täcker Sveriges tätorter och industricentra. I april 1988 kompletterades Minicall med möjlighet att sända textmeddelanden.
Minicall Ton är en personsökare som avger upp till fyra olika tonsignaler, när någon ringer till den från en vanlig telefon. Varje tonsignal aktiveras genom ett eget telefonnummer och har en egen, i förväg överenskommen betydelse. En av signalerna kan kopplas till den "textbrevlåda" som finns i Minicall-systemet. En annan signal kan kopplas till "röstbrevlådan" i mobiltelefonsystemet NMT.
Minicall Text är en personsökare som tar emot textmeddelanden på upp till 400 tecken. Meddelandet tas fram i ett teckenfönster. Ut— sändning av meddelanden kan ske t.ex. från en persondator med modern, från en terminal ansluten till en företagsdator eller från en
36 SOU 1993: 10
videotexterminal. Minicall Text kan också användas för tonsökning och kan då sammankopplas med Mobilsvar. Varje gång ett meddelande lämnas i Mobilsvar avger personsökaren en signal. Mottagaren kan lagra flera meddelanden samtidigt.
De som har en Minicall personsökare, för ton eller text, kan även abonnera på en egen "brevlåda" för lagring av textmeddelanden. I sådant fall lagras alla utsända meddelanden i systemet under 72 timmar och förses med ett löpnummer. Ett meddelande kan sedan hämtas ur "brevlådan", som är en "textbrevlåda", och återutsändas. För att kunna hämta meddelanden krävs tillgång till en terminal eller persondator e.d. Vid hämtning av meddelande anges lösenord, som bestäms av den som har mottagaren, mottagarens nummer samt meddelandets nummer. Det går också att hämta bara det sist inkomna meddelandet. Med- delandet visas sedan i sin helhet på bildskärmen tillsammans med tidpunkt för utsändning. "Brevlådan" kan även användas för lagring av textmeddelanden även om man bara har en tonmottagare. En tonsök- ning sker när ett textmeddelande har matats in i Minicall-systemet och lagrats i "brevlådan". Innehavaren av mottagaren kan sedan hämta meddelandet ur "brevlådan". Inmatning och hämtning av textmed— delanden som är adresserade till en tonmottagare sker på samma sätt som vid vanliga textsökningar.
3 . 5 .4 TeleGuide
Under år 1992 inledde Televerket i samarbete med andra en verksam- het som hade till mål att sprida s.k. TeleGuide-terminaler till landets telefonabonnenter. Förebild var det franska MiniTel—systemet. Med hjälp av en TeleGuide-terminal, som är ansluten till videotexnätet, skulle användaren till en början dels kunna få viss lokal information (exempelvis upplysning om kommunala öppettider, traffiktider, lokala evenemang, viss miljöinformation etc.), kunna utföra vissa bank- tjänster, göra beställningar av vissa varor (bl.a. matbeställningar inom den kommunala hemtjänstens ram), dels kunna få del av den in- formation som finns tillgänglig i det allmänna videotexnätet. Avsikten var att successivt bygga ut systemet till att omfatta flera användnings- områden, t.ex. bostadsinformation med byggplaner, taxeinformation, biblioteksservice, platsannonser, konsumentrådgivning samt kommuna- la beslut och handlingar. De olika elektroniska tjänster som det finns tillgång till i Videotex, t.ex. telex, telefax och elektronisk post, är också att tillgängliga för dem som hyr en TeleGuide-terminal. Förutom en månatlig hyreskostnad för en terminal och avgiften för telenätsan- vändningen, tillkommer en särskild användaravgift per minut. Den som hyr en terminal får, förutom själva terminalen, även ett s.k. "Smart Card" (se avsnitt 3.9.2). Detta kort som är personligt och försett med en särskild identifikationskod måste användas då man loggar in i systemet. För att kunna utnyttja en TeleGuide-terminal krävs att man har loggat in med hjälp av sitt personliga kort.
På grund av för liten anslutning till TeleGuide, beslöts i februari 1993 att avveckla TeleGuide-projektet.
SOU 1993: 10 37
3.6 Databaser
Databaser finns för de flesta ämnesområden: ekonomi, teknik, fysik, kemi, medicin, miljö, samhällsvetenskap, humaniora, juridik, dagsnyheter etc. De innehåller många olika typer av material såsom tidskriftsartiklar, litteraturreferenser, statistiska sifferserier, grafiska bilder m.m. Materialet i databaserna uppdateras regelbundet, i vissa fall dagligen.
De områden som täcks av olika slags databaser har blivit alltmer omfattande. Hittills har det dock huvudsakligen varit fråga om databaser med olika slags textinformation. Sedan en tid tillbaka finns emellertid även en omfattande bilddatabas i Sverige. Bilddatabasen beskrivs närmare i det följande.
De flesta publika databaser tillhandahålls av s.k. databasvärdar. Dessa är serviceföretag som äger eller har rätten till ett antal data- baser. Vissa databasvärdar driver bara en eller ett par databaser och har då ofta själva framställt databasens innehåll. Andra värdar kan ha hundratals olika databaser. För att få tillgång till databaserna krävs normalt användarabonnemang i form av ett separat abonnemang till varje värd. Till detta kommer i de flesta fall en sökavgift som debiteras per minut uppkopplad tid och/eller står i relation till hur stort material användaren tar ut från databasen. Den utrustning som behövs är en terminal eller persondator, ett kommunikationsprogram anpassat till datorn samt ett modem.
För att nå informationen i en databas måste man använda en viss uppsättning kommandon, ett sökspråk. Eftersom sökspråket i allmänhet är knutet till databasvärdens systern finns det många olika sökspråk på marknaden.
På senare tid har användningen av s.k. "gateways " ökat. Detta innebär att man kopplar upp sig mot en databasvärd och därifrån kopplas vidare till andra värdar och kan söka i databaserna hos dessa med samma sökspråk som gäller hos den först uppkopplade värden. På så vis krävs endast ett användarabonnemang. Ett exempel härpå är DAFA Data ABs InfoTorg.
De publika databaserna kan med hänsyn till sitt innehåll indelas i två huvudgrupper, källdatabaser och referensdatabaser. Källdatabaser består av information som direkt och i sin helhet kan överföras till användarens lokala datorutrustning. Referensdatabaser ger referenser eller sökingångar till annat material.
Lagring av information sker i databaser vanligen hos den som samlar in uppgifterna. Lagringen kan ske i centrala datorer, i lokala datorer eller i en slutanvändares persondator. Lagring kan ske i minnen anslutna till dessa typer av datorer men också på löstagbara media såsom disketter, CD-ROM-skivor (se avsnitt 3.7), optiska kort (se avsnitt 3.7), videokassetter eller liknande.
Som tidigare nämnts finns numera en stor bilddatabas i Sverige. Det är Posten Bildbanken AB som i Kiruna har startat ett omfattande digitalt bildarkiv. Bilderna tillhandahålls av bildbyråer, muséer, fotografer och andra som innehar för marknaden intressanta bilder. Tillsammans med bilderna lagras digitalt även uppgifter om motiv,
38 SOU 1993: 10
fotograf, bildbyrå samt andra sökbegrepp.Enligt avtal med bild- leverantörema skall de bilder som levereras till bolaget utgöra s.k. kommersiella bilder, d.v.s. bilder som avser att dokumentera områden i samhället och som försäljs för reklam, annonser, publicering i tidningar etc. Nyhetsbilder avses inte ingå i bilddatabasen. En kategori bilder som kan ingå är porträttbilder av fysiska personer. Även på andra bilder kan personer vara avbildade. Den som vill söka i bilddatabasen ringer medelst datorns modem upp denna och etablerar kontakt. Med hjälp av en särskild meny kan användaren specificera vilken typ av bild som han önskar. Det finns som nämnts ovan olika sökbegrepp inlagrade med varje bild. Ett sökbegrepp kan t.ex. vara en specifik bildbyrå eller fotograf. Ett annat kan vara begrepp som djur, natur, människa, ålder osv. Vid varje tillfälle får användaren uppgift om hur många bilder det finns som uppfyller villkoren. Han eller hon får samtidigt upp 12 s.k. påsiktsbilder på sin datorskärm. För varje bild anges ett bildnummer, klassificeringskod, lagringsdatum, fotograf (enligt 2 5 lagen 1960:730 om rätt till fotografisk bild), svart/vit - färg samt bildrestriktioner. Dessa påsiktsbilder är av tillräcklig god kvalitet för att användaren skall kunna avgöra om bilden är intressant. Det tar mindre än en sekund att överföra en sådan bild från databasen till skärmen. Det är möjligt att "bläddra" igenom bilderna, förstora intressanta bilder, låta intressanta bilder bli kvar på skärmen eller lagra dern lokalt i sin dator. När användaren har bestämt sig för de bilder som önskas skickar han eller hon en beställning till Posten Bildbanken AB via menyn. Bilden kan sändas direkt till användarens dator medelst telenätet eller också vidarebefordras beställningen till fotografen eller bildbyrån som i sin tur kan skicka en kopia av bilden med post eller på annat sätt. Posten Bildbanken AB räknar med att år 1994 ha mellan fyra och fem miljoner bilder lagrade i sin bilddatabas.
En utveckling av databehandlingen är den s.k. client/servertekniken som innebär att informationen bearbetas både i en central dator (servern) och i persondatorn (klienten). Servern kan t.ex. sköta sökning i stora databaser medan persondatorn (klienten) sköter sammanställningen och presentationen. Informationen i ett client/— serversystem lagras i databaser i datorerna. Olika delar av en databas kan finnas i olika datorer. Det är också möjligt att viss information som en användare behöver finns i en dator hos en annan organisation. Användaren vet ofta inte var informationen finns lagrad, bara att han kan nå den från sin persondator. Han kan själv göra egna samman- ställningar som kan tjäna ett helt annat ändamål än det som ursprung- ligen gällde för databaserna. En sådan sammanställning kan existera under en kort tid, nämligen tills presentation av resultatet har gjorts. Men den kan också finnas till under en längre tid för upprepad bearbetning och användning.
Client/servertekniken tillämpas ännu endast i begränsad omfattning i Sverige. Tekniken kan dock beräknas vara i allmänt bruk inom både den offentliga och privata sektorn under senare hälften av 1990-talet.
Dataförmedling är en företeelse som har blivit allt vanligare med ökande möjlighet till kommunikation. Med dataförmedling avses att någon bygger upp databaser och förmedlar information ur dessa på
SOU 1993:10 39
affärsmässiga grunder. Som tidigare nämnts finns det publika databaser varifrån man säljer information av olika slag. Den nya utveckling som nu kan skönjas är en växande skara av privata databasvärdar som inriktar sig på en viss bransch och aktivt söker, förädlar och lagrar information som sedan tillhandahålls. Det kan t.ex. gälla information om företag. En annan typ av förmedling är att ett företag tillhanda- håller databasutrymme där användarna själva kan införa annonser.
3.7 Optiska lagringsmedia
En utveckling som särskilt bör nämnas inom det inforrnationstekno- logiska området är utvecklingen av den optiska lagringstekniken, en teknik som nu breder ut sig med en tilltagande hastighet. Med tillkomsten av denna teknik har persondatoranvändare fått en snabb och billig tillgång till mycket stora informationsmängder av alla slag. CD-ROM-tekniken kommer inom de närmaste åren med all sannolikhet att revolutionera all informationsspridning.
Optisk lagring baseras på användning av ljus, och lagringstekniken är en biprodukt av den ursprungliga optiska videoskivan som intro- ducerades av Philips under 1970-talet. En närmare redovisning av den optiska tekniken har bl.a. lämnats i betänkandet (SOU 1987:74) Optisk - elektronisk övervakning s. 67 ff.
Det finns i huvudsak tre slags optiska lagringsmedia på marknaden: CD-ROM-skivor, WORM-skivor ochWMRA/RWM-skivor.
Kompaktskivan eller CD-skivan (Compact Disc) lanserades år 1983 som en högkvalitativ efterföljare till LP-skivan. CD-skivan rymmer digitalt stereoljud av mycket hög kvalitet.
Ett renodlat datamedium, CD-ROM (Compact D_isc Read iny Memory) introducerades på marknaden är 1985. Skivan kan användas för att lagra text, bild och ljud, vilka alla tre möjligheter kan användas samtidigt. En enda CD-ROM-skiva, som är 12 cm i diameter och 1,2 mm tjock, har en användbar kapacitet på mer än 550 megabytes, motsvarande ca 270 000 fullskrivna A4-sidor (motsvarande 1 ton papper), 75 minuter musik, 10 000 svartvita dokumentsidor i bildform eller 1 000 digitala videobilder i färg. CD-ROM är nu standardiserad i nästan hela världen. Den är numera också svensk standard.
Det går snabbt att söka och läsa på en CD-ROM-skiva, men man kan inte skriva information på skivan. Tiden att få fram information (åtkomsttiden) varierar mellan 0,4 och 1 sekund. För att läsa av informationen på en CD-ROM-skiva krävs det en särskild CD—ROM- spelare med laser, som kan anslutas till en persondator.
Sökningen av informationen sker med hjälp av ett sökprogram som temporärt lagras i datorn så länge en viss skiva används. Till varje CD-ROM—skiva hör ett sådant sökprogram och detta kan antingen finnas lagrat på skivan själv eller på en diskett, som följer med skivan. Sökprogrammen kan vara olika för olika CD—ROM-skivor. Sökningen sker oftast med hjälp av sökmenyer och kan vara fritextsökning eller strukturerad sökning. Åtkomsten till lagrad data sker alltså normalt via viss inkluderad programvara. Vid sidan av detta sökprogram finns inga
40 SOU l993:10
generella tekniska hinder för att med hjälp av andra system eller program söka och läsa bland lagrad data. Möjligheterna att genomföra detta beror helt och hållet på hur lagrad data är skyddade. Det är fullt praktiskt genomförbart att ha krypterade CD—ROM-skivor och i dag förekommer både okrypterade och krypterade skivor.
Möjligheterna att överföra data från CD-ROM-skivor till andra lagringsmedia är även dessa beroende av hur uppgifterna är skyddade och om eventuellt en sådan överföring understöds från rutiner i medföljande programvara. I sin enklaste form sker överföring genom kopiering av filer från CD-ROM-skivan till annat lagringsmedia. Dessa filer kan ibland vara direkt läsbara i s.k. ASCII-kod, men detta är snarare undantag än regel.
CD-ROM har visat sig vara ett idealiskt medium för termbanker, ordböcker och andra typer av faktaverk. Användarens fördelar ligger främst i att det går snabbare och enklare att söka på en CD-ROM- skiva, att en sådan skiva kan rymma en oerhörd mängd data och att det är ett behändigt format till ett relativt lågt pris. Säkerheten vid läsning från en CD-ROM-skiva är också mycket hög. Det är också mer ekonomiskt fördelaktigt att använda sig av informationen på en CD— ROM-skiva än att söka i en databas som endast nås via telenätet och som det är dyrt att söka i on-line. CD-ROM-skivor har även betydligt längre hållbarhet än disketter och hårddiskar och är avsevärt slitstark- are.
Det har visat sig vara mycket billigare och enklare att sprida stora informationsmängder lagrade på CD-ROM-skiva än på annat sätt. För det första är det enkelt och billigt att skriva in informationen på skivan. Skillnaden mot inskrivning på magnetskiva eller band är ofta betydande. Med hjälp av en slags bildinläsare, s.k. scanner, är det i dag möjligt att på ett snabbt och förhållandevis enkelt sätt läsa in stora textmassor på bl.a. optiska lagringsmedia. Detta gör att man lätt och billigt kan komma ut med skivor ofta, t.ex. en gång i veckan. Tillverk- ningskostnaden för en CD-ROM-skiva uppgår för närvarande till mellan 10 och 15 kr. För det andra är skivan liten och lätt och därför billig att distribuera. För det tredje krävs inga stora och dyrbara datorer för att läsa en CD-ROM-skiva. Den kan, som tidigare har nämnts, läsas via en särskild CD—ROM-spelare som kan anslutas till en persondator.
CD-ROM-tekniken har alltså givit persondatoranvändare en snabb och billig tillgång till mycket stora informationsmängder av alla slag. Mediet lämpar sig särskilt för stora informationsmängder av statisk karaktär som dessutom skall distribueras till många mottagare. Produktion av CD—ROM-skivor sker med hjälp av särskild teknik som kräver kunskap och utrustning. I Sverige finns det för närvarande två företag som tillverkar CD-ROM-skivor.
Utbudet av CD-ROM-skivor och CD-ROM-spelare har också ökat samtidigt som priserna på dessa har börjat sjunka på ett markant sätt.
Det fanns år 1985 endast några tusen CD-ROM-spelare i världen. År 1987 hade siffran stigit till omkring 100 000, huvudsakligen i USA. Enligt en beräkning var antalet sådana apparater i världen tre år senare ca en halv miljon. Antalet CD-ROM-spelare i Sverige uppskattas år
SOU 1993:10 41
1987 ha uppgått till ca 800. Enligt en bedömning uppgick antalet sådana spelare i landet är 1992 till närmare 30 000. Priset på CD- ROM-spelare har i stort sätt halverats på något år och det finns för närvarande CD-ROM-spelare på marknaden som kostar från 2 000 kr. Priset beräknas sjunka ytterligare. Det finns numera också såväl stationära som portabla CD-ROM-spelare på marknaden. Det är vidare möjligt att ansluta en CD-ROM—spelare till ett lokalt nätverk och därigenom göra den tillgänglig för flera användare.
CD-ROM-tekniken innebär att massdistribution av mycket stora datamängder kan ske. På CD-ROM-skivor finns i dag bl.a. manualer, instruktionsböcker, reservdelskataloger, företagsinformationsdatabaser, telefonkataloger, geografiska informationsdatabaser, uppslagsverk, juridisk och medicinsk information, biblioteksinforrnation samt ordböcker och lexika. Utgivningen av CD-ROM-titlar har fördubblats varje år sedan år 1987.
Samtidigt som utgivningen av CD-ROM—skivor för allmänt bruk ökar blir det också allt vanligare att företag tar fram egna skivor för internt bruk. Man bedömer allmänt att den stora marknaden för CD- ROM just ligger inom området specialframtagna skivor för användning inom företag, organisationer och myndigheter. Det kan t.ex. vara fråga om olika slags dokumentation, material för internutbildning och instruktionsprogram.
CD-ROM kan i framtiden även visa sig bli en mycket vanlig distributionsform för datorprogram. Redan i dag har vissa av de företag som saluför datorprogram börjat att distribuera samtliga sina program med dokumentation på CD-ROM-skiva. En enda sådan skiva kan rymma tusentals olika program. Oftast distribueras skivorna gratis. Programmen på CD-ROM-skivan är dock låsta med ett särskilt kodsystem. Om någon vill använda sig av något av datorprogrammen på skivan måste denne kontakta programvaruföretaget och av det få en särskild "nyckel" som gör det möjligt att använda det önskade programmet.
Ett nytt område inom vilket man synes ha börjat med lagring av in- formation på CD-ROM-skivor är datorstödd typografi. Det finns CD— ROM-skivor med bl.a. stilförråd och bildmaterial.
På den internationella marknaden finns ett relativt stort antal CD- ROM—skivor som var och en i vissa fall kan innehålla uppgifter om miljontals personer och företag.
Mer än 100 olika CD-ROM-skivor beräknas ha framställts i Sverige under 1992. Hur CD-ROM-tekniken hittills kommit att användas i Sverige kan belysas med följande exempel.
Den första svenska kommersiella CD-RC M-skivan, TERMDOK, utgavs av Walters Lexikon i samarbete med Tekniska nomenklatur- centralen för ca fyra år sedan och innehöll 25 000 tekniska termer med definitioner och 100 000 översättningar till bl.a. engelska, tyska och franska. En uppdatering av skivan skedde år 1989 och denna nya version innehåller 350 000 termer med begreppsförklaringar och översättningar.
Esselte Focus (17 band) gavs år 1989 ut på CD-ROM-skiva.
42 SOU l993:10
År 1990 utgavs en CD-ROM-skiva som innehåller 21 ordböcker på 12 olika språk med över 5 miljoner uppslagsord.
SAABs Flygdivision har tagit fram en CD-ROM-skiva som innehåller hela reservdelskatalogen för sitt civilflygplan SAAB 340. Avsikten är att flygplanets samtliga manualer (40 000 papperssidor av vilka 75 procent byts ut årligen) skall distribueras på en CD-ROM, som kommer att uppdateras fyra gånger om året.
Rikspolisstyrelsen har låtit framställa en CD-ROM-skiva som innehåller sådan information som anses utgöra stöd för beslutsfattande inom polisväsendet. På CD-ROM—skivan, benämnd Svenskt Polis- lexikon (SPL), finns bl.a. vissa lagar och förordningar som har betydelse för polisens arbete, Rikspolisstyrelsens råd och anvisningar, Riksåklagarens cirkulär och vissa av Riksdagens ombudsmäns och Justitiekanslerns beslut. Även visst katalogmaterial som t.ex. post- nummerkatalogen finns med. Avsikten är att skivan skall uppdateras en gång per kvartal. Projektet har inletts med att CD-ROM-läsare har placerats hos ett antal polisdistrikt och hos Rikspolisstyrelsen. Utanför polisväsendet har CD-ROM-läsare även placerats hos Riksdagens ombudsmän, Justitiekanslern och Riksåklagaren.
Bibliotekstjänst AB har sedan juli 1990 använt sig av CD-ROM- teknik för att sprida information ur sina centrala databaser till folkbiblioteken. Bibliotekstjänsts bibliografiska databas omfattar 1,2 miljoner titlar på böcker, tidningar, tidskrifter, skivor, kassettband och videoband. Varje år tillkommer ca 70 000 nya titlar. Bibliotekstjänst har delat in landet i tre regioner, Södra regionen, Östra regionen och Väst/ Norra regionen. För varje region produceras en CD-ROM-skiva, benämnd CD-KAT, som upptar alla titlar som finns på de anslutna biblioteken inom resp. region. Sökprogrammet i CD-ROM-utrust- ningarna är utformat så att en användare antingen kan återfinna samtliga boktitlar som finns på de anslutna biblioteken i den aktuella regionen eller endast dem som finns i bibliotekssystemet för den kommun i vilket det aktuella biblioteket är beläget. Det är även möjligt att därutöver begränsa sökrnöjligheten till att endast omfatta den biblioteksfilial där man just befinner sig. CD-KAT-skivan förnyas fem gånger per år och tillställs då de bibliotekslokaler som har CD-ROM- utrustning. Namn och adressuppgifter för de anslutna bibliotekens låntagare (närmare två miljoner personer) registreras av Biblioteks- tjänst på en särskild CD—ROM-skiva, CDL, med samma uppdaterings- frekvens som CD-KAT. Skivan innehåller uppgifter om låntagarnas namn, personnummer, adresser och låntagarnummer. På skivan finns även vissa biblioteksstatistiska uppgifter, vilka dock inte är anknutna till identifierbara låntagare. Uppgifter om lånade böcker finns enligt uppgift inte på skivan.
Upplysningscentralen (UC) har framställt en CD-ROM-skiva med information om hundratusentals företag. För vart och ett av dessa företag finns ett sjuttiotal olika uppgifter som daterar sig tre år tillbaka i tiden. Till den information som finns hör exempelvis omsättning och nyckeltal. Sökning kan ske på företagsnamn eller organisationsnamn. Det går också att söka på telefonnummer. Med hjälp av program som sänds med är det bl.a. möjligt att skriva ut etiketter.
SOU 1993: 10 43
Två företag, Scandinavian PC Systems AB och PCD-Consult AB, har på var sin CD—ROM-skiva gett ut det allmänna företagsregistret (BASUN), dvs. SCBs register över ca 390 000 svenska företag, organisationer och myndigheter i Sverige. Namn och adresser kan sökas på dessa skivor efter olika urvalskriterier och skrivas ut på bl.a. etiketter, listor och kort. Båda versionerna uppdateras regelbundet. Det som skiljer dem åt är Sökprogrammet.
Slutligen kan nämnas att den kompletta svenska telefonkatalogen inom kort troligen kommer att ges ut på en CD-ROM-skiva.
Ett annat optiskt datalagringsmedium utgör de s.k. WORM—skivorna (w_rite ane_l_(ead Many). Användaren kan skriva data endast en gång på varje fysisk plats på skivan. Det går alltså inte att radera eller ändra den information som en gång skrivits dit. Däremot går det att läsa den ett obegränsat antal gånger. WORM-skivan är därför väl lämpad för dokumentlagring och säkerhetskopiering som kräver stort lagrings- utrymme, säkerhet och kontinuerlig uppdatering. WORM-tekniken återfinns ofta i kontorsinformations- och arkivsystem hos många stora organisationer. Lagringskapaciteten motsvarar 10 000 - 500 000 sidor text beroende på WORM-skivans format.
Skatteförvaltningen i Stockholms län har på försök börjat att lagra deklarationsblanketter på WORM-skivor. Med hjälp av s.k. scanner läses deklarationsblanketterna in som elektroniska bilder på dessa skivor. Taxerings-tjänstemännen kan sedan via en terminal söka och granska valfritt ärende, sortera, bunta och markera ärenden för senare behandling. Utan att behöva använda sig av papper eller kopierings— maskin kan en deklarationsgranskare sköta skriftväxling med den skattskyldige, göra kommentarer och anteckningar under granskningen, "lägga undan" handlingar för senare bearbetning och skriva ut ärenden på skrivare eller telefax.
En tredje variant av optisk skiva är den raderbara (Rewriteable) skivan ibland benämnd WMRA (V_Vrite Many Read Always) eller WRM (write Read Many). Detta är en magneto-optisk (MO) skiva där magnetfältens förmåga att ändra laserljusets polariseringsriktning utnyt- tjas. På dessa skivor kan den information som en gång skrivits in tas bort och utrymmet utnyttjas för att skriva in ny information. Den kan närmast jämföras med ett ordinärt magnetiskt lagringsmedium såsom en hårddisk, dock med mångdubbel kapacitet.
En ny variant av optiskt lagringsmedium är s.k. optiska kort, Optical Cards. Detta är kort som inte är större än ett normalt kreditkort men som har ett minnesutrymme om två megabytes, motsvarande ett tusental A4-sidor med text. Kortet är främst avsett att användas som ID-kort, för manualer och inom utbildning. Optiska kort används på försök inom Västerbottens och Uppsala läns landsting där ett antal patienter får sina sjukjournaler inlagda på sådana kort.
Här skall också nämnas den senaste generationen av CD-skivor, CD-I (Compact Disc Interactive). CD-I är en teknik för att lagra digital video på en CD-skiva. CD-I kan, liksom CD-ROM, hantera både text, bild och ljud men dessutom rörliga bilder och film. CD-I- spelaren behöver dock inte anslutas till en dator utan kan även kopplas upp mot en vanlig TV eller förstärkare. CD-I lanseras främst för
44 SOU 1993: 10
hemmabruk med titlar inom musikvideos, spel, sport, turistinformation m.m. Den kan även användas inom utbildning, t.ex. inom industrin och skolan. På sikt kan CD-I-skivan därför kanske komma att bli en konkurrent till videokassetter.
Utvecklingsarbete pågår också beträffande den s.k. CD-ROM/XA- skivan.(XA står här för Extended Architecture.) Denna skiva är en utveckling av CD—ROM-skivan och utgör en brygga mellan CD-ROM och CD-I. CD-ROM/XA gör det möjligt att spela 17 timmar ljud mot 75 minuter som är det normala för en vanlig CD-ROM-skiva. På en CD-ROM/XA-skiva är det också möjligt att kombinera data, ljud, grafik och rörliga bilder. Den fortsatta utvecklingen av detta medium kommer därför att få stor betydelse för den s.k. multimediatekniken (se avsnitt 3.8).
Att lagra bilder på CD-ROM har hittills varit relativt dyrt och förbehållet professionella användare såsom tidningar, reklam- och fotobyråer. Under hösten 1992 introducerades emellertid ett nytt system, kallat Photo CD, i Sverige. Detta system, som är resultatet av ett samarbetsprojekt mellan Kodak och Philips, ger även den normale datoranvändaren en möjlighet att arbeta med fotografiska bilder på helt andra villkor än tidigare. Kostnaden är förhållandevis liten, kvaliteten hög och behovet av lagringsutrymme i datorn mindre än tidigare. Systemet är enkelt för användaren. Denne kan ta bilderna på samma sätt som tidigare, t.ex. med småbildskamera. Filmen lämnas på vanligt sätt till framkallning och kopiering, men man beställer även en Photo CD-skiva. Med hjälp av en s.k. filmscanner läses filmen in till elektroniska bilder på Photo CD-skivan. På varje sådan skiva ryms ca 100 bilder, dvs fyra 24-bilders eller tre 36-bildersrullar. Med CD- skivan följer en numrerad karta med de överförda bilderna i mini- format. Kostnaden för att få en rulle film överförd till en Photo CD— skiva uppgår f.n. till ca. 250 kr. I priset ingår då även framkallning och en uppsättning papperskopior. En Photo CD-skiva går att framställa från såväl diafilm som negativ film, färg eller svartvit. Med hjälp av en särskild CD-spelare kan sedan bilderna antingen visas på en vanlig TV eller överföras till en dator och visas på dess skärm. Den digitala bildinformationen går också att använda i en dator för vidare behandling, t.ex. för Desktop Publishing (se avsnitt 3.4.1). Priset för en sådan särskild CD-spelare för bilder uppgår f.n. till ca 3 500 kr.
3 . 8 Multimedia
Uttrycket multimedia började att användas redan på 1960—talet som beteckning för att man i reklamkampanjer använde sig av olika slags media (tidningar, radio och TV) för att föra ut sitt budskap. I dag har multimedia blivit ett samlingsnamn för ett antal olika tillämpningar som har det gemensamt att information av olika typer av media, t.ex. ljud, bild, film, text, grafik och data, hanteras av samma datorsystem och presenteras samlat. De system som i dag huvudsakligen används inom multimediaområdet är s.k. interaktiva videosystem, vilka bygger på en blandning av Videoteknik och datateknik.
SOU 1993: 10 45
Multimedia berör många olika ämnen och områden och kan användas för både konsumentbruk och företagsbruk. Exempel på an- vändningsområden är datorstödd presentation och utbildning. I främst USA men också i viss omfattning i Sverige används multimedia- tekniken av företag för att förmedla yrkeskunskaper till de anställda. Motiven är att en sådan utbildning är mera effektiv och flexibel än traditionell lärarledd utbildning. Utbildningskostnaderna blir också lägre. Med interaktiv video ersätts läraren av en dator och en videobandspelare. En sådan utbildning kan vara mycket pedagogiskt upplagd och ske utan annan medverkan än den anställdes. En in- struktionsröst vägleder eleven, medan olika bild— och textfunktioner blandas.
Andra användningsområden för multimedia är musik, underhållning, uppslagsverk, förlagsverksamhet, kataloger och olika slags tjänster. Exempel på sammanhang där multimedia redan kommit till användning är olika slags informationsanordningar på flygplatser, järnvägsstationer etc. I framtiden kan kunder med hjälp av multimedia genom sådana anordningar ges all information de önskar om en viss vara eller tjänst. Resebyråer kan komma att använda sig av multimedia och låta kunden se olika bilder och annan information om presumtiva resmål. Mäklare kan på sitt kontor visa detaljerade exteriör- och interiörbilder på olika husobjekt. Köpare av möbler kan t.ex. redan i affären "möblera" sitt hem med hjälp av multimedia. Offentliga myndigheter kan också använda sig av multimedia för att på ett billigt och lättförståeligt sätt lämna information till medborgarna. Så sker redan i dag i viss utsträckning i USA, t.ex. i delstaterna Kalifornien och Hawaii.
En särskild tillämpning av multimediatekniken är den som går under beteckningen hypermedia. Hypermedia används för att beteckna ett sätt att hantera stora mängder ostrukturerad information. Användaren får genom hypermedia ett godtyckligt antal vägar att välja på för att ta sig fram mellan text, bilder, ljud och video. Typiska användningsområden för hypermediasystem är datoriserade uppslagsverk, instruktionsböcker och tekniska handböcker etc.
3.9 Övrigt
3.9.1 Kontorsinformationssystem (KI)
Utmärkande för kontorsinformationssystem (KI) är att dessa i regel innehåller olika typer av funktioner som ordbehandling, elektronisk post (ibland i kombination med ett konferenssystem), s.k. skrivbords- funktioner (almanacka, dagbok o.d.), kalkyleringsmöjlighet, arkiv— hantering, kompletterande registerprogram, databashanterare och s.k. fria textsökningssystem m.m. I de flesta kontorsinformationssystem finns också möjligheter till gemensamma arkiv. Dessa består av ett fritextsökningssystem som kan kopplas samman med diarie— och ärendehanteringssystem och arkiveringssystem.
De olika funktionerna är integrerade i kontorsinformationssystemet, dvs. de fungerar tillsammans under en gemensam "meny" med en rad
46 SOU l993:10
"undermenyer". Detta innebär att man från vilken del av systemet som helst kan hämta information och återanvända eller bearbeta den. Så kan man t.ex. via ordbehandlingsfunktionen ta sig till kalkyleringsfunktion- en och där göra vissa bearbetningar, som man sedan kan lägga in i det dokument som man arbetar med i ordbehandlingsfunktionen.
3.9.2 Aktiva kort
Ett s.k. aktivt kort eller "Smart Card" är ett plastkort i kreditkorts- format i vilket en mikrodator har bakats in. Mikrodatorn strömförsörjs från och kommunicerar med yttervärlden via kontakter i kortets yta. Mikrodatorn innehåller en mikroprocessor, ett minne, s.k. ROM (Read iny Memory) med ett fast styrprogram, ett arbetsminne och ett användarminne. Både mikrodatorn och minnet är integrerat i en enda mikrokrets. Varje gång något skrivs i kortet bränns en eller flera bitar i minnet. Detta gör att man inte kan manipulera med redan skriven information. All åtkomst regleras av styrprogrammet. Informa- tionsbehandlingen sker i själva kortet genom att kortinnehavaren ger ett lösenord. Detta kan t.ex. vara en PIN—kod (_Personal Identification Number) eller i framtiden en kod baserad på ett fingeravtryck.
Aktiva kort kan användas som identifiering vid åtkomst till databaser, överföring av data genom kommunikation och som nyckel vid kryptering. Kortet kan också användas vid in- och utpasserings- kontroll. Vidare kan det utnyttjas som ett elektroniskt betalkort och då användas vid t.ex. transaktioner via Videotex, betalning av telefon- samtal eller banktransaktioner.
Aktiva kort kan också vara portabla databärare. De kan innehålla särskilt anpassad information och användas som exempelvis medicinska hälsokort, medlemskort, försäkringsbevis eller tentamensböcker.
3 .9. 3 Penndatorer
Den s.k. penndatorn har nyligen introducerats i Sverige. Användaren av en sådan penndator använder sig inte av ett tangentbord utan skriver med hjälp av en särskild penna informationen direkt på datorns glasskärm. Datorn har lärt sig att tolka den enskilde användarens handstil och omvandlar denna till digital information. Penndatorerna är inte utrustade med diskettstationer utan med ett s.k. flashminne som rymmer lika mycket information som en ordinär hårddisk. Flashminnet är ett kreditstort minneskort som kan användas både som internminne och hårddisk, och som kan flyttas mellan olika datorer. Penndatom, som väger mellan 1 och 1,5 kg, är avsedd att användas vid inmatning av information "på fältet", t.ex. av försäljare, olika slags operatörer, sjukvårdspersonal och lägerpersonal. I Sverige använder t.ex. Tele- verkets personal penndatorer vid installeringen av fiberoptiska telekablar. I några polisdistrikt i USA används penndatorer för rap- portskrivning. Vid rapportering av t.ex fortkörning fyller polismannen i personuppgiftema, varvid datorn via modem automatiskt kontrollerar att dessa personuppgifter är korrekta samt kompletterar med uppgifter
SOU 1993: 10 47
från körkorts- och bilregister. Polismannen undertecknar dokumentet och fortköraren bekräftar med sin signatur och erhåller ett kvitto.
3.10 Datorteknikens användning inom arbets- livsområdet
Allt mer avancerade datoriserade system har kommit att utvecklas för användning inom bl.a. näringsliv och förvaltning. Förutom admini- strativa redovisningssystem, planeringssystem och styrsystem för produktion, materialhantering och transporter har även, främst i USA och Japan, tagits fram tekniskt högtstående personaladministrativa system och lönesystem. På marknaden finns också ett antal system för in- och utpasseringskontroll och kassaterminalsystem som innefattar registreringsmöjligheter i sig.
I gruppen personaladministrativa system ingår sedvanliga löne— och personalregister för löne- och personalredovisning, ofta med ett särskilt tidredovisningssystem. Dessa personregister innehåller allmänna an- ställningsuppgifter, närvaro- och frånvaroregistrering, löneberäkning, redovisning för skattemyndigheter m.m.
De löne- och personaladministrativa registren kan bestå av ett sammanhängande register eller flera delregister som tillsammans bildar löne- eller personalregistret. Till detta enda register eller delregistren kan finnas, fristående eller knutna, system som ger möjlighet till registrering i fråga om in- och utpassering, färdskrivare, tidskontroll, rekrytering, kompetens och utbildning, hälsotester, behörighetskontroll och kassaarbete.
Flextid och i övrigt mer varierande arbetstider samt utökade möjligheter till ledighet ställer ofta krav på en mer ingående tidredo- visning och därmed också ökad användning av datoriserade system. Vissa arbetsgivare har därför infört ett gemensamt löne- och personal- administrativt ADB-system. Många har dessutom in- och utpasserings- system med direkt koppling till flextidssystem.
Registrering av in- och utpassering kan användas för kontroll av att den anställde är behörig att komma in på arbetsplatsen. Många av dessa system kan dock vara sammankopplade med andra system, t.ex. med system för tidredovisning och personalplanering. En viktig roll i sammanhanget spelar aktiva kort (se avsnitt 3.9.2). Nästan alla passersystem på marknaden är kopplade till ett passerkort eller en kodnyckel som registrerar (loggar) vissa eller alla händelser. Med dessa är det möjligt att registrera de anställdas förflyttningar inom samt passage in och ut från arbetsplatsen. Vissa moderna system tillåter också centralstyrning och sambearbetning av tidredovisnings- och säkerhetssystem. De flesta system på den svenska marknaden är av utländskt ursprung. Ett område som för närvarande är under snabb utveckling är identifierings- och verifieringstekniker. Som alternativ till det magnetiserade kortet finns numera system för identitetskontroll som baseras på röst, ögonbotten, fingeravtryck, handgeometri (finger— avstånd) eller namnteckning.
48 SOU 1993: 10
I ökande utsträckning använder företag och myndigheter system för behörighetskontroll i syfte att avgränsa den anställdes eller grupper av anställdas möjligheter att få tillgång till datasystemet och till in- formationen i det. Dessa kontrollfunktioner kan kombineras med loggfunktioner för att de ansvariga skall kunna följa hur systemet används. Varje datatransaktion (fråga, svar, inmatning, beräkning) som utförs av en anställd registreras i en logg med den anställdes identitet, transaktionskod och tidangivelse. Denna kontroll av de anställda syftar inte normalt till att kontrollera den anställdes arbetsprestation utan är till för att skydda datautrustning, program och data från t.ex. obehörigt utnyttjande. Identiteten på de anställda som utnyttjar systemet kan dock på detta sätt registreras och den loggade informationen kan användas för att i efterhand belysa hur den enskilde utnyttjat systemet, hur lång tid det tagit, vilken typ av information som har sökts fram, etc. Behörighetskontroll utgör emellertid också, rätt använd, ett skydd för de anställda mot misstankar om obehörig användning av datorsystem och information.
Inom såväl tillverkningsindustrin som tjänsteproduktionen sker en utveckling mot integrerade datoriserade produktionssystem. I sådana integrerade system kan ingå administrativa redovisningssystem, planeringssystem och styrsystem för produktion, materialhantering och transporter. Ett exempel är de mobila system för överföring av data, t.ex. mobitexsystemet (se avsnitt 3.5.3), som i ökad omfattning har kommit att användas inom transportsektorn. En lastbilschaufför som levererar varor styrs av de körorder, positionsanvisningar, text- meddelanden etc. som visas på en mobil terminal i lastbilen och följesedlar och fakturor produceras i takt med att leveranser sker i det totalintegrerade systemet. Denna typ av system återfinns dock framför allt i tillverkningsindustrin. De alltmer integrerade och flexibla systemen skapar möjligheter att frångå det mycket styrda arbetet, t.ex. vid löpande band, och gå över till ett mer grupporganiserat arbete. Denna utveckling kan emellertid innebära att, när den direkta styr— ningen av den enskilde arbetstagarens arbete minskar, krav ställs på en mer omfattande registrering för planering och uppföljning. Skillnaden mellan integrerade system och tidigare system är att företagsledning- arna med de nya systemen får snabbare information om produktions- förloppen, samt att informationen ger möjlighet till nedbrytning till minsta produktionsenhet, dvs. den enskilde arbetstagaren. Det finns idag tekniska förutsättningar som gör det möjligt att registrera stora mängder information om de olika delarna av arbetsprocessen och därmed också uppgifter om de enskilda arbetstagarna.
Datoriserade system kan totalintegreras mellan administration, planering, produktionsstyrning, materialhantering, transporter, in- och utpassering m.m. De olika delsystemen kan via datakommunikation nå motsvarande system hos t.ex. ett dotterföretag både inom Sverige och utomlands. Dessa tekniska förutsättningar ger stora möjligheter till registrering av uppgifter för individuell uppföljning och kontroll av de enskilda arbetstagarna. En beskrivning av konsekvenserna av införan- det av denna teknik på svenska arbetsplatser finns bl.a. i dataeffekt-
SOU 1993: 10 49
utredningens delbetänkande (SOU 1981:17) Industrins datorisering - effekter på sysselsättning och arbetsmiljö.
Under senare år har datoriserade system införts i dagligvaruhandeln där användningen av EAN—koder (European Article Numbering) gett förutsättningar för en maskinell registrering av priser i snabbköps- kassorna.(En närmare redogörelse för EAN-koderna återfinns i konkurrenskommitténs delbetänkande, SOU 1990: 106, Prisinformation till konsumenter s. 60 ff). Med hjälp av dessa system sker registrering av köp och insamling av information rörande bl.a. försäljning och lager. I ett butiksdatasystem kan registreras uppgifter om försäljningen per dag och totalt under vald tidsperiod samt per kassör och data- terminal. De integritetsproblem som kan förekomma i dessa system är att prestationsmätning - av företrädesvis kassapersonal — är möjlig trots att detta inte varit huvudmålsättningen vid införandet. Information kan erhållas om antalet gjorda rättelser, tid för varu-registrering, tid för betalning och väntetid.
Datortekniken kan också användas i ordermottagningen och försäljningen i företag, t.ex. vid telefonförsäljning där försäljaren per telefon tar emot och registrerar kundernas order. Tekniken medger att inkommande telefonsamtal kan dirigeras till lediga försäljare via en specialutrustad datorstyrd telefonväxel. I växeln kan registreras hur många telefonsamtal som tagits emot, vilken försäljare som tog emot det, hur länge samtalet pågått, hur länge ordermottagaren varit påkopplad, samt hur många samtal som stått och väntat. Vidare registreras antalet order, typ av order, krediteringar, byten osv. Det finns även möjligheter att avlyssna pågående telefonsamtal, t.ex. för att kunna bedöma hur en försäljning genomförts.
Nya kommunikationstekniker ger större möjligheter att övervaka såväl när och till vem man ringer som innehållet i telefonsamtal. Moderna telefonväxlar ger möjlighet till registrering av de anställdas telefonsamtal med notering om den uppringande. Införandet av ISDN- tekniken (se avsnitt 3.5.1) har bl.a. medfört ökade möjligheter att registrera uppgifter om utgående och ingående samtal. Det finns även möjlighet att koppla samman en telefonväxel med program för produktionsplanering, passagekontroll etc. Såväl utrustning som programvara för telefonsamtalsmätning (tidsmätning, destination, samtalskostnad) är ett snabbt växande område inom telekommunika- tionsindustrin.
3.11 Avslutning
Av den lämnade redovisningen av datorteknikens utveckling framgår att det sker en allt ökande integration av funktioner och system. En följd av detta är att det inte längre är lätt att avgöra olika dator- programs möjligheter, t.ex. kan man i dag med ett datorprogram för ord- och textbehandling även utföra bl.a. kalkyleringar, admini- strationsfunktioner, datakommunikation och registerhantering. Ett annat exempel på hur funktionerna alltmer integreras är de s.k. kontorsinformationssystemen. Den information som lagras blir alltmer
50 SOU 1993: 10
olikartad och kan bestå av både ord, text, bild och ljud. Jfr den ovan nämnda multimediatekniken. Det blir vidare allt svårare att skilja själva datorn och datorprogrammens olika funktioner från varandra. Även gränsdragningen mellan vad som är programvara och vilken information som är lagrad på datamedier blir allt svårare att göra. Det pågår inte bara en integration av de olika funktionerna i ett dator- system utan även av de olika datorsystemen. Som exempel kan nämnas att det inom såväl tillverkningsindustrin som tjänsteproduktionen sker en utveckling mot integrerade datoriserade produktionssystem. I sådana integrerade system kan ingå administrativa personaladministrativa system, registrering av in- och utpassering, behörighetskontroll, administrativa redovisningssystcm, planeringssystem samt styrsystem för produktion, materialhantering och transporter.
SOU l993:10 51
4 Den internationella utvecklingen på dataskyddsområdet
4.1 Inledning
Den svenska datalagen från år 1973 var den första lag med nationell räckvidd som behandlade integritetsskyddet vid automatisk databehand- ling. Sedan dess har utvecklingen inom informationsteknologin medfört en alltmer ökande datoranvändning i samhället. Flera länder har antagit lagstiftning inom dataskyddsområdet. Det gäller exempelvis Belgien, Danmark, Finland, Frankrike, Guernsey, Irland, Island, Isle of Man, Japan, Jersey, Kanada, Luxemburg, Nederländerna, Norge, Portugal, Schweiz, Spanien, Storbritannien, Tyskland, USA, och Österrike. Datoriseringen har medfört krav på att informationsflödet över nationsgränserna underlättas. En av förutsättningarna för att in- formationsutbytet över gränserna skall kunna fungera på ett till- fredsställande sätt är, att det i mottagarlandet finns regler som ger ett skydd mot obehörig spridning av överförda uppgifter. Detta har i sin tur resulterat i internationella överenskommelser och rekommendatio- ner inom dataskyddsområdet.
I utredningens direktiv anförs att det är viktigt att överväga hur den svenska datalagen förhåller sig till andra jämförbara länders motsvaran- de lagstiftning, särskilt de nordiska grannländerna och länderna inom EG. Vidare framhålls nödvändigheten av att Sverige uppfyller sina internationella åtaganden på detta område.
I det följande kommer att redogöras för Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (avsnitt 4.2), några av Europarådets rekommendationer inom data- skyddsområdet (avsnitt 4.3), OECD:s riktlinjer i fråga om integritets- skyddet och persondataflödet över gränserna (avsnitt 4.4) samt EG- kommissionens förslag till direktiv (avsnitt 4.5). Därefter följer en kortfattad beskrivning av EG—rätten och EES—avtalet (avsnitt 4.6).
I bilaga 4 finns en redovisning av utländsk rätt.
52 SOU l993:10
4.2 Europarådets konvention
Europarådets ministerkommitté antog år 1980 en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, den s.k. dataskyddskonventionen. Till konventionen har fogats en förklarande rapport av den expertgrupp inom Europarådet som utarbetat konventionstexten. Konventionen i dess helhet finns intagen i bilaga 3.
Konventionen trädde i kraft den 1 oktober 1985, då kravet var uppfyllt att fem medlemsländer tillträtt konventionen. Den har hittills ratificerats av Danmark, Finland, Frankrike, Irland, Island, Luxem- burg, Norge, Spanien, Storbritannien, Sverige, Tyskland och Österri- ke. Anslutning övervägs för närvarande av bland annat Nederländerna och Portugal.
Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Enligt expertgruppens förklarande rapport är utgångspunkten att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överenskommelser om mänskliga rättigheter.
Konventionens tillämpningsområde är enligt huvudregeln auto- matiserade personregister och automatisk databehandling av personupp- gifter i allmän och enskild verksamhet (artikel 3). Varje konventions- stat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Därutöver finns viss möjlighet till undantag från några enskilda bestämmelser (artikel 9). Reservationer mot bestämmelserna i övrigt får inte göras (artikel 25). Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i konventionen (artikel 11).
Konventionen har fem kapitel. Den centrala delen är kapitel 11 (artiklarna 4 —11) som innehåller de grundläggande principerna för dataskydd. Varje konventionspart skall vidta de åtgärder som behövs för att dess nationella lagstiftning skall innehålla dessa grundläggande principer. Åtgärderna skall vara vidtagna senast vid den tidpunkt då konventionen träder i kraft för parten (artikel 4). Dessa grundläggande principer skall garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehandling av personuppgifter. Detta skall göra det möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna.
Kapitel 11 innehåller krav på beskaffenheten av de personuppgifter som undergår automatisk databehandling (artikel 5). Dessa krav
SOU l993:10 53
innebär bl.a. att uppgifterna skall inhämtas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten för- störelse m.m. (artikel 7). Vissa ytterligare skyddsåtgärder för registrerade personer föreskrivs (artikel 8). Vidare föreskrivs bl.a. att alla som är registrerade i ett personregister skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade.
Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas beskaffenhet och dylikt (artikel 9). För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet eller dylikt eller för att skydda den registrerade eller andra personers fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa fall inskränkas i fråga om personregister för statistikändamål eller vetenskapliga forskningsändamål. Den nationella lagen skall också innehålla lämpliga sanktioner och rättsmedel (artikel 10).
Kapitel III, som rör dataflödet över gränserna, syftar till att förena kraven på fritt informationsflöde och dataskydd. Det är enligt expertgruppen viktigt att man ser bestämmelserna i kapitel III i samband med de grundläggande principerna i kapitel 11, som garante- rar att databehandlingen av personuppgifter i alla berörda länder är föremål för samma grundläggande reglering. Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personupp- gifter över gränserna (artikel 12). Bestämmelserna gäller, oavsett vilket medium som används, vid överföring över nationsgränser av person— uppgifter som undergår eller skall undergå automatisk databehandling eller som samlas in för det ändamålet. Huvudregeln är att överföring mellan konventionsstater skall vara fri. Det är inte tillåtet att ställa upp vare sig förbud eller krav på särskilt medgivande uteslutande i syfte att skydda den personliga integriteten.
I två fall är det emellertid tillåtet att göra undantag från huvud- regeln. Den ena grunden för undantag är att avsändarlandets lagstift- ning innehåller särskilda bestämmelser för vissa kategorier av personuppgifter men mottagarlandets lagstiftning inte ger ett likvärdigt skydd. Den andra grunden är att det egentliga mottagarlandet står utanför konventionen men överföringen dit sker via en konventionsstat. I ett sådant fall är det möjligt för avsändarlandet att, för att undvika att dess lagstiftning kringgås, exempelvis kräva särskilt tillstånd för överföringen.
Kapitel IV och V reglerar formerna för samarbetet mellan kon- ventionsstaterna. Konventionen har konstruerats på ett sätt som gjort det möjligt att begränsa innehållet till de grundläggande principerna
54 SOU 1993: 10
och för övrigt lita till samarbete mellan konventionsstaterna, bl.a. inom ramen för en rådgivande kommitté, när det gäller att införa och harmonisera dessa principer i de olika staternas lagstiftning.
I kapitel IV finns bestämmelser om att varje konventionsstat skall utse en eller flera myndigheter för samarbetet mellan parterna och även ange varje myndighets behörighet (artikel 13). De myndigheter som utses i de olika länderna skall tillhandahålla upplysningar om lagstift- ning och administrativt förfarande på dataskyddsområdet m.m. Vidare behandlas frågor om bistånd till registrerade personer som är bosatta utomlands (artikel 14). Den myndighet som utses i ett visst land skall hjälpa personer i utlandet med att utöva sina rättigheter till insyn och rättelse m.m. Sådant bistånd skall lämnas oavsett om den som begår hjälp är bosatt i en annan konventionsstat eller i ett land som står utanför konventionen.
I kapitel V finns bestämmelser om den rådgivande kommittén, dess sammansättning och uppgifter m.m. (artikel 18 och 19).
4.3 Europarådets rekommendationer
Inom Europarådet har utarbetats ett flertal rekommendationer inom dataskyddsområdet. Av särskilt intresse i detta sammanhang är rekommendationen om skydd för personuppgifter som används för anställningsändamål, Recommendation No. R (89) 2, rekommen- dationen om skydd för personuppgifter som används för forskning och statistik, Recommendation No. R (83) 10 samt rekommendationen om skydd för personuppgifter som används för direktreklamändamål, Recommendation No. R (85, 20). En närmare redogörelse för in- nehållet i dessa rekommendationer lämnas under avsnitt 4.3.1, 4.3.2 och 4.3.3. Andra rekommendationer inom dataskyddsområdet som tagits fram är rekommendationer beträffande medicinska databanker (Recommendation No. R, 81, 1), rättsdata (Recommendation No. R, 83, 3), socialförsäkringsregister (Recommendation No. R, 86, l), polisregister (Recommendation No. R, 87, 15) och kommunikation till tredje man av personuppgifter som innehas av offentliga organ (Recommendation No. R, 91, 10).
En antagen rekommendation är till skillnad från en konvention inte bindande, men genom att anta rekommendationerna utan reservationer anses medlemsländerna i princip ha åtagit sig att följa dem och att, om så behövs, anpassa sin nationella lagstiftning till dessa regler.
SOU 1993: 10 55
4.3.1 Rekommendationen om skydd för personuppgifter som används för anställningsändamål
Rekommendationen antogs av Europarådet år 1989. Sverige har utan reservation ställt sig bakom rekommendationen. Rekommendationen finns intagen i bilaga 3.
De i rekommendationen angivna principerna är tillämpliga på insamling och användning av personuppgifter för anställningsändamål både inom den allmänna och enskilda sektorn samt avser uppgifter som förs med hjälp av ADB. De länder som önskar får enligt rekommenda- tionen tillämpa den även på manuellt förda register.
Rekommendationen omfattar inte konfidentiell information som insamlas eller används av arbetsgivare för anställningsändamål i fråga om personal med arbetsuppgifter som har nära anknytning till allmän säkerhet och statens säkerhet samt brottsbekämpning, i den utsträck- ning detta är nödvändigt för att tillgodose de angivna intressena.
Begreppet anställningsändamål i rekommendationen avser för- hållanden mellan arbetsgivare och arbetstagare som är hänförliga till rekryteringen av arbetstagare, fullföljandet av anställningskontraktet, ledningen av verksamheten, omfattande också fullgörandet av skyldigheter enligt lag eller kollektivavtal, samt planeringen och organisationen av arbetet.
Om inte annat följer av inhemsk lag, gäller rekommendationen i tillämpliga delar även arbetsförmedlingar.
Enligt rekommendationen skall respekten för den personliga in- tegriteten och den mänskliga värdigheten skyddas vid insamlingen och användningen av personuppgifter för anställningsändamål.
Innan en arbetsgivare installerar eller förändrar automatiska system för att samla in och använda personuppgifter om anställda skall han till fullo informera eller konsultera de anställda eller deras företrädare. Om konsultationsförfarandet leder till slutsatsen att den personliga in- tegriteten och mänskliga värdigheten kan påverkas, skall arbetsgivaren eftersträva och - om möjligt - vinna de anställdas samtycke, om inte inhemsk lag eller praxis ger annat lämpligt skydd. Detsamma gäller om arbetsgivaren introducerar eller förändrar tekniska metoder för att övervaka anställdas förehavanden eller prestationer.
I princip bör personuppgifterna inhämtas från den enskilde själv. Den enskilde skall informeras när det kan vara lämpligt att konsultera uppgiftskällor utanför anställningsförhållandet. Som exempel på när ett sådant uppgiftsinhämtande kan anses lämpligt nämns i kommentaren att arbetsgivaren behöver kontrollera riktigheten av uppgifter som en anställd lämnat i ett befordringsärende eller om han lämnat över ett vilseledande krav på täckning av utgifter. Uppgifter som samlas in för anställningsändamål skall vara relevanta och får inte vara överdrivet omfattande. Anställningens art måste beaktas liksom också att det
56 SOU 1993: 10
ibland kan vara nödvändigt för arbetsgivaren att erhålla fler uppgifter än normalt. Vid anställningsförfaranden får endast inhämtas sådana uppgifter som är nödvändiga för att bedöma den arbetssökandes lämplighet och karriärmöjligheter. Härvid får endast uppgifter inhämtas från den enskilde. Om inte annat sägs i lag, får andra källor endast användas med hans samtycke eller om han i förväg blivit in- formerad om denna möjlighet. Att använda tester, analyser och liknande förfarande i syfte att bedöma en enskilds karaktär eller personlighet får ske endast med hans medgivande eller om det i lag föreskrivs annat godtagbart skydd. Om den enskilde önskar det skall han informeras om resultaten av testerna.
Uppgifter om den anställde får endast lagras om de har samlats in enligt principerna i rekommendationen och är avsedda att användas för anställningsändamål. Lagrade uppgifter skall vara riktiga och, där det är nödvändigt, hållas aktuella. De skall på ett korrekt sätt spegla den anställdes situation. De skall inte lagras eller vara kodade på ett sådant sätt att den anställdes rättigheter kränks genom att han, utan att känna till det, karaktäriseras eller profileras. Lagras omdömen om anställdas prestationer och potentiella möjligheter på arbetsplatsen skall upp- gifterna grundas på en rättvis och hederlig bedömning och får inte vara formulerade på ett förolämpande sätt.
Personuppgifter som samlats in för anställningsändamål får endast användas av arbetsgivaren för sådana ändamål. Då uppgifter skall användas för anställningsändamål av annat slag än det för vilket de ursprungligen samlades in och då sambearbetning av personregister sker, skall tillfredsställande åtgärder vidtas för att undvika feltolkning av uppgifterna i det annorlunda sammanhanget och för att säkerställa att de inte används på ett sätt som är oförenligt med det ursprungliga ändamålet. När viktiga beslut som rör den anställde skall fattas på grundval av sådana uppgifter, skall han informeras om detta.
I enlighet med inhemsk lagstiftning och praxis eller villkoren i kollektivavtal får personuppgifter lämnas ut till de anställdas före- trädare, i den mån sådana uppgifter är nödvändiga för att dessa skall kunna ta tillvara de anställdas intressen.
Personuppgifter får utlämnas till myndigheter för att de skall kunna fullgöra sin myndighetsutövning endast inom ramen för arbetsgivares skyldigheter enligt lag. I annat fall får uppgifter endast utlämnas om det är nödvändigt för anställningsändamål som inte är oförenliga med de ändamål för vilka uppgifterna ursprungligen samlats in och de anställda eller deras företrädare informerats om det eller, när det inte är fråga om ett utlämnande för anställningsändamål, om det föreligger ett uttryckligt och informerat samtycke från den anställde eller om det finns stöd i lag.
Uppgifter om någons ras, politiska uppfattning, religiösa tro eller övertygelse i övrigt, sexualliv eller brott får endast samlas in och lagras i särskilda fall inom ramen för den inhemska lagstiftningen och
SOU 1993: 10 57
i enlighet med ett tillfredsställande skydd som lagstiftningen före- skriver. Saknas sådant skydd får sådana uppgifter endast samlas in och lagras med uttryckligt och informerat samtycke från den anställde.
En anställd eller arbetssökande får endast tillfrågas om sitt hälsotill- stånd och läkarundersökas för att man skall kunna bedöma vederböran- des lämplighet för hans nuvarande eller framtida arbete, fullgöra kraven på en preventiv hälsovård eller bevilja sociala förmåner.
Medicinska uppgifter får inte samlas in från andra källor än från den anställde själv utan hans uttryckliga och informerade samtycke eller med stöd av lag. Medicinska uppgifter som är föremål för sekretess får endast lagras av personal som är bunden av sekretessen. Informationen får kommuniceras med andra medlemmar av den administrativa personalen endast om det är absolut nödvändigt för beslutsfattande och om det sker i enlighet med lag. Medicinska uppgifter som är föremål för sekretess skall förvaras åtskilda från andra kategorier av person- uppgifter och säkerhetsåtgärder skall vidtas för att förhindra att utomstående får del av uppgifterna. - De nu nämnda bestämmelserna avser fall där ett företag eller en organisation har egen medicinsk personal.
Den enskildes rätt att få tillgång till sina egna hälsouppgifter får inte inskränkas såvida det inte skulle kunna leda till allvarlig skada för den enskilde. I det senare fallet kan uppgifterna lämnas ut genom en av den anställde utsedd läkare.
Information om de personuppgifter som innehas av en arbetsgivare skall vara tillgänglig antingen för den enskilde direkt eller genom förmedling av hans företrädare eller på annat lämpligt sätt. Informatio- nen skall specificera huvudändamålen för uppgiftslagringen, vilka slags uppgifter som lagras och till vilka kategorier av personer eller myndigheter som uppgifterna regelmässigt lämnas ut samt ändamålen och det lagliga stödet för ett sådant utlämnande. Informationen skall också hänvisa till de rättigheter som en anställd har i fråga om de uppgifter som rör honom och de olika möjligheter som finns att utöva rättigheterna.
Varje anställd skall på begäran få tillgång till alla personuppgifter som arbetsgivaren innehar om honom och få uppgifter rättade eller utplånade om de innehas i strid med innehållet i rekommendationen. När det gäller uppgifter som innehåller omdömen har varje anställd rätt att i enlighet med inhemsk lag bestrida dessa. Utom i fall när inhemsk lagstiftning innehåller bestämmelser om motsatsen skall en anställd ha rätt att utse en person för att biträda honom att utöva rätten att få tillgång till uppgifterna eller att utöva denna rätt på hans vägnar. Om den anställdes tillgång till uppgifter vägras eller om en begäran att få rättelse eller få uppgifterna strukna nekas, skall den inhemska lagstiftningen tillhandahålla en möjlighet att få rättelse.
Arbetsgivaren eller av denne anlitade servicebyråer skall vidta tillräckliga tekniska och organisatoriska åtgärder för att säkerställa
58 SOU 1993: 10
skyddet och sekretessen av personuppgifter lagrade för anställnings- ändamål mot obehörig åtkomst, användning, utlämnande eller ändring. Den administrativa personalen liksom andra som har med uppgifterna att göra skall hållas informerade om sådana åtgärder och om behovet att respektera dem.
Personuppgiftema skall inte bevaras längre av arbetsgivaren än som behövs för ändamålet med registret eller som krävs för att tillvarata den anställdes intressen. Personuppgifter som lämnas i samband med en anställningsansökan skall normalt förstöras så snart det står klart att ett erbjudande om arbete inte kommer att lämnas. Uppgifter som lagrats för att användas vid en eventuell ny ansökan skall förstöras om den arbetssökande begär det.
4.3.2 Rekommendationen om skydd för personuppgifter som används för forskning eller för statistik
Rekommendationen antogs av Europarådet år 1983. Sverige har utan reservation godtagit rekommendationen. Rekommendationen finns intagen i bilaga 3.
Syftet med rekommendationen är enligt uttalanden i dess inledning att tillgodose såväl forskningens behov som skyddet för den enskildes integritet.
Rekommendationen är tillämplig på användningen av personupp- gifter för vetenskaplig forskning och statistik, såväl inom den allmänna som inom den enskilda sektorn och oberoende av om uppgifterna förs med hjälp av ADB eller manuellt. Medlemsstaterna har möjlighet att tillämpa rekommendationen på föreningar, bolag och andra samman— slutningar som direkt eller indirekt består av individer.
Enligt rekommendationen skall respekten för den personliga in- tegriteten garanteras i varje forskningsprojekt som använder person- uppgifter. Så ofta det är möjligt skall undersökningarna utföras med anonyma uppgifter.
Varje person som lämnar uppgifter som sig själv skall informeras om projektets natur, dess mål och namnet på den person eller den organisation för vars räkning forskningen genomförs. Om den person från vilken uppgifter skall inhämtas inte är skyldig att lämna uppgifter, skall han informeras om att han har frihet att välja om han vill samarbeta. Skyldigheten att medverka kan följa av lag eller avtal. Han har också rätt att när som helst avbryta sin medverkan utan att ange något skäl. Om inte, på grund av syftet med forskningen, information om projektets natur m.m. kan avslöjas innan uppgifterna samlas in skall personen informeras efter det att insamlingen är färdig och vara fri att fortsätta eller avbryta sin medverkan. Om han då vill avbryta sin medverkan skall han ha rätt att få uppgifterna strukna ur registret. Särskilda säkerhetsåtgärder skall vidtas i samband med insamling av
SOU 1993: 10 59
uppgifter från personer som inte har möjlighet att ta till vara sina egna intressen eller som inte har möjlighet att fritt lämna sitt samtycke.
Personuppgifter som erhållits för forskning får inte användas för något annat ändamål än forskning. I synnerhet får de inte användas för beslutsfattande som direkt påverkar personen ifråga, såvida det inte ligger inom ramen för forskningen eller sker med den berörda perso- nens uttryckliga samtycke.
Personuppgifter som med den enskildes samtycke samlats in för ett särskilt forskningsprojekt får inte utan den enskildes samtycke användas i samband med något annat forskningsprojekt som till sin natur eller syfte på ett väsentligt sätt skiljer sig från det första projektet. I de fall det skulle vara ohanterligt att inhämta sådant samtycke på grund av tidsåtgången eller på grund av det stora antal personer som berörs kan emellertid de insamlade personuppgifterna få användas, under förutsättning att det sker i överensstämmelse med andra skyddsbestämmelser som uppställs i inhemsk lag.
Både allmänna och privata organ skall ha rätt att för egen forskning använda personuppgifter som de innehar för administrativa ändamål. Om personuppgifter i samband med sådan forskning förs in i befintliga register hos det administrativa organet eller om befintliga register ändras, får dessa register inte göras tillgängliga för administrativ personal som sysslar med individuella fall, såvitt det inte sker med den enskildes samtycke.
Personuppgifter får lämnas ut av allmänna eller privata organ för forskningsändamål om det sker med den enskildes samtycke eller om det sker i enlighet med andra i inhemsk lag angivna skyddsbestämmel— ser.
Forskares tillgång till allmänna befolkningsregister skall underlättas, så att de kan få underlag för urvalsundersökningar. Om annat inte beslutas av inhemska myndigheter i enskilda fall, bör sådana uppgifter få innehålla namn, adress, födelsedatum, kön och yrke. I förarbetena till denna bestämmelse anförs bl.a. att forskningen i ökad utsträckning är beroende av uppgifter som redan finns hos olika statliga institutioner och att bestämmelsen tillkommit för att inte forskningen ensidigt skall vara beroende av dessa institutioners skönsmässiga bedömning i fråga om utlämnande av uppgifter. I anslutning härtill görs också hänvisning till den lagstiftning om tillgång till allmänna handlingar ("laws of freedom of information") som finns i många länder. Det understryks att de personuppgifter som nämns är den minimi-information som under alla förhållanden måste göras tillgänglig och att det undantag som kan vara föreskrivet i inhemsk lag kan ta sikte på sådana grupper av uppgifter som t.ex. adress- och yrkesuppgifter, om det är av särskild vikt för den enskilde att dessa uppgifter inte lämnas ut.
Den enskildes rätt att ta del av uppgifter om sig själv och få dessa rättade får lov att begränsas i de fall uppgifterna är insamlade och bevaras endast för statistik- eller forskningsändamål och resultatet av
60 SOU 1993:10
statistiken eller forskningen inte utan svårighet identifierar individen och det vidtagits tillfredsställande åtgärder för att säkerställa skyddet för den enskildes privatliv vid varje stadium av undersökningen, även beträffande uppgifter som bevaras för framtida användning. Bestäm- melsen gäller emellertid inte i de fall den enskilde på grund av forskningens beskaffenhet kan visa sig ha ett särskilt intresse som förtjänar att skyddas.
Personuppgifter som används för forskning får inte publiceras i identifierbar form, såvida inte de berörda lämnat sitt samtycke och det sker i enlighet med särskilda skyddsbestämmelser i inhemsk lag.
I varje forskningsprojekt skall det anges, så långt det är möjligt, om personuppgifter skall förstöras, avidentifieras eller bevaras när projektet är avslutat och i det senare fallet under vilka villkor som uppgifterna skall bevaras. När den berördes samtycke att delta i ett forskningsprojekt behövs, skall samtycket också omfatta möjligheten av att uppgifterna bevaras efter projektets avslutande. Om det inte varit möjligt att infordra samtycke för att bevara uppgifterna, får dessa bevaras under det villkoret att lagringen görs i enlighet med skyddsbe- stämmelser som fastställts i lag.
Innan beslut fattas om att förstöra personuppgifter som förs av offentliga myndigheter, skall den möjliga framtida användningen av sådan data undersökas i samråd med arkivmyndigheterna.
4.3.3 Rekommendationen om skydd för personuppgifter som används för direktreklamändamål
Rekommendationen antogs av Europarådet år 1985. Sverige har utan reservation ställt sig bakom rekommendationen. Rekommendationen finns intagen i bilaga 3.
Enligt uttalanden i inledningen till rekommendation finns det, med tanke på den ökande användningen av personuppgifter vid behandling för direktreklamändamål, ett behov av att skydda enskildas personliga integritet.
Rekommendationen är tillämplig på användningen av personuppgif- ter för direktreklamändamål om uppgifterna är föremål för automatisk databehandling. Direktreklam (direct marketing) definieras som alla aktiviteter som gör det möjligt att erbjuda varor eller tjänster eller att förmedla ett budskap till en del av befolkningen. Detta kan ske genom postbefordran, per telefon eller på andra direkta sätt som siktar till att informera eller försöka utverka ett svar från den enskilde.
Den som sammanställer en lista med namn och adresser för direktre- klamändamål är enligt rekommendationen oförhindrad att använda uppgifter som härrör från tidigare kontakter med en aktuell eller presumtiv kund eller bidragsgivare.
SOU l993:10 61
Under förutsättning att det i nationell lag inte finns något som begränsar detta, skall det vara möjligt för var och en att insamla uppgifter för direktreklamändamål från offentliga register och annat publicerat material. Däremot får insamling av personuppgifter från andra enskilda personer som sker i syfte att utvidga marknadsförings— listor företas endast om det görs i enlighet med sådana lämpliga säkerhetsåtgärder som syftar till att skydda den enskildes personliga integritet. Nationell lag får förbjuda eller uppställa särskilda villkor för sådan insamling.
Insamling av uppgifter från enskilda som sker i annat sammanhang än normalt kund- eller bidragsgivareförhållande är tillåtet för direktre— klamändamål endast under förutsättning att detta uttryckligen har meddelats vid tidpunkten för insamlandet av uppgifterna. Insamling av uppgifter från enskilda genom vilseledande åtgärder är inte tillåten.
I de fall nationell lag tillåter detta, får det slag av känsliga uppgifter som anges i artikel 6 i Europarådets dataskyddskonvention (jfr avsnitt 4.2) insamlas och användas för direktreklamändamål. En förutsättning är dock att det sker i enlighet med relevanta skyddsbestämmelser som finns i nationell lag och, där det är lämpligt, med den enskildes uttryckliga samtycke.
Med de restriktioner som gäller vid behandling av vissa känsliga uppgifter får marknadsföringslistor göras tillgängliga för tredje man för direktreklamändamål. Den enskilde måste ha informerats om möjlig- heten att uppgifterna kan komma att lämnas ut. Sådan information kan ha lämnats antingen direkt eller på något annat lämpligt sätt vid tidpunkten för insamlandet av uppgifterna eller vid något senare tillfälle. Om den enskilde har motsatt sig ett utlämnande får upp- gifterna inte lämnas ut. Uppgifter som kan skada den enskildes personliga integritet får inte lämnas ut om inte den enskilde har lämnat sitt samtycke till utlämnandet.
När marknadsföringslistor lämnas ut till någon tredje man för direkt- reklamändamål skall ett avtal slutas som reglerar de villkor som skall gälla för den fortsatta behandlingen av uppgifterna. Den persondataan- svarige som lämnar ut marknadsföringslistorna skall föra en för- teckning över dem som använder listorna.
Rekommendationen ger den enskilde rätt att - vägra låta uppgifter som rör honom ingå i marknadsföringslistor, — vägra att uppgifter som finns med på marknadsföringslistor lämnas ut till tredje man, — ovillkorligen och på begäran få sådana uppgifter utplånade eller avlägsnade från flera eller alla de marknadsföringslistor som innehas av användarna, - ta del av och få rättat uppgifter som hänför sig till honom.
62 SOU l993:10
Lämpliga åtgärder skall vidtas för att göra det möjligt för den enskilde att utöva de nyss nämnda rättigheterna och kunna ta reda på vem som är persondataansvarig.
De varor och tjänster som erbjuds och de meddelanden som vidarebefordras skall presenteras i sådan form att det inte skadar adressatens personliga integritet.
Alla lämpliga tekniska och organisatoriska arrangemang skall vidtas för att garantera säkerheten vid behandlingen av uppgifterna. V 1 d implementeringen av rekommendationen skall, enligt den avslutande artikeln, utvecklandet av självregleringen inom marknadsföringssektorn uppmuntras. Lämpliga åtgärder skall vidtas för att tillse att försäljare av marknadsföringslistor och andra adresservice-organ följer villkoren i rekommendationen. Lämplig information om de skyddsregler som finns i rekommendationen skall också göras tillgänglig för de enskilda.
4.4 OECD:s rekommendation och riktlinjer m.m.
Inom Organisationen för ekonomiskt samarbete och utveckling, OECD, har en expertgrupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna, Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data. Riktlinjerna antogs år 1980 av OECD:s råd tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland Sverige, har godtagit rekommendationen och därmed åtagit sig att följa denna. Ytterligare åtgärder som t.ex. ratifikation av med— lemsländerna krävs inte varför riktlinjerna har trätt i kraft. Någon preciserad tidpunkt för när kraven enligt riktlinjerna skall vara genomförda finns inte. Riktlinjerna och rekommendationen finns intagna i bilaga 3.
Enligt rekommendationen skall medlemsländerna i sin nationella lagstiftning beakta de principer om personlig integritet och individens grundläggande rättigheter som har presenterats i de riktlinjer som fogats till rekommendationen. Medlemsländerna skall vidare försöka undanröja opåkallade hinder för internationell datakommunikation som gäller personuppgifter och undvika att nya sådana skapas under förevändning av behov av skydd för personlig integritet. Samarbete skall bedrivas vid verkställigheten av riktlinjerna och så snart som möjligt skall länderna avtala om särskilda procedurer för överlägg— ningar och samarbete som gäller tillämpningen av riktlinjerna.
Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas
SOU 1993: 10 63
natur eller på grund av det sammanhang i vilket de används. Riktlin- jerna är tillämpliga på personuppgifter både inom den offentliga och den privata sektorn. De är tillämpliga både för uppgifter som lagras automatiskt och uppgifter som förs manuellt. Det finns inget hinder mot att man tillämpar olika skyddsåtgärder för olika slag av personda- ta, att man från riktlinjernas tillämpning undantar persondata som uppenbart inte innebär någon risk för personlig integritet eller att man tillämpar riktlinjerna endast på automatisk databehandling av person- uppgifter. Undantagen från riktlinjernas grundläggande principer för nationell och internationell tillämpning skall vara så få som möjligt och göras kända för allmänheten. Riktlinjerna skall betraktas som mini- miregler, varför ingenting hindrar att integritetsskyddet görs mer omfattande.
Riktlinjerna innehåller en särskild avdelning som behandlar åtta grundläggande principer rörande skyddet för personlig integritet på det nationella planet.
1. Insamlingen av personuppgifter skall vara begränsad och uppgifter skall inhämtas på ett lagligt och korrekt sätt samt, när det är skäligt, med den registrerades kännedom eller samtycke ("Collection Limitation Principle").
2. Personuppgifter skall vara relevanta för de ändamål för vilka de skall användas och, i den utsträckning det behövs för dessa ändamål, vara riktiga och fullständiga samt hållas aktuella ("Data Quality Principle").
3. De ändamål för vilka personuppgifterna samlas in skall vara preciserade senast vid insamlingen. Den efterföljande användningen skall vara begränsad till att uppfylla dessa ändamål eller sådana ändamål som är förenliga med ursprungsändamålen och som preciseras vid varje förändring ("Purpose Specification Principle").
4. Personuppgifter får inte röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, om det inte sker med den registrerades medgivande eller med stöd av författning ("Use Limitation Principle ").
5. Personuppgifter skall genom rimliga säkerhetsåtgärder skyddas mot risker för förlust eller otillåten tillgång, förstörelse, användning, förändring eller otillåtet röjande ("Security Safeguards Principle").
6. En öppenhet skall råda beträffande personuppgifter i fråga om utveckling, tillämpning och policy. Det skall vara möjligt att få veta existensen och beskaffenheten av personuppgifter samt huvudända- målen för vilka de används. Det skall också vara möjligt att få uppgift om vem som är registeransvarig och om var denne finns ( "Openness Principle").
7. Den enskilde skall ha rätt att av den registeransvarige eller av annan få reda på om denne har personuppgifter om honom/henne, att få sig tillsänt eventuella personuppgifter inom rimlig tid, utan alltför stor kostnad, på rimligt sätt och i begriplig form. Vidare skall den
64 SOU 1993: 10
enskilde ha rätt att vid avslag på en begäran om uppgifter få veta skälen härför och ha möjlighet att överklaga. Den enskilde skall även ha rätt att ifrågasätta uppgifter som gäller honom eller henne och, om så är nödvändigt, få dessa utraderade, rättade eller kompletterade ("Individual Participation Principle").
8. Den registeransvarige skall ha ansvaret för att de lagstiftningsåt- gärder eller andra åtgärder som vidtas för att genomföra de tidigare angivna principerna följs ("Accountability Principle"). En avdelning av riktlinjerna innehåller principer för internationell tillämpning. Här föreskrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall medlemsländer- na avhålla sig från att göra inskränkningar i fråga om flödet av personuppgifter från det egna landet till andra medlemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om personuppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integritetslagstiftning därigenom kringgås, Ett medlemsland får också göra inskränkningar i fråga om personuppgifter för vilka den inhemska integritetslagstiftningen innehåller särskilda skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlandet. Medlemslän- derna skall undvika att - under åberopande av skydd för personlig integritet och individens friheter - i lag, tillämpning eller förfarande ställa upp hinder för flödet av personuppgifter över gränserna som går utöver vad som är nödvändigt för sådant skydd. Regler om ömsesidigt bistånd mellan medlemsländerna m.m. finns i en särskild avdelning av riktlinjerna. Medlemsländerna skall införa legala, administrativa eller andra förfaranden eller vidta andra åtgärder för att beträffande personuppgifter ge skydd för personlig integritet och individens friheter. Medlemsländerna skall särskilt sträva efter att anta lämplig inhemsk lagstiftning, att främja och understödja självreglering i form av etiska regler eller på annat sätt, att införa lämpliga sanktio- ner och rättsmedel samt att se till att registrerade inte utsätts för orättvis särbehandling. På begäran skall medlemsländerna ge ett annat medlemsland upplysning om hur de principer iakttas som riktlinjerna innehåller. Medlemsländerna skall också se till att de förfaranden som tillämpas för flöden av personuppgifter över gränserna och för skyddet av personlig integritet och individens friheter är enkla och jämförbara med dem som andra medlemsländer tillämpar. Medlemsländerna skall vidare genom särskilda förfaranden underlätta utbyte av information rörande riktlinjerna och ömsesidigt bistånd i fråga om de förfaranden och utredningar som kan bli aktuella. Vidare skall medlemsländerna arbeta för att utveckla inhemska och internationella principer för vilket lands lag som blir tillämplig i fråga om flöden av personuppgifter över gränserna.
SOU 1993: 10 65
Internationella associationer och företag, som International Air Transport Association (IATA), Center for Financial Industry In- formation Systems i Japan, Canadian Bankers Association, American Bank och IBM har antagit egna regler om dataskydd som bl.a. bygger på OECD:s riktlinjer.
4.5 EG-kommissionens förslag till direktiv
EG-kommissionen antog i september 1990 ett förslag till direktiv (Proposal for a Council Directive, SYN 287) om skydd för enskilda vid behandling av personuppgifter och om det fria flödet av sådana uppgifter. Sedan förslaget behandlats i EG:s ministerråd och EG- parlamentet har EG-kommissionen i oktober 1992 antagit ett nytt förslag till direktiv. Detta förslag har förelagts Ministerrådet och enligt tidsplanen kommer Ministerrådet att ta slutlig ställning till det nya förslaget under år 1993.
Det nu aktuella förslaget till direktiv är - liksom all övrig EG- reglering - avfattat på samtliga medlemsstaters språk. Språken är alla att anse som officiella och har samma vitsord. Den engelska versionen av direktivförslaget finns intagen i bilaga 3.
I det följande redovisas bakgrunden till förslaget och huvuddragen av de föreslagna principerna för integritetsskyddet och de enskilda artiklarna.
Om bakgrunden till direktivförslaget sägs bl.a. följande.
Olika omständigheter, bl.a. tillkomsten av den inre marknaden, förutsätter att personuppgifter fritt kan föras över från ett medlemsland till ett annat. Skillnader i integritetsskyddet mellan de olika länderna kan innebära hinder mot sådana fria flöden. Man måste därför komma fram till en enhetlig nivå på integritetsskyddet inom hela EG. För att uppnå detta krävs insatser av EG, inte bara av de enskilda med- lemsländerna. Det eftersträvade integritetsskyddet bör ligga på en hög mva.
I artikel 1 anges syftet med direktivet, nämligen att medlemsstater- na, i överensstämmelse med direktivet, skall skydda enskildas rättigheter och friheter vid behandling av personuppgifter, särskilt deras rätt till personlig integritet. Medlemsstaterna får inte begränsa eller förhindra det fria flödet av personuppgifter mellan staterna med hänvisning till den enskildes integritetsskydd sådant det framgår av direktivet.
Artikel 2 innehåller definitioner, bl.a. av personuppgift, behandling av personuppgifter, persondataansvarig och samtycke från den enskilde. Med behandling av personuppgifter avses varje åtgärd som vidtas med uppgifterna.
66 SOU 1993: 10
Direktivet är tillämpligt på automatisk behandling av personuppgif- ter och sådan manuell behandling av personuppgifter som innebär att uppgifterna är eller avses bli ordnade i ett register, dvs. så att sökning av personuppgifter underlättas. Undantag görs för bl.a. rent privat behandling (art. 3).
I artikel 5 åläggs medlemsstaterna att föreskriva att behandling av personuppgifter är laglig bara om den utförs i enlighet med be- stämmelserna 1 kap. 2 (art. 5 - 21). Reglerna i fråga får endast preciseras (och alltså inte ändras).
De principer som medlemsländerna skall ta in i sin lagstiftning och som det skall åligga de persondataansvariga att efterleva är enligt artikel 6 att personuppgifter skall a) behandlas ärligt och lagligt (fairly and lawfully),
b) samlas in för bestämda, uttryckliga och lagliga ändamål och användas på ett sätt som är förenligt med dessa ändamål,
c) vara lämpliga, relevanta och inte överflödiga i förhållande till de ändamål för vilka de behandlas, (1) vara riktiga och, om nödvändigt, aktuella. Oriktiga eller ofullstän- diga uppgifter skall utplånas eller rättas,
e) bevaras i en form som inte gör det möjligt att identifiera de enskilda under längre tid än som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Undantag gäller för personuppgifter som lagras för historisk, statistisk eller vetenskaplig användning.
I sex fall är behandling av personuppgifter tillåten enligt artikel 7: a) om den enskilde givit sitt samtycke,
b) om behandlingen är nödvändig för att fullgöra ett avtal med den enskilde eller för att på den enskildes begäran vidta förberedande åtgärder inför ett avtal,
c) om behandlingen är nödvändig för att uppfylla en författningsenlig skyldighet,
d) om behandlingen är nödvändig för att skydda den enskildes vitala intressen,
c) om behandlingen är nödvändig för att utföra en uppgift i det allmännas intresse eller i myndighetsutövning av den persondataansva- rige eller av tredje man till vilken personuppgifterna lämnas ut, 1) om behandlingen är nödvändig för att tillgodose ett allmänintresse eller de legitima intressena hos den persondataansvarige eller hos tredje man till vilken uppgifterna lämnas ut, utom då den enskildes intressen tar Över.
Punkt d) avser enligt kommentaren fall då någon har stort intresse av att få sina uppgifter behandlade men inte är i stånd att ge sitt samtycke (t.ex. i allvarliga medicinska fall). Punkt e) torde närmast angå den allmänna sektorn och punkt f) den privata. Sistnämnda punkt klargör bl.a. att det finns andra berättigade intressenter än den persondataansvarige och den enskilde. Denna intresseavvägningsbe-
SOU 1993: 10 67
stämmelse kan enligt kommentaren bli tillämplig i ett flertal olika fall, t.ex. i fråga om direktreklam.
Som känsliga uppgifter räknas uppgift om ras eller etniskt ursprung (inklusive uppgift om hudfärg), politisk uppfattning, religiös tro eller filosofisk eller etisk övertygelse (inklusive det faktum att tro eller övertygelse saknas), facklig tillhörighet, hälsotillstånd och sexualliv.
Enligt huvudregeln råder förbud mot behandling av känsliga uppgifter (art. 8.1).
Artikel 8.2 medger ett antal undantag från huvudregeln.
a) den enskilde har givit sitt samtycke till behandlingen,
b) en ideell förening av politisk, filosofisk, religiös eller facklig natur får behandla sådana personuppgifter om medlemmarna som utgör grunden för medlemskapet i föreningen, under förutsättning att uppgifterna inte lämnas ut utan den enskildes samtycke,
c) behandlingen utförs under sådana omständigheter att det är uppenbart att inga kränkningar av personlig integritet äger rum.
Ytterligare undantag kan göras genom en reglering i lag eller annan författning eller genom beslut av datatillsynsmyndigheten, om viktiga allmänna intressen talar för detta (att. 8.3).
Villkoren för att använda personnummer skall anges (art. 8.5). Den enskilde, vars uppgifter behandlas, har en omfattande rätt till information. Enligt artikel 10 har envar rätt att på begäran få känne— dom om förekomsten av en behandling, dess ändamål, det slags uppgifter det gäller, vilka tredje män eller kategorier av tredje män till vilka uppgifter skall lämnas ut samt den persondataansvariges namn och adress.
Insamlas uppgifter från den enskilde skall han enligt artikel 11 bli informerad åtminstone om a) behandlingens ändamål,
b) om uppgiftslämnandet är obligatoriskt eller frivilligt,
c) konsekvenserna om han vägrar att lämna uppgifter,
d) mottagarna eller kategorier av mottagare av uppgifterna, e) rätten till tillgång till och rättelse av personuppgifter samt f) den persondataansvariges namn och adress.
Någon informationsskyldighet föreligger dock inte om lämnande av information skulle försvåra eller hindra en myndighets verksamhet för kontroll eller annan tillsyn eller hota allmän ordning.
Om den enskilde inte har samtyckt till behandlingen skall, om personuppgifter skall lämnas ut till tredje man, den enskilde senast vid det första utlämnandet bli underrättad härom. Vissa undantag finns från denna regel (art. 12).
Den enskilde, vars personuppgifter behandlas, har rätt till tillgång till uppgifterna enligt artikel 13. Denna rätt omfattar a) att på begäran och med rimliga mellanrum och kostnader få bekräftat om egna personuppgifter behandlas, information om deras
68 SOU 1993:10
innehåll i begriplig form, upplysning om deras ursprung samt allmän information om deras användning,
b) att vägra att uppfylla en begäran från tredje man att utnyttja in- formationsrätten för att lämna ut personuppgifter till någon tredje man, om inte tredje mans krav grundas på lag eller annan författning,
e) att erhålla rättelse av oriktiga eller ofullständiga uppgifter eller utplånande eller innehållande av sådana uppgifter om de behandlats i strid med direktivet,
d) att tredje man, till vilken personuppgifter lämnats ut, får kännedom om rättelsen, utplånandet eller innehållandet,
e) att få information om de skäl som ligger till grund för beslut som fattas genom automatisk behandling av personuppgifter och som medför någon nackdel för den enskilde.
Möjligheten att hålla uppgifter inne (blocking) har sitt ursprung i den tyska federala dataskyddslagens bestämmelser om "Sperrung ". Den persondataansvarige har rätt att fortsättningsvis lagra uppgifterna, men inte att använda dem på något annat sätt.
Bestämmelsen i punkt e) är avsedd att ge den enskilde visst skydd mot de allt vanligare automatiska beslutsprocesserna.
Vissa undantag får göras från reglerna om den enskildes informa- tionsrätt och reglerna om rätt till tillgång till egna personuppgifter. Dessa undantag motsvarar i princip de grunder i tryckfrihetsför- ordningen enligt vilka rätten att ta del av allmänna handlingar får begränsas.
I de fall den enskilde inte får ta del av egna personuppgifter skall datatillsynsmyndigheten på hans begäran inspektera behandlingen i fråga (art. 14).
Bland den enskildes övriga rättigheter ingår att kunna motsätta sig på lagliga grunder att hans personuppgifter behandlas (art. 15) och att inte behöva utsättas för ett menligt administrativt eller privat beslut, om beslutet fattas uteslutande genom sådan behandling av personupp- gifter som innefattar en bedömning av hans person. Vissa undantag finns från den sist berörda regeln (art. 16). Bestämmelsen förbjuder inte att ADB utnyttjas som beslutsstöd. Förbudet gäller fall då man genom enbart automatiska medel får fram en personlighetsbeskrivning som innehåller s.k. mjukdata och denna läggs till grund för ett för den enskilde negativt beslut.
I syfte att få underlag för datatillsynsmyndighetens kontroll och tillsyn stipuleras i artikel 18 ett omfattande anmälningsförfarande. Enligt huvudregeln skall all helt eller delvis automatisk behandling av personuppgifter anmälas. Om behandlingen ger upphov till särskilda risker för den enskildes rättigheter och friheter förutsätts att anmälan granskas i särskild ordning eller att behandlingen har stöd i ett tillståndsbeslut av datatillsynsmyndigheten eller i lag eller annan författning.
SOU 1993: 10 69
I de fall behandlingen inte menligt påverkar den enskildes rättigheter eller friheten bör medlemsländerna enligt artikel 19 eftersträva att efter hand förenkla anmälningsförfarandet eller ge undantag från an- mälningsplikten både inom den allmänna och den privata sektorn. Beslut om förenkling eller undantag förutsätter datatillsynsmyndig- hetens medverkan.
Ett register över alla anmälda behandlingar inom både den allmänna och den privata sektorn skall föras av datatillsynsmyndigheten. Allmänheten skall i princip ha tillgång till registret (art. 21).
Varje enskild skall ha rätt till domstolsprövning om hans rättigheter enligt direktivet blivit kränkta (art. 22). Skadeståndsregler måste införas enligt artikel 23 och enligt artikel 25 skall även straffrättsliga sanktioner införas.
Överföring av personuppgifter till tredje land är enligt huvudregeln tillåten om landet i fråga har en acceptabel integritetsskyddsnivå (adequate level of protection). Vissa undantag tillåts (art. 26).
Varje medlemsland skall inrätta en datatillsynsmyndighet som skall övervaka skyddet av personuppgifter. Denna skall vara oberoende och skall bl.a. ha rätt att samla in all information som behövs för tillsyn. Den skall ges effektiva sanktionsmöjligheter t.ex. möjlighet att beordra utplånande av uppgifter eller att förbjuda viss behandling och möjlighet att föra en sak till domstol (the power to bring an action before the courts) om myndigheten finner att dataskyddsbestämmelser har överträtts, (art. 30).
4.6 Något om EG—rätten och EES-avtalet
Sverige har ansökt om medlemskap i EG. Sverige har också till- sammans med övriga sex EFTA-länder undertecknat ett omfattande avtal med EG och dess medlemsländer om Europeiska ekonomiska samarbetsområdet (EES). I en proposition om EES (prop 1991/92: 170) föreslås bl a att riksdagen godkänner EES-avtalet samt antar ett förslag till en lag om ett europeiskt ekonomiskt samarbetsområde (EES—lagen) med grundläggande bestämmelser om införlivande av avtalsåtagandena med svensk rätt. Riksdagen har den 18 november 1992 bl.a. godkänt EES-avtalet och antagit lagförslagen i propositionen. Eftersom EES- avtalet syftar till en integrering av EFTA-ländernas resp. marknader med EG:s inre marknad innebär avtalet en anpassning till de regler och principer som gäller inom EG. I det följande lämnas en kort redogörel- se för huvuddragen av den rättsliga strukturen inom EG, EES—avtalet, hur avtalet införlivas med svensk rätt samt hur beslut om nya EES- regler skall fattas.
Grunden för samarbetet inom EG, primärrätten, utgörs främst av de tre EG-fördragen om upprättandet av den Europeiska kol- och
70 SOU l993:10
stålgemenskapen, den Europeiska ekonomiska gemenskapen (Rom- fördraget) samt den Europeiska atomenergigemenskapen (Euratom).
Romfördraget är det mest övergripande av EG-fördragen. Det brukar beskrivas som ett ramfördrag, vars målinriktade och allmänt hållna bestämmelser fylls ut och preciseras genom sekundärrättsliga regler av olika slag.
Det är på fördragen som EG:s institutioner grundar sin kompetens. Deras åtgärder skall enligt legalitetsprincipen grundas på befogenheter som fördragen ger dem. Inom denna ram har staterna förbundit sig att utöva sin statsmakt gemensamt under hänsynstagande till samfällda intressen.
I betydande utsträckning skall EG-rätten tillämpas av nationella myndigheter på samma sätt som inhemsk rätt. Man brukar säga att reglerna är direkt tillämpliga, eftersom de används utan mellankom- mande nationell rättsbildning.
Romfördragets artikel 189 anger tre typer av bindande rättsakter, som rådet och kommissionen kan utfärda. Det är fråga om för- ordningar, direktiv och beslut. Förordningar är gällande inom hela EG och är direkt tillämpliga i medlemsländerna. Direktiv riktar sig till medlemsländerna och anger ett viss resultat som skall uppnås inom en bestämd tid men överlåter åt länderna att bestämma form och tillväga- gångssätt för den nationella implementeringen. Beslut är bindande i alla delar för dem som de är riktade till.
Bindande gemenskapsrättsliga bestämmelser kan grunda rättigheter och skyldigheter inte bara för medlemsländerna utan också för enskilda, om de är tillräckligt tydliga och inte lämnar länderna utrymme för val i samband med nationell implementering. Sådana rättigheter skall skyddas av domstolar och andra myndigheter. Man brukar då säga att bestämmelserna har direkt effekt. Uttryckliga förbud, tex mot diskriminering, uppfyller de nyss nämnda kraven och har därför direkt effekt. Fördragets bestämmelser om fri rörlighet på marknaden och dess förbud mot könsdiskriminering kan sålunda grunda individuella rättigheter. Även bestämmelser i direktiv kan få denna verkan, om den nationella rätten inte anpassas till direktivets krav på ett korrekt sätt eller det inte har införlivats alls inom den föreskrivna tiden.
Om en domstol i ett medlemsland skulle finna att en nationell bestämmelse strider mot en EG-bestämmelse som är direkt tillämplig, skall domstolen inte tillämpa den nationella bestämmelsen i det aktuella målet. Enligt EG-domstolens praxis har EG-regeln nämligen företräde framför nationella regler och skall tillämpas oavsett vad som kan vara föreskrivet i den nationella rättsordningen. Detta sammanhänger med EG-domstolens synsätt att EG-rätten är en egen rättsordning som är autonom i förhållande till traditionell folkrätt.
SOU 1993:10 71
Det finns också rättsakter som inte är bindande, t.ex. rekommenda- tioner och yttranden, vilka också nämns i artikel 189. Andra slag av icke bindande rättsakter än de i fördraget nämnda har tillkommit.
EES-avtalet är väsentligen ett vanligt folkrättsligt avtal men har särdrag som sammanhänger med dess nära samband med det EG- rättsliga systemet. Avtalet innehåller en huvuddel med de materiella bestämmelserna om fri rörlighet för varor, personer, tjänster och kapital (de fyra friheterna) samt s.k. angränsande politikområden. Denna del motsvarar den primära EG-rätten, i första hand Romför- dragets regler. Dessutom finns bestämmelser om de olika institutioner som etableras genom avtalet. Vidare ingår ett stort antal EG-rättsakter, främst direktiv och förordningar, i EES—avtalet. Till avtalets huvuddel är fogade ett antal bilagor med hänvisningar till de EG-rättsakter som omfattas av avtalet. Genom hänvisningarna i bilagorna till dessa EG- rättsakter blir bestämmelserna i rättsaktema till delar av EES-avtalet.
EES-avtalets huvudbestämmelser införlivas i svensk rätt genom in- korporering, dvs. avtalets huvudbestämmelser förklaras gälla som lag här. Detta har skett genom antagande av den i propositionen föreslagna EES-lagen. I fråga om direktiv och förordningar innehåller EES-avtalet bestämmelser om hur de regler som motsvarar EG:s sekundärrätt införlivas. De delar som motsvarar EG-förordningar görs som sådana till en del av den nationella rättsordningen, medan beträffande de delar som motsvarar EG- direktiv det lämnas åt de avtalsslutande parterna själva att välja form och metod för införlivandet i den egna rättsord- ningen. Även om det inte är utsagt i avtalet gäller detta också beslut, dvs. det ankommer på de avtalsslutande parterna att införliva dessa som det befinns lämpligt.
Detta innebär för Sveriges del att motsvarigheter till direktiv skall transformeras till svenska regler, medan motsvarigheter till EG- förordningar införlivas genom inkorporering. I bägge fallen skall detta ske genom författningsreglering på den konstitutionella nivå som de materiella reglernas innehåll kräver. Normgivningen skall ske genom författningar på resp. sakområde.
Beslut om nya regler fattas av avtalsparterna i en särskild kommitté, EES-kommittén. Besluten har karaktär av internationella överenskom- melser. Om beslutet avser ett ämne som skall godkännas av riksdagen, är beslutet givetvis inte bindande förrän sådant godkännande skett. Det är således inte fråga om överlåtelse av beslutsfunktioner till något internationellt organ. För svensk del innebär varje sådant beslut av EES—kommittén om ändring i EES-reglerna med andra ord en ny internationell överenskommelse som kan kräva införlivande i svensk rätt. EES-avtalet anger samma tillvägagångssätt för genomförande av nya EES—regler som när det gäller bestämmelser som övertas genom bilagorna till EES-avtalet.
. Ijin!
" | | Im ih”
""'-""' ” - ' '_' HHIIITU ' '.' " ."* ." 4 i- '. HN”
u"_." - _, l. 1 ;.W ”E'-_", . '. - . .. . " _. ' 1" . ""> " | .I " Fd WH.»
. ; Eri-J .] Jag?
';-nuflm. _" _ ll (i
l'w'
”ni-Hm; ' iiu'JI' '.
, 131 .1.1..- _|. | ,, w, ” pr ';1 Juli:.- .. # '.H I?" =' "lir
- ...-1, . . ., ' '1-51151'V ":1. wp,.
Fiffi-""få
F
SOU 1993: 1.0 73
5 Förhållandet mellan förslaget till EG-direktiv och utredningens för- slag till en ny datalag
5.1 Inledning
De direktivbestämmelser om skyddet för enskilda vid behandling av personuppgifter som har redovisats i avsnitt 4.5 finns än så länge bara i ett förslag från EG-kommissionen. Åtskillig diskussion om hur integritetsskyddet skall vara utformat har förekommit i anslutning till ett tidigare utkast till direktiv från Kommissionen, beslutat i september 1990, och EG-parlamentets behandling av detta utkast. Fortfarande förekommer inom EG, såvitt man kan bedöma, oenighet om hur ett framtida direktiv skall vara utformat. Detta har bl.a. lett till att tidsplanen för antagandet av direktivet har förskjutits. Enligt före- trädare för Kommissionen kommer Ministerrådet troligen inte att kunna ta slutlig ställning till förslaget förrän sommaren 1994. I den debatt som förts efter det Kommissionen presenterade sitt reviderade förslag i oktober 1992, har vissa bl.a. pekat på den s.k. subsidiari— tetsprincipen. Vidare kan nämnas att vid Europeiska Rådets möte i Edinburgh den 11 - 12 december 1992 Kommissionen förklarat att den avser att revidera ett antal förslag i avsikt att göra dem mindre detaljerade. Sett i ljuset av att samtliga medlemsländer snart kommer att ha nationella dataskyddslagar och anslutit sig till Europarådets dataskyddskonvention har det från vissa håll ifrågasatts om behovet av att anta direktivförslaget kommer att kvarstå.
Det torde dock inte ankomma på utredningen att närmare spekulera i direktivförslagets fortsatta framtid. Skulle emellertid ett EG—direktiv på integritetsskyddsområdet bli verklighet med i huvudsak de be- stämmelser som finns i det aktuella förslaget från Kommissionen är frågan hur utredningens förslag om en ny datalag bör förhålla sig till direktivförslaget. När ett direktiv kan antas bli beslutat kommer Sverige inte att vara medlem i EG och inte heller i övrigt torde det komma att finnas någon folkrättslig förpliktelse att införliva direktivet
74 SOU 1993: 10
i svensk rätt. Däremot torde så småningom ett framtida EG-direktiv komma att integreras i EES—avtalet.
I en proposition om Sverige och den västeuropeiska integrationen (prop. 1987/ 88:66) fann den dåvarande regeringen det angeläget att ge en samlad redovisning av Sveriges roll i det västeuropeiska integra- tionsarbetet. I propositionen uttalades att Sverige har ett starkt intresse av att medverka i ett brett västeuropeiskt samarbete. Som riktlinjer för detta fortsatta arbete angavs bl a att Sverige skall medverka i EFTA:s och EG:s arbete på att avskaffa fysiska, tekniska och fiskala hinder i syfte att så långt möjligt skapa ökad rörlighet för varor, tjänster, människor och kapital i Västeuropa. Riksdagen godtog riktlinjerna (UU 24, rskr. 245).
I anslutning till det nyss nämnda riksdagsbeslutet beslutade regeringen direktiv till kommittéer och särskilda utredare om be- aktande av EG-aspekter i utredningsverksamheten (Dir 1988:43). Enligt dessa kommittédircktiv skall kommittéer och särskilda utredare bl.a. undersöka vilken gemensam ordning som i förekommande fall råder inom EG inom det aktuella ämnesområdet och i sina förslag ta tillvara de möjligheter till harmonisering som finns samt också redovisa hur de förslag som läggs fram förhåller sig till EG:s motsva- rande regler, direktiv eller förslag till direktiv från EG-kommissionen.
Sverige har numera ansökt om medlemskap i EG och undertecknat EES—avtalet. Riksdagen har också godkänt avtalet. Som tidigare har nämnts torde ett framtida EG-direktiv komma att på sikt bli en del av EES-avtalet.
Det intensifierade europeiska samarbetet talar starkt för att Sverige får i huvudsak samma regler på integritetsskyddsområdet som de som kan komma att gälla inom EG. Det behöver inte närmare utvecklas att ett fritt informationsutbyte över gränserna är en förutsättning för ett sådant samarbete. Det fria informationsflödet förutsätter i sin tur - något som understryks i inledningen till förslaget till EG-direktiv - att de enskilda ländernas dataskyddsnivå är någorlunda enhetlig. Förslaget till EG-direktiv innehåller också en bestämmelse som innebär att överföring av personuppgifter till ett icke—medlemsland i princip är tillåten enbart om det landet har en tillfredsställande nivå på sitt integritetsskydd (art. 26). l Justitiedepartementets anmälan till EES- propositionen (Del 11 s. 2 f) nämns datalagsfrågorna som sådant lagstiftningsarbete som utan att ha direkt samband med EES—avtalet ändå kan sägas ha anknytning till detta eller till närmandet till EG i allmänhet. Vad som därvid är aktuellt, sägs det i propositionen, är en anpassning till ett eventuellt kommande EG-direktiv i ämnet.
Slutligen talar rent sakliga skäl för en överensstämmelse med vad som kan komma att gälla inom EG. Den svenska datalagen var den första nationella lagstiftningen i sitt slag och väckte berättigad uppmärksamhet vid sin tillkomst. Sedan dess har 20 år gått, vilket i dessa sammanhang är en mycket lång tid, utan att lagens grund-
SOU 1993: 10 75
läggande struktur har ändrats. Den får såväl innehållsmässigt som till sin tekniska utformning anses vara ganska föråldrad. l förslaget till EG-direktiv har man däremot beaktat den utveckling på dataskyddsom- rådet som har skett och förslaget bygger alltså på de integritets- skyddslagar och den internationella reglering som har kommit fram under de senaste åren. I förhållande till den svenska datalagen innefattar direktivförslaget i en hel del hänseenden en önskvärd skärpning av reglerna för integritetsskyddet.
Ett EG-direktiv kan ha karaktären av ett s.k. minimidirektiv. Med detta förstås att den nationella regleringen för de intressen som skall skyddas visserligen inte får vara oförmånligare än som följer av föreskrifterna i direktivet men att det inte är något som hindrar att den nationella ordningen innehåller strängare regler. Det nu aktuella direktivförslaget är dock inte något minimidirektiv. Kapitel 11, som innehåller de grundläggande reglerna för behandlingen av personupp- gifter, inleds med en artikel (art. 5) som anger förhållandet mellan bestämmelserna i kapitlet och de nationella reglerna. Enligt första stycket i den artikeln är behandlingen av personuppgifter laglig bara om den sker i överensstämmelse med föreskrifterna i kapitlet. Vad medlemsstaterna får göra, inom ramen för bestämmelserna i kapitel 11 i direktivförslaget, är att mera precist ange de omständigheter under vilka behandling av personuppgifter får ske (art. 5 andra stycket). 1 kommentaren framhålls att sådana preciseringar alltid måste ske inom ramen för bestämmelserna i kapitel 11 och att de inte får hindra det fria flödet av information inom EG-området.
Datalagsutredningen har mot den nu angivna bakgrunden eftersträvat att få i huvudsak samma regler för integritetsskyddet som de som kan komma att gälla inom EG. I vissa hänseenden har dock avvikelser skett. Dessa avvikelser hänför sig i allt väsentligt till tre områden, nämligen frågan om datalagen bara skall avse användning av ADB- teknik eller också omfatta manuell databehandling, kraven på in- formation till den enskilde och på underrättelse till dataskyddsmyndig- heten samt reglerna om utlämnande av personuppgifter till tredje man. Dessa avvikelser behandlas i detta avsnitt. Övriga avvikelser behandlas i berörda avsnitt i den allmänna motiveringen och i Specialmotivering- en.
5.2 Lagens tillämpningsområde
Avgörande för frågan om datalagen över huvud taget är tillämplig på ett register är huruvida registret förs med hjälp av ADB eller inte. Register som förs med hjälp av annan teknik än ADB faller i dag utanför datalagens tillämpningsområde.
76 SOU l993:10
Datalagsutredningen har i sina tidigare ställningstaganden utgått från att datalagen även för framtiden bara skall avse ADB-teknik. Vid remissbehandlingen ansåg en majoritet av de remissinstanser som tagit ställning i denna del att det inte finns något behov av en generell personregisterlagstiftning. I de yttranden där en sådan ordning förordas, åberopas i allmänhet att det svenska regelsystemet bör utformas i enlighet med ett framtida EG-direktiv. Endast i några enstaka yttranden anses sakliga skäl tala för att datalagstiftningen bör omfatta även konventionella medier. Såvitt utredningen känner till är varken omfattningen av eller innehållet i den manuella registreringen av någon betydenhet och innebär inte några mera påtagliga integritets- risker. Majoriteten av de remissinstanser som har berört frågan har heller inte sett något sakligt behov av en generell personregister- lagstiftning. Några sådana särskilda skäl, som enligt utredningens direktiv skall föranleda att frågan om en generell personregistrering tas upp, föreligger alltså inte. Visserligen omfattar förslaget till EG— direktiv även manuell behandling av personuppgifter. Direktivet är dock på denna punkt omstritt och vad man slutligen stannar för är en öppen fråga.
Utredningen vill alltså inte i nuläget förorda att tillämpningsområdet vidgas till att omfatta även manuell databehandling. Samtidigt bör framhållas att utredningen inte har gjort någon närmare undersökning av förekomsten av manuell hantering av personuppgifter. Utredningens uppfattning om behovet av en generell personregisterlagstiftning bygger närmast på information som har hämtats in från Datainspektio- nen. Det kan naturligtvis inte helt uteslutas att en fördjupad under- sökning skulle kunna påvisa en tendens att i ökad utsträckning registrera känsliga uppgifter manuellt, detta för att komma undan de restriktioner som datalagstiftningen innebär. Man bör också ha i minnet att EG-kommissionen iden andra versionen av direktivförslaget har vidhållit sin uppfattning om en generell reglering av hanteringen av personuppgifter. Frågan torde få uppmärksammas under det fortsatta lagstiftningsarbetet.
5.3 Information till den enskilde och under- rättelse till dataskyddsmyndigheten m.m.
Förslaget till EG-direktiv innehåller mycket långtgående krav på information till den enskilde och på underrättelser till dataskyddsmyn- digheten. De bestämmelser som nu tas upp till diskussion finns i artiklarna 10, 12, 13.1, 18 och 19.
Enligt artikel 10 skall den enskilde på begäran ha rätt att bli in- formerad om förekomsten av en viss behandling, dess ändamål, det slag av personuppgifter det gäller, de tredje män eller slag av tredje
SOU 1993: 10 77
män till vilka uppgifterna skall lämnas ut eller på annat sätt röjas samt namn och adress på den persondataansvarige. Tanken bakom artikel 10 är enligt kommentaren att den enskilde genom denna information skall kunna få insyn och utnyttja sin rätt till rättelse och utplånande och utöva effektiv kontroll över behandlingen av sådana personuppgifter som hänför sig till honom. Samtidigt innehåller direktivförslaget i artikel 13.1 regler om rätt till insyn som i huvudsak motsvarar 10 å i den nuvarande datalagen.
Bestämmelserna i artikel 10 avser alla datasamlingar, alltså även sådana som inte innehåller några känsliga uppgifter. Ett iakttagande av bestämmelserna skulle innebära en betungande informationsskyldighet för de persondataansvariga och en ganska betydande byråkratisering av kontrollsystemet. Regler som motsvarar artikel 10 i direktivförslaget bör därför inte tas in i den nya datalagen utan att starka skäl talar för det från integritetssynpunkt.
En motsvarighet till 10 å i den nuvarande datalagen och artikel 13.1 i förslaget till EG-direktiv kommer givetvis att tas in i den nya datalagen. Den enskilde får därigenom möjlighet att kontrollera om uppgifter som hänför sig till honom finns i en viss datasamling och, om så är fallet, att kontrollera om uppgifterna är riktiga, fullständiga och aktuella. Däremot har den enskilde ingen möjlighet att på grundval av ett s.k. & lO-uttag enligt nuvarande terminologi bedöma om det t.ex. är berättigat att lämna ut uppgifter till tredje man eller om det överhuvud taget är tillåtet att behandla de aktuella personuppgifterna. Såvitt gäller de känsliga personuppgifterna finns dock hos Datainspek- tionen det underlag som behövs för att göra en sådan bedömning. Enligt 37 och 38 åå i förslaget till ny datalag skall nämligen den persondataansvarige, innan han får börja att behandla sådana person- uppgifter, göra en anmälan till Datainspektionen om behandlingen. I denna den persondataansvariges anmälan skall finnas i princip alla de uppgifter som krävs enligt artikel 10 i direktivförslaget. Den enskilde får visserligen vända sig till Datainspektionen i stället för till den persondataansvarige för att få ut uppgifterna, men detta torde inte ha så stor betydelse.
Kvar står emellertid att direktivförslaget enligt artikel 10 ger den enskilde en ganska omfattande rätt till information även i fråga om harmlösa uppgifter. Utredningen har övervägt om denna skyldighet att informera skulle kunna tillgodoses genom en motsvarighet till de regler om förteckningsskyldighet som nu finns i 7 a & datalagen. Bestämmel— serna i 7 a & datalagen innefattar en skyldighet för den registeransvari- ge att ha en aktuell förteckning över de personregister som han ansvarar för. Förteckningen skall innehålla uppgift om bl.a. registrets benämning, registrets ändamål, lokalen där den automatiska be- handlingen huvudsakligen utförs, i vad mån personuppgifter lämnas ut för automatisk databehandling i utlandet och i vad mån personnummer registreras. Förteckningen skall hållas tillgänglig för Datainspektionen
78 SOU l993:10
och på begäran av denne ges in till inspektionen. Som har framgått av vad nu har sagts omfattar inte förteckningen alla de uppgifter som nämns i artikel 10 i direktivförslaget. Förteckningen skulle emellertid kunna byggas ut till att omfatta den berörda informationen.
Bestämmelserna om förteckningsskyldighet har emellertid inte till syfte att ge den enskilde insyn i behandlingen av personuppgifter. Paragrafen innehåller ingen regel om rätt för den enskilde att ta del av förteckningen, må vara att den enskilde kan ha en sådan rätt på grund av offentlighetsprincipen såvitt gäller myndigheter. I stället är bestämmelserna om förteckningsskyldighet avsedda att vara ett stöd för Datainspektionen i dess tillsynsverksamhet. Datainspektionen kan begära in en förteckning i ett särskilt tillsynsärende. Inspektionen har också möjlighet att begära in förteckningar Stickprovsvis eller samtidigt från flera registeransvariga, t.ex. från alla registeransvariga i en viss bransch eller inom ett visst område.
Bestämmelserna om förteckningsskyldighet tillgodoser alltså inte den rätt till information som artikel 10 i direktivförslaget ger den enskilde. I själva verket kan man fråga sig om förteckningsskyldigheten fyller någon funktion. Den förhandsinformation som Datainspektionen kan behöva för sin tillsyn kan inspektionen lika gärna inhämta direkt från den persondataansvarige. Enligt 44 å i utredningens lagförslag skall den persondataansvarige lämna Datainspektionen de uppgifter om den automatiska databehandlingen som inspektionen begär för sin tillsyn. En sådan uppgiftsskyldighet har även den som för den persondataan- svariges räkning behandlar personuppgifter, dvs. bl.a. servicebyråer. Mot den nu angivna bakgrunden har utredningen i sitt lagförslag inte tagit upp någon motsvarighet till bestämmelserna om förtecknings- skyldighet i den nuvarande datalagen.
Av större intresse i sammanhanget är de bestämmelser som finns i 15 kap. 11 & sekretesslagen. I den paragrafen finns särskilda regler om dokumentationsskyldighet beträffande ADB-register som en myndighet har tillgång till. Reglerna syftar till att tillgodose allmänhetens intresse av överblick över och orientering i det ADB-material som finns hos myndigheterna. Bestämmelserna gäller även för sådana myndigheter som behandlar personuppgifter utan att vara persondataansvariga. Beskrivningen av den behandling av personuppgifter som förekommer hos myndigheten skall innehålla bl.a. vad som krävs enligt artikel 10 i direktivförslaget så när som på uppgifter om vilka tredje män som kan få del av uppgifterna. En skyldighet i sistnämnda hänseende skulle vara av mindre intresse med hänsyn till offentlighetsprincipen.
Sammanfattningsvis kan konstateras att den enskildes rätt till in— formation enligt artikel 10 i direktivförslaget till stor del kan till- godoses genom de anmälningar om behandling av känsliga uppgifter som skall finnas hos Datainspektionen och den beskrivning av ADB- register som myndigheterna är skyldiga att ha enligt sekretesslagen. Vad som dock inte täcks av dessa bestämmelser är den behandling av
SOU 1993: 10 79
i och för sig harmlösa uppgifter som förekommer hos andra än myndigheter. I fråga om dessa personuppgifter finns dock alltid möjligheten för den enskilde att genom ett s.k. & 10-utdrag enligt nuvarande terminologi få klarlagt om uppgifter som hänför sig till honom behandlas och, om så är fallet, kontrollera om uppgifterna är korrekta. Vidare har den enskilde möjlighet att få information om be- handlingen genom en hänvändelse till Datainspektionen. Med hänsyn till den behandling det gäller får dessa möjligheter anses vara tillräckliga ur integritetssynpunkt. I utredningens lagförslag återfinns alltså inte någon motsvarighet till föreskrifterna i artikel 10 i förslaget till EG-direktiv. '
Föreskrifterna i artikel 12 utgör ett andra led i direktivförslagets ambition att göra den enskilde medveten om att personuppgifter som rör honom behandlas. När personuppgifter behandlas utan att den enskilde har samtyckt till behandlingen, skall den persondataansvarige förvissa sig om att vid lämplig tidpunkt, dock senast när uppgifterna första gången lämnas ut till en tredje man, den enskilde underrättas om utlämnandet. Den enskilde skall samtidigt underrättas om bl.a. behand- lingens ändamål, vilka typer av uppgifter det gäller, mottagarna eller slag av mottagare samt rätten för den enskilde till insyn, rättelse och till att göra invändningar mot behandling som anses strida mot gällande dataskyddsbestämmelser. Syftet med dessa föreskrifter i direktivför- slaget är, som redan har antytts, att den enskilde skall bli medveten om att uppgifter som rör honom behandlas och kunna utnyttja de rättig- heter som dataskyddsbestämmelserna ger honom.
Som framgått föreligger inte någon skyldighet att underrätta den enskilde om ett utlämnande när den enskilde har samtyckt till be- handlingen. Ett samtycke måste emellertid avse viss behandling (be specific) enligt direktivförslaget (art. 2. g) och kan alltså inte avse en rad utlämnandetillfällen i framtiden som inte närmare kan specificeras. Möjligheten att med samtycke som grund underlåta underrättelse blir därför inte så stor som man kanske skulle ha kunnat tro.
I syfte att begränsa underrättelseskyldighetens omfattning görs en del undantag från huvudregeln. Tre av undantagen grundar sig direkt på föreskrifterna i direktivförslaget (ait. 12.2) medan ytterligare två undantag förutsätter beslut av dataskyddsmyndigheten (art. 12.3).
Enligt artikel 12.2 behövs till en början inte någon underrättelse om den enskilde redan har underrättats om att uppgifterna skall eller kan komma att lämnas ut till en tredje man. En sådan underrättelse kan ha lämnats i samband med att uppgifterna samlats in från den enskilde (jfr art. ll).
Underrättelse behöver heller inte lämnas om skyldighet att lämna ut uppgifter till en tredje man föreligger på grund av lag eller författning och den berörda bestämmelsen samtidigt anger att underrättelse inte behöver lämnas. Den del av uppgiftslämnandet mellan myndigheterna som föreskrivs i författning torde med stöd av denna regel kunna tas
80 SOU 1993: 10
undan från underrättelseskyldigheten, men åtskilligt av det omfattande informationsutbytet på den offentliga sidan torde förutsätta att de enskilda som berörs underrättas om att information utväxlas. Den skyldighet som på den privata sektorn föreligger för enskilda att lämna olika uppgifter till myndigheterna, t.ex. kontrolluppgifter till skatte- myndigheterna, följer av lag och kan med stöd av den här berörda undantagsregeln i direktivförslaget tas undan från underrättelseskyldig- het.
Den tredje undantagsregeln tar sikte på utlämnande av information som sker för vissa ändamål. Dessa ändamål sammanfaller med de grunder enligt vilka rätten att ta del av allmänna handlingar får begränsas enligt tryckfrihetsförordningen. Ett utlämnande som har sin grund i t.ex. myndighets verksamhet för inspektion, kontroll eller annan tillsyn förutsätter alltså inte att de berörda enskilda underrättas om utlämnandet.
Enligt direktivförslaget (art. 12.3) kan vidare dataskyddsmyndig- heten i två fall få ge dispens från kravet på underrättelse till den enskilde när personuppgifter lämnas ut till en tredje man. Det första fallet är att underrättelseskyldigheten visar sig omöjlig att fullgöra eller i vart fall kräver en oproportionerlig insats. Det andra fallet är att underrättelseskyldigheten strider mot övergripande intressen hos den persondataansvarige eller en tredje man. Enligt kommentaren bör dispensmöjligheten utnyttjas t.ex. i fråga om organisationer som ägnar sig åt humanitärt arbete eller bevakar mänskliga rättigheter, så att deras arbete inte hindras på ett otillbörligt sätt. Att döma av exemplet är tanken att dataskyddsmyndighetens dispensmöjlighet skall användas med stor försiktighet.
Datalagsutredningen kan konstatera att en ordning enligt artikel 12 i direktivförslaget givetvis är ett effektivt sätt att göra en enskild medveten om att en behandling pågår som rör honom och som innefattar utlämnande av personuppgifter. Det kan också vitsordas att de integritetsrisker som är förknippade med ADB ofta ligger i att uppgifter lämnas ut till tredje man för användning i en annan miljö än den ursprungliga. Förfarandet enligt artikel 12 är emellertid inte förenligt med den rätt till anonymitet som enligt svensk rätt föreligger för den som begär att få en allmän handling utlämnad. Denna aspekt behandlas närmare i nästa avsnitt. Man kan vidare fråga sig om vinsterna från integritetssynpunkt verkligen uppväger den mycket betydande byråkrati som följer med en ordning enligt artikel 12 i direktivförslaget. I och för sig kan man ta bort en del av under- rättelseskyldigheten genom ett flitigt utnyttjande av den undantagsregel som innebär att underrättelse inte behöver lämnas om skyldighet att länma ut uppgifter till en tredje man föreligger på grund av lag eller författning och den berörda föreskriften samtidigt anger att under- rättelse inte behöver lämnas. Detta kan emellertid knappast vara intentionen bakom den nu berörda undantagsregeln i direktivförslaget.
SOU 1993:10 81
Men även om den möjligheten används så långt det går måste det, som redan har berörts, finnas kvar en lång rad fall där underrättelse måste ske, i synnerhet på den offentliga sidan. Enligt utredningens mening får de möjligheter att få kunskap om en viss behandling som redovisats i det föregående vid diskussionen om artikel 10 anses innefatta en rimlig avvägning mellan den enskildes intresse och de krav som kan ställas på de persondataansvariga. Denna slutsats skall då också ses mot bakgrund av utredningens övertygelse att det kanske viktigaste instrumentet för ett gott integritetsskydd ligger i en effektiv tillsyn. Det är bättre att satsa de resurser som skulle behövas för ett under- rättelseförfarande på en sådan intensifierad tillsyn. Betydelsen av en effektiv tillsyn behandlas närmare i avsnitt 13.
Med hänsyn till vad som nu har sagts tas inte i utredningens förslag upp någon motsvarighet till artikel 12 i direktivförslaget.
En annan typ av information till den enskilde omfattas av artikel 13.5 i direktivförslaget. Enligt den föreskriften har den enskilde rätt att bli informerad om utgångspunkterna för eller resonemangen bakom varje behandling av personuppgifter, vars resultat åberopas mot honom. Av kommentaren framgår att med bestämmelsen åsyftas de fall där beslut fattas genom automatisk databehandling och åstadkommer resultat som strider mot den enskildes intressen.
Den nu berörda föreskriften i direktivförslaget är inte helt lätt att tolka. Som utredningen uppfattar den innebär den ett krav på att även beslut, som helt och hållet kommer till stånd genom automatisk databehandling, anger skälen för beslutet om detta har gått den enskilde emot. Artikel 13.5 skulle alltså vara en bestämmelse om beslutsmotivering.
Föreskrifter om motivering av beslut finns redan i svensk rätt. Ett beslut varigenom en myndighet avgör ett ärende skall enligt 205 förvaltningslagen (1986z223) innehålla de skäl som har bestämt utgången, om ärendet avser myndighetsutövning mot någon enskild. I vissa fall får dock skälen utelämnas helt eller delvis, bl.a. om beslutet inte går någon part emot eller om det av någon annan anledning är uppenbart obehövligt att upplysa om skälen. Har skälen utelämnats, bör myndigheten på begäran av den som är part om möjligt upplysa honom om dem i efterhand. Bestämmelser om motivering av beslut finns också i vissa specialförfattningar. För domstolarnas dömande verksamhet finns regler om beslutsmotivering i de olika processuella regelverken, om det nu någonsin kan bli aktuellt i domstolarna att fatta beslut enbart genom automatisk databehandling. För förvaltnings- myndigheternas och domstolarnas del torde man alltså inte behöva någon motsvarighet till föreskriften i artikel 13.5.
En motsvarighet till artikel 13.5 kan däremot tänkas få betydelse inom den privata sektorn. Någon möjlighet att överklaga beslut i vanlig mening finns emellertid inte inom den sektorn, även om ibland en fråga kan hänskjutas till prövning i särskild ordning, t.ex. en fråga om
82 SOU 1993: 10
försäkringsersättning till en särskilt inrättad nämnd på försäkringsom- rådet. Den enskilde får göra sina anspråk gällande på civilrättslig grund. I sista hand har han alltid möjlighet att vända sig till någon annan för att få den aktuella varan eller tjänsten levererad eller utförd. Det har inte heller, såvitt utredningen känner till, kommit fram några egentliga önskemål om en ordning som motsvarar den som anges i artikel 13.5. Inte heller den nu diskuterade artikeln bör alltså motsva- ras av någon bestämmelse i den nya datalagen.
Datalagsutredningen övergår nu till att behandla de krav på att en anmälan skall göras till dataskyddsmyndigheten som direktivförslaget ställer upp.
Innan någon behandling av personuppgifter får ske, skall enligt huvudregeln i artikel 18.1 en anmälan göras till dataskyddsmyndig- heten. Vad en sådan anmälan skall innehålla framgår av artikel 18.2. Den skall innehålla åtminstone den persondataansvariges namn och adress, behandlingens ändamål, de kategorier av enskilda som berörs, en beskrivning av de uppgifter eller slag av uppgifter som skall behandlas, de tredje män eller slag av tredje män till vilka uppgifterna kan komma att lämnas ut, tilltänkta överföringar till länder utanför EG— området samt en beskrivning av vidtagna säkerhetsåtgärder. Syftet med anmälningsskyldigheten är enligt kommentaren att anmälningarna skall ligga till grund för dataskyddsmyndighetens tillsyn av behandling av personuppgifter.
Medlemsstaterna skall emellertid enligt artikel 19.1 sörja för att an- mälningsskyldigheten förenklas eller helt faller bort i fråga om vissa slag av behandling. Det gäller sådan behandling som inte menligt påverkar de enskildas personliga integritet (wich do not adversely affect the rights and freedoms of data subjects). Erfarenheten visar, sägs det i kommentaren, att åtskillig behandling är av nyss nämnd beskaffenhet och sålunda inte kräver någon detaljerad eller allmän anmälan till dataskyddsmyndigheten.
l direktivförslaget (art. 19. 1) ges vissa exempel på sådan behandling som inte är ägnad att medföra några risker för den personliga integriteten. Hit hör framställande av brev eller olika handlingar genom ordbehandling eller sökning i sådana informationsdatabanker som står öppna för allmänheten. Vidare nämns behandling för att uppfylla skyldigheter som följer av lag eller annan författning eller skyldigheter på redovisnings-, beskattnings- eller socialförsäkringsom- rådet (the satisfaction of legal, accounting, tax or social security duties).
Utredningens förslag innebär, som utförligt utvecklas i avsnitt 13, att det nuvarande tillståndssystemet enligt datalagen avskaffas och ersätts med ett renodlat tillsynsförfarande. En av förutsättningarna för att detta skall kunna ske är emellertid att vissa datasamlingar genom anmälan kommer till Datainspektionens kännedom. Syftet med anmälningsförfarandet är att anmälningarna skall ligga till grund för
SOU 1993: 10 83
inspektionens tillsyn. Någon anmälningsskyldighet skall inte föreligga för sådan behandling av personuppgifter som inte kan sägas represente- ra någon risk från integritetssynpunkt.
Så långt har alltså utredningen inga invändningar mot de tankar som utvecklas i direktivförslaget. Vad som däremot kan diskuteras är den metod som används för att avgränsa anmälningsskyldigheten. Ut- gångspunkten i direktivförslaget är, som framgått, att all behandling skall anmälas. Vad som får tas undan är vissa slag av behandling som inte menligt påverkar de enskildas integritet.
Tanken är enligt direktivförslaget att man genom särskilda regler skall ange de olika kategorier av behandling som kan tas undan från anmälningsskyldigheten. Enligt uppgift finns det i Nederländerna och Frankrike 24 resp. knappt 40 särskilda författningar som för olika branscher och sektorer anger de slag av behandling som inte behöver anmälas. För att säkerställa att persondataansvariga är i stånd att med säkerhet bedöma huruvida en viss behandling av personuppgifter faller innanför eller utanför anmälningsskyldigheten, skall ett beslut om undantag för varje slag av behandling som omfattas specificera ändamål, slag av personuppgifter, slag av enskilda som berörs, slag av tredje män som berörs samt den tid som uppgifterna skall lagras och, om det är lämpligt, de villkor under vilka behandlingen skall utföras. I den mån en behandling av personuppgifter inte faller in under de särskilt reglerade undantagen skall den anmälas till dataskyddsmyndig- heten.
Exemplen från Nederländerna och Frankrike visar att det krävs åtskilliga regler för att lägga fast undantag från anmälningsskyldig- heten. Även med många sådana regler är risken betydande att ett mycket stort antal datasamlingar måste anmälas till dataskyddsmyndig- heten. Av särskilt intresse i sammanhanget är att titta närmare på de försök som har gjorts att inskränka tillståndsprövningen enligt den nuvarande datalagen. Det förenklade förfarandet som infördes av Datainspektionen var ett led i inspektionens ansträngningar att begränsa arbetet med de mera harmlösa datasamlingarna till förmån för de mera känsliga. Genom ändringarna i datalagen år 1982 begränsades uttryckligen tillståndskravet till de kategorier av personregister som ansågs vara särskilt känsliga. Syftet var att inskränka omfattningen av tillståndsprövningen och att i motsvarande mån öka tillsynsaktiviteter- na. Dessa mål uppnåddes också, men bara för en tid. Det dröjde inte länge förrän situationen var densamma som före lagändringarna med så många tillståndsansökningar att knappast några inspektioner kunde äga rum. Detta hängde naturligtvis samman med den ökade datorise- ringen och inget tyder på att datoriseringen i Sverige kommer att stanna upp. Det kan alltså komma att visa sig, att ett mycket stort antal behandlingar får anmälas till dataskyddsmyndigheten. Antalet kan bli så stort att den överblick över den integritetskänsliga databehandlingen som dataskyddsmyndigheten bör ha helt går förlorad.
84 SOU 1993:10
Ytterligare en olägenhet med det anmälningsförfarande som föreskrivs i direktivförslaget utgör den procedur som läggs fast för att förenklingar i eller undantag från anmälningsskyldigheten skall kunna göras. Enligt artikel 19.2 kräver en åtgärd för att förenkla eller göra undantag från anmälningsskyldigheten dataskyddsmyndighetens medverkan. Med tanke på de många undantag som måste göras blir belastningen på dataskyddsmyndigheten betydande. Handläggningen av dessa ärenden, som rör från integritetssynpunkt harmlös databehand- ling, kommer att ta i anspråk resurser som enligt utredningens förslag bör ägnas åt tillsyn. Som utredningen tidigare har nämnt och som utvecklas närmare i avsnitt 13 är tillsyn det kanske effektivaste instrumentet för ett gott integritetsskydd.
Det sätt på vilket avgränsningen av anmälningsskyldigheten har gjorts och det förfarande för att göra undantag från anmälningsskyldig- heten som anges i direktivförslaget är enligt utredningens mening förenade med så betydande olägenheter att någon harmonisering med förslaget till EG-direktiv inte bör ske i denna del. I stället kan det vara lämpligt att avgränsa anmälningsskyldigheten i den nya datalagen på samma sätt som tillståndsplikten enligt den gällande datalagen har bestämts, dvs. att det i lagen uttryckligen anges vilken databehandling som måste anmälas till Datainspektionen. Utredningen återkommer till frågan om anmälningsskyldigheten i avsnitt 14 i den allmänna motiveringen och i anslutning till 37 å i specialmotiveringen.
Utredningen vill i det här sammanhanget också ta upp en annan bestämmelse i direktivförslaget, nämligen artikel 16. Enligt den artikeln får en myndighet eller annan inte meddela för den enskilde menliga beslut, om beslutet fattas uteslutande genom sådan behandling av personuppgifter som innefattar en bedömning av hans person. Ett sådant beslut får dock meddelas i vissa fall. Ett undantag är om det följer av lag eller annan författning. Det andra undantaget (art. 16.2.a) innebär att den enskilde kan få acceptera ett sådant beslut, om beslutet meddelas inom ramen för ett avtal mellan den enskilde och den persondataansvarige eller inför slutande av ett sådant avtal, under förutsättning att den enskildes önskemål tillgodoses eller att lämpliga åtgärder vidtas för att skydda den enskildes intresse. l kommentaren framhålls att helt automatiska beslut kan komma att bli ett större problem i framtiden i takt med att mer och mer sofistikerade program och även expertsystem utvecklas.
Den typ av beslut som artikel 16 är avsedd att reglera torde f.n. bara förekomma i Sverige i form av s.k. credit scoring. Det är däremot sannolikt att tekniken utvecklas på ett sådant sätt att det i en framtid blir möjligt att meddela sådana beslut även på andra områden.
Artikel 16 är besvärlig att tolka och innehåller delvis bestämmelser som strider mot varandra. Huvudregeln om förbud mot helt auto- matiska beslut tar sikte på för den enskilde menliga beslut (adversely affecting him) samtidigt som ett av undantagen synes avse fall där den
SOU 1993: 10 85
enskildes synpunkter tillgodoses (provided any request by the data subject has been satisfied).
Enligt vad utredningen har inhämtat torde bestämmelserna i artikel 16 komma att överarbetas under den fortsatta beredningen inför Ministerrådets beslut. Med hänsyn till detta och till att behovet av en sådan föreskrift som nu diskuteras inte är överhängande, återfinns i utredningens förslag inte någon motsvarighet till bestämmelserna i artikel 16. Utredningen har därvid beaktat att användningen av credit scoring förutsätter tillstånd av Datainspektionen. Vidare kan nämnas att kreditupplysningslagen är föremål för översyn av kreditupplysnings- utredningen (Ju 1991106).
5.4 Utlämnande av personuppgifter
I detta avsnitt skall utredningen något belysa hur förslaget till EG- direktiv förhåller sig till offentlighetsprincipen och till bestämmelserna om utlämnande av personuppgifter mellan myndigheter.
Offentlighetsprincipen
Offentlighetsprincipen innebär att verksamheten hos staten och kommunerna i största möjliga utsträckning är öppen för insyn från allmänheten. Detta anses vara en förutsättning för att medborgarna skall kunna kontrollera hur myndigheterna fullgör sina uppgifter. Man brukar säga att syftet med offentlighetsprincipen är att den skall garantera rättssäkerheten, effektiviteten i förvaltningen och effektivite- ten i folkstyret. Offentlighetsprincipen har naturligtvis också betydelse för forskningen, kulturen och rent allmänt för det öppna samhälle som vi vill ha i Sverige.
Offentlighetsprincipen kommer till uttryck på flera sätt. Störst betydelse har säkert principen att alla medborgare har rätt att ta del av myndigheternas handlingar. Denna princip infördes i vårt land redan år 1766, då vi fick vår första tryckfrihetsförordning.
Principen att handlingar är offentliga finns numera fastslagen i tryckfrihetsförordningen (TF). I TF anges vilka slags handlingar som är tillgängliga för allmänheten.
Med handling avses enligt TF - förutom framställningar i skrift eller bild av vanligt slag - också s.k. tekniska upptagningar. ADB-upp- tagningar betraktas alltså som handlingar i detta sammanhang. Detta innebär bl.a. att en datasamling hos en myndighet är att anse som en handling. Alla handlingar hos en myndighet är emellertid inte tillgängliga för allmänheten. För att en handling skall omfattas av offentlighetsprincipen fordras också att den utgör en, som det heter i TF, allmän handling. En handling är allmän, om den förvaras hos en
86 SOU 1993: 10
myndighet och är att anse som inkommen till eller upprättad hos myndighet.
Vad gäller ADB—upptagningar anses sådana förvarade hos en myndighet, om upptagningen är tillgänglig för myndigheten i sådan form att man kan läsa den där. Innebörden av uttrycket "tillgänglig" är att varje sammanställning av sakligt sammanhängande uppgifter som en myndighet kan göra med hjälp av tillgängliga program är att anse som en handling som förvaras hos myndigheten. Förutsättningen är endast att sammanställningen skall kunna göras med rutinbetonade åtgärder. Förvarsrekvisitet är således uppfyllt oberoende av om myndigheten själv har haft eller anser sig ha behov av att söka efter eller sammanställa informationen i fråga.
Det räcker emellertid inte alltid med att en myndighet har en sådan faktisk tillgång till en ADB-upptagning som här har beskrivits för att upptagningen skall anses förvarad hos myndigheten. Är det fråga om en upptagning som ingår i ett personregister, krävs också att myndig- heten har rättslig befogenhet att göra en överföring av upptagningen till läsbar form. Om myndigheten saknar befogenhet att överföra en ADB-upptagning till läsbar form för den egna verksamheten, har allmänheten nämligen inte heller rätt att ta del av upptagningen.
En ADB-upptagning anses ha kommit in till en myndighet när någon utomstående har gjort den tillgänglig för myndigheten på så sätt att den där kan läsas. TF:s regler om när handlingar anses upprättade tar inte sikte särskilt på ADB-upptagningar. Reglerna innebär dock bl.a. att upptagningar, som ingår i ett ADB-register som förs fortlöpande, är upprättade när registren tas i bruk. Exempel på sådana register är myndigheternas skatteregister, polisregister, socialregister samt hälso— och sjukvårdsregister.
Den omständigheten att en handling, varmed alltså avses även ADB- upptagningar, är en allmän handling innebär inte nödvändigtvis att vem som helst kan få del av den. En del handlingar är nämligen hemliga därför att sekretess gäller för uppgifter i dem. Det betyder att allmänheten inte har rätt att läsa handlingarna och att myndigheterna är förbjudna att lämna ut dem. 1 TF finns de grundläggande be- stämmelserna om vilka begränsningar som får göras i handlingsoffent— ligheten. Närmare bestämmelser härom finns i sekretesslagen. I vilken utsträckning sekretess gäller för uppgifter hos myndigheterna tas inte upp i detta sammanhang. Här kan dock erinras om att en utgångspunkt vid utformningen av sekretesslagen har varit att man inte skulle åstadkomma mera sekretess än vad som är oundgängligen nödvändigt för att skydda det intresse som sekretessen skall tillgodose. Offentlig— het är alltså huvudprincipen.
Till sist skall i fråga om offentlighetsprincipen sägas att den också innefattar en rätt för enskilda att ta del av allmänna handlingar utan att de i samband därmed behöver uppge sitt namn eller det ändamål för vilket handlingen önskas utlämnad. TF tillförsäkrar sökanden anonymi-
SOU 1993110 87
tet. Om utlämnandet avser en handling som faller under någon bestämmelse i sekretesslagen, kan det dock hända att myndigheten behöver veta vem som vill ha handlingen eller vad den skall användas till för att pröva huruvida någon skada eller något men kan uppstå om handlingen lämnas ut.
Förhållandet mellan offentlighetsprincipen och förslaget till EG- direktiv
1 det följande skall pekas på några förslag i EG-direktivet som enligt utredningen berör offentlighetsprincipen.
I artikel 7 i direktivförslaget anges under vilka förutsättningar personuppgifter över huvud taget får behandlas. Artikeln anger således när det är lagligt att behandla personuppgifter. Med behandling (processing of personal data) förstås varje åtgärd som vidtas med personuppgifter, oavsett om åtgärden utförs automatiskt eller inte. Exempel på sådana åtgärder är att personuppgifterna röjs genom överföring, spridning av uppgifterna eller utlämnande av dem. Att lämna ut uppgifter med stöd av TF ur exempelvis en myndighets ADB— register innebär en behandling enligt artikel 7.
Av de fall då personuppgifter får behandlas enligt artikel 7 är det i princip endast ett fall som i detta sammanhang är av intresse. Det är det fall som regleras under punkten c. Enligt denna punkt får person- uppgifter behandlas om behandlingen behövs för att fullgöra åliggan- den som följer av lag eller annan författning. Inte något av de övriga i artikeln reglerade fallen då behandling av personuppgifter är laglig synes medge att personuppgifter lämnas ut med stöd av offentlig- hetsprincipen.
Frågan är då om den redovisade punkten c tillåter ett utlämnande i enlighet med offentlighetsprincipen. Någon närmare vägledning hur punkten skall tolkas ges inte i kommentaren till den. Enligt utred- ningen måste det anses tveksamt om den aktuella punkten verkligen kan ta sikte på bl.a. utlämnande enligt offentlighetsprincipen. Vad som talar för denna tolkning är att offentlighetsprincipen i betydelsen rätten att ta del av allmänna handlingar sådan som den tillämpas i Sverige saknar närmare motsvarighet i EG:s medlemsländer. Av betydelse för tolkningen är också att syftet med direktivförslaget är att fastställa en hög skyddsnivå, ett syfte som nog inte kan anses uppnås om offentlig— hetsprincipen som den tillämpas i Sverige får gälla. De författningar som avses torde vidare få uppfylla vissa krav på konkretion. Ut- redningen är därför närmast benägen att hävda den ståndpunkten att artikel 7 inte tillåter något utlämnande enligt offentlighetsprincipen, även om den ovan redovisade punkten enligt sin bokstav inte utesluter en sådan tolkning.
Här skall tilläggas att artikel 8 i förslaget till EG—direktiv innehåller vissa speciella restriktioner när det gäller behandlingen av personupp-
88 SOU 1993: 10
gifter av särskilt känslig natur. Med känsliga uppgifter avses uppgifter om bl.a. ras, etniskt ursprung, politisk uppfattning, religiös eller filosofisk övertygelse, hälsotillstånd och sexualliv. Sådana uppgifter får i princip behandlas endast om den enskilde skriftligen har samtyckt till det. Vissa undantag från denna huvudregel finns dock. Bl.a. får undantag göras i lag eller annan författning om det är påkallat av ett viktigt allmänt intresse och det i författningen finns föreskrifter bl.a. om vilka typer av uppgifter som får behandlas och vilka personer som får ha tillgång till personuppgifterna. Enligt utredningens uppfattning är det till följd av artikel 8 inte möjligt att med stöd av offentlig- hetsprincipen lämna ut känsliga uppgifter utan den enskildes samtycke.
Av intresse i detta sammanhang är vidare artikel 6. 1 .b. Enligt denna artikel måste insamling av uppgifter ske för specificerade, uttryckliga och lagliga ändamål och de insamlade uppgifterna får användas endast på ett sätt som är förenligt med dessa ändamål. I kommentaren till direktivet på denna punkt framhålls att ändamålet måste definieras och anges så snävt som möjligt.
När det gäller verksamheten hos myndigheterna, som ju skall tillämpa offentlighetsprincipen, regleras deras uppgifter i allmänhet relativt noggrant i lagar och förordningar. Särskilt av myndigheternas instruktioner brukar det framgå vilka arbetsuppgifter som en myndig- het har. Man kan säga att den verksamhet som myndigheterna skall ägna sig åt på sätt som den närmare preciseras i lagar och förordningar utgör den yttersta gräns för hur personuppgifter får behandlas.
En myndighet får således samla in personuppgifter endast om uppgifterna skall behandlas i den verksamhet som myndigheten är ålagd att utföra. Ändamålet med behandlingen av uppgifterna skall definieras så klart som möjligt i enlighet härmed. Enligt utredningen kan man inte gärna hävda att en myndighet samlar in uppgifter för att tillgodose offentlighetsprincipen. Innebörden härav är att ändamålet med behandlingen av uppgifter inte kan bestämmas på det sättet att det skall tillgodose offentlighetsprincipen. Ett utlämnande av personuppgif- ter med stöd av offentlighetsprincipen kan därmed inte anses förenligt med den ändamålsangivning som artikel 6.1.b föreskriver.
En annan fråga av intresse rör förhållandet mellan artikeln om ändamålsbestämningar och föreskriften i 2 kap. 3 & TF om myndig— hetens rättsliga befogenhet att göra överföringar av ADB-upptagningar.
Enligt 2 kap. 3 & TF anses, som har sagts ovan, en ADB-upptagning förvarad hos en myndighet, om upptagningen är tillgänglig för myndigheten med något tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den där kan läsas, avlyssnas eller på annat sätt uppfattas. Innebörden av uttrycket "tillgänglig" är att varje sammanställning av sakligt sammanhängande uppgifter som en myndighet kan göra med hjälp av tillgängliga program är att anse som en handling som förvaras hos myndigheten. Förutsättningen är endast att sammanställningen skall kunna göras med rutinbetonade
SOU 1993: 10 89
åtgärder. Förvarsrekvisitet är således uppfyllt oberoende av om myndigheten själv har haft eller anser sig ha behov av att söka efter eller sammanställa informationen i fråga.
Det räcker emellertid inte alltid med att en myndighet har en sådan faktisk tillgång till en ADB-upptagning som här har beskrivits för att upptagningen skall anses förvarad hos myndigheten. Är det frågan om en upptagning som ingår i ett personregister, krävs också att myndig- heten har rättslig befogenhet att göra en överföring av upptagningen till läsbar form. Om myndigheten saknar befogenhet att överföra en ADB-upptagning till läsbar form för den egna verksamheten, har allmänheten nämligen inte heller rätt att ta del av upptagningen. Kravet uttrycks på så sätt att någon överföring inte får göras, "om myndig- heten enligt lag eller förordning eller särskilt beslut, som grundar sig på lag, saknar befogenhet att göra överföringen". Som exempel på särskilda beslut, som grundas på lag, kan nämnas sådana beslut som Datainspektionen fattar med stöd av 65 första stycket 7 datalagen angående vilka personuppgifter som får göras tillgängliga.
Den fråga som här är av intresse är huruvida ett uppgivet registerän- damål kan anses utgöra en föreskrift eller ett beslut som begränsar myndighetens rättsliga befogenhet enligt 2 kap. 3 & TF och således också allmänhetens rätt att ta del av allmänna handlingar enligt TF.
Gällande rätt innebär att ett register skall föras för ett bestämt ändamål. Vidare skall iakttas att inte andra uppgifter registreras än som står i överensstämmelse med registrets ändamål samt att uppgifter inte samlas, lämnas ut eller används annat än i överensstämmelse med registerändamålet (7 5).
För tillståndspliktiga register bestäms registerändamålet av Datain- spektionen (5 5). När det gäller statsmaktsregister torde dock regering- en eller riksdagen i regel bestämma ändamålet. Om så inte har skett, bestäms ändamålet av Datainspektionen under förutsättning att registret är tillståndspliktigt (6 a 5). För övriga register, dvs. register som inte kräver tillstånd enligt 25 andra stycket och som inte inrättas av statsmakterna, bestäms ändamålet av den registeransvarige myndig- heten själv.
För åtskilliga av de register som myndigheterna för i dag är ändamålet förhållandevis vagt angivet. Inte sällan uppges ändamålet vara planering, tillsyn, statistik etc.
Enligt utredningens förslag skall ändamålet i fortsättningen bestämmas av den som ansvarar för personuppgifterna.
Ändamålsbeskrivningen är av avgörande betydelse både enligt gällande rätt och utredningens förslag för vilka bearbetningar som en myndighet för göra. Principen är den att en myndighet för göra endast sådana bearbetningar som ligger inom ramen för ändamålet. En central utgångspunkt när det gäller förvaringskriteriet i TF är att allmänheten skall få ta del av en upptagning i samma utsträckning som den är tillgänglig för myndigheten (likställighetsprincipen). Innebörden av
90 SOU 1993:10
denna princip är enligt utredningen att ett på visst sätt bestämt ändamål normalt måste anses medföra också en sådan begränsning i en myndighets befogenhet att göra överföringar, vilka avviker från ändamålet, som avses i 2 kap. 3 & TF.
Denna ståndpunkt skulle möjligen kunna ifrågasättas då det är myndigheten själv som har bestämt ändamålet. I förarbetena till 2 kap. 3 & TF synes man nämligen med "särskilt beslut" närmast ha åsyftat beslut meddelade av Datainspektionen (jfr prop. 1975/76:160, s. 87 ff). En så snäv tolkning vinner emellertid enligt utredningen inte stöd av lagtexten och skulle också innebära ett svårförståeligt undantag från likställighetsprincipen. Enligt utredningens mening bör därför en begränsning genom en åndamålsbestämning som en myndighet själv har beslutat om utgöra också en motsvarande begränsning för vad som utgör allmän handling enligt 2 kap. 3 & TF.
I detta sammanhang kan tilläggas att utredningens förslag att ändamålsbeskrivningar i framtiden skall vara mer preciserade kommer att leda till att inte bara myndighetens möjligheter till bearbetningar begränsas utan också att allmänhetens insyn i motsvarande mån begränsas.
Förslaget till EG—direktiv påverkar vidare principen i TF att en sökande som begär att få ut en handling har rätt att vara anonym. Det skydd som den som vill ta del av en handling på detta sätt åtnjuter anses utgöra ett viktigt inslag i offentlighetsprincipen. Anonymitets- skyddet har alltid setts som en del av offentlighetsprincipen, men det är först relativt nyligen som principen har lagfästs i TF (2:14). En annan sak är att sekretesslagen många gånger låter gränsen mellan hemlig och offentlig handling bero på en prövning av risken för skada vid utlämnande. I sådana fall kan det vara nödvändigt att den som begär att få ut en handling talar om vem han är och vad han skall ha handlingen till. Inte sällan anses t.ex. en viss handling kunna lämnas ut till forskare men kanske inte till andra personer på grund av risken för skada.
För att skydda den enskilde innehåller förslaget till EG-direktiv, som har redovisats i avsnitt 5.3, mycket långtgående krav på in- formation till den enskilde. Av särskilt intresse i detta sammanhang är artikel 12. Den artikeln rör vad den persondataansvarige skall iaktta då personuppgifter lämnas ut. Enligt denna artikel skall den persondataan- svarige förvissa sig om att den enskilde vid lämplig tidpunkt under- rättas om när uppgifter lämnats ut. En sådan underrättelse skall bl.a. innehålla uppgift om vem som är mottagare av utlämnade uppgifter. Vissa undantag medges från denna huvudregel. Informationsplikten gäller bl.a. inte om den enskilde redan har informerats om att ett utlämnande av uppgifterna kommer att ske eller kan komma att ske. Den gäller inte heller om skyldigheten att lämna ut uppgifterna har angetts i en författning som gör undantag från informationsplikten. Det skulle i anslutning till dessa undantag i direktivförslaget kunna hävdas
SOU l993:10 91
att allmänheten i Sverige är väl medveten om offentlighetsprincipens existens. Vidare är såväl myndigheternas skyldighet att lämna ut allmänna handlingar som anonymitetsskyddet reglerade i grundlag.
De nu berörda undantagen i direktivförslaget torde dock inte ge utrymme för att lämna ut personuppgifter enligt offentlighetsprincipen. Informationsplikten för den persondataansvarige enligt direktivförslaget syftar till att ge den enskilde kunskap om den behandling som pågår i det särskilda fallet så att han i fråga om den enskilda datasamlingen kan utöva sina rättigheter enligt dataskyddsbestämmelserna. Vidare torde de författningar som åsyftas i direktivförslaget få uppfylla vissa krav på konkretion (jfr vad som i det föregående sagts om art. 7.0).
Ett annat undantag innebär att informationsplikten inte gäller när utlämnande sker till en tredje man för att tillgodose "an equivalent right of another person and the rights and freedoms of others" (art. 12.2 och 14.1. g). Eventuellt skulle principen om anonymitetsskydd kunna upprätthållas med stöd av denna undantagsregel. I en motsvaran- de situation har nämligen enligt Europarådskonventionen tryckfriheten (freedom of the press) angetts som ett exempel på vad som innefattas i uttrycket "the rights and freedoms of others" (se art. 8.b, 9.b och punkt 58 i kommentaren). Utredningen är emellertid inte övertygad om att denna tolkning är korrekt.
Av intresse för offentlighetsprincipen är vidare artikel 6.e. Enligt denna artikel skall personuppgifter gallras när de inte längre behövs för de ändamål för vilka de behandlas. Artikeln medger dock att personuppgifter får lagras längre än vad som nu har sagts om de kan anses ha ett historiskt intresse eller om de lagras för att användas för forskning eller statistik.
Offentlighetsprincipen bygger på förutsättningen att en myndighets handlingar i rimlig utsträckning finns kvar även när de inte längre behövs i myndighetens verksamhet. Rätten till insyn i myndigheternas verksamhet är inte begränsad i tiden. I praktiken är det naturligtvis på det sättet att insynsintresset klingar av med tiden. Samtidigt förhåller det sig så att äldre allmänna handlingar i vissa fall kan ha ett särskilt stort intresse. Som exempel härpå kan nämnas att det nu, när sekre- tesstiden löpt ut, är möjligt att få fram vilka åtgärder som vidtogs av svenska myndigheter under andra världskriget.
Direktivförslaget innehåller inte något undantag från huvudregeln om gallring som gör det möjligt att bevara personuppgifter med hänsyn till offentlighetsprincipen.
Inte sällan lär ändamålet med behandlingen vara sådant att person- uppgifterna måste bevaras under lång tid. I andra fall, t ex när det gäller personuppgifter som används i och för myndigheternas ärende- hantering, lär det ofta vara så att uppgifterna inte behövs annat än under förhållandevis kort tid. En viss tid efter det att ärendet är avslutat lär myndigheten många gånger inte behöva uppgifterna längre.
92 SOU l993:10
Offentlighetsprincipen anses särskilt viktig just när det gäller myndigheternas myndighetsutövning, alltså i myndigheternas utövning av befogenheter att bestämma om förmåner, rättigheter, skyldigheter, disciplinär bestraffning och liknande. Det är givet att personuppgifter som används i nu nämnda sammanhang kan ha ett stort allmänt intresse även efter det att ett ärende är avslutat.
Inga begränsningar i offentlighetsprincipen
Offentlighetsprincipen brukar, som har sagts ovan, definieras som den grundsats enligt vilken samhällsorganens verksamhet skall ske under allmän insyn och kontroll. Den offentliga verksamheten måste ligga öppen för medborgarna och de nyhetsförmedlande organen på sådant sätt att dessa kan inhämta upplysningar i skilda angelägenheter efter eget val, oberoende av myndigheternas informationsgivning. Offentlig- hetsprincipen utgör, som har framhållits, en garanti för rättssäkerheten, effektivitet i förvaltningen och effektivitet i folkstyret. Principen om allmänna handlingars offentlighet och yttrandefriheten är inslag i offentlighetsprincipen. Meddelarfriheten, dvs. rätten för var och en att utom i vissa undantagsfall lämna uppgifter i vilket ämne som helst för publicering, kan också ses som en del av det regelverk genom vilket offentlighetsprincipen förverkligas.
Offentlighetsprincipen är omistlig för den svenska rättsordningen och för demokratin i Sverige. Genom rätten att få ut allmänna handlingar främjas ett fritt meningsutbyte och en allsidig upplysning. Handlingsoffentligheten utgör ett inslag i den medborgerliga yttrande— och informationsfriheten och är därmed en av förutsättningarna för den fria demokratiska åsiktsbildningen. Också meddelarfriheten är av central betydelse för den fria åsiktsbildningen genom massmedia. Väsentliga och viktiga samhällsintressen får inte åsidosättas genom ökad sekretess, som hindrar en i grunden sund och för ett öppet demokratiskt samhälle nödvändig kontroll och insyn.
En svensk harmonisering med EG:s regler måste enligt utredningen ske på ett sätt som är förenligt med offentlighetsprincipen. Det är viktigt att vi från svensk sida i det kommande integrationsarbetet hävdar vår tradition av betydande öppenhet i förvaltningen.
Med hänsyn till det sagda har utredningen utgått från att inga inskränkningar skall göras i offentlighetsprincipen. Den fråga som utredningen därmed har haft att överväga är på vilka sätt förslaget till datalag måste avvika från det föreslagna EG-direktivet för att offentlig- hetsprincipen skall lämnas orörd. Utredningen har därvid kommit till följande slutsatser.
När det gäller sådan behandling som innefattar utlämnande av personuppgifter med stöd av offentlighetsprincipen, har utredningen ovan redovisat den ståndpunkten att artikel 7 visserligen inte-tillåter något utlämnande. Vid en ren bokstavstolkning utesluter dock punkten
SOU 1993: 10 93
c i artikeln inte en sådan tolkning. Om i datalagen tas in en be- stämmelse av i princip samma lydelse som punkten c, blir det formellt möjligt att lämna ut uppgifter enligt offentlighetsprincipen. Någon formell avvikelse från direktivet behövs således inte här (se 11 5 första stycket 3 förslaget till datalag).
Vad som nu har sagts om artikel 7.c och 11 5 första stycket 3 förslaget till datalag gäller också artikel 8.3 och 33 5 4 förslaget till datalag. Regleringen i 32 - 35 55 om behandling av känsliga uppgifter för anställningsändamål innehåller dock inte några bestämmelser om vem som får ha tillgång till uppgifterna, vilket krävs enligt artikel 8.3 i direktivförslaget.
Däremot måste den föreskrift i datalagen som motsvarar direktivför- slagets artikel om ändamålsbestämning förses med ett undantag. Som utredningen ovan har hävdat kan inte ändamålet med en behandling vara att uppfylla offentlighetsprincipen, eftersom en myndighet inte kan anses samla in uppgifter i detta syfte. När det gäller kravet på ändamålsbestämning vid behandling av personuppgifter fordras därför ett undantag av innebörd att en myndighet får lämna ut personuppgifter enligt TF (se 9 & andra stycket). Ett sådant undantag behövs också när det gäller bestämmelsen om registerforskning i 305 andra stycket förslaget till datalag. De förutsättningar som skall föreligga för att uppgifter skall kunna lämnas ut enligt den föreskriften innefattar inte ett utlämnande med stöd av offentlighetsprincipen. Det undantag som behövs återfinns i tredje stycket i den berörda paragrafen.
För att den som vill ta del av en handling skall kunna garanteras det anonymitetsskydd som TF ger, kan vidare i datalagen inte tas in någon motsvarighet till artikel 12 om att enskilda som berörs skall underrättas om ett utlämnande. Någon sådan skyldighet föreskrivs således inte i förslaget till datalag. Att även andra skäl talar för att inte i datalagen ta in en motsvarighet till artikel 12 har berörts i avsnitt 5.3.
Vad gäller förslaget i EG—direktivet till gallring innebär det som utredningen ovan har anfört att underlaget för offentlighetsprincipen starkt beskärs. Som utredningen har anfört bygger offentlighetsprin- cipen på förutsättningen att en myndighets handlingar finns kvar även när de inte längre behövs i myndighetens verksamhet. I arkivlagen (1990:782) kommer denna tanke till uttryck på det sättet att myndig- heternas arkiv skall bevaras, hållas ordnade och vårdas så att de tillgodoser bl.a. rätten att ta del av allmänna handlingar (se 3 & tredje stycket). För att denna princip skall kunna upprätthållas när det gäller personuppgifter måste en erinran om den göras i datalagen (se 19 & förslaget till datalag).
Dessa slutsatser bygger på direktivförslagets nuvarande lydelse.
Som tidigare sagts råder dock en oenighet inom EG om hur ett framtida direktiv skall vara utformat. Inom Kommissionen har uttalats att avsikten med direktivet inte varit att omöjliggöra för de länder som har en offentlighetsprincip att ha denna kvar. Man har bl.a. pekat på
94 SOU 1993: 10
förslagets artikel 9 enligt vilken medlemsländerna i yttrandefrihetens intresse skall undanta pressens behandling av personuppgifter från direktivets tillämpningsområde. Vidare har framförts att förslaget lämnar vida marginaler för medlemsländerna vid införandet av direktivets bestämmelser i den nationella lagstiftningen. Den gransk- ning som genomförs under det fortsatta arbetet på direktivförslaget kan, som utredningen ser det, antas ske i ljuset av den utveckling mot ökad insyn och öppenhet som är på gång inom EG.
Det är också möjligt att det förhållande som tidigare nämnts, att samtliga medlemsländer inom EG snart kommer att ha antagit nationella dataskyddslagar och anslutit sig till Europarådets dataskydd- skonvention, kan göra att behovet av att anta direktivförslaget minskar. Grundtanken i direktivförslaget är ju densamma som i dataskyddskon— ventionen, nämligen att det i alla konventionsstater skall gälla gemensamma regler till skydd för den personliga integriteten och att restriktionerna för överföring av uppgifter mellan länderna begränsas. En av de grundläggande principerna i dataskyddskonventionen är som nämnts i avsnitt 4.2. att överföring av personuppgifter som undergår automatisk databehandling mellan konventionsstater i princip skall vara fri.
Utlämnande av personuppgifter mellan myndigheter
l EG-kommissionens direktivförslag ges en uttömmande uppräkning av vilka slag av behandling av personuppgifter som är tillåtna (art. 7). All behandling - inbegripet utlänmande - som inte grundas på den enskildes samtycke, skall vara nödvändig.
Offentlighetsprincipen är tillämplig även myndigheter emellan (jfr Justitiekanslerns uttalande i beslut JK 1985 s. 104).
Den svenska sekretesslagens huvudregel, att sekretess råder mellan myndigheter, torde inte stå i strid med direktivförslaget. Problemet är det omvända, nämligen om de svenska sekretessbrytande reglerna är förenliga med direktivet.
Regler om begränsningar i sekretessen finns främst i 1 kap. 5 å och 14 kap. sekretesslagen (1980:100). 1 1 kap. 5 å finns bestämmelser om nödvändigt utlämnande av uppgifter medan 14 kap. 1 - 3 åå innehåller generella begränsningar i sekretessen mellan olika myndigheter.
Enligt 1 kap. 5 å sekretesslagen hindrar sekretessen inte att en myndighet lämnar ut uppgift till en annan myndighet eller självständig verksamhetsgren inom samma myndighet, om utlämnandet är nöd- vändigt för att den utlämnande myndigheten skall kunna fullgöra sin verksamhet. Den bestämmelse i artikel 7 i direktivförslaget, som kan ge stöd åt denna regel i sekretesslagen, är punkt c 1 den del be- stämmelsen åsyftar verksamhet som är nödvändig för att fullgöra tjänsteåligganden. Även artikel 7.e torde kunna åberopas.
SOU 1993: 10 95
Enligt 14 kap. 1 å första meningen sekretesslagen får en sekretess- belagd uppgift alltid lämnas till regeringen eller riksdagen. Detta kan vara nödvändigt i t.ex. vissa dispensärenden. Utan hinder av sekretess får enligt samma lagrum (andra meningen) en myndighet lämna ut uppgifter till en annan myndighet eller till en självständig verksamhets- gren inom samma myndighet, om uppgiftsskyldigheten följer av lag eller förordning. Exempel härpå är 3 kap. 17 å taxeringslagen (l990:324) angående rätt för andra myndigheter att ta del av själv- deklarationer eller läkares skyldighet att enligt 2 å kungörelsen (1957z632) om cancerregister anmäla upptäckta fall av sjukdomen till cancerregistret.
Första meningen i 14 kap 1 å kan — beroende på utlämnandets art — grundas på antingen artikel 7.c eller 7.c i direktivförslaget. Andra meningen refererar till skyldigheter som följer av lag eller förordning och täcks därför av artikel 7.c.
Genom 14 kap. 2 å sekretesslagen möjliggörs utlämnande av sekretessbelagda uppgifter till en annan myndighet, om uppgifterna behövs där för granskning av den verksamhet där uppgiften före- kommer. Sådan granskning kan avse - rättsligt förfarande mot tjänsteman, - omprövning av myndighets beslut, - tillsyn över eller revision hos myndighet.
Sekretessbelagda uppgifter kan även lämnas i yttranden av sakkun- nig till domstol eller myndighet som bedriver förundersökning i brottmål. Sekretessen inom hälso- och sjukvården samt socialtjänsten hindrar dessutom inte att misstanke om brott anmäls till polis eller åklagare i vissa fall.
Även beträffande 14 kap. 2 å kan alternativt direktivförslagets artikel 7.c eller 7.e åberopas.
I 14 kap. 3 å sekretesslagen finns en generalklausul som tillåter utlämnande av sekretessbelagda uppgifter till en annan myndighet, om det är uppenbart att intresset av att uppgifterna lämnas har företräde framför det intresse som sekretessen skall skydda. Detta lagrum täcks inte av artikel 7.c i direktivförslaget eftersom lagrummets tillämpning innebär en intresseavvägning. Däremot är bestämmelsen sannolikt förenlig med artikel 7.e. Visserligen är det svenska uppenbarhets— rekvisitet och direktivförslagets nödvändighetsrekvisit till sitt innehåll olika, men innebörden av begreppen vid den praktiska rättstillämp- ningen kan antas överensstämma tämligen väl.
Sammanfattningsvis förefaller ingen konflikt att föreligga mellan, å ena sidan, de sekretessbrytande reglerna avseende utlämnande av personuppgifter mellan myndigheter och, å andra sidan, direktivför- slagets bestämmelser i artikel 7.
Förslaget till EG-direktiv innehåller en definition av "tredje man", vilken omfattar alla fysiska personer, juridiska personer och myndig- heter utom den enskilde (data subject), den persondataansvarige och
96 SOU 1993: 10
envar som behandlar personuppgifter under dennes tillsyn eller på hans uppdrag (art. 2.0.
Om ett utlämnande inte kan grundas på artikel 7, innebär direktiv- förslaget att uppgifter inte får lämnas ut till tredje man. Enligt sekretesslagen gäller i princip att sekretessbelagda uppgifter inte får röjas för enskilda och för andra myndigheter. Bestämmelserna om sekretessen myndigheterna emellan gäller också i förhållandet mellan olika verksamhetsgrenar inom samma myndighet (1 kap. 2 och 3 åå). Direktivförslaget och sekretesslagen drar således upp gränsen för obehörigt uppgiftslämnande på något olika sätt. Från integritetssyn- punkt torde emellertid denna skillnad inte ha någon nämnvärd betydelse. Med hänsyn härtill anser utredningen att direktivets definition av tredje man inte bör tas in i den svenska datalagen.
SOU 1993: 10 97
6 Lagens tillämpningsområde; per- sonregister, persondatamängd eller personuppgift?
6. 1 Gällande rätt
Med begreppet personregister förstås enligt 1 å datalagen "register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling (ADB) och som innehåller personuppgift som kan hän- föras till den som avses med uppgiften. "
l specialmotiveringen till 1 å anförde departementschefen om registerbegreppet bl.a. följande (prop. 1973:33 s 118 f):
Vad beträffar begreppet register bör därunder falla förutom register även förteckningar och andra anteckningar. Uppenbarligen avses i första hand förteckningar som omfattar ett flertal faktiska uppgifter av likartat slag. l undantagsfall bör det emellertid kunna vara fråga om endast en enda uppgift. För att ett register skall anses föreligga måste det emellertid direkt eller indirekt vara fråga om behandling från informationssynpunkt av faktiska uppgifter. Ett ADB-register kan sålunda inte anses upprättat bara genom att löpande text lagras i ett datamedium, exempelvis för att sättning skall kunna ske med hjälp av ADB-teknik. Uppenbarligen faller på grund härav åtskilli databehandling av olika slags litteratur, främst skönlitteratur, utan ör datalagens tillståndssystem. Först i den mån databehandlingen tar sikte på faktiska uppgifter i den litterära framställningen - såsom för upprättande av mnehållsregister eller liknande - föreligger ett register i datalagens mening. Vidare bör ett register anses föreligga, om de lagrade uppgifterna skall användas för att framställa exem elvis en telefonkatalog, ett adressregister eller en taxeringskalen er. Den närmare gränsdragningen när det gäller att bestämma registerbegrettzpets innebörd får göras i praxis. Aven frågan huruvi a ett eller era register skall anses föreligga får avgöras närmare i praxis. Jag ansluter mig till SCBs uppfattning att det ofta torde vara lämpligt att betrakta hela system av datafiler och till dessa hörande härlednings- och bearbetningsprogram som ett enda personregister. En förutsättning bör dock vara att systemet tekniskt och administrativt fungerar så, att det är naturligt att uppfatta det som en enhet.
Med hänsyn till vad jag nu har anfört anser jag att med person- register i datalagens mening bör avses register, förteckning eller
98 SOU 1993: 10
andra anteckningar som förs med hjälp av ADB och som innehåller personuppgifter som kan hänföras till den som avses med uppgiften.
Avgörande för frågan om datalagen över huvud taget är tillämplig på ett register är vidare huruvida registret förs med hjälp av ADB eller inte. Register som förs med hjälp av annan teknik än ADB faller i dag utanför datalagens tillämpningsområde.
Med begreppet personuppgift avses upplysning som avser enskild person. Sådana personuppgifter kan vara av många olika slag. Upplysningar som avser en persons namn, personnummer, födelseda— tum, nationalitet, utbildning och familje- och anställningsförhållanden är självklart att anse som sådana personuppgifter. Även upplysningar som är av mindre personlig natur kan emellertid anses utgöra personuppgift. Hit bör enligt lagmotiven höra exempelvis upplysningar om en persons bostadsförhållanden, banktillgodohavanden, fastighets- eller bilinnehav samt upplysningar som i övrigt rör en persons ekonomiska ställning.
En personuppgift kan hänföras till en viss person antingen direkt genom själva personuppgiften eller med hjälp av särskild identitetsupp- gift som också ingår i registret. En identitetsuppgift behöver dock inte var entydig och unik eller sådan att den är mera allmänt bekant. Även register som inte innehåller andra identitetsuppgifter än sådana som gör det möjligt enbart för den invigde att förstå vilken person som en upplysning avser omfattas av datalagens bestämmelser.
Om en person kan identifieras genom anställningsnummer, med- lemsnummer, kundnummer eller liknande är registret att anse som ett personregister. Detsamma gäller statistiska uppgifter där beteckningar och dylikt som också återfinns på dokument gör det möjligt att återknyta uppgifterna till en viss person.
Ur praxis kan hämtas följande fall. Ett fall som år 1975 prövades av regeringen gällde ett register som avsåg att kontrollera telefondebiteringen på ett företag genom att uppgift om samtal som fördes på vissa telefonanknytningar registrera— des. Eftersom uppgifterna inte med säkerhet kunde knytas till en viss anställd person, då varje telefonanknytning disponerades av flera personer, ansågs dock inte ett personregister föreligga.
Ett spaningsregister som Generaltullstyrelsen förde skulle enbart innehålla olika uppgifter om transportmedel (bilar, fartyg etc.) såsom transportmedelskod, fartygshamn, registreringsnamn, fabrikat, färg, årsmodell och särskilda kännetecken. Registret ansågs likväl vara personregister, eftersom ändamålet med registreringen var att söka upplysning om enskild person och det dessutom till exempelvis varje motorfordon fanns en ägare anknuten.
Av betydelse för personregisterbegreppet är också ändamålet med ett register. I ett tillståndsärende skall datainspektionen enligt 5 å datalagen meddela villkor om ändamålet med registret. Enligt de
SOU 1993: 10 99
allmänna bestämmelserna i 7 å datalagen skall vidare ett personregister föras för ett bestämt ändamål (se också 7 aå om innehållet i den förteckning som en registeransvarig skall ha över sina personregister).
6.2 Europarådets konvention
[ Europarådskonventionen (se avsnitt 4.2) definieras (art. 2) perso— nuppgift, automatiskt dataregister och automatisk behandling på följande sätt:
Personuppgift (personal data): varje information som är hänförlig till en identifierad eller identifierbar individ (datasubjekt/datasubject).
Automatiskt dataregister (automated data file): varje mängd (set) uppgifter (data) som är föremål för automatisk behandling.
Automatisk behandling omfattar följande operationer, om de helt eller delvis utförs på automatisk väg (by automated means): lagring av data, utförandet av logiska och/eller aritmetiska operationer med dessa data samt ändring, strykning, återhämtning eller spridning av dem (alteration, erasure, retrieval or dissemination).
6.3 Förslaget till EG-direktiv
I det första utkastet till EG-direktiv används följande definition (art. 2) av personregister (personal data file): varje mängd (set) av person- uppgifter, oavsett om de är centraliserade eller geografiskt utspridda, som är föremål för automatisk behandling eller som, även om de inte är föremål för automatisk behandling, är strukturerade och tillgängliga i en organiserad samling i enlighet med vissa särskilda kriterier, på sådant sätt att användningen eller kombinationen av dem underlättas (...structured and accessible in an organized collection according to specific criteria in such a way as to facilitate their use or com- bination).
Direktivförslaget i den andra versionen är tillämpligt på automatisk behandling av personuppgifter och sådan manuell behandling av personuppgifter som innebär att uppgifterna är eller avses bli ordnade i ett register, dvs. så att sökning av personuppgifter underlättas (art. 3.1).
Med personuppgift (personal data) avses varje information som är hänförlig till en identifierad eller identifierbar fysisk person (data- subjekt/data subject); en identifierbar person är någon som kan identifieras, direkt eller indirekt, särskilt genom hänvisning till ett identifikationsnummer eller genom en eller flera faktorer som är utmärkande för hans fysiska, psykologiska, mentala, ekonomiska, kulturella eller sociala identitet (art. 2.a första stycket).
100 SOU 1993:10
Uppgifter som presenterats i statistisk form som är av sådan karaktär att de berörda personerna inte längre rimligen kan identifie- ras, räknas inte som personuppgifter (art. 2.a andra stycket).
Enligt kommentaren till direktivförslaget kan en person identifieras direkt genom namn eller indirekt genom ett telefonnummer, bil- registreringsnummer, socialförsäkringsnummer, passnummer eller genom en kombination av utmärkande kriterier som medger att en person känns igen genom att den grupp han tillhör begränsas. Det kan röra sig om exempelvis ålder, yrke eller bostadsort. Definitionen täcker också uppgifter som gäller utseende, röst, fingeravtryck eller genetiska kännetecken.
Någon definition av begreppet avidentifierade uppgifter (depersona- lized data) finns inte i direktivförslaget. Detta innebär enligt kommen— taren att frågan om uppgifter är avidentifierade inte är avhängig av kostnaden för att bestämma den enskildes identitet. Det har emellertid, som ovan angivits, ansetts nödvändigt att, i de speciella fall när uppgifter sammanställts i form av statistik, ange att uppgifterna inte kan betraktas som personuppgifter om de enskilda inte längre rimligen kan identifieras.
Med behandling (processing of personal data, processing) förstås varje åtgärd eller mängd (se!) av åtgärder som vidtas med personupp- gifter, oavsett om åtgärden utförs automatiskt eller inte. Sådana åtgärder är insamling, inmatning, strukturering, lagring, bearbetning eller ändring, återvinning (retrieval), sökning (consultation), an- vändning, röjande genom överföring, spridning eller på annat sätt göra tillgängligt, innehållande, radering eller förstörande (art. 2.b).
] kommentaren anges att en vid definition valts för att individer skall tillförsäkras ett skydd. Definitionen täcket därför allt från insamling till utradering av uppgifter.
6.4 Utredningens tidigare ställningstaganden Allmänna utgångspunkter Register, ADB, ändamål och personuppgift
Det nuvarande personregisterbegreppet innefattar tre rekvisit som var för sig är nödvändiga för en avgränsning av begreppet, nämligen register, automatisk databehandling och personuppgift. Härtill kommer att varje register skall föras för ett bestämt ändamål.
Begreppet register innefattar ett krav på att de uppgifter som avses är ordnade i en förteckning eller på annat sätt strukturerade. Vissa av de s.k. applikationsprogram som förekommer vid datoranvändning
SOU 1993:10 101
avser just registerhantering, dvs. gör det möjligt för användaren att registrera, söka, sortera och skriva ut framtagen information.
I fråga om begreppet automatisk databehandling (ADB) har utred- ningen i ett tidigare betänkande funnit att det med hänsyn till den tekniska utvecklingen är svårt att finna en klar och entydig definition av begreppet. Å andra sidan har utredningen funnit att de tekniska begreppsförhållandena inte i sig behöver leda till tillämpningssvårig- heter, under förutsättning att personregisterbegreppet som sådant kan ges en tillfredsställande utformning.
Möjligheterna att på automatisk väg lagra data (uppgifter), liksom att utföra logiska och/eller aritmetiska operationer med dessa data samt ändra, stryka, återfinna eller sprida dem, ökar ständigt genom den informationsteknologiska utveckling som pågår.
Varje försök att avgränsa ett rättsligt begrepp som personregister med hänsyn till förekomsten av tekniska rekvisit är dömt att misslyckas redan med hänsyn till den utvecklingstakt som informationsteknologin nu uppvisar.
Ändamålet är centralt för personregisterbegreppet. Ändamålet med ett register, som gäller upplysning eller uppgift som avser enskild person (personuppgift), anger på olika sätt dess tillåtna användnings— område enligt nuvarande bestämmelser (se bl.a. 3, 5, 7 och 7 a åå datalagen).
I sin tidigare behandling av personregisterbegreppet har utredningen framför allt berört två aspekter; dels att begreppet bör göras oberoende av förefintliga tekniska registerbegrepp, dels att ändamålet med informationshanteringen bör vara av avgörande betydelse.
Utredningens hittillsvarande överväganden har kritiserats av flera remissinstanser. Kritiken har huvudsakligen avsett att utredningens resonemang varit otydligt eller motsägelsefullt och att analysen inte varit nog grundlig. Särskilt Juridiska fakultetsnämnden vid Stockholms universitet har i sitt yttrande uppehållit sig vid personregisterbegreppet.
Enighet förefaller att råda i frågan om att det rent ADB—tekniska registerbegreppet (att ett register, file, består av en mängd lagrade sammanhängande poster som behandlas som en enhet i datorn) inte ensamt bör vara styrande. Som påpekas i bl.a. yttrandet från Juridiska fakultetsnämnden vid Stockholms universitet kan dock inte bortses från den betydelse som uppgiftssamlingars uppbyggnad och struktur i en logisk dataorganisation har. Datasamlingar som inte låter sig systema— tiskt utnyttjas och bearbetas för att återfinna eller på andra sätt ta fram personanknuten information bör således helt falla utanför begreppet personregister.
På motsvarande sätt bör inte informationshantering omfattas som inte till någon del är föremål för automatisk, dvs. icke manuell, databehandling.
Den automatiska databehandlingen innebär att en viss datamängd kan struktureras och sammanställas så att register eller förteckning i
102 SOU 1993:10
egentlig mening uppstår. ADB-begreppet med sitt krav på att lagrade uppgifter på automatisk väg kan göras till föremål för vissa logiska och/eller aritmetiska operationer innefattar således i sig ett slags bestämning av begreppet register.
Vad som skiljer hanteringen av en viss informationsmängd med ADB från en manuell sammanställning och strukturering av uppgifter i register eller andra förteckningar är givetvis de utvidgade möjlig- heterna till lagring, bearbetning, sammanställning och spridning av en datamängd som tekniken medger. Som Riksdagens ombudsmän påpekat är det genom ADB-tekniken som sådan som riskerna för integri- tetskränkningar dramatiskt ökar. Riskerna med en ADB-hantering av personuppgifter finns således, oberoende av huruvida ett register i traditionell betydelse föreligger.
Den tekniska utvecklingen och ADB-begreppet, sådant det vanligen förstås, kan således sägas ha gjort begreppet register föråldrat. En fortsatt användning av begreppet när det gäller integritetsskydd på ADB-området kan snarare bidra till att oklarhet uppstår, bl.a. därigenom att det, som nämnts, kan förväxlas med ett rent ADB- tekniskt registerbegrepp.
Mot denna bakgrund föreslår utredningen att begreppet person- register helt utmönstras och ersätts med persondatamängd. Termen persondatamängd, dvs. en samling personuppgifter, förutsätter inte att uppgifterna är ordnade som i ett register eller förteckning. Det kan t.ex. vara fråga om personuppgifter i en löpande text. Återkopplingen till en viss logisk uppbyggnad av och struktur på uppgifterna finns, som redan framgått, i kravet på att databehandlingen skall vara automatisk, dvs. ske med ADB—teknik. Resonemanget förutsätter givetvis att datalagen även för framtiden bara skall avse användning av sådan teknik. Den slutsats som i denna del redovisas i det första betänkandet har utredningen inte funnit skäl att revidera.
Skyddsföremålet kan emellertid inte avse en obestämd mängd information som innefattar personuppgifter. Den nödvändiga av- gränsningen bör göras med hänsyn till det ändamål som uppgifterna hänför sig till.
Begreppet ändamål är grundläggande för integritetsskyddet enligt nuvarande ordning. I utredningens direktiv anges också att det kan behövas förtydliganden eller kompletteringar för att ge detta centrala begrepp en mera konkret betydelse.
Det bör därför anges att de uppgifter som skyddas enligt datalagen är en datamängd bestående av en samling personuppgifter som hänförs till ett visst ändamål. Det innebär att om ett ändamål ändras kan en ny persondatamängd i datalagens mening föreligga, även om informatio- nen är densamma. Ändamålsangivning bör ske med tillräcklig precision. Det är inte tillräckligt att, som utredningen tidigare fram- hållit, enbart hänvisa till exempelvis "samhällsplanering" eller "forskning" för att ett tydligt angivet ändamål skall anses föreligga.
SOU 1993:10 103
I fråga om begreppet personuppgift, som nu anges som upplysning som avser enskild person, bör slutligen den ändringen göras, att be- stämningen bättre knyter an till den definition som ges i Europarådets dataskyddskonvention (jfr även utkastet till EG-direktiv på denna punkt):
Personuppgift är varje upplysning som ensam eller tillsammans med andra upplysningar är hänförlig till en identifierad eller identifierbar enskild person.
Härigenom anges uttryckligen att det skall vara frågan om en an- knytning till en viss bestämd person. Liksom f.n. bör inte juridiska personer omfattas.
Vad som har sagts i det föregående innebär att, förutom begreppet personuppgift, begreppen ADB och ändamål är väsentliga för att avgränsa personregisterbegreppet, dvs. begreppet persondatamängd med den föreslagna terminologin. Emellertid är det inte tillräckligt att bestämma dessa rekvisit. Den informationstekniska utvecklingen leder till att ställning också måste tas till om redan en teknisk möjlighet att strukturera en viss datamängd skall vara nog för att en persondata— mängd i nu angiven mening skall anses föreligga eller om begreppet skall kvalificeras genom att användarens syfte med en viss informati- onshantering också beaktas.
En avgränsning med hänsyn till syftet att utnyttja de tekniska möjligheterna
Av grundläggande betydelse för en avgränsning av begreppet person- register, eller med utredningens föreslagna terminologi "persondata— mängd", är som nämnts huruvida begreppet skall omfatta alla de möjligheter till framtagning av personuppgifter som ett visst tekniskt systern erbjuder eller om begränsningar skall föreskrivas i denna del.
Utredningen har i sina tidigare överväganden hittills närmast utgått från att enbart den teoretiska och tekniska möjligheten inte bör vara tillräcklig för att ett personregister (persondatamängd) skall anses föreligga, utan att i linje med nuvarande praxis syftet med en in- formationshantering som kopplas till ADB-teknik och därmed användningen av visst system bör kvalificera begreppet.
När utredningen betonat betydelsen av ändamålet med informations- hanteringen har avsetts just syftet att utnyttja de tekniska möjligheterna, nämligen att ur en datasamling systematiskt söka, ta ut eller samman- ställa personuppgifter, dvs. uppgifter som kan hänföras till en enskild person, oberoende av på vilket tekniskt sätt dessa data är lagrade. De nuvarande termerna "register, förteckningar och andra anteckningar" i lagtexten har därvid som tidigare berörts tolkats som begränsade till en viss användning av ADB-teknik.
104 SOU l993:10
Det särskilda ändamål som persondatamängden kan ha i en viss verksamhet, dvs. vilken närmare användning den registeransvarige åsyftar med personuppgifterna, får sedan som angetts i föregående avsnitt betydelse för avgränsningen i fråga om olika personregister, t.ex. om en ändring av ändamålet i ett hänseende är sådan att exempelvis ett nytt register skall anses ha uppkommit. Denna bedömning är således möjlig först sedan den grundläggande pröv- ningen gjorts av huruvida en elektronisk eller annan automatisk behandling av information skall anses vara sådan, att persondatamängd över huvud taget kan anses föreligga.
Med denna utgångspunkt skulle, som framgått, personuppgifter som kunde tas fram genom sökning i ett fritextsystem i de vanliga ordbe- handlingsprogrammen i exempelvis persondatorer omfattas av person— datamängden, förutsatt att den registeransvarige avsåg att använda söksystemet för just detta ändamål. Vid bedömningen av huruvida ett sådant syfte föreligger måste flera faktorer beaktas, såsom vem som är registeransvarig, verksamhetens karaktär o.d. Blotta förekomsten av personuppgifter, även av känsligt slag, i ett automatiskt system bör således inte anses tillräckligt för att begreppet persondatamängd skall anses föreligga.
Nackdelen med att föra in syftet med en viss informationshantering för att kvalificera begreppet är, förutom den sammanblandning som kan ske med ändamålsbegreppet, framför allt att begränsningen blir beroende av en bedömning av användarens avsikter. Detta leder till att gränsdragnings- och bevisfrågor kan få alltför stor betydelse och för- svåra den praktiska tillämpningen. Det är inte tillräckligt att konstatera att ett visst informationssystem som används medger strukturering av personuppgifter, utan den ansvariges uppgivna och faktiska användning måste närmare undersökas. Syftet har i praxis fått bl.a. den betydelsen att de personuppgifter som lagras vid exempelvis framställning av tryckt text inte anses vara personregister, så länge avsikten är att de inte skall kunna återsökas, oberoende av om återsökning är möjlig eller inte.
De tekniska möjligheterna att ta fram och göra sammanställningar över personuppgifter är i det nuvarande utvecklingsperspektivet närmast obegränsade.
Ett exempel kan illustrera detta. Ett företag har ett vanligt kontorsinformationssystem som i ett lokalt nätverk innehåller olika slag av funktioner såsom ordbehandling, elektronisk post, registerprogram och system med s.k. fri textsökning. Det lokala nätverket är i sin tur uppkopplingsbart till andra system inom den koncern som företaget tillhör, såväl inom som utom landets gränser. Tillgång finns också till ett antal inhemska och utländska databaser. För en användare av systemet är det möjligt att ta fram och skapa sammanställningar av olika personuppgifter. Kombinationsmöj— ligheterna är därvid nära nog oändliga.
SOU 1993:10 105
Med hänsyn till den informationsmängd - och därmed de integritets- risker - som föreligger kan användarens eller användarnas lämnade avsiktsförklaring att informationen inte skall användas för att ta fram en viss persondatamängd te sig som ett bräckligt skydd mot in— tegritetsintrång. Motsvarande synpunkter gör sig gällande i fråga om de tekniskt avancerade men lätthanterliga elektroniska "antecknings— böcker" som gör det möjligt för envar att lagra och sammanställa stora mängder personuppgifter.
En bestämning med hänsyn till enbart teknisk möjlighet
Ett alternativ till bestämning av personregisterbegreppet (persondata- mängd) på det sätt som angetts i föregående avsnitt skulle vara att inte begränsa begreppet till fall, där personuppgifter genom ADB-teknik görs tillgängliga genom systematiska uttag, sökningar eller samman— ställningar eller avses bli tillgängliga på det sättet, utan låta enbart förekomsten av de nu nämnda tekniska möjligheterna vara tillräcklig. Fördelen med en sådan ordning skulle vara att behovet att undersöka användningen eller syftet med användningen av vissa informationssys- tem inte uppstår. Det skulle räcka att konstatera att ett informationstek- niskt system fanns som i sig gjorde strukturering av personuppgifter möjlig, oberoende av om detta var åsyftat eller inte.
Vad som enligt utredningens mening med betydande styrka talar för att låta den tekniska möjligheten enbart vara utgångspunkt för en begreppsbestämning är den tekniska utvecklingen i sig och antagandet att användning och teknisk möjlighet i många fall sammanfaller. Om det är möjligt att genom automatisk behandling göra personuppgifter tillgängliga i vissa informationssystem finns det, med hänsyn till de nuvarande och framtida informationssystemens utbredning, en beaktansvärd risk att systematiska uttag, sökningar eller samman- ställningar av personuppgifter också verkligen sker, även om systemen är tänkta för andra ändamål. I exemplet med kontorsinformations- systemet i föregående avsnitt kan det antas att det - i vart fall över tiden - förekommer att sammanställningar av personuppgifter görs, utan att det från början varit avsett.
Om möjligheten att göra personuppgifter till föremål för automatisk databehandling skall anses tillräcklig för att ett personregister (persondatamängd) skall föreligga, begränsas visserligen tillämpnings- problemen när det gäller att bestämma olika användares avsikter med informationshantering. Å andra sidan måste en yttersta gräns också anges för den tekniska möjligheten som sådan. Det måste föreligga en reell möjlighet att ta fram personuppgifter på automatisk väg, varvid ett givet informationssystem betraktas som en helhet.
Även i ett kontorsinformationssystem som används exempelvis för personaladministrativa ändamål finns som regel funktioner som vida överstiger den vanliga användningen. I många fall finns dock kanske
106 SOU l993:10
inte kunskap hos dem som rutinmässigt använder systemet om var gränserna för datorprogrammen och systemets funktioner går.
När de tekniska möjligheterna i nu angiven mening bedöms bör utgångspunkten emellertid vara vad man i ett visst system enligt tillgängliga manualer eller annan information kan utföra utan att för den skull utnyttja någon extraordinär expertis. Det innebär således en mera objektiv måttstock som inte enbart utgår från de resurser som kan finnas för tillfället hos en användare. Som regel bör det således vara så, att okunnighet i sig inte behöver påverka bedömningen av vad som skall anses omfatta den tekniska möjligheten och därmed avgräns- ningen av begreppet persondatamängd.
Frågan om en användares kunskap och förutsättningar i ett visst fall får däremot en särskild betydelse vid en straffrättslig bedömning av uppsåt och vårdslöshet. Det innebär att okunnighet om de tekniska möjligheterna hos användaren kan medföra att straffrättsligt ansvar inte bör komma ifråga.
Mot bakgrund av vad som nu sagts om hur teknisk möjlighet bör bedömas följer vidare att om ett datoriserat informationssystem, exempelvis ett enkelt ordbehandlingsprogram, saknar sökfunktion men kan tillföras sådan, föreligger den tekniska möjligheten att ta fram personuppgifter först sedan förutsättningarna att söka på personuppgift i praktiken föreligger. Huruvida det skulle vara tekniskt och ekono— miskt enkelt att tillföra funktionen bör i princip inte tillmätas be— tydelse. Motsvarande bör gälla möjligheten att ta fram information, t.ex. genom kommunikation med databaser eller bearbetning av optiskt lagrade media. Först sedan kommunikation eller bearbetning verkligen går att genomföra bör teknisk möjlighet i nu angivet hänseende anses föreligga. Förhållandena bör således vara möjliga att fysiskt och objektivt konstatera för exempelvis tillsynsmyndigheten. Omfattningen av bearbetningsmöjligheterna är emellertid utan betydelse. En viss persondatamängd består av alla de bearbetningar som är tekniskt möjliga att genomföra vid en given tidpunkt och som faller inom ramen för ett visst givet ändamål.
Sammantaget föreslår utredningen att föremålet för reglering av ADB-information och begreppet persondatamängd i en framtida datalag ges följande definition.
En persondatamängd är en samling personuppgifter som hänförs till ett visst ändamål och som kan bli tillgängliga genom systematiska uttag, sökningar eller sammanställningar vid en automatisk databehand- ling.
Som persondatamängd anses inte personuppgifter som ingår i sådana uppgiftssamlingar som lagrade uppslagsverk, ordböcker eller liknande referensmaterial.
SOU 1993: 10 107
6 . 5 Remissutfallet
De remissinstanser som har tagit upp frågan har inte haft något att erinra mot utredningens förslag till ny definition av personuppgift.
De remissinstanser som har tagit ställning till spörsmålet om en legaldefinition av ADB-begreppet bedömer i allmänhet att en sådan definition knappast är möjlig på grund av den tekniska utvecklingen och anser att en definition av ADB i lagtext bör kunna undvaras.
I ett antal yttranden, bl a från Riksdagens ombudsmän, Hovrätten över Skåne och Blekinge, Kammarrätten i Stockholm och Riksåklaga- ren godtas utredningens tanke att de tekniska möjligheterna och inte databehandlarens syfte med behandlingen skall vara avgörande för datalagens tillämpning. I dessa yttranden betonas dock nästan genom- gående att detta kommer att leda till ett väsentligt utvidgat tillämp- ningsområde för en framtida datalagstiftning och att vissa typer av datasamlingar måste tas undan. Andra remissinstanser framhåller att olägenheterna med det kraftigt utvidgade tillämpningsområdet är sådana att man inte bör frångå det nuvarande synsättet att det av- görande är den faktiska användningen eller syftet med användningen av personuppgifterna. Bland dessa senare remissinstanser finns Svenska Kommunförbundet, Statskontoret, Rikspolisstyrelsen och Riksför- säkringsverket. Man pekar framför allt på att löpande text som lagras i en vanlig persondator och som innehåller personnamn skulle omfattas av lagstiftningen. I och med att sådan text inryms skulle reglerna om anmälningsplikt och avgiftsskyldighet, registrering, förtecknings- och rättelseskyldighet m.m. bli tilllämpliga.
Hovrätten över Skåne och Blekinge anser att utredningens be- stämning av begreppet persondatamängd skapar ett logiskt problem när det med utgångspunkt i ett visst ändamål gäller att dra gränser mellan olika datamängder, samtidigt som kravet på att bearbetbarheten skall vara avsedd utmönstras. Hovrätten ställer frågan hur en icke avsedd sammanställning av personuppgifter kan hänföras till ett visst ändamål. Liknande synpunkter förs fram av Riksdagens ombudsmän och Riksåklagaren. Juridiska fakultetsstyrelsens forskningsnämnd vid Lunds universitet uttalar att utredningens bestämning av begreppet persondata- mängd strider mot det etablerade mängdbegreppet.
Termen persondatamängd har fått ett övervägande negativt mottagande. Den anses språkligt mindre tilltalande, otydlig och svårtolkad. Tre remissinstanser Datainspektionen, Juridiska fakultets- styrelsens forskningsnämnd vid Lunds universitet och Juridiska fakultetsnämnden vid Stockholms universitet förordar en undersökning av om regleringen kan ske med utgångspunkt från begreppet person—
uppgift.
108 SOU l993:10
6.6 Överväganden
Såväl det nuvarande personregisterbegreppet som den av utredningen föreslagna termen persondatamängd innefattar tre rekvisit, nämligen personuppgift, automatisk databehandling och anknytningen till ett ändamål. l begreppet register ligger dessutom ett krav på att upp- gifterna är ordnade i en förteckning eller på annat sätt strukturerade. Termen persondatamängd förutsätter inte att uppgifterna är ordnade som i ett register eller förteckning. Återkopplingen till en viss logisk uppbyggnad av och struktur på uppgifterna finns i kravet på att databehandlingen skall vara automatisk.
Utredningen har i sina tidigare ställningstaganden förordat att definitionen av begreppet personuppgift bättre anpassas till den internationella regleringen. Remissinstanserna har inte haft några invändningar och utredningen vidhåller sitt förslag.
När det sedan gäller rekvisitet automatisk databehandling har utredningen (avsnitt 5.2) kommit fram till den slutsatsen att personda- talagstiftningen primärt bör inriktas på automatisk databehandling med hänsyn till de särskilda risker för den personliga integriteten som denna innebär. I viss omfattning bör emellertid, liksom fallet är i dag, manuella uppgifter omfattas av lagens skyddsbestämmelser. Ut- redningen har berört denna fråga i sina tidigare ställningstaganden. Diskussionen gällde då i vilken omfattning manuella uppgifter borde omfattas av begreppet persondatamängd. Utredningen anförde då bl.a. följande.
En grundförutsättning för frågan i vilken utsträckning som manuella uppgifter bör ingå i begreppet persondatamängd bör vara att den registeransvarige har möjlighet att använda och kontrollera såväl de manuella uppgifterna som ADB-materialet.
Vid bedömning av i vilken utsträckning manuella uppgifter bör omfattas av begreppet persondatamängd kan fyra särskilda fall urskiljas: I Manuellt insamlade uppgifter som skall göras till föremål för ADB. I Dokumentation, dvs. närmast upptagning för ADB i läsbar form. ! Manuellt förda sökord eller index till ett ADB-lagrat material. ! Manuella uppgifter till vilka ADB-förda sökord eller index finns.
De två första fallen bör liksom f.n. omfattas. Tillämpningen av dessa fall reser som regel inte heller några svårigheter.
De manuella uppgifterna i det tredje fallet, dvs. att orientering i och framtagning av ett ADB-lagrat material sker genom ett manuellt fört index, anses i praxis omfattas av det nuvarande personregisterbegrep- pet. Tyngdpunkten ligger i det fallet i ADB-materialet och sambandet med de manuella uppgifterna är så påtagligt, att uppgifterna också bör bedömas som en helhet. Till denna kategori hör naturligtvis bl.a. fall
SOU 1993:10 109
där personuppgifterna blir tillgängliga först genom användning av en manuellt förd kod eller krypteringsnyckel.
Det fjärde fallet slutligen innebär vissa gränsdragningssvårigheter. Huvuddelen av informationen är i det fallet manuellt förd och ADB- uppgiften är närmast av index- eller sökordskaraktär. Sambandet mellan informationsdelarna är inte lika påtagligt och entydigt som i det föregående fallet, där den manuella informationen endast har till syfte att göra ADB-materialet tillgängligt med de vidare bearbetningsmöjlig- heter på automatisk väg som detta i sin tur innebär.
En samling manuella uppgifter, till vilka är kopplat ett ADB-fört index eller ADB-förda sökord, innebär att bearbetningsmöjligheterna är färre och att den automatiska databehandlingen är mycket be- gränsad. Som framgått är det huvudsakligen ADB-teknikens möjlig- heter som motiverar integritetsskyddet på området.
Visserligen kan de manuella uppgifterna vara sådana, att det ur strikt integritetssynvinkel finns skäl som talar för att de bör omfattas av persondatamängden. Det är emellertid då närmast fråga om samma skäl som talar för att även manuellt material skall omfattas av regleringen i datalagen. Med hänsyn till den svaga ADB-anknytningen bör alltså uppgifterna anses falla utanför begreppet persondatamängd.
De remissinstanser som har haft synpunkter på avgränsningen mot manuell bearbetning har i allmänhet godtagit utredningens förslag.
Utredningen har i sina fortsatta överväganden inte kommit fram till någon annan ståndpunkt än som tidigare har redovisats. Skyddsreglerna i datalagen bör alltså omfatta de tre första fallen men inte det fjärde. Lagtekniskt kan detta ske på så sätt att manuell insamling av person- uppgifter jämställs med automatisk databehandling, under förutsättning att de manuellt insamlade uppgifterna skall göras till föremål för ADB. I fråga om dokumentation av bearbetningar samt manuellt förda sökord eller index till ett ADB-lagrat material bör datalagen anges vara tillämplig även på sådana manuella uppgifter.
Frågan om avgränsningen mot manuell bearbetning behandlar utredningen vidare i specialmotiveringen i anslutning till 3 och 4 åå.
Som utredningen tidigare har konstaterat torde det inte vara meningsfullt att söka närmare definiera begreppet ADB. Detta bör dock inte föranleda några nämnvärda olägenheter.
Enligt utredningens mening talar övervägande skäl för att datalagens tillämpningsområde bestäms med hänsyn till de tekniska möjligheterna att genom ADB-teknik göra personuppgifter tillgängliga. Vad som framför allt talar för en sådan lösning är, förutom den tekniska utvecklingen, att det blir möjligt att göra en mera objektiv bedömning och att rättssäkerheten därmed ökar. Utredningen har t.o.m. gått längre när i den föreslagna lagtexten - och i överensstämmelse med motsvarande reglering i det andra utkastet till EG-direktiv - anges att datalagen är tillämplig på varje åtgärd som vidtas med personuppgifter genom ADB. Skillnaden är dock närmast av teoretisk natur. 1
110 SOU 1993:10
praktiken torde varje informationssystem numera innefatta en möjlighet att göra personuppgifter tillgängliga.
Samtidigt står det klart att den föreslagna ordningen får långtgående konsekvenser och att vissa typer av personuppgiftsbehandling måste tas undan. Vad utredningen då tänker på är sådan behandling som inte innebär någon nämnvärd risk från intregritetsskyddssynpunkt. Utredningen har i sina tidigare ställningstaganden föreslagit undantag från lagens tillämpningsområde i fråga om sådan behandling som sker uteslutande för personligt bruk eller som avser personuppgifter som ingår i sådana uppgiftssamlingar som lagrade uppslagsverk, ordböcker eller liknande referensmaterial. Därutöver bör undantag göras för behandling av personuppgifter som ingår i löpande text. De nu angivna undantagen, som bör kunna anges med erforderlig tydlighet i lagtext, behandlas närmare i specialmotiveringen i anslutning till 6 och 7 åå förslaget till datalag.
Avgränsningen av en persondatamängd har i utredningens tidigare ställningstaganden skett på det sättet att personuppgifter som hänförs till ett visst ändamål utgör en persondatamängd. Med hänsyn till den remisskritik som har kommit fram på denna punkt bör avgränsningen i stället göras på det sättet att personuppgifter får behandlas endast för ett bestämt och uttryckligt ändamål. Oavsett vilka sammanställningar som är tekniskt möjliga i ett visst fall får alltså de aktuella personupp- gifterna bara behandlas för det eller de ändamål som i det enskilda fallet har bestämts av den som ansvarar för personuppgifterna.
De tre rekvisit vars utformning nu har diskuterats innefattas enligt nuvarande datalag och utredningens tidigare förslag i ett särskilt begrepp, personregister resp. persondatamängd. Personregisterbegrep- pet framstår som föråldrat. Det är t.ex. främmande för vanligt språkbruk att använda registerbegreppet på text som har lagrats på ADB-medium i syfte att t.ex. kunna söka fram personuppgifter. Tekniken har utvecklats på ett sådant sätt att behandling av personupp- gifter måste kunna regleras från integritetssynpunkt oberoende av om de finns lagrade i register eller inte. Med hänsyn till vad som nu har sagts framstår persondatamängd som ett bättre begrepp att arbeta med. Den nya begreppet har emellertid fått ett svalt mottagande av remissin- stanserna och skall det användas måste under alla förhållanden ändamålsanknytningen få en annan utformning.
Man kan dock fråga sig om det överhuvudtaget behövs ett samlings- begrepp för en viss mängd personuppgifter. Några remissinstanser har pekat på möjligheten att direkt reglera användningen av personuppgif- ter. Denna möjlighet har också diskuterats under utredningens tidigare arbete men diskussionen fullföljdes inte med hänsyn till den utformning som den första versionen av förslaget till EG—direktiv har på denna punkt. Frågan är emellertid om denna invändning var hållbar. Direktiv som beslutas av behöriga EG—organ är bindande i fråga om det resultat som skall uppnås men det överlämnas åt medlemsländerna att välja
SOU 1993:10 lll
form och metod för detta. Det torde alltså vara möjligt att i den svenska datalagen arbeta med en i viss mån avvikande terminologi i förhållande till EG-direktivet utan att för den skull den svenska regleringen skall anses strida mot direktivet. Det kan också konstateras att i den andra versionen av direktivförslaget direktivet anges vara tillämpligt på bl.a. automatisk behandling av personuppgifter. Dessutom framstår det som både enklare och naturligare att direkt gå på begreppet personuppgift när gränserna för behandling av personan- knuten information skall dras upp.
I enlighet med det anförda regleras i utredningens förslag till ny datalag vilken hantering av personuppgifter som får förekomma. Den grundläggande bestämmelsen finns i 9 å som säger att personuppgifter får behandlas endast för ett bestämt ändamål. Därutöver finns olika skyddsregler för behandlingen som alla anknyter till personuppgiftsbe- greppet. Även sådana centrala inslag 1datalagstiftningen som rätten till insyn, rätten att få felaktiga och missvisande uppgifter korrigerade m.m. har utan svårighet kunnat regleras med utgångspunkt från perso- nuppgiftsbegreppet.
I det föregående har berörts hur utredningens förslag förhåller sig till förslaget till EG-direktiv.
' I I lt! 1" aw. iBEE-'i
ammnmammmm nm närmat—Mam ': muumhnnuw- Mm mma bam fm anslutni- mum ara-amma man. gumman-tba! 111.111th- ammunmdmrtwåwdmluhimm mamma-binda 53th .11 ltåu'mt'ilbllhå' än nu .Mac-"Mm Mamman. Mammuth är Mina mm 11an! matrim-mmm m- mwmmmmlwmmmmm' 44.411: mk. . *-:j-.,:u-1ul.' nr- lli. W-HFWWIW m.m m.mmmiwimtmwmw
t-l' nr rim .m'm' . mapen-w Jhulu' .., WMS: anim-Hmm: - .. . . ., mmm IW Nun pil d'! lil-7.5 IEI Junhui”? i"; ' t. ",'t' '— ' rl" Ibn-t' | -t' ".b. unr- 'ekIlgl riv—linn,! _|= -' - ill.,-| milda-MLM?- 1 .-1.' unt-itu Mjilbrlct' '- .1.r.:111.'...,uauu :tllu fl|"-l1',l_l.|g'_llv '_'.l'wru- bm "IJLL-Jiltl; it.: det eller !!- iudautbl -._._.1 : ur.-' .ulllzll-li. it... I' 1' , 'ta-i.u i. a_k-_q "ul-|_- ._'.-'.'|.'|1 :. 'är 5qp:.r_.1wjf.fi. nu du in: 11:11. it...-i! v.t.-l mulm; u.- uli tunn-_ .m- hmeidlm enlig
li-.'.='1' duu-_a u:.I- ruttnande tid-am liv 'I»: 1 el- "lli'ih'l' h !....ul.1'1"'ultg15ld'-Hl*_1|l wwwins-11511 Pets-w.;lml'iqerql pci twin—J- :.L'm Mim.- DrI ". i.u. '.'-'bunm'r 1151 unt-- u språkbruk :.u _l'wm '...qu Tune-gne- på ".- 1'1 l'u" .. ha lagt.-'-
Ulli-mmm l gin: nu se:. Luu iii-.! in: in wwmtj'gtller. '.!—Jul:" - "'N Mr.—filän- på ut: sedan uu: mim-ir: lung ...! new-|:- Efi—if" lill—Li. Luma reglerat MI lll'l'j'hi f [T'-litt?! l""i"l"|'l.l"'".' " um ut. '.ur. lga-tt i am ::llrl' hu: -1u: nun—tl: nu wu Hm nu hur :auu 'a'-nu:. jmmm—tnmi 1" "f:- 'vilrpputt 'n'-m med. 'l'l-IJ "rutan-mattar anmälan»! får l' -ll' . malamute :s, mina.-n- :.Ltmtn. rat) IL'll ..!ei ment.—Jm nau— "nilr" .lu'l 'lblhållnthkn
.ul—vrr.,-Mv::i'11'..1r|»'u :d i'll fll mm irl” arr-arr.-
Mw Lau-_l 11.111.:— gemak-Um: ": u: kw. h_- ' ::: immigr- hf.-". . l'u cnh . 'r- trutar: .wtr-ntm- m '- —- ””*. ". nu.-Milm'mw hn- pCL. -t'|11. m .].I itll-li:- thidu'ulul. FHF..|m-"1"1 'ngm- t'. |,- "nn 13ng- Itt-'. Dot-dlnitljltjhalfnml'udihh- u.!" tln"nmnmhlåprm: arta. ' "-—*.d'=hwm-r.rrl'ullfrll|1k*1'.-' :* r l:.r y'. bil I..-11 nrl'ru'n't'tm: Mn nm: för. 1— "t'-Imran .”W l'nrtlirn fl".l Fil—.iiqu'th har på. dm Fallin. Prag.-1.11. "ll cm.:ht'mu um dumt.: "' || 1" '. ." hål"" . [111181ch 1.0.1". hub-tas E'. i'l'hl'l'ilqn II.-f. organ | "i.u" 11": .”.i." I!” [1,51 ": 'In". 'Sl'l'l'. Wai. .::-pm» rr 1n tim "'v”:'Tl-m'|.7' .- fult.-"wlan! ru... ut 1.11]-
SOU l993:10 113
7 Förhållandet mellan datalagen samt tryckfrihetsförordningen och yttrandefrihetsgrundlagen
7. 1 Gällande rätt
En fråga för utredningen har rört det problem som kan uppstå då personuppgifter behandlas på områden där tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen (YGL) är tillämpliga. Det är särskilt bestämmelserna i de båda grundlagarna om förbud mot censur och andra hindrande åtgärder samt rätten för bl.a. meddelare till anonymitet som har visat sig vara av intresse. Som kommer att framgå har utredningen funnit att konflikter kan uppstå vid tillämpningen av TF och YGL samt datalagstiftningen, dels genom att datalagstiftningen i viss utsträckning kan verka försvårande för framställningen av olika yttranden och dels till följd av grundlagarnas regler om anonymitets— skydd.
Skyddet för tryckfriheten samt för yttrandefriheten i radio, tele- vision, filmer, videogram och ljudupptagningar m.m. har i Sverige fått en utförlig grundlagsreglering. Sedan länge har det tryckta ordet en särställning i Sverige. Den första tryckfrihetsförordningen utfärdades år 1766. Alltsedan år 1810 har ett detaljerat skydd för tryckfriheten upprätthållits genom regler i grundlag. Vår nuvarande tryckfrihetsför- ordning utfärdades år 1949. Genom YGL, som trädde i kraft år 1992, har även friheten att yttra sig i andra framställningar fått ett grund— lagsskydd.
YGL bygger på samma grundsatser som TF. Det innebär bl.a. att principerna om censurförbud och meddelarfrihet gäller för hela massmedieområdet.
TF
En viktig princip i TF är den rättighet som följer av 1 kap. 1 å TF att utge skrifter utan några av myndighet eller annat allmänt organ i förväg lagda hinder. Detta förbud mot censur och andra hindrande åtgärder preciseras närmare i 1 kap. 2 å TF, som har följande lydelse.
114 SOU l993:10
Någon tryckningen föregående granskning av skrift eller något förbud mot tryckning därav må ej förekomma.
Ej heller vare tillåtet för myndighet eller annat allmänt organ att på grund av skrifts innehåll, genom åtgärd som icke äger stöd i denna förordning, hindra tryckning eller utgivning av skriften eller dess spridning bland allmänheten.
Paragrafen riktar sig alltså till myndigheter eller andra allmänna organ. Härmed förstås även riksdagen och regeringen.
Censur innebär att ett yttrande granskas av en myndighet innan det när en tilltänkt mottagare. Syftet med censur är att förhindra att vad som går fram till mottagaren har ett innehåll eller en utformning som från granskarens synpunkt inte kan godtas.
Förhandsgranskning är inte det enda sättet att hindra medborgare från att yttra sig offentligt. Spärrar kan upprättas på flera olika punkter längs kommunikationsvägarna. Ett sätt att spärra är att inskränka rätten att använda ett visst uttrycksmedel. Inskränkningen kan också avse bara ett led i ett framställningsförfarande. Hindret behöver inte vara absolut. Även åtgärder, som verkar väsentligt försvårande eller ekonomiskt förlustbringande, är otillåtna (se t.ex. tryckfrihetssak- kunniga /SOU 1947:60/ s. 210 f. och Petrén, Ragnemalm, Sveriges grundlagar, s. 380).
Det är däremot tillåtet att av ordningsskäl reglera spridningen av tryckta skrifter. Det väsentliga är att sådana regler inte tar hänsyn till skrifternas innehåll.
Om flera personer har medverkat till ett brott, kan enligt allmänna straffrättsliga regler ansvar drabba inte bara den som främst utfört den brottsliga gärningen utan också de övriga såsom anstiftare eller med- verkande. TF:s principer om ansvar är emellertid annorlunda.
Ansvarssystemet i TF bygger på två grundläggande principer. Den ena är att det alltid skall finnas någon som, även om han inte själv varit upphovsman, kan göras ansvarig för innehållet i en tryckt skrift. I regel är detta författaren eller, när det gäller periodiska skrifter, den ansvarige utgivaren. Den andra principen är att detta formaliserade ansvar skall utesluta ansvar för alla som på annat sätt medverkat vid skriftens tillkomst.
Tanken i TF är således att endast 3 person skall kunna göras ansvarig för tryckfrihetsbrott samt att dennes ansvar är exklusivt och utesluter ansvar för andras eventuella medverkan. Det sagda innebär att det i TF inte förekommer något medverkansansvar i brottsbalkens mening. Tvärtom skyddar TF genom olika bestämmelser sådana personer som har medverkat vid tillkomsten av en tryckt skrift men som inte har det speciella tryckfrihetsrättsliga ansvaret. Till denna kategori bestämmelser hör de som gäller meddelarfrihet och anonymi- tet.
Den grundläggande bestämmelsen om meddelarfriheten finns i 1 kap. 1 å tredje stycket TF. Där stadgas att det skall stå envar fritt att,
SOU l993:10 115
i alla de fall då inte annat är föreskrivet i TF, meddela uppgifter och underrättelser i vad ämne som helst för offentliggörande i tryckt skrift till författare eller annan som är att anse som upphovsman till framställning i skriften, till skriftens utgivare eller, om det för skriften finns en särskild redaktion, till denna eller till företag för yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter.
I 1 kap. 1 å fjärde stycket TF finns en regel som tar sikte på ett tidigare led i den kedja som löper från en meddelare via t.ex. en tidningsredaktion till publicering i tryckt skrift. Enligt den regeln skall var och en äga rätt att, om inte annat följer av TF, anskaffa uppgifter och underrättelser i vilket ämne som helst för att offentliggöra dem i tryckt skrift eller för att lämna ett meddelande av den typ som angivits i paragrafens tredje stycke. TF skyddar emellertid inte anskaffare från straff för det sätt varpå han skaffar uppgifterna (se TF 1 kap. 9 å). Det är således inte tillåtet för en journalist att skaffa uppgifter till en artikel genom inbrott, olovlig avlyssning eller mutbrott.
I syfte att skydda dem som medverkar vid tillkomsten av tryckta skrifter finns i 3 kap. TF regler om rätt till anonymitet. Den grund— läggande bestämmelsen om rätt till anonymitet finns i 3 kap. 1 å TF. Där stadgas att författare till tryckt skrift inte är skyldig att låta sätta ut sitt namn eller sin pseudonym eller signatur på skriften. Vidare anges att motsvarande gäller beträffande den som lämnat meddelande enligt 1 kap. 1 å tredje stycket TF och beträffande utgivare av tryckt skrift som inte är periodisk. En meddelare eller författare kan alltså själv välja om han vill framträda eller om han vill vara anonym. Detsamma gäller utgivare av skrifter som inte är periodiska.
Enligt 3 kap. 4 å TF får myndighet eller annat allmänt organ inte efterforska författaren till en framställning som införts eller varit avsedd att införas i tryckt skrift. Efterforskning får inte heller ske av den som utgivit eller avsett att ge ut framställning i tryckt skrift eller av den som uppträtt som meddelare. Efterforskningsförbudet gäller inte utan undantag. I de fall då ingripande mot t.ex. en meddelare är tillåtet enligt TF får myndigheter och andra allmänna organ vidta åtgärder för att utröna vem meddelaren är.
I 3 kap. 3 å TF finns föreskrifter om tystnadsplikt för bl.a. personal vid en tidning eller en nyhetsbyrå beträffande författares, meddelares och utgivares identitet. Paragrafen, som fick sin nuvarande lydelse den 1 januari 1978, föreskriver tystnadsplikt för den som har tagit befattning med tillkomsten eller utgivningen av en tryckt skrift eller med en framställning som var avsedd att införas i en tryckt skrift och den som har varit verksam inom ett företag för utgivning av tryckta skrifter eller inom ett företag för yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter. Tystnadsplikten innebär att han inte får röja vad han därvid erfarit om vem som är författare eller har lämnat meddelande enligt 1 kap. 1 å tredje stycket
116 SOU l993:10
eller är utgivare av skrift som inte är periodisk. Från denna tystnads- plikt görs dock fem undantag.
YGL
Som har sagts ovan gäller de tryckfrihetsrättsliga grundprinciperna även de medier som omfattas av YGL. Detta innebär att principen om censurförbud och andra hindrande åtgärder är fastslagna också i YGL (1 kap. 3 å). Det är dock möjligt att förhandsgranska offentligt visade filmer och videogram. I YGL finns vidare regler som skyddar meddelare och anskaffare vilka motsvarar TF:s regler 1 ämnet (1 kap. 2 å). Även bestämmelser om rätt till anonymitet som i sak svarar mot de regler som finns 1 TF har tagits upp i YGL (2 kap. ).
RF
Den grundläggande bestämmelsen om skyddet för den enskildes personliga integritet finns i 1 kap. 2 å tredje stycket regeringsformen (RF). I denna sägs bl.a. att det allmänna skall värna den enskildes privatliv och familjeliv. Bestämmelsen har inte karaktären av en rättsligt bindande föreskrift utan anger ett mål för den samhälleliga verksamheten. Av förarbetena till bestämmelsen framgår att integri- tetsskyddet vid dataregistrering var i blickpunkten vid bestämmelsens tillkomst (SOU 1975:75 s. 168 f., 459 ff.).
Den av regeringen i maj 1984 tillsatta data— och offentlighetskom- mittén (DOK) föreslog i sitt tredje delbetänkande (Ds Ju 1987:8) Integritetsskyddeti informationssamhället 3 bl.a. en grundlagsändring. Förslaget innebar att det i den s.k. fri- och rättighetskatalogen i 2 kap. RF skulle skrivas in ett skydd för den enskildes personliga integritet i datasammanhang.
Förslaget ledde till lagstiftning, som trädde i kraft den 1 januari 1989 (prop. 1987/88:57, KU 19, rskr.1l7, 1988/89: KU2, rskr. 11, SFS l988:l439). Den nya föreskriften, som finns i 2 kap. 3 å andra stycket RF, innebär att varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av ADB. Regeln slår alltså fast att det skall finnas en datalagstiftning till skydd för den personliga integriteten men att den närmare omfattningen av skyddet får regleras i vanlig lag. Lagstiftaren åläggs genom bestämmelsen att vara aktiv genom att stifta och vidmakthålla en datalagstiftning. Av förarbetena följer att bestämmelsen givetvis bör uppfattas så att lagstift- ningen skall utgöra en verklig och allvarligt menad skyddslagstiftning (prop. 1987/88:57, s. 11).
SOU l993:10 117
7.2 Internationella förhållanden
Dataskyddslagstiftningen i några med Sverige jämförbara europeiska stater uppvisar inte någon enhetlighet i sättet att behandla den person— registrering som sker inom massmedieområdet.
Några staters dataskyddslagar gör, liksom den svenska datalagen, inget undantag för sådan personregistrering. Andra länder har intagit en motsatt ståndpunkt och låter inte massmedierna omfattas av data- skyddslagstiftningen. På andra håll har man visserligen i princip undantagit massmedierna från tillämpningen av dataskyddslagarna, men likväl gjort vissa regler i dessa lagar tillämpliga på dem.
Bland de länder som i sina dataskyddslagar inte gör något undantag för massmedia kan nämnas Irland, Island, Luxemburg och Storbritan- nien (Beträffande Storbritannien se bilaga 4).
Personregisterlagen i Finland däremot stadgar uttryckligen att lagen inte medför någon ändring i rätten att utge tryckta skrifter (se bilaga 4). Av lagens förarbeten framgår dock att förandet av register som utgör bakgrundsmaterial för en tidskrift skall omfattas av person- registerlagens regler.
Den i Norge gällande personregisterlagen omfattar även person- registrering inom massmedieområdet (se bilaga 4). Lagens bestämmel- ser om bl.a. insynsrätt och rättelseskyldighet omfattar alltså även sådan registrering. Justitiedepartementet har dock från den gällande till- ståndsplikten undantagit bl.a. dags- och veckopressens personregister, i den mån de används i journalistisk verksamhet, samt förlagsarkiv och förlagsregister som används vid utgivning av vissa slags lexika. En förutsättning för dessa undantag är att den registeransvarige följer de villkor och krav som uppställts i justitiedepartementets föreskrifter. Tillstånd behövs dock alltid om någon utomstående skall ha on-line tillgång till ett massmedieregister.
Nederländerna (se bilaga 4) tillhör de länder vars dataskyddslagar helt undantar massmedierna. Den nederländska dataskyddslagen omfattar således inte de personregister som enbart är avsedda för att användas av press, radio och television i den publicistiska verksam- heten.
I Belgien har antagits en proposition till en lag om skydd mot otill- börligt intrång vid registrering av personuppgifter vilken på motsva- rande sätt som i Nederländerna helt undantar massmediernas ADB— registrering.
Den registerlag som gäller i Danmark (se bilaga 4) för den privata sektorn är enligt sin lydelse inte tillämplig på registrering som sker för användning i biografier eller för publicering i allmänna uppslagsverk. Lagens regler gäller inte register som förs med elektronisk databehand— ling (EDB) och som enbart innehåller upplysningar som har publicerats i en periodisk skrift ("pressens informationsregistre"). Sådana register
118 SOU l993:10
måste dock anmälas till dataskyddsmyndigheten, registertilsynet, som kan fastställa föreskrifter för dem. Utlämnande av personuppgifter från ett dylikt register får endast ske om den registrerade samtyckt, det följer av lag eller uppgifterna lämnas ut för att publiceras i en periodisk skrift. Den registrerade har även rätt till insyn i ett sådant register.
I Frankrike (se bilaga 4) undantar dataskyddslagen, La loi relative å l'informatique, aux fichiers et aux libertés (IFL), i viss utsträckning pressorgan, tryckta skrifter samt radio och television inom ramen för de lagar som gäller för dem och i de fall då en tillämpning av IFLs bestämmelser skulle leda till inskränkning av yttrandefriheten. Undantaget gäller bl.a. lagens stadgande om förbud mot registrering av vissa känsliga uppgifter och kravet på medgivande vad gäller dataflöde över gränserna.
Sådana personuppgifter som bearbetas för uteslutande egna publicistiska ändamål av pressföretag, radioföretag och filmföretag omfattas i Tyskland (se bilaga 4) endast av den tyska federala data- skyddslagens bestämmelser om datasäkerhet. Lagens övriga regler tillämpas dock på sådana uppgifter, om dessa används för andra syften, t.ex. om de utlämnas till någon utanför det egna företaget.
Även i Österrike (se bilaga 4) är i princip massmedieområdet undantaget från dataskyddslagens tillämpning. Vissa av dess be- stämmelser, främst stadgandena om datasäkerhet, gäller dock även för massmediernas register.
Enligt art. 9.2.b i Europarådets konvention får avvikelser göras från vissa av bestämmelserna i konventionen, om det är nödvändigt för att skydda den registrerade personen eller andra personers fri- och rättigheter. Avvikelser från konventionen får ske endast om det medges i den nationella lagstiftningen.
l kommentaren till konventionen anges att avsikten varit att i artikeln reglera viktiga intressen inom den privata sektorn. Som exempel nämns bl.a. pressfriheten.
Om en konventionsstat väljer att inskränka konventionens till- ämpningsområde måste en förklaring härom avges till Europarådets generalsekreterare (art. 3 . 2 . a).
Förslaget till EG-direktiv ålägger, för att förena integritetsintressena och yttrandefriheten, medlemsstaterna att se till att direktivet inte är tillämpligt när pressen, audiovisuella media och journalister behandlar personuppgifter för journalistiska ändamål (art. 9).
Av kommentaren till direktivet framgår att artikeln syftar till att undanröja den konflikt som kan uppstå mellan integritetsskyddsintres— sena och yttrandefriheten. Artikeln förutsätter att medlemsstaterna skall göra en avvägning mellan den enskildes personliga integritet och yttrandefrihet. Vid denna avvägning skall hänsyn tas till bl.a. den enskildes rätt till genmäle, förekomsten av en yrkesetik inom pressen, de gränser som dras upp i Europarådets konvention om mänskliga
SOU l993:10 119
rättigheter och de grundläggande regler som finns i lag. Med journalis- ter förstås även fotografer (photojournalists) och sådana författare som skriver biografier.
7.3 Personregister hos tidningar m.m.
ADB—tekniken utnyttjas i dag i stor utsträckning hos i vart fall de större tidningarna. När det gäller framställningen av tidningar torde de flesta tidningar använda ADB som ett hjälpmedel. Det normala synes vara att varje journalist har tillgång till en persondator, med hjälp av vilken journalisten kan skriva och lagra sina artiklar. Det är i princip endast journalisten själv som har tillgång till denna information. När artiklarna är färdiga överförs de till tidningens stordator, där de normalt blir allmänt tillgängliga för redigering och sättning. Hos vissa tidningar överförs artikeltexten till ett särskilt datoriserat arkivregister. En tid efter sättningen rensas artikeln från stordatorn.
Det är något oklart i vilken utsträckning som personregister före- kommer i den nu beskrivna verksamheten hos tidningarna. Det kan dock antas att en del journalister utnyttjar tekniken till att upprätta enklare register över t.ex. personer som kan tänkas bidra med in- formation till tidningen.
Datortekniken utnyttjas även i övrigt för framställning av tidningar. Det förekommer således att det på familjeredaktionerna förs s.k. jubilarregister från vilka uppgifter hämtas om olika bemärkelsedagar. Vidare förekommer det att telegram, som har kommit in under det senaste dygnet, samlas i en särskild registerfil. Telegrammen registre- ras under särskilda nyckelord vilka kan utgöras av personnamn. Telegrammen kan också innehålla personnamn. På ledarredaktionerna kan finnas register över personer som har deltagit med debattartiklar. Register kan också i princip bestå av bara namn, t.ex. vilka personer som har deltagit i en viss tävling eller som har den högsta årsinkom— sten.
Register finns också som förs för mer administrativa ändamål och som således inte används som ett direkt led i framställningen av tidningar. Exempel på sådana register är register över anställda, leverantörer, abonnenter och andra kunder. Enligt vad utredningen har erfarit förekommer det att uppgifter om utbetalningar till meddelare återfinns i löneregister över anställda. En annan typ av register som förs med hjälp av ADB är direktreklamregister och register som används för annan marknadsföring.
Till en del register av ovan redovisat slag har Datainspektionen givit sitt tillstånd. I två fall (Pressens Bild Aktiebolag och Vestmanlands Läns Tidnings Aktiebolag) gällde frågan tillstånd att inrätta och föra personregister vars ändamål skulle vara att i publicistisk verksamhet
120 SOU 1993:10
för vissa tidningar ge upplysning om innehållet i tidigare publicerat material. I båda fallen överklagades Datainspektionens beslut till regeringen.
Registren innehåller artiklar i fulltext och sökning kan i princip göras på alla ord i artiklarna, exempelvis på personnamn, titel, bostadsort, organisations- och företagsnamn, liksom på särskilda ämnes- och nyckelord.
Pressens Bild Aktiebolag
Datainspektionens tillstånd var förenat med ett antal föreskrifter för att förebygga risk för otillbörligt intrång i personlig integritet. Fyra av dessa föreskrifter blev aktuella hos regeringen. Den föreskrift som närmast nu är av intresse är nr 5, som hade följande lydelse.
Personuppgifter som avses i 4 å första stycket datalagen får sedan fem år förflutit från publiceringen av uppgifterna inte vara sökbara på annat sätt än genom datum för publiceringen.
Pressens Bild Aktiebolag överklagade Datainspektionens beslut och yrkade att föreskrift nr 5 skulle undanröjas eftersom den innebar en begränsning av tidningarnas möjligheter att tillgodose allmänhetens behov av bred och korrekt information.
Regeringen biföll överklagandet såvitt det avsåg föreskriften nr 5 och undanröjde föreskriften.
Vestmanlands Läns Tidnings Aktiebolag
Även i detta ärende hade Datainspektionen meddelat en föreskrift som innebar att personuppgifter som avses i 4 å första stycket datalagen inte fick sedan fem år förflutit från publiceringen av uppgifterna vara sökbara för berörda tidningar på annat sätt än genom datum för publiceringen. Efter överklagande undanröjde regeringen föreskriften.
I detta ärende var även frågan huruvida allmänheten skulle ha åtkomst till registret uppe. Regeringen medgav att sådan tillgång skulle få finnas under en period av fem år efter publiceringen. I beslutet i denna del anfördes bl.a. följande.
Det får anses vara ett starkt samhälleligt intresse att arkiverat material som varit publicerat i en tidning får vara tillgängligt hos tidningen.. .(E)mellertid (medför) arkiveringen med hjälp av ADB särskilda risker för otillbörligt intrång i den personliga integriteten och att register av förevarande slag kommer att innehålla integri- tetskänsliga uppgifter. Här bryts mot varandra två viktiga intressen. Den intresseavvägning som måste göras är av den generella natur att den bör ske 1 sammanhang med. datalagsutredningens arbete. Resultatet av detta arbete bör nu inte föregripas genom ett sådant
SOU l993:10 121
ställningstagande i detta enskilda förvaltningsärende som skulle få principiell betydelse.
ADB-tekniken utnyttjas också i stor utsträckning inom public service- företagen (Sveriges Radio AB, Sveriges Television AB, Sveriges Utbildningsradio AB och Radiotjänst i Kiruna AB). Datainspektionen har meddelat tillstånd till bl.a olika löne- och personalregister, abonnent- och kundregister samt leverantörsregister. Av andra register som förs inom koncernen är vissa särskilt intressanta i detta samman- hang. Här kan nämnas Sveriges Radios register " Internt sändnings- arkiv, Ekoredaktionen & utlandsprogram" och "Riksradions program- databas" samt Sveriges Televisions register "Nyhetsdatorisering".
Internt sändningsarkiv, Ekoredaktionen & utlandsprogram
Datainspektionen lämnade genom ett beslut den 1 december 1986 till- stånd för Sveriges Riksradio AB att inrätta och föra rubricerade personregister. Ändamålet med registret är enligt beslutet att det skall användas för att få fram uppgifter om inslag i bolagets egna nyhets- sändningar. I beslutet föreskrivs bl.a. att uppgifter som är äldre än två år skall gallras vid årliga genomgångar av registret.
Av ansökningen i tillståndsärendet framgick att sådana utomstående skulle registreras som intervjuas eller medverkar i sändningar. De uppgifter som skulle registreras var namn samt i förekommande fall arbetsgivare, yrke eller organisationstillhörighet eller i vilken annan egenskap personen intervjuades eller medverkade. Ca 60.000 person- uppgifter skulle registreras per år. Vidare skulle namnet på den hos bolaget anställde reporter som svarade för inslaget registreras samt dennes arbetsort. I fråga om denna kategori skulle registret omfatta ca 100 personuppgifter per år. Materialet skulle bearbetas och sorteras för att få fram urval av inslag av visst slag.
Datainspektionen konstaterade i skälen till sitt beslut att registret delvis skulle komma att omfatta personer, som saknade sådan anknyt- ning till bolaget som avses i 3 åå datalagen, nämligen andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som hade annan därmed jämställd anknytning till denne. Datainspektionen konstaterade vidare att registret kunde komma att innehålla sådana uppgifter som anges i 4 å datalagen, dvs. uppgifter om politisk eller religiös uppfattning, brottslig verksamhet m.m, vilka får registreras endast om särskilda eller synnerliga skäl föreligger.
Datainspektionen fann dock med hänsyn till att registret närmast skulle vara att jämföra med ett litteratur- eller biblioteksregister att sådana skäl förelåg att tillstånd kunde meddelas för registret. Datain- spektionen hade då beaktat att uppgifterna i registret även omfattades av annan skyddslagstiftning.
122 SOU l993:10
Justitiekanslern överklagade Datainspektionens beslut och yrkade att tillståndet skulle förenas med på lämpligt sätt utformade villkor om underrättelse till den om vilken en sådan uppgift som anges i 4 å datalagen skulle registreras samt om möjlighet för den som så önskade att få personuppgifter av detta slag förstörda.
Regeringen överlämnade i beslut den 21 maj 1987 till Datainspektio- nen att meddela ett villkor om skyldighet för den registeransvarige att underrätta personer som registreras i personregistret. I skälen till beslutet anförde regeringen bl.a. att regeringen utgick från att registret skulle föras med beaktande av det tryckfrihets— och radiorättsliga anonymitetsskyddet.
Datainspektionen förskrev i beslut den 30 november 1987 att den registeransvarige minst en gång årligen i anslutning till den sändning från Ekoredaktionen som under det valda dygnet beräknades ha flest lyssnare skulle redogöra för registrets innehåll och ändamål. Datain- spektionen fann att den gallringsföreskrift som inspektionen redan meddelat i förening med de ändrade rättelsereglema i datalagen tillgodosåg det behov som regeringen avsett i sitt beslut.
Sveriges Riksradio AB överklagade sistnämnda beslut och yrkade bl.a. att beslutet skulle upphävas i den del det avsåg skyldighet att informera om registret.
Regeringen konstaterade i beslut den 1 juni 1988 att registret ut- gjorde ett personregister i datalagens mening. I beslutet anförde regeringen vidare bl.a. följande.
Av utredningen i ärendet framgår att sådana särskilt känsliga personuppgifter som anges i 4 å datalagen i viss utsträckning ommer att finnas i reglstret. Till ståndet att föra registret bör därför, som regeringen redan uttalat i sitt beslut den 21 maj 1987, kompletteras med en föreskrift om informationsskyldighet. Föreskriften kan för att fylla sitt syfte ges en sådan mer generell utformning som datainspektionen har angett i sitt yttrande i det nu aktuella ärendet. Av informationen om registret ör framgå att sådana känsliga uppgifter som sägs i 4 å datalagen kan komma att registreras.
Regeringen beslutar därför att föreskriften skall ha följande lydelse.
Den registeransvarige skall minst en gång årligen i rikstäckande massmedium redogöra för registrets innehåll och ändamål. Av denna information skall framgå att sådana känsliga uppgifter som anges i 4 å datalagen kan ingå i registret.
Riksradions programdatabas
Datainspektionen beviljade genom ett beslut den 30 augusti 1990 tillstånd för Sveriges Radio AB att inrätta och föra rubricerade personregister. Registret används för att söka fram inspelade och lagrade radioprogram och innehåller bl.a. namn på upphovsmän, namn
SOU 1993:10 123
på personer som omtalats i program och namn på personer som medverkar i program.
Datainspektionen konstaterade i skälen till sitt beslut att registret skulle komma att innehålla uppgifter om politisk eller religiös uppfattning och även uppgifter om brottslig verksamhet m.m., dvs. uppgifter som enligt 4 å datalagen får registreras endast om särskilda respektive synnerliga skäl föreligger. Med hänsyn till att registret är ett sökregister för framtagning av inspelade radioprogram som sänts i riksradion fann Datainspektionen sådana särskilda och synnerliga skäl föreligga. Datainspektionen fäste även stor vikt vid att rundradioverk- samheten regleras av skyddslagstiftning och av etiska normer för radio och TV.
Datainspektionen anförde vidare i skälen att information till dem som kommer att vara registrerade allmänt sett är av stor betydelse för att förebygga otillbörligt intrång i personlig integritet. En föreskrift om information bedöms därför ofta vara behövlig för tillstånd att registrera personer som inte har anledning räkna med registreringen i fråga. För Sveriges Riksradio AB såsom registeransvarig bör gälla att bolaget inom sändningsområdet minst en gång årligen skall informera om registret och redogöra för registrets ändamål och innehåll.
I tillståndsbeslutet meddelade Datainspektionen följande villkor.
Minst en gång årligen skall på lämpligt sätt information spridas om re istrets innehåll och ändamål. Av redogörelsen skall framgå att så ana känsliga uppgifter som anges i 4 å datalagen kan ingå i registret.
Nyhetsdatorisering
Datainspektionen beviljade genom ett beslut den 21 februari 1991 tillstånd för Sveriges Television AB att inrätta och föra personregistret "Nyhetsdatorisering". Registret används för att lagra dels externt inkommande nyhetsmaterial och dels eget nyhetsmaterial, som har sänts. De lagrade uppgifterna används för egen vidaresändning antingen i form av nyhetsprogram eller andra program.
Av Datainspektionens beslut framgår att uppgifterna i registret inhämtas från bl.a. externa källor till bolaget såsom TT, AP, Reuters, CNN och andra nyhetsbyråer. Vidare står registret i direktkontakt med andra databaser av typ Affärsdata.
De registrerade uppgifterna består av dels den text som kommer från de ovan angivna texterna och källorna, dels den text som har lästs upp av nyhetsuppläsaren och dels den ursprungliga manustexten.
I registret finns bl.a. följande uppgifter.
! Företags, myndigheters och organisationers kontaktpersoner samt telefonnummer och adresser till dessa.
124 SOU l993:10
' De personer som omnämns eller intervjuas i inslaget såsom exempelvis idrottsmän, verkställande direktörer i företag, politiker eller personer som misstänks för brott, åtalats eller dömts för brott.
I Annan känslig information som kan röra religiös uppfattning, sjukdom och omdömen.
Bearbetning av de registrerade uppgifterna sker genom s.k. fritext- sökning. Sökning och presentation av resultat sker via terminal.
I tillståndsbeslutet meddelade Datainspektionen bl.a. följande villkor.
Den registeransvarige skall minst en gång årligen, på ett fram- trädande sätt, i rikstäckande massmedium redogöra för registrets innehåll och ändamål. Av denna information skall framgå att sådana känsliga uppgifter som anges i 4 å datalagen och om- dömen eller annan värderande upplysning enligt 6 å datalagen kan ingå i registret.
Av intresse i detta sammanhang är också ett beslut enligt vilket Sveriges Riksradio AB fick tillstånd att föra ett personregister benämnt " Externt telefonregister".
Datainspektionen meddelade sitt tillstånd den 1 december 1986. Registret skulle användas i nyhetsverksamheten för att ta fram uppgifter om vem som lämpligast kunde sökas för en intervju eller bakgrundsinformationi ett visst ämne. I beslutet föreskrevs att bolaget skulle förstöra personuppgifter rörande en registrerad som begärde det.
Justitiekanslern överklagade Datainspektionens beslut och yrkade att tillståndet skulle förenas med en föreskrift om att den som skulle registeras skulle underrättas om själva registreringen och om möjlig— heten att begära att personuppgifter i registret skulle förstöras. Ändamålet med registret var att kunna ringa upp personer som bedöms lämpliga för intervjuer eller bakgrundsinformation i olika ämnen. Det var enligt Justitiekanslerns mening uppenbart att de aktuella personerna kunde ha ett berättigat intresse av att inte vilja bli störda på detta sätt.
Regeringen biföll överklagandet. I skälen till beslutet anförde regeringen bl.a. följande.
Till detta kommer att ------ det tryckfrihets- och radiorättsliga anonymitetsskyddet bör beaktas i sammanhanget. Det finns visserli- gen anledning utgå från att personer, som har velat vara anonyma när de har medverkat vid tillkomsten av program, inte kommer att röjas på grund av registerföringen. För eventuella framtida med- verkande kan emellertid registreringen vara känslig av hänsyn till anonymitetsskyddet. Det är därför angeläget att de ges en reell möjlighet att själva bestämma om de vill vara registrerade eller inte. En sådan möjlighet skapas, om en föreskrift om underrättelses- kyldighet meddelas.
SOU l993:10 125
En föreskrift om skyldighet för bolaget att underrätta dem som registeras i personregistret Externt telefonregister bör därför meddelas.
Vidare bör det i underrättelserna erinras om föreskriften i till— ståndsbeslutet att den registeransvarige skall förstöra person- uppgifter rörande en registrerad som begär det.
Det bör i först hand ankomma på datainspektionen att närmare överväga hur den föreskrift bör vara utformad som nu skall med- delas.
Genom beslut den 21 december 1988 meddelade Datainspektionen följande villkor om underrättelseskyldighet.
Den registeransvarige skall underrätta de registrerade om regist- rets ändamål och innehåll genom att en gång per år sända utdrag ur registret samt även underrätta om de registrerades rätt att på egen begäran bli strukna ur registret.
Sveriges Radio AB har avstått från att inrätta registret "Externt telefon- register" med hänvisning till de praktiska olägenheter som den meddelade föreskriften skulle komma att medföra.
7.4 Utredningens tidigare ställningstaganden
Den fråga som utredningen analyserade under sitt tidigare arbete huruvida de föreskrifter som Datainspektionen har att tillämpa i sin verksamhet och som har tillkommit för att skydda enskilds personliga integritet, dvs. främst föreskrifterna i datalagen men även andra för- fattningar av samma, t.ex. särskilda registerlagar, eller lägre konsti— tutionell valör, kan komma i strid med vissa föreskrifter i TF och YGL. Praktiskt gäller frågan - för att ta ett exempel - huruvida villkor som Datainspektionen meddelar för förandet av ett visst personregister eller inspektionens rätt att få insyn i personregister kan komma i konflikt med TF:s och YGL:s regler om förbud mot censur och andra hindrande åtgärder eller med rätten till anonymitetsskydd. Problemet torde ha störst betydelse hos tidningarna men kan också aktualiseras hos bl.a. radio— och TV—företagen och hos bokförlagen.
Såvitt utredningen har funnit är det främst bestämmelserna om förbud mot censur och andra hindrande åtgärder och om anonymitets- skyddet i TF och YGL som är av intresse.
Vad först gäller tidningarna framgår av redovisningen i avsnitt 7.3 att personregister av ganska skilda slag förs med hjälp av ADB hos tidningarna. En typ av register är sådana som används som ett direkt tekniskt hjälpmedel i själva framställningen av tidningarna. Exempel på detta är artiklar som utgör ett slags register över kända personers deklarerade inkomster, över framstående avlidna personer under ett år
126 SOU 1993: 10
och över medlemmar i en förening. Även familjesidorna kan sägas vara exempel på sådana register. Sådana register som tidningarna använder före eller vid tryckningen kan betecknas som produktions- register. Andra register utnyttjas snarast som källor vid framställningen av en tidning. Ur dessa register, som här kallas för källregister, kan uppgifter hämtas för tillkomsten av en tidning. Ett exempel på källregister är register över personer som har lämnat uppgifter till en tidning och som därmed kan vara intressanta att kontakta i framtiden. Ytterligare exempel är klipparkiven och register över nyligen inkomna telegram. Det är alltså fråga om register som har direkt betydelse för publiceringsverksamheten. Andra register har närmast karaktären av administrativa register. Hit hör t.ex. löneregister över anställda, abonnent— och kundregister, leverantörsregister, register över tidnings- utbärare. Det är vidare inte ovanligt att tidningar inrättar tillfälliga direktreklamregister och andra liknande marknadsföringsregister.
Det finns kanske andra slags personregister hos tidningarna än de nu nämnda och ett register kan användas för olika ändamål. Särskilt intresse tilldrar sig klipparkivregistren, som utgör arkiv över artiklar som varit publicerade i vissa tidningar. Till den del klipparkiven används på tidningsredaktionerna av journalisterna har klipparkiven närmast karaktären av källregister. I den utsträckning som allmänheten kan utnyttja dem är arkiven dock något annat än källregister.
Vid en närmare granskning av de kollisioner som kan uppstå mellan TF, å ena sidan, och datalagstiftningen, å andra sidan, torde kunna hävdas att reglerna i den nuvarande datalagen om tillstånd och villkor för tillstånd ofta kan leda till konflikter med bestämmelserna i 1 kap. 2 å TF. Utredningen har emellertid föreslagit att tillståndsförfarandet skall utmönstras, varför just denna konflikt inte har berörts närmare av utredningen. Kvar står emellertid, såväl enligt den nu gällande som den kommande datalagen, att Datainspektionen kan uppställa olika mer eller mindre ingripande villkor för ett personregister och i undantags- fall förbjuda att registret förs.
Vad först gäller produktionsregistren kan det inte råda någon tvekan om att exempelvis sådana villkor för ett registers förande av Datain— spektionen som tar sikte på registrets innehåll ofta kan verka väsentligt försvårande för tryckningen och utgivningen av en tidning. Visserligen tar inspektionens villkor formellt sikte på registret som sådant, men eftersom registret i princip skall utgöra en del av tidningen rör villkoren i praktiken tidningens innehåll. Sådana villkor kan alltså stå i strid med 1 kap. 2 å TF. Det får emellertid antas att vissa villkor av mindre ingripande slag beträffande ett produktionsregister inte behöver komma i konflikt med TF. Det är dock svårt att närmare ange var denna gräns går. En generös tolkning av TF leder emellertid till att det i tveksamma fall får anses uppstå en kränkning av 1 kap. 2 å TF.
De bestämmelser i datalagen som mer allmänt rör den register- ansvariges skyldigheter - alltså de som avser att registret skall föras för
SOU l993:10 127
ett bestämt ändamål, skyldigheten att föra en förteckning över förekommande personregister, skyldigheten att rätta oriktiga uppgifter, skyldigheten att lämna registerutdrag etc. - torde normalt när det gäller produktionsregistren inte komma i strid med 1 kap. 2 å TF.
Vad därefter gäller sådana källregister som inte avser meddelare torde den tillsyn som Datainspektionen utövar genom bl.a. beslut om olika villkor kunna verka väsentligt försvårande för framställningen av en tidning och därmed komma i konflikt med 1 kap. 2 å TF. Vid en ren bokstavstolkning av 1 kap. 2å TF kan naturligtvis hävdas att villkor rörande ett källregister, som ju på ett annat sätt än produktions- registren har betydelse för en tidnings innehåll, inte kan ge upphov till någon konflikt av nu nämnt slag. Ett sådant synsätt är emellertid enligt utredningen alltför formalistiskt. En lojal tolkning av paragrafen innebär att villkor rörande ett källregister bör ses som preventiva in- gripanden i förhållande till tryckningen som kan komma i konflikt med grunderna för 1 kap. 2 å TF. En förutsättning för detta är dock att det är fråga om källregister som är direkt avsedda som ett stöd för den journalistiska verksamheten. Sådan karaktär har bl.a. klipparkivregi— stren och register över nyligen inkomna telegram. Vad som nu har sagts gäller däremot inte register som närmast kan betecknas som litteratur- eller biblioteksregister. Inte heller hör hit material som en journalist samlar in som underlag för en planerad artikel. Liksom har sagts om produktionsregistren torde dock beträffande källregistren vissa villkor av mindre ingripande karaktär och föreskrifterna som rör den registeransvariges allmänna skyldigheter kunna vara sådana att någon konflikt av nu aktuellt slag inte uppstår.
En speciell typ av register som har hänförts till källregister är klipparkivregistren. Dessa register kan ha olika ändamål. Ett sådant, det viktigaste får man anta, är att arkiven används i tidningarnas publicistiska verksamhet. Journalisterna utnyttjar alltså i det samman- hanget klipparkiv-registren för att skriva nya artiklar. Registren blir därmed ett hjälpmedel och många gånger en nödvändig förutsättning för framställningen av en tidning.
I den utsträckning som klipparkiven används för tidningarnas publicistiska verksamhet utgör de ett slags källregister. Sådana villkor av Datainspektionen som rör förandet av klipparkivregistren kan - med den tolkningen av 1 kap. 2 å TF som utredningen förordat - bli väsentligt försvårande för framställningen av en tidning och därmed komma att stå i strid med TF.
Till källregistren har utredningen även hänfört register över personer som har lämnat meddelanden till en tidning. Sådana personer åtnjuter anonymitetsskydd enligt TF. Föreskrifterna i datalagen, som medger att Datainspektionen i sin tillsynsverksamhet tar del av alla person- register som förs med hjälp av ADB, synes sålunda kunna leda till att av TF skyddade uppgifter röjs för utomstående.
128 SOU l993:10
När det gäller andra register som förs hos tidningar, alltså främst olika administrativa register och marknadsföringsregister, torde datalagens regelsystem normalt inte behöva leda till några konflikter med TF. Det är alltså här fråga om register som är av en mer allmän karaktär och som inte är direkt typiska för en tidning. Problem av ovan diskuterat slag kan dock inte helt uteslutas när det gäller nu nämnda register. Sålunda kan ett löneadministrativt register avseende anställd personal vid en tidning också innehålla uppgifter om utbe— talningar till meddelare. Teoretiskt kan vidare villkor eller bestämmel— ser av Datainspektionen rörande ett abonnent- och kundregister försvåra utgivningen av en tidning på sådant sätt att villkoren eller bestämmelserna kommer i konflikt med TF, om villkoren eller bestämmelserna har tillkommit med hänsyn till tidningens innehåll (exempelvis p.g.a. kränkande och oanständiga artiklar).
Av den hittills gjorda genomgången framgår att konflikter kan uppstå vid tillämpningen av TF och datalagen på personregister hos tidningarna. Dessa konflikter tar sig uttryck på så sätt att datalagens regelsystem kan verka väsentligt försvårande för tryckningen eller utgivningen av en tidning. Vad det i praktiken handlar om är närmast mer ingripande villkor för förandet som meddelas av Datainspektionen rörande främst tidningarnas produktionsregister och källregister. Konflikten visar sig också på så sätt, att tidningarna kan ha person- register som innehåller uppgifter som är skyddade av tystnadsplikt men som Datainspektionen likväl kan komma att få del av.
Kollisioner mellan TF och datalagen kan uppstå inte bara hos tid- ningarna. Även om problemen torde vara något vanligare hos tidningarna, kan de uppstå även hos andra medier som skyddas av TF och YGL.
Av redovisningen ovan rörande förekomsten av personregister som förs med ADB-stöd inom Sveriges Radio-koncernen framgår att Datainspektionen har uppställt olika mer eller mindre ingripande villkor för dessa register.
Det register som Sveriges Television AB för, " Nyhetsdatorisering", har delvis karaktären av ett produktionsregister genom att det består av den text som nyhetsuppläsaren läser upp. Men detta register, liksom de register som beskrivits tidigare och som förs av Sveriges Riksradio AB, används också för tillkomsten av program. De kan således betraktas som vad utredningen har valt att kalla för sådana källregister som är direkt avsedda som ett stöd för programverksamheten.
Det resonemang som utredningen har fört beträffande de konflikter som kan uppstå vid tillämpningen av TF och datalagen på personregis- ter hos tidningarna gäller också enligt utredningen då YGL och data- lagen tillämpas på personregister hos Sveriges Radio-koncernen.
I detta sammanhang kan särskilt framhållas att Sveriges Radio AB har avstått från att inrätta registret " Externt telefonnummer" p.g.a de
SOU 1993:10 129
olägenheter som Datainspektionens villkor om underrättelseskyldighet beträffande registrets ändamål och innehåll innebar.
Konflikter av det slag som nu har beskrivits kan vidare — bara för att ta något exempel - uppstå inom förläggarbranschen. Där före- kommer således produktionsregister, t.ex. vid tryckningen av matriklar samt kataloger och förteckningar av olika slag som innehåller personuppgifter. Andra exempel på produktionsregister är register som används för att framställa olika slags spärrlistor. Villkor som rör dessa register kan alltså stå i strid med 1 kap. 2 å TF. Material som en författare har samlat in och lagrat i en dator kan emellertid inte anses utgöra register som skyddas av TF. Detsamma gäller material som en forskare har registrerat med anledning av ett vetenskapligt projekt.
De konflikter mellan 1 kap. 2 å TF och 1 kap. 3 å YGL samt datalagstiftningen som har beskrivits beror på att olika normer är oförenliga i vissa situationer. Frågan är då vilken norm som skall vinna företräde. Vad som är speciellt för de nu aktuella fallen är att det rör sig om normer av olika konstitutionell dignitet. Å ena sidan är det TF och YGL, som är grundlagar, som är tillämpliga. Å andra sidan gäller det tillämpningen av främst datalagen och föreskrifter som har meddelats med stöd av den lagen, alltså föreskrifter i vanlig lag och myndighetsföreskrifter.
Det normala sättet för en myndighet att lösa normkonflikter mellan dels grundlagar och dels övriga av riksdagen beslutade lagar, rege- ringsförordningar samt föreskrifter utfärdade av förvaltningsmyndig- heter är att använda vanliga lagtolkningsmetoder. Om den vägen inte är framkomlig, gäller den principen att en författning av högre rang äger företräde framför en av lägre konstitutionell dignitet. I de av utredningen beskrivna konfliktsituationerna skall således i princip TF och YGL, som grundlagar, ta över datalagstiftningen. Denna princip brukar kallas för lex superiorprincipen.
En slutsats att normkonflikten mellan å ena sidan TF och YGL och å andra sidan datalagen skall lösas så att de två förstnämnda lagarna skall äga företräde kan möjligen sättas i fråga med hänsyn till bestämmelsen i 2 kap. 3 å andra stycket RF. I denna bestämmelse föreskrivs nämligen att varje medborgare skall, i den utsträckning som anges i lag, skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av ADB.
Bakgrunden till föreskriften i RF, som trädde i kraft den 1 januari 1989, var att ge integritetsskyddet på dataområdet en fastare förankring i RF än det hade genom målsättningsstadgandet i 1 kap. 2 å RF, vari bl.a. sägs att det allmänna skall värna den enskildes privatliv och familjeliv. Genom den nya regeln i RF åläggs lagstiftaren att vara aktiv genom att stifta och vidmakthålla en datalagstiftning. Den nya grundlagsbestämmelsens rättsliga betydelse är, enligt förarbetena, att datalagstiftningen skall utgöra en verklig och allvarligt menad skyddslagstiftning. Däremot ligger det i sakens natur att bestämmelsen
130 SOU 1993:10
inte kommer att kunna tillämpas direkt av myndigheterna (prop. 1987/88:57 s. 11).
En principiell skillnad föreligger således enligt utredningen mellan föreskrifterna om förbudet mot censur och andra hindrande åtgärder i TF och YGL samt den nya bestämmelsen i 2 kap. 3 å RF. De förstnämnda föreskrifterna riktar sig till myndigheter eller andra allmänna organ. Med det sistnämnda uttrycket avses även regeringen och riksdagen. TF och YGL förbjuder således Datainspektionen att vidta någon som helst åtgärd som kan verka hindrande på sätt anges i TF och YGL. Det nya stadgandet i 2 kap. 3 å RF har emellertid lagstiftaren - alltså riksdagen — som adressat. Enligt utredningen måste man mot bakgrund av det sagda utgå från att Datainspektionen, i såväl ett enskilt fall som vid normgivning, måste böja sig för TF och YGL, trots föreskriften i 2 kap. 3 å RF.
Utredningen utgår således från att TF och YGL vad gäller censur- förbud och andra hindrande åtgärder tar över datalagstiftningen vid en eventuell normkollision.
Vad beträffar föreskrifterna i TF och YGL om anonymitetsskydd gäller visserligen att även de tar över andra föreskrifter av lägre konstitutionell valör. Någon direkt konflikt mellan TF och YGL, å ena sidan, och datalagens regler, å andra sidan, föreligger emellertid inte i detta fall. Datainspektionens tillsynsverksamhet går inte ut på att efterforska författares, utgivares eller meddelares identitet utan har helt andra syften. Likväl kan inspektionens verksamhet leda till problem i fråga om anonymitetsskyddet. Detta sammanhänger med att det enligt utredningen föreligger en betydande risk för att skyddade uppgifter oavsiktligt kan komma att röjas då Datainspektionen utövar sin tillsyn.
Enligt utredningen är risken för att uppgifter som är skyddade av anonymitet genom TF och YGL skall röjas för obehöriga när Datain- spektionen utövar tillsyn inte försumbar. Erfarenheterna från liknande situationer, nämligen då tvångsmedel används mot en tidning och vid taxeringsrevision av en tidning, visar att anonymitetsskyddet inte är tillfredsställande.
Den slutsats som utredningen drog av sina resonemang är följande. Grundlagsbestämmelserna i TF och YGL skall tillämpas framför datalagstiftningen vid en konflikt dem emellan. Utredningen har också funnit att det vid den vägning som bör göras av olika skyddsintressen är rimligt att de grundlagsskyddade bestämmelserna inom yttrande- frihetsområdet på det sättet tar över datalagen, även om skyddet mot otillbörligt intrång i den personliga integriteten i samband med personregistrering med hjälp av ADB numera också har viss grund- lagsanknytning (se 2 kap. 3 å RF).
Utredningen föreslog därför att någon saklig ändring inte görs i nuvarande ordning. Däremot bör vissa förtydliganden göras i datalagen för att ange vilka slag av personregister som bör tas undan från datalagens tillämpningsområde. Hit hör produktionsregister, dvs.
SOU 1993:10 131
personregister som används som ett direkt tekniskt hjälpmedel före eller vid framställningen av ett grundlagsskyddat yttrande. Vidare bör källregister, dvs. de register som är direkt avsedda som ett stöd för den journalistiska verksamheten, för programverksamheten etc., undantas. Som exempel på sådana register kan nämnas register över meddelare och register, som är personrelaterade, över nyligen inkomna telegram. I den mån datoriserade klipparkiv används i tidningarnas publicistiska verksamhet bör dessa också anses som källregister i nu angiven mening.
Utredningen övervägde även om datalagen i vissa delar skulle kunna göras tillämplig på de register som nu har nämnts, exempelvis i fråga om en registeransvarigs allmänna skyldigheter. Utredningen fann emellertid att olika skäl, framför allt det nödvändiga behovet av att inskränka Datainspektionens tillsynsrätt, talar emot en sådan lösning.
Slutligen behandlade utredningen när det gäller personregistrering på massmediernas område frågan om datoriserade klipparkiv bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet.
Enligt utredningen kommer klipparkiven utan tvekan att bli känsliga från integritetssynpunkt. De kommer med tiden att innehålla en stor mängd personuppgifter, varav inte så få av känslig natur. Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas med stor lätthet. Uppgifterna kommer vidare att bevaras under lång tid.
Det nu sagda talade enligt utredningen med viss styrka för att klipparkivregistren inte bör undantas från datalagen då de används för andra ändamål än att tjäna tidningarnas publicistiska verksamhet, t.ex. att ge allmänheten tillgång till registren.
Vid en samlad bedömning fann utredningen emellertid att den lämpligaste lösningen är att klipparkivregistren helt undantas från datalagens tillämpningsområde. Den nu angivna lösningen innebär att det blir tidningarna själva som får avgöra i vilken utsträckning som allmänheten får tillgång till klipparkiven. Det saknas enligt utredningen anledning att anta att tidningarna inte skulle kunna sköta denna uppgift med tillbörlig hänsyn till integritetsintressena.
Med den lösning som utredningen funnit lämplig för person— registrering för massmediernas del skulle dock framgent personregister som förs för administrativa ändamål, t.ex. löne- och personalregister, alltjämt omfattas av datalagens bestämmelser. Det får ankomma på exempelvis tidningarna att ha sina register ordnade så, att de uppgifter som omfattas av grundlagsskyddet förs skilda från de administrativa registren för att undvika att konflikter uppstår i samband med tillsyn och kontroll. Några särskilda regler härom ansåg utredningen dock inte vara erforderliga.
132 SOU l993:10
7.5 Remissutfallet
Flera remissinstanser är positiva till utredningens förslag hur konflikten mellan grundlagarna och datalagstiftningen bör lösas. Justitiekanslern anser att utredningens slutsats att produktionsregistren helt bör undantas från datalagens föreskrifter om tillsyn är välmotiverad. Inte heller källregistren bör enligt Justitiekanslern omfattas av datalagen. Kammarrätten i Göteborg delar utredningens uppfattning att datalagens regelsystem kan stå i strid med TF. Kammarrätten menar dock att det är vanskligt att bedöma avvägningen mellan offentlighets- och integritetsskyddsintressena med hänsyn till bestämmelsen i 2 kap. 3 å RF. Enligt Universitets- och högskoleämbetet bör produktions— och källregister undantas från datalagen. Lunds universitets juridiska fakultetsstyrelses forskningsnämnd delar utredningens uppfattning att datainspektionen inte bör ha tillgång till register över anonymitetsskyd- dade personer. Enligt nämnden hindrar detta emellertid inte att man i t.ex. datalagen tar in särskilda bestämmelser till skydd för den registrerade som kompletterar det skydd som TF ger. Forskningsnämn- den har samma uppfattning som utredningen när det gäller register som står i ett direkt tekniskt samband med sättnings- och tryckningspro- cessen.
I huvudsak positiva till utredningens förslag är vidare Kungliga Vetenskapsakademien, Humanistisk-samhällsvetenskapliga forsknings- rådet, Statskontoret, Svenska Bokförläggareföreningen och Annonsör- föreningen, Dagligvaruleverantörers Förbund, Direkthandelsföretagens Förening, Swedish Direct Marketing Association, Svenska Postorder- föreningen, Sveriges Marknadsförbund, Sveriges Reklamförbund, Sveriges Telemarketing Förening, Sveriges författarförbund, Sveriges Industriförbund, Svenska Arbetsgivareföreningen, Företagarnas Riksorganisation, Sveriges Akademikers Centralorganisation, Sveriges Psykologförbund och BIK-förbundet. Några remissinstanser är i princip positiva till utredningens förslag men har förordat längre gående undantag från datalagens tillämpningsområde. Juridiska fakultetsstyrel- sen vid Uppsala universitet anser att begreppet källregister inte bör avgränsas så snävt att det inte inkluderar det underlag som en journalist samlar in för en planerad artikel. Liknande ställnings- taganden intas av Sveriges Radio AB, Tjänstemännens Centralorga- nisation, Publicistklubben, Svenska journalistförbundet, Svenska tidningsutgivareföreningen, Pressens samarbetsnämnd och Föreningen Grävande Journalister. Om källregistren undantas från datalagens tillämpningsområde, bör enligt Pressens opinionsnämnd undantaget även omfatta material som en journalist samlar in som underlag för en planerad artikel.
Några remissinstanser framför kritiska synpunkter mot utredningens förslag. Riksdagens ombudsmän (JO Hans Ragnemalm) finner med
SOU 1993:10 133
hänvisning till 2 kap. 3 å RF att utredningen inte tillfredsställande har motiverat sitt förslag att exkludera så många register hos massmedierna från den kommande datalagens tillämpningsområde. Datainspektionen menar att målsättningen även i fortsättningen bör vara att det finns åtminstone grundläggande normer om personregistrering för massmedi- ernas register. Det bör enligt inspektionen vara möjligt att utan hinder av tryckfriheten tillgodose integritetsskyddsintressena i vart fall när det gäller den enskildes insynsrätt och ADB-säkerhet. Inspektionen framhåller också att begreppet källregister och andra begrepp som utredningen använder är svårtolkade. Enligt Lunds universitets juridiska fakultetsstyrelses forskningsnämnd är utredningens resone- mang beträffande register som utgör innehållsliga källor alltför onyanserat. Det rör sig om en konflikt mellan olika intressen. Regeln i 1 kap. 2 å TF besvarar inte på något självklart sätt hur konflikten skall lösas. Enligt nämnden är det snarast så att vart och ett av intressena har grundlagsstöd. Juridiska fakultetsnämnden vid Stock- holms universitet finner det rent begreppsmässigt och terminologiskt osäkert vilka undantag från datalagen som utredningen föreslår. Fakultetsnämnden kan vidare inte utan reservationer godta utred- ningens tolkning av gällande rätt, dvs. att TF och YGL som lex superior tar över datalagstiftningen, inklusive 2 kap. 3 å RF. Kon- flikter på grundlagsnivå bör enligt nämnden lösas mer nyanserat än vad utredningen förordar. Nämnden anser att både produktionsregister och källregister i princip bör kunna föras in under datalagens tillämpnings- område. Konflikterna med informationsfriheten får regleras på varje punkt där de föreligger eller uppkommer. Kritiska synpunkter framförs också av Samhällsvetenskapliga fakulteten vid Umeå universitet.
Flera remissinstanser uttalar sig över utredningens förslag att klipparkivregister bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Justitiekanslern anser att utredningens slutsats att klipparkivregistren helt bör undantas från datalagen är väl underbyggd. Enligt Justitie- kanslern kan det knappast uteslutas att villkor för allmänhetens tillgång får återverkningar beträffande registrens användning iden publicistiska verksamheten. Justitiekanslern betonar i sammanhanget att Pressens opinionsnämnd inte bör tas i anspråk för några uppgifter som skulle kunna föra in andra hänsyn än de pressetiska. Universitets- och högskoleämbetet delar utredningens förslag. Juridiska fakultetsstyrelsen vid Uppsala universitet framhåller att det är uppenbart att klipparkiv kan innehålla mycket känsligt material. Detta innebär emellertid inte att offentlig kontroll och lagstiftning måste sättas in. Först om det kommer fram belägg för oacceptabla integritetskränkningar bör lagstiftning övervägas. Positiva till utredningens förslag är också Statskontoret, Sveriges Radio AB, Svenska journalisgförbundet och Svenska tidningsutgivareföreningen.
134 SOU l993:10
Kritiska synpunkter saknas dock inte till utredningens förslag i sistnämnda fråga. Riksdagens ombudsmän säger sig vara särskilt tveksam till att undanta de från integritetsskyddssynpunkt mycket känsliga klipparkiven. Datainspektionen framhåller att de pressetiska reglerna och pressens egen bevakning inte omfattar pressens register— hållning. Denna bevakning utgör därför enligt inspektionen inget värn mot integritetskränkningar, även om de nuvarande massmedieföretagen bedrivs under seriösa former. Lunds universitets juridiska fakultetssty- relsens forskningsnämnd tar upp några frågor som ytterligare bör övervägas när det gäller klipparkiven. Följande frågor menar nämnden är relevanta. Är uppgifterna tidigare publicerade eller ej? Avser uppgifterna offentliga personer eller privatpersoner? Avser uppgifterna barn, ungdomar eller vuxna? Av vilken art är uppgifterna (enskilda levnadsöden, politiska handlingar, åsikter, brott, sjukdomar osv.)? För vilka syften är det illegitimt att använda uppgifterna? Vilken roll bör i sammanhanget tilläggas Pressens opinionsnämnd och Allmänhetens pressombudsman? Kritiska synpunkter när det gäller förslaget att klipparkiven skall ställas utanför datalagen framförs också av Sveriges Industriförbund, Svenska Arbetsgivareföreningen, Företagens Riks- organisation. Tjånsternännens centralorganisation menar att det inte finns någon anledning att begränsa allmänhetens möjligheter att aktivt inhämta samhällsinformation som har varit tryckt. När uppgifter ur klipparkiven används i kommersiellt syfte bör dock datalagen vara tillämplig. Enligt Landsorganisationen i Sverige bör datalagen innehålla grundläggande krav kring hanteringen av klipparkiven.
Pressens opinionsnämnd avvisar tanken att nämnden eller Allmän- hetens pressombudsman medverkar i Datainspektionens tillsyn av tidningar.
7.6 Överväganden
Utredningen har således i sina tidigare ställningstaganden kommit fram till att konflikter kan uppstå vid tillämpningen av TF och YGL samt datalagstiftningen, dels genom att datalagens regelsystem i viss utsträckning kan verka försvårande för framställningen av olika yttranden och dels genom grundlagarnas regler om anonymitetsskydd. Enligt utredningen har man att utgå från att grundlagsbestämmelsema skall tillämpas framför datalagstiftningen vid en konflikt dem emellan. Utredningen har också funnit att det vid den vägning som bör göras av olika skyddsintressen är rimligt att de grundlagsskyddade bestämmel- serna inom yttrandefrihetsområdet på det sättet tar över datalagen, även om skyddet mot otillbörligt intrång i den personliga integriteten i samband med personregistrering med hjälp av ADB numera också har viss grundlagsanknytning (se 2 kap. 3 å RF).
SOU l993:10 135
Utredningen har därför tidigare föreslagit att någon saklig ändring inte görs i nuvarande ordning. Däremot bör vissa förtydliganden göras i datalagen för att ange vilka slag av datasamlingar som bör tas undan från datalagens tillämpningsområde. Hit hör produktionsregister, dvs. personregister som används som ett direkt tekniskt hjälpmedel före eller vid framställningen av ett grundlagsskyddat yttrande. Vidare bör källregister, dvs. de register som är direkt avsedda som ett stöd för den journalistiska verksamheten, för programverksamheten etc., undantas. I den mån datoriserade klipparkiv används i tidningarnas publicistiska verksamhet bör dessa också anses som källregister i nu angiven mening.
Utredningen har även övervägt om datalagen i vissa delar skulle kunna göras tillämplig på de datasamlingar som nu har nämnts, ex— empelvis i fråga om en persondataansvarigs allmänna skyldigheter. Ut- redningen har emellertid funnit att olika skäl, framför allt det nöd- vändiga behovet av att inskränka datainspektionens tillsynsrätt, talar emot en sådan lösning.
Slutligen har utredningen i sina tidigare ställningstaganden när det gäller behandling av personuppgifter på massmediernas område behandlat frågan om datoriserade klipparkiv bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Efter att ha gått igenom och utförligt redovisat de argument som talar för och emot en sådan lösning har utredningen slutligt stannat för att klipparkiven helt bör undantas från datalagens tillämpningsområde. Det innebär bl.a. att det blir massmedieföretagen själva som får avgöra i vilken utsträckning som allmänheten får tillgång till klipparkiven med deras många gånger integritetskänsliga material. Enligt utredningens mening saknas det anledning att anta annat än att tidningarna m.fl. skulle kunna sköta denna uppgift med tillbörlig hänsyn till integritetsintressena.
Utredningen tar i den följande framställningen först upp frågan om normkonflikten mellan grundlagarna och datalagstiftningen. Därefter kommer utredningen att behandla frågan om klipparkiven bör undantas från datalagen i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet.
Normkonflikten mellan grundlagarna och datalagstiftningen
Flertalet remissinstanser synes i och för sig godta utredningens slutsats att datalagstiftningen i viss utsträckning kan verka försvårande för framställningen av olika yttranden. Remissinstanserna har inte heller ifrågasatt utredningens påstående att det finns risk för att konflikter kan uppstå till följd av grundlagarnas regler om anonymitetsskydd. Några remissinstanser har emellertid ändå inte godtagit utredningens slutsats att TF och YGL skall äga företräde framför datalagstiftningen. Dessa remissinstanser har som skäl härför åberopat bestämmelsen i 2
136 SOU 1993:10
kap. 3 å RF. Tanken torde vara den att de konflikter som utredningen har pekat på rätteligen avser normkonflikter på grundlagsnivå.
Utredningen har svårt att ansluta sig till detta synsätt. Bestämmelsen i 2 kap. 3 å RF skall visserligen ses mot den bakgrunden att in- tegritetsfrågorna har en särskild vikt på ADB-området. Förmågan att skydda den personliga integriteten är nämligen av avgörande betydelse för utvecklingen på ADB-området. En grundförutsättning för att ADB- tekniken skall kunna utnyttjas är att människorna inte känner främ- lingskap och upplever tekniken som ett hot mot den personliga in- tegriteten. Genom bestämmelsen i 2 kap. 3 å RF fick integritetsskyddet på dataområdet en fastare förankring än genom målsättningsstadgandet i 1 kap. 2 å RF, som föreskriver att det allmänna skall värna den enskildes privatliv och familjeliv (prop. 1987/88:57, s. 6 och 9).
Även om integritetsskyddet genom 2 kap. 3 å RF således har fått grundlagsförankring, menar utredningen att det föreligger en prin- cipiell skillnad mellan föreskrifterna om förbud mot censur och andra hindrande åtgärder i TF och YGL samt bestämmelsen i 2 kap. 3 å RF. Som utredningen har framhållit i sina tidigare ställningstaganden riktar sig bestämmelserna i TF och YGL till myndigheter eller andra allmänna organ. Med det sistnämnda uttrycket avses även regeringen och riksdagen. TF och YGL förbjuder således Datainspektionen att vidta någon som helst åtgärd som kan verka hindrande på sätt anges i TF och YGL. Det nya stadgandet i 2 kap. 3 å RF har emellertid lagstiftaren - alltså riksdagen — som adressat. Enligt utredningen måste man mot bakgrund av det sagda utgå från att Datainspektionen, i såväl ett enskilt fall som vid normgivning, måste böja sig för TF och YGL, trots föreskriften i 2 kap. 3 å RF.
Utredningen utgår därför alltjämt från att TF och YGL vad gäller censurförbud och andra hindrande åtgärder tar över datalagstiftningen vid en eventuell normkollision.
Det kan naturligtvis sättas i fråga om det är rimligt att datalagen skall vika för TF och YGL med hänsyn till bestämmelsen i 2 kap. 3 å RF. Det finns dock enligt utredningen skäl som talar för att den nuvarande ordningen innebär en lämplig avvägning mellan de olika intressen som här står mot varandra.
De flesta av de här aktuella datasamlingarna torde normalt vara ganska harmlösa. Man kan emellertid inte bortse från att det i en del fall kan röra sig om datasamlingar med känslig information.
Av avgörande betydelse för principfrågan är emellertid enligt ut- redningen att den grundlagsskyddade friheten att yttra sig i skrifter och andra medier inte bör begränsas, om det inte är nödvändigt med hänsyn till motstående intresse. Något så uttalat intresse att en begränsning bör ske finns enligt utredningens mening inte. Man kan inte heller bortse från att de möjligheter som det här är fråga om för en myndighet att ingripa mot t.ex. tidningarna i förlängningen kan innebära ett hot mot den fria åsiktsbildningen. Det är mot denna
SOU 1993:10 137
bakgrund som utredningen menar att den nuvarande ordningen att TF och YGL vid normkonflikt tar över datalagen är den mest lämpliga.
Utredningen har således stannat för att nuvarande ordning enligt vilken TF och YGL i princip tar över datalagen vid konflikter är i huvudsak rimlig. Det är emellertid till undvikande av missförstånd angeläget att det i den blivande datalagen tas in en regel som anger i vilka fall lagen inte är tillämplig.
I det följande kommer utredningen närmare att diskutera de fall då den blivande datalagen inte bör vara tillämplig. Av de hittills förda resonemangen följer att det i princip inte rör sig om några sakliga ändringar som utredningen föreslår. Vad det handlar om är att utredningen försöker precisera när sådana normkonflikter föreligger som innebär att datalagen måste vika. Först behandlar utredningen produktionsregistren och sådana källregister som utgör register över anonymitetsskyddade personer. Därefter tar utredningen upp andra källregister.
Vad först gäller produktionsregistren, dvs. register som står i ett direkt tekniskt samband med sättnings- och tryckningsprocessen, föreslog utredningen under sitt tidigare arbete att de helt skulle undantas från datalagens tillämpningsområde. Dessa register används som ett direkt tekniskt hjälpmedel för att framställa tryckta skrifter och andra yttranden. Härav följer att de uppstår redan när de börjar att sättas upp och att de normalt är ganska kortvariga.
Utredningen fann visserligen att det inte var givet att all till- synsverksamhet av Datainspektionen skulle behöva leda till normkon— flikter. Vidare menade utredningen att den persondataansvariges allmänna skyldigheter enligt datalagstiftningen inte heller skulle behöva få denna konsekvens.
Utredningen fann det emellertid knappast praktiskt när det gäller till- synsverksamheten att låta datalagen få ett så begränsat tillämpningsut- rymme som det här skulle vara fråga om. Vad det i praktiken i så fall handlar om är att Datainspektionen skulle kunna besluta om villkor av mindre ingripande slag. Bortsett från den jämförelsevis ringa betydelse sådana villkor har för integritetsskyddet kan Datainspektionen inte - om dessa mindre ingripande villkor inte efterlevs - skärpa villkoren utan att 1 kap. 2 å TF eller 1 kap. 3 å YGL överträds. Mot bakgrund härav och även med hänsyn till de gränsdragningsproblem som här annars skulle uppstå ansåg utredningen att produktionsregistren helt bör undantas från datalagens regler om tillsynsverksamhet.
Vad därefter gäller datalagens föreskrifter om den persondataansva- riges allmänna skyldigheter kan det naturligtvis inte bestridas att det från integritetssynpunkt skulle ha ett visst värde om dessa föreskrifter gällde för produktionsregistren. Vad som ändå talar mot en lösning som innebär att reglerna om den persondataansvariges allmänna skyldigheter blir tillämpliga på produktionsregistren är att Datainspek- tionen knappast skulle ha några möjligheter att ingripa, om reglerna
138 SOU l993:10
inte efterlevs. Ingripanden från Datainspektionens sida - som i sista hand kan innebära ett förbud att behandla personuppgifterna - skulle nämligen med all sannolikhet komma i konflikt med 1 kap. 2 å TF och 1 kap. 3å YGL. Mot denna bakgrund förordade utredningen att datalagen inte heller i denna del skall kunna tillämpas på produktions- registren.
De allra flesta remissinstanserna har varit positiva till utredningens förslag vad gäller produktionsregistren. Några remissinstanser menar emellertid att det skulle vara av värde från integritetsskyddsynpunkt om datalagen vore tillämplig åtminstone i sådan utsträckning som det inte innebär någon risk för normkonflikt, exempelvis i fråga om en persondataansvarigs allmänna skyldigheter.
Som utredningen tidigare har kommit fram till är det tveksamt vilket värde en sådan begränsad tillämpning skulle ha. Här kan också tilläggas att det från integritetssynpunkt inte torde innebära några allvarligare betänkligheter om datalagen inte är tillämplig på pro- duktionsregistren. De datasamlingar som det här är fråga om torde i allmänhet inte vara speciellt integritetskänsliga, detta särskilt med tanke på att de många gånger är ganska kortlivade, även om ett eller annat kan vara av integritetskänsligt slag. Även uppgifternas karaktär är mestadels ganska harmlösa, t.ex. om det är fråga om datasamlingar som inrättas för tidningarnas familjesidor. Härtill kommer att produk- tionsregistren, vars innehåll normalt flyter in i en tidning, blir föremål för pressens självsanering. Enligt utredningens mening kan man utgå från att pressens egen bevakning när det gäller tillämpningen av god publicistisk sed utgör en tillräcklig garanti för att integritetsintressena så vitt nu är i fråga inte kommer att trädas för när.
Utredningens slutsats beträffande produktionsregistren är således alltjämt att de helt bör undantas från den blivande datalagens till- ämpningsområde.
Även när det gäller sådana källregister som utgör register över anonymitetsskyddade personer föreslog utredningen vid sina tidigare ställningstaganden att de skulle undantas från datalagens tillämpnings- område. Uppgifter om en meddelares identitet är visserligen skyddade enligt TF och YGL. Utredningens förslag i denna del grundade sig emellertid på att det finns en risk för att sådana uppgifter kan komma fram i andra situationer än då uppgifterna direkt efterforskas, t.ex. i samband med tillsyn av Datainspektionen.
De allra flesta remissinstanserna har godtagit utredningens förslag i denna del.
De datasamlingar som det här rör sig om är knappast, såvitt ut- redningen har kunnat komma fram till, speciellt integritetskänsliga. Det rör sig inte om några omfattande datasamlingar och uppgifterna om de enskilda är normalt harmlösa. Det finns således enligt utredningen inget stöd för att anta att de datasamlingar som det här är frågan om medför någon nämnvärd risk för otillbörligt intrång i den personliga
SOU l993:10 139
integriteten, i varje fall inte om man gör en mer allmän integritetsbe- dömning.
Från en synpunkt är dock de nu aktuella datasamlingarna särskilt känsliga, nämligen vad gäller just identiteten på den som har lämnat meddelanden till en tidning. Det är just vikten av att den enskilde meddelarens namn inte röjs som gör det så viktigt att anonymitets- skyddet är effektivt. Saken kan också uttryckas så att anonymitetens betydelse ligger just däri att den stannar exklusivt mellan medieföreta- get och meddelaren. Enligt utredningens mening kan det mot denna bakgrund hävdas att ett fullgott anonymitetsskydd är det i princip kanske viktigare sättet genom vilket integriteten skyddas.
Slutsatsen av det nu förda resonemanget bör enligt utredningen bli att datalagen inte bör vara tillämplig på datasamlingar som innehåller uppgifter som är omfattade av anonymitetsskyddet i TF och YGL.
Teoretiskt skulle man kunna tänka sig att låta datalagen vara tillämplig på nu aktuella datasamlingar utom såvitt gäller möjligheten för Datainspektionen att utöva tillsyn. De argument som utredningen ovan har framfört beträffande produktionsregistren till stöd för att helt undanta dem från datalagen kan emellertid enligt utredningen i allt väsentligt åberopas även beträffande de nu aktuella datasamlingarna. Utredningen har därför kommit till samma slutsats när det gäller de anonymitetsskyddade registren som beträffande produktionsregistren.
Utredningen går nu över och behandlar andra källregister än sådana som innehåller uppgifter om anonymitetsskyddade personer.
Utredningen föreslog under sitt tidigare arbete att även dessa käll- register uttryckligen skulle undantas från datalagens tillämpningsom- råde. Med källregister avsåg utredningen sådana datasamlingar som är direkt avsedda som ett stöd för den journalistiska verksamheten, för programverksamheten etc. Däremot avsåg utredningen inte datasam- lingar som närmast kan betecknas som litteratur- eller biblioteks— register. Till källregister hör inte heller material som en journalist samlar in som underlag för en planerad artikel. Tanken bakom utredningens förslag var att den tillsyn som Datainspektionen utövar kan verka väsentligt försvårande för framställningen av exempelvis en tidning och därmed komma i konflikt med 1 kap. 2 å TF eller 1 kap. 3 å YGL.
Utredningens förslag i denna del har fått ett blandat mottagande. Några remissinstanser, däribland Justitiekanslern, har tillstyrkt utredningens förslag. Andra remissinstanser, företrädesvis sådana med massmedial anknytning, har framhållit att till källregister bör hänföras också material som en journalist samlar in som underlag för en planerad artikel. Vissa remissinstanser har framfört kritik mot begreppet som sådant. Det är enligt dessa remissinstanser oklart vilken räckvidd ett uttryckligt undantag för källregister skulle få. Några remissinstanser torde mena med hänvisning till bestämmelsen i 2 kap. 3 å RF att det inte är så givet att datalagstiftningen skall vika för TF
140 SOU 1993:10
och YGL med tanke på den extensiva tolkning som utredningen har givit de aktuella bestämmelserna i TF och YGL.
Det förbud mot censur och andra hindrande åtgärder för framställ- ningen av olika yttranden som TF och YGL ställer upp är av funda- mental betydelse för den som vill yttra sig. Man kan utan överdrift hävda att förbudet utgör en förutsättning för det fria samhällsskick som vi värnar om. Det är mot denna bakgrund som utredningen har valt att tolka de aktuella paragraferna i TF och YGL extensivt.
Den av utredningen gjorda tolkningen kan naturligtvis diskuteras. Det skall inte förnekas att den slutsats som utredningen har kommit till med anledning av den gjorda tolkningen kanske kan leda för långt. De datasamlingar som utredningen avser med källregister har inte karaktären av en skrift eller annan framställning av ett yttrande.
Vad som också komplicerar bilden med ett uttryckligt undantag för källregister är, som har framhållits av flera remissinstanser, det något oklara begreppet. Som remissinstanserna framhåller kan tolkningspro- blem uppstå. Dessa problem kan leda till att Datainspektionen begränsas i sin verksamhet på ett sätt som inte är nödvändigt med hänsyn till TF och YGL.
Vad utredningen nu har sagt innebär inte något ifrågasättande av ståndpunkten att TF:s och YGL:s regler om förbudet mot censur och andra hindrande åtgärder skall tillämpas framför datalagstiftningen vid en konflikt dem emellan. Det problem som har aktualiserats genom remisskritiken är däremot om det i datalagen uttryckligen bör anges något undantag för källregistren.
De datasamlingar som utredningen närmast har åsyftat med begreppet källregister är exempelvis register över personer som har lämnat uppgifter till tidningar, alltså i praktiken register över med- delare. Andra exempel är datasamlingar, som är personrelaterade, över nyligen inkomna telegram. I den mån klipparkiven används för tidningarnas publicistiska verksamhet, eller annorlunda uttryckt journalisterna använder arkiven i sin journalistiska verksamhet, får klipparkiven anses utgöra källregister. Flera av de datasamlingar som förs hos Sveriges Radio—koncernen är också källregister i den ovan angivna meningen.
En del av de datasamlingar som här har nämnts kommer redan på grund av utredningens tidigare förslag att vara undantagna från den nya datalagens tillämpningsområde, på grund av att de är register över meddelare eller på grund av att de samtidigt har karaktär av pro- duktionsregister. Det är med andra ord något tveksamt vilken själv— ständig betydelse ett uttryckligt undantag för källregistren får.
Med hänsyn till vad utredningen nu har anfört om tolkningen av 1 kap. 2 å TF och 1 kap. 3 å YGL samt om tolkningen av begreppet källregister som sådant vill utredningen numera närmast förorda att något uttryckligt undantag inte görs i den kommande datalagen för källregister. Det skall understrykas att utredningens förslag givetvis
SOU l993:10 141
inte innebär att Datainspektionen får utöva sin tillsynsverksamhet på sådant sätt att de aktuella bestämmelserna i TF och YGL överträds.
Hittills har alltså utredningen föreslagit att produktionsregister och register över personer som åtnjuter anonymitetsskydd enligt TF och YGL uttryckligen skall undantas från datalagens tillämpningsområde. Förslaget till EG-direktiv innehåller, som har redovisats under avsnitt 7.2, en artikel enligt vilken medlemsstaterna i sin lagstiftning skall göra undantag för bl.a. pressen, radio och TV samt journalister så att yttrandefriheten inte kränks då personuppgifter behandlas i journalistis- ka syften (art. 9). Utredningens förslag att undanta produktionsregister och register över anonymitetsskyddade personer är i huvudsak förenligt med direktivförslaget.
I några avseenden går dock utredningens förslag längre. Utred- ningens undantag är således inte begränsat till pressen, radio och TV samt journalister. Även en författare som upprättar ett produktions- register för framställning av en bok, för att ta ett praktiskt exempel, omfattas av utredningens förslag till undantag. Något motsvarande undantag finns inte i förslaget till EG—direktiv. Inte heller är ut- redningens förslag begränsat till journalistisk verksamhet. Det som är avgörande enligt utredningens förslag är att det rör sig om fram- ställningen av en tryckt skrift eller ett yttrande som avses i YGL.
Klipparkiven
Som utredningen tidigare har redovisat har tidningarna alltmer börjat utnyttja ADB-tekniken för att arkivera artiklar som har varit publicera- de. Tanken med de datoriserade klipparkiven är bl.a. att de kan användas i tidningarnas publicistiska verksamhet. Genom datorise— ringen kan man snabbt och effektivt få fram tidigare publicerat material. De datoriserade klipparkiven har emellertid, som utredningen tidigare har redogjort för, också fått betydelse för annat än tid- ningarnas publicistiska verksamhet. Klipparkiven kan ställas till allmänhetens förfogande. I ett av de ärenden som var aktuellt hos regeringen och som har redovisats ovan gällde just frågan i vilken utsträckning som allmänheten skulle få ha åtkomst till ett datoriserat klipparkiv. Som tidigare har sagts är det inte bara tidningarna som använder ADB—tekniken som ett hjälpmedel vid arkivering. Både Sveri- ges Radio AB och Sveriges Television AB lagrar program med hjälp av ADB (datasamlingarna "Riksradions programdatabas" och "Nyhets— datorisering").
I sina tidigare ställningstaganden hävdade utredningen att klipparki— ven utgjorde källregister i den mån de används för tidningarnas publicistiska verksamhet. De skulle därmed enligt utredningens tidigare förslag vara undantagna från datalagens tillämpningsområde då de användes i den publicistiska verksamheten. Utredningen ansåg emellertid att klipparkiven borde undantas från datalagen även i den
142 SOU l993:10
del som de har andra ändamål. Utredningen framhöll bl.a. att klipparkiven visserligen är känsliga från integritetssynpunkt. Det rör sig emellertid, framhöll utredningen, bl.a. om register som innehåller endast ett återgivande av tryckta skrifter. Enligt utredningen borde allmänhetens frihet att aktivt inhämta samhällsinformation inte begränsas. Utredningen påpekade också att det saknas anledning att anta att tidningarna inte själva skulle kunna avgöra när allmänheten skall få tillgång till klipparkiven med tillbörlig hänsyn till integritetsin- tressena. Utredningens slutsats blev således att klipparkiven helt skulle undantas från datalagens tillämpningsområde. Vad utredningen anförde om klipparkiven var enligt utredningen i allt väsentligt tillämpligt också på motsvarande datasamlingar inom Sveriges Radio-koncernen.
Remissinstanserna synes i huvudsak ha godtagit utredningens förslag att klipparkiven och motsvarande datasamlingar hos radioföretagen skall vara undantagna från datalagens tillämpningsområde då de används av medierna uteslutande för framställning av yttranden. Remissinstansernas inställning till utredningens förslag att nu aktuella arkiv borde undantas från datalagen även i den del som de har andra ändamål var dock inte enbart positiv. Några remissinstanser har ställt sig tveksamma till eller avstyrkt förslaget. De negativa remissinstanser- na har framför allt hänvisat till att arkiven kan vara mycket känsliga från integritetssynpunkt.
I fortsättningen tar utredningen först upp frågan om klipparkiven bör undantas från datalagen i den del som de tjänar tidningarnas publicis- tiska verksamhet. Därefter redovisar utredningen sin uppfattning i frågan om klipparkiven bör undantas från datalagens tillämpningsom— råde även i den del som de har andra ändamål än att användas i tidningarnas publicistiska verksamhet. Vad utredningen i fortsättningen anför beträffande klipparkiven år tillämpligt också på motsvarande datasamlingar hos radioföretagen.
Som sas ovan ansåg utredningen tidigare att klipparkiven till den del de används för den publicistiska verksamheten närmast hade karaktären av källregister. Mot bakgrund härav föreslog således utredningen att klipparkivregistren borde undantas från datalagens tillämpningsområde.
Utredningen har numera, som har utvecklats ovan, kommit till slutsatsen att något uttryckligt undantag inte bör göras i den kommande datalagen för källregister. Skälet till att utredningen nu har denna uppfattningen är bl.a. att ett uttryckligt generellt undantag för alla slags källregister inte kan anses vara helt förenligt med 1 kap 2 å TF.
När det gäller just klipparkiven och dess användning i tidningarnas publicistiska verksamhet är det enligt utredningen uppenbart att dessa många gånger är en nödvändig förutsättning för framställningen av en tidning. Då klipparkiven användes i den nu nämnda verksamheten utgör de således datasamlingar som har betydelse för utövandet av en grundläggande fri- och rättighet, nämligen tryckfriheten.
SOU l993:10 143
Villkor meddelade av Datainspektionen som rör förandet av klipparkiven kan, om de är tillräckligt ingripande, bli väsentligt försvårande för framställningen av en tidning. Även om sådana villkor formellt inte står i direkt strid med 1 kap 2 å TF, utgör villkoren restriktioner från det allmännas sida i fråga om tryckfriheten.
Enligt utredningens uppfattning bör det inte vara möjligt för Datain- spektionen att begränsa tidningars egen tillgång till material som redan har publicerats utan att det finns mycket starka skäl härför. Med tanke bl.a. på de pressetiska reglerna och den höga etiska standard som den svenska pressen i huvudsak har, kan det enligt utredningen inte anses motiverat att av integritetsskäl låta Datainspektionen utöva någon tillsyn över tidningarna. De datoriserade klipparkiven bör därför uttryckligen undantas från datalagens tillämpningsområde i den mån de används i tidningarnas publicistiska verksamhet.
Utredningens förslag i denna del står också i överensstämmelse med förslaget till EG—direktiv. Förslaget innebär, som tidigare har sagts, att undantag från direktivet skall göras när pressen, audiovisuella media och journalister behandlar personuppgifter för journalistiska ändamål. Vid den närmare avvägningen hur undantaget skall bestämmas innebär direktivförslaget att hänsyn bl.a. skall tas till de pressetiska reglerna. Sistnämnda regler är, som utredningen har pekat på, av stor betydelse när det gäller skyddet för den enskildes integritet.
Frågan är då om klipparkiven — som utredningen tidigare har föreslagit - bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Som ovan har sagts har flera remissinstanser pekat på att klipparkiven kan bli mycket känsliga från integritetssynpunkt.
Utredningen vill för sin del helt instämma i att klipparkiven kommer att innehålla känsliga uppgifter. De kommer med tiden att bestå av en stor mängd personuppgifter, varav inte så få av känslig natur. Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas med stor lätthet. Uppgifterna kommer vidare att bevaras under lång tid. Som ett exempel på en integritetskänslig bearbetning kan nämnas att alla artiklar som rör en persons brottsliga förehavanden inhämtas. En sådan sammanställning kan i praktiken jämställas med ett kriminal- registerutdrag. Sammanställningen är emellertid betydligt känsligare bl.a. därför att kriminalregistret gallras.
Vad som nu har sagts talar onekligen med viss styrka för att klippar- kiven inte bör undantas från datalagens tillämpning. En sådan ordning stämmer också väl med förslaget till EG-direktiv, som inte medger att något undantag görs från direktivet när det gäller behandling av nu aktuellt slag.
Om datalagen görs tillämplig till den del klipparkiven har andra ändamål än att tjäna tidningarnas publicistiska verksamhet, kommer uppgifter ur klipparkiven i endast ganska begränsad utsträckning att kunna lämnas ut till enskilda. Enligt utredningens förslag, som i allt
144 SOU l993:10
väsentligt grundar sig på förslaget till EG—direktiv, kommer en tidning att kunna lämna ut uppgifter endast i de fall som följer av 11 å förslaget till datalag. Utrymmet för utlämnande enligt den paragrafen är begränsat. Det torde i praktiken innebära att arkiven blir stängda för allmänheten. Ett alternativ är naturligtvis att, om datalagen är till- lämplig, göra ett undantag från bestämmelserna om utlämnande av uppgifter och medge att uppgifter från klipparkiven får lämnas ut. Det är emellertid enligt utredningen en tveksam ordning att avvika från förslaget till EG-direktiv genom att låta datalagen vara fullt ut till— ämplig på klipparkiven utom vad gäller just utlämnande av uppgifter.
Ett annat problem med att låta datalagen vara tillämplig har med den tekniska utveckligen att göra. När det gäller utländska tidskrifter finns det redan i dag hela årgångar på CD-ROM-skivor. Kostnaderna för att föra över informationen på CD-ROM-skivor kan förväntas sjunka kraftigt i framtiden. Frågan är då hur man skall hantera det problemet att man utomlands låter överföra äldre årgångar av svenska tidningar på CD-ROM-skivor, som därefter saluförs i Sverige.
Ytterligare problem med att låta datalagen vara tillämplig samman- hänger med hur reglerna om rättelseskyldighet etc. skall hanteras på datasamlingar som innehåller redan publicerade uppgifter.
En viktig invändning mot att utesluta allmänheten från tillgång till artiklar m.m. som har varit publicerade i tryckta skrifter är att en sådan begränsning i informationsfriheten är svår att godta i ett land där tryckta skrifter alltjämt får anses ha en dominerande betydelse för upp- lysning och åsiktsbildning i samhällsfrågor. När det gäller integritets- riskerna skall också framhållas att de pressetiska reglerna innebär att tidningar skall avstå från publicitet som kan kränka privatlivets helgd, om inte ett oavvisligt allmänintresse kräver offentlig belysning.
En ordning som innebär att datalagen inte är tillämplig på klipparki- ven, då de används i andra syften än i tidningarnas publicistiska verksamhet, står emellertid inte i överensstämmelse med förslaget till EG-direktiv. I direktivet talas det endast om att undantag får göras när det är fråga om behandling i journalistiska syften.
Ett alternativ till att låta tidningarna själva avgöra i vilken ut- sträckning som allmänheten skall få tillgång till klipparkiven är att i datalagen ta in föreskrifter som särskilt reglerar allmänhetens tillgång till klipparkiven. Detta alternativ skulle emellertid föranleda betydande gränsdragningsproblem.
En fråga som inställer sig är vilka begränsningar som skulle kunna göras i allmänhetens tillgång till datasamlingarna. Ett sätt att åstadkom- ma en begränsning är att låta allmänheten få tillgång endast till artiklar som är publicerade under de senaste åren. Ett sådant villkor avser alltså en tidsbegränsning. Ett annat sätt är att begränsa allmänhetens möjligheter att söka i datasamlingarna. En sådan begränsning skulle kunna gå ut på att allmänheten bara fick "bläddra" i datasamlingarna och på så sätt fick del av alla artiklar som var införda i tidningen
SOU 1993210 145
under en viss dag. En begränsning i sökmöjligheterna kan också åstadkommas genom att endast vissa ord är sökbara för allmänheten. Ytterligare ett sätt att begränsa allmänhetens tillgång till klipparkiven är att göra endast sådana uppgifter tillgängliga som rör offentliga personer. Tanken bakom en sådan begränsning skulle vara att offentliga personer i större utsträckning än icke offentliga personer får finna sig i att bli granskade av allmänheten. Andra möjliga begräns- ningar kan vara att allmänheten får tillgång till datasamlingarna endast om ett medgivande finns från den enskilde, om avsikten med utläm- nandet är att uppgifterna skall publiceras eller om uppgifterna behövs för forskning.
Man kan emellertid också peka på praktiska problem med en ordning som innebär att allmänheten får begränsad tillgång till klipparkiven. Det är således förenat med betydande kostnader om allmänhetens sökmöjligheter begränsas i förhållande till tidningarnas egna möjligheter. Det förutsätter stora ingripanden i ADB-systemen. Vidare är det naturligtvis mycket svårt att dra gränsen mellan offentliga och icke offentliga personer. Det är också svårt för tidningarna att bedöma riktigheten av ett påstående om att begärda uppgifter skall publiceras eller användas för forskning. Hur skall vidare gränsen dras mellan forskning och annan utredningsverksamhet? Ett villkor om tidsbegränsning torde däremot kunna hanteras praktiskt av tidningarna. Å andra sidan kan en tidsgräns inte bli annat än ett mycket trubbigt instrument. Man kan fråga sig varför allmänheten inte skulle kunna få tillgång till samhällsinformation som t.ex. är äldre än fem år.
En lösning som innebär att man i datalagen tar in föreskrifter som särskilt reglerar allmänhetens tillgång till klipparkiven skulle inte heller vara förenlig med förslaget till EG- direktiv. Även om vissa be— gränsningar i allmänhetens tillgång görs i enlighet med vad som har sagts ovan, skulle allmänheten få en större tillgång till klipparkiven än 11 å förslaget till datalag medger (jfr art. 7 i direktivförslaget). Möjligheterna att lämna ut uppgifter skulle således bli större än vad som följer av direktivförslaget.
Utredningen har sammanfattningsvis kommit till den slutsatsen att det inte är lämpligt att begränsa allmänhetens tillgång till klipparkiven genom att låta datalagen vara tillämplig. Det avgörande skälet är att datasamlingarna endast innehåller ett återgivande av tryckta skrifter, som allmänheten rimligen bör ha rätt att ta del av. Det är svårt att tänka sig en ordning som innebär att det ytterst skall vara Datainspekti- onen som genom villkor kan bestämma vilken tillgång allmänheten skall ha till tryckta skrifter.
Utredningen förslår således att klipparkiven skall undantas från datalagens tillämpningsområde även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Utred-
146 SOU l993:10
ningens förslag i denna del innebär, som har sagts ovan, en avvikelse från förslaget till EG—direktiv.
Avslutande synpunkter
Sammanfattningsvis föreslår utredningen alltså i detta kapitel att pro— duktionsregister och register över personer som åtnjuter anonymitets— skydd enligt TF och YGL uttryckligen skall undantas från datalagens tillämpningsområde. Inte heller bör enligt utredningen datalagen vara tillämplig på klipparkiven, vare sig dessa används för den publicistiska verksamheten eller för andra ändamål, eller på motsvarande datasam- lingar hos radioföretagen.
Det kan givetvis inte uteslutas att utredningens förslag leder till att persondataansvariga gör okynnesinvändningar om att datalagen inte är tillämplig, då Datainspektionen avser att utföra tillsyn. Problemet är i sig inte nytt, eftersom det enligt utredningens uppfattning redan idag förhåller sig på det sättet att inspektionen är förhindrad att utöva tillsyn över produktionsregister och register över anonymitetsskyddade personer. Frågan torde normalt få lösas på det sättet att den som uppger att hans personuppgifter är undantagna från datalagens tillämpningsområde måste göra sitt påstående härom antagligt. Ett sådant påstående kan givetvis endast göras antagligt om den personda- taansvarige gör gällande att han för ett produktionsregister eller ett register över personer som åtnjuter anonymitetsskydd och omständig- heterna i övrigt är sådana att man kan anta att sådana personuppgifter behandlas. Så länge han inte kan göra detta är det rimligt att Datain- spektionen får vidta de åtgärder som behövs för tillsynens utförande.
Några remissinstanser har tagit upp en närliggande fråga, nämligen den att någon börjar att ge ut en tidskrift bara för att kunna behandla olika personuppgifter utan Datainspektionens insyn. Enligt utred- ningens mening är dessa farhågor överdrivna. Det finns såvitt utredningen känner till inte i dag anledning att befara sådana illojala förfaringssätt. Det är emellertid viktigt att Datainspektionen är uppmärksam på utvecklingen. Om det i framtiden skulle visa sig att problem av nu aktuellt slag uppstår, får frågan då tas upp till förnyad prövning.
I sina tidigare ställningstaganden diskuterade utredningen möjlig— heten att låta allmänhetens pressombudsman på något sätt delta i Datainspektionens verksamhet. Tanken med en sådan ordning var att de massmediala intressena skulle kunna tillgodoses på ett lämpligt sätt. Några remissinstanser har framhållit att det är tveksamt om det är lämpligt att låta pressombudsmannen delta i Datainspektionens verksamhet. Utredningen, som har förståelse för dessa synpunkter, avstår därför från att föreslå någon sådan medverkan.
SOU l993:10 147
Utredningens förslag torde förutsätta en deklaration enligt art. 3 punkt 2 a) i Europarådets dataskyddskonvention om att konventionen inte tillämpas på vissa kategorier av personuppgifter.
m_- lm '; "Ӏt .
"|" ”'a' I . aj 'l' JMI . ",,,, w ; i. "it;-wti" iw **. .c ' .t- IW || 13% 'I .. " .' aff-:i. -_- _
.A', *.: . HF.-r: [RE.-lpi :|. .I & I' Ill.... "I. '-' '
.. . Witt"? u .. |
"13 *-”'i'h."l" .. nur. 5. .' *". (i'm-1:55? 'n: 1' :' '
i'lu' 1 Å.
.LIFT _.
., .."- - J.. :i.
_ f : att =
SOU 1993:10 149
8 Den materiella regleringen i datalagen; ett allmänt begrepp som obehörigt intrång i personlig integritet eller särskilda regler för de olika momenten i informations- behandlingen ?
8. 1 Gällande rätt
Den allmänna tillståndsregeln i datalagen har alltsedan lagens tillkomst varit utformad med utgångspunkt från begreppet otillbörligt intrång i personlig integritet. Enligt 3 å första stycket datalagen skall Datain— spektionen meddela tillstånd att inrätta och föra personregister om det saknas anledning att anta att det uppkommer otillbörligt intrång i registrerads personliga integritet. Inspektionen skall vid bedömningen ta hänsyn till möjligheten att meddela villkor för registret.
Vid bedömningen av om det föreligger risk för att otillbörligt intrång skall uppkomma skall inspektionen särskilt beakta arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall hämtas samt vilken inställning de som kan komma att registreras har eller kan antas ha till registret. Det måste dessutom särskilt beaktas att inte andra uppgifter eller andra personer registreras än som står i överensstämmelse med ändamålet med registret (3 å andra stycket).
I förarbetena till datalagen (prop 1973:33 s 93) uttalades att viss ledning kunde hämtas i sekretesslagen när det gällde att bedöma vilken information som skulle anses som särskilt ömtålig för den enskilde. Som exempel på information som den enskilde måste uppleva som ett påtagligt intrång nämndes uppgifter om begångna brott, ådömda och verkställda påföljder samt tvångsåtgärder inom barnavård, nykter- hetsvård eller psykiatrisk vård. Även uppgifter om genomgångna sjukdomar, läkarbehandling och mottagen socialhjälp togs upp. Uppgifter om en persons familjeförhållanden eller ekonomiska ställning kunde också enligt departementschefen upplevas som mycket ömtåliga.
En annan form av ömtåliga uppgifter som behandlades 1 förarbetena gällde enskildas åsikter, speciellt' 1politiska eller religiösa frågor Även
150 SOU 1993: 10
när det gällde värdeomdömen som betyg och liknande kunde det diskuteras i vilken utsträckning registrering borde få ske. Av stor betydelse för bedömningen från den enskildes synpunkt är ofta, sades det vidare i förarbetena, frågan om vem som får tillgång till den registrerade informationen. Avgörande är också hur stor mängd information som samlas på ett ställe.
De nu angivna omständigheterna skulle Datainspektionen beakta vid sin tillståndsprövning. De närmare principerna för tillståndsgivningen fick enligt motiven utbildas i praxis.
En kortare redogörelse för Datainspektionens praxis finns under avsnitt 8.2.
8.2 Olika uttalanden om begreppet otillbörligt intrång i personlig integritet
Offentlighets- och sekretesslagstiftningskommittén (OSK) m.m.
Ursprunget till den nuvarande datalagen var ett förslag från offentlig- hets- och sekretesslagstiftningskommittén (OSK) i betänkandet (SOU 1972:47) Data och integritet. Utgångspunkten för förslaget var att den enskilde borde tillförsäkras en sfär, som skyddar mot otillbörligt intrång från myndigheter och andra som kan uppfattas som utom- stående.
När det gäller att mera konkret ange skyddsområdet konstaterade OSK att det förelåg betydande gränsdragningsproblem, eftersom rätten att bli lämnad i fred aldrig kan vara absolut i ett modernt samhälle. En konflikt föreligger mellan å ena sidan den enskildes uppfattning om att viss informationsanvändning är ett hot eller en kränkning, och å andra sidan de allmänna och enskilda intressen som i vissa fall talar för att information av skilda slag måste få samlas in och användas för olika ändamål.
OSK ansåg att integritetsskyddet på ADB-området bäst tillgodosågs genom en tillståndsreglering som syftade till en avvägning mellan behovet av dataregister och riskerna för integritetsintrång. Tillstånds- givningen kunde enligt OSK, i då gällande läge, endast på ett fåtal punkter styras med lagbestämmelser. Tillståndsmyndigheten fick bygga upp en praxis med ledning av de allmänna synpunkter som framfördes i lagstiftningsärendet.
OSK avvisade tanken på att den enskildes samtycke skulle vara ett självständigt kriterium för att registrering skulle få ske. En sådan ordning skulle tvinga registerförarna att ha specialrutiner. Om en större eller mindre del av de personer som berördes av ett visst system motsatte sig registrering, fick det i stället beaktas inom ramen för tillståndsprövningen.
SOU 1993110 151
Remissinstanserna biträdde allmänt OSK:s uppfattning att den före- liggande intresseavvägningen för och emot upprättande av ADB- register inte kunde göras generellt utan bedömningen måste ske från fall till fall. Flera remissinstanser påpekade dock att det varken i den föreslagna lagtexten eller i motiven närmare angavs när "otillbörligt intrång i enskilds personliga integritet" skall anses föreligga utan att frågan överlämnats till praxis. Remissinstanserna hyste betänkligheter mot en sådan ordning och ansåg, att det bl.a. av rättssäkerhetsskäl krävdes att begreppet definierades i lagen. Även om det inte var möjligt att exakt definiera begreppet borde man ändå, ansågs det, ge en omfattande exemplifiering i motiven.
Departementschefen (prop 1973:33) anförde inledningsvis att problemet inte enbart kunde lösas genom generella föreskrifter om när personregister skall få inrättas och föras. I likhet med OSK ansåg departementschefen att frågan om otillbörligt integritetsintrång fick avgöras från fall till fall, dvs. beträffande varje särskilt register för sig. Till ledning för bedömningen borde arten och mängden av personupp- gifter som skall ingå i registret beaktas, liksom den inställning till registret som föreligger eller kan antas föreligga hos dem som kan komma att registreras. Uppgifter av särskilt känslig natur, t. ex. uppgifter om brott, tvångsingripande och olika former av vård, borde bara få registreras av myndighet som enligt lag eller annan författning hade att föra förteckning över uppgifterna. Även uppgifter om någons politiska och religiösa uppfattning borde bara få registreras i undan— tagsfall.
Konstitutionsutskottet (KU 1973:19) angav att det primära syftet med datalagen måste vara att tillgodose den enskildes behov av skydd för den personliga integriteten. Samtidigt måste lagstiftningen enligt utskottet värna om offentlighetsprincipens tillämpning också på ADB- området. Målet måste vara att på ett riktigt sätt tillgodose och mot varandra väga dessa olika intressen.
Innebörden av begreppet personlig integritet berördes inte närmare vid riksdagsbehandlingen.
Datalagstiftningskommittén (DALK) m.m.
Våren 1976 tillsattes datalagstiftningskommittén (DALK) som fick i uppgift att se över datalagen.
] direktiven till DALK den 11 mars 1976 konstaterades att förut- sättningarna för när tillstånd skulle ges var ganska obestämt angivna i lagen. Med tanke på att lagstiftningen avsåg ett helt nytt rättsområde stod, enligt departementschefen, någon annan lösning knappast till buds vid datalagens tillkomst. DALK borde pröva om inte de grunder efter vilka tillstånd skall meddelas kan anges med större utförlighet i lagen. Det rörde sig här om avvägningar som rätteligen borde
152 SOU l993:10
ankomma på lagstiftaren och inte på de rättstillämpande myndig— heterna.
DALK redovisade sitt uppdrag i denna del i betänkandet (SOU 1978:54) Personregister - Datorer - Integritet.
DALK förutskickade att önskemålet att åstadkomma en mer exakt definition var, liksom vid datalagens tillkomst, svårt att uppfylla. Många försök till definitioner av begreppet personlig integritet har gjorts, men dessa definitioner har antingen inte kunnat anges i lagtext, så att de ger ett tillfredsställande integritetsskydd, eller också blir definitionerna så snäva att man inte "i vart fall i dagens samhälle med dess krav på kollektivt ansvar kan tillåta dem". Som exempel på svårigheterna nämnde DALK att en del anser att personlig integritet är detsamma som individens kontroll över kunskap om honom. Enligt en liknande definition är det grundläggande kännetecknet på en effektiv rätt till personlig integritet den enskildes förmåga att kontrollera spridningen av information som rör honom. Ett annat försök till definition innebär att rätten till personlig integritet utgörs av den enskildes rätt att själv bestämma hur mycket han vill dela med sig till andra av sina tankar, känslor samt fakta om sin personliga tillvaro. Det är en rättighet som är grundläggande för att tillförsäkra honom värde och rätt till självbestämmande. Enligt ytterligare en definition uppkommer intrång i personlig integritet när det krävs av den enskilde att han skall tillhandahålla personuppgifter utöver den omfattning som de styrandes lagligt grundade behov tillåter och de styrande, när de väl har fått tillgång till personuppgifter, använder dessa för andra ändamål som inte hör samman med det för vilket informationen ursprungligen samlats in samt när användningen innebär att löfte om förtrolighet bryts.
DALK:s slutsats mot bakgrund av den då pågående debatten var att den enskilde medborgaren borde ha rätt och möjlighet att själv vara med och bestämma i vilka sammanhang uppgifter om honom borde få utnyttjas och hur det skulle ske, men att det måste beaktas att motstående intressen från samhällets sida eller från olika grupper ofta måste medföra inskränkningar i denna rätt. Enligt DALK fanns det inte underlag för att i datalagen föra in en generell regel om vad som avses med begreppet personlig integritet och man avstod från något förslag i den delen. I stället skulle övervägandena inriktas på att i lag utförligare ange grunderna för tillståndsprövningen. I det hänseendet ansåg DALK bl.a. att stor vikt borde fästas vid om en viss information användes för ett annat ändamål än den ursprungligen var avsedd för. Det fanns enligt DALK skäl för att bedöma en sådan ändring som otillbörlig, även om det rörde sig om uppgifter som i och för sig var av tämligen banal natur.
Slutsatsen för DALK:s del blev mot denna bakgrund att myndigheter endast borde få inrätta och föra sådana personregister som behövdes för att de skulle kunna utföra sina uppgifter enligt lag eller annan
SOU 1993:10 153
författning. Företag och organisationer borde endast få inrätta sådana personregister som behövdes för deras verksamhet.
Remissinstanserna delade överlag uppfattningen att det knappast gick att åstadkomma en legaldefinition. Flera ansåg dock att det var en brist att man inte kommit längre. Till dessa hörde Datainspektionen, som dock inte själv kunde bidra med en definition. Inspektionen ansåg dock inte att bristen var alltför besvärande, eftersom det i praktiken 1 det stora hela råder enighet om begreppets innebörd. Inspektionen ansåg det därför inte ändamålsenligt att försöka definiera begreppet personligt integritet.
Många instanser ansåg dock att de nya självständiga kriterier för till- ståndsprövningen som DALK föreslagit skulle ge begreppet en något mera preciserad innebörd än vid datalagens tillkomst. Bristen på precisering kunde emellertid medföra att Datainspektionen delvis får överta rollen som lagstiftare. Enighet syntes råda om att det bör vara en uppgift för lagstiftaren och inte en administrativ myndighet att bestämma principerna för integritetsskyddet.
Regeringen (prop 1978/ 79: 109) föreslog utifrån DALK:s betänkande vissa tillägg och förtydliganden till datalagen. Beträffande den närmare innebörden av begreppet personlig integritet uttalade departements- chefen att det givetvis var viktigt att grunden för tillståndsprövningen enligt datalagen angavs så noga som möjligt i lagen. Det mötte emellertid enligt departementschefen stora svårigheter att i lag genom en generell regel ange vad som menas med personlig integritet. Han var inte heller övertygad om det ändamålsenliga i att låsa fast tillämpningen genom en legaldefinition. Det var i stället mera fruktbart att, som DALK föreslagit, undersöka huruvida ytterligare självständiga kriterier kunde införas i lagen i syfte att underlätta den avvägning mellan motstående intressen som tillståndsprövningen innebär. DALKS förslag godtogs således i huvudsak.
Konstitutionsutskottet (KU 1978/79: 37) uppehöll sig inte närmare vid begreppet personlig integritet.
DALK fick genom tilläggsdirektiv i uppgift att föreslå rationalise- ringar i tillståndsprövningen. I promemorian (Ds Ju 1981 : 15) Tillstånd och tillsyn enligt datalagen redovisade DALK ett förslag att man i fortsättningen i datalagen borde definiera och avgränsa vilka person- register som bör vara föremål för tillståndsprövning, i stället för att som dittills diskutera vilka personregister som skulle undantas från ett i princip heltäckande tillståndskrav. I det sammanhanget kunde man utgå från de faktorer som enligt lagen ansågs vara av särskild betydelse vid prövning av risken för otillbörligt intrång. Hit hör arten av uppgifter, dvs. om dessa är att anse som särskilt känsliga, vidare att det saknas naturlig anknytning mellan den registrerade och den registeransvarige såsom ett kund- eller medlemsförhållande, att uppgifterna används i andra sammanhang än som från början varit avsikten samt den registrerades inställning. När det gäller den
154 SOU l993:10
registrerades inställning delade DALK den tidigare uppfattningen att man inte kan ställa krav på medgivande i varje enskilt fall. I stället får man utgå från att den enskilde är beredd att godta sådan registrering som sker i enlighet med beslut av regeringen eller riksdagen. Detsam- ma bör gälla registrering som på annat sätt följer av lag eller annan författning eller som utgör en naturlig del av den enskildes mellan- havanden med den registeransvarige, dvs. i sådana fall där registre- ringen är förutsebar och överblickbar för den enskilde.
Remissinstanserna lämnade i huvudsak DALK:s förslag utan erinran.
Regeringen (prop 1981/82:189) anslöt sig i allt väsentligt till DALKS förslag.
Konstitutionsutskottet (KU 1981/82:33) uppehöll sig inte närmare vid själva begreppet personlig integritet.
Datainspektionens praxis m.m.
Datainspektionens praxis har redovisats i en tioårsskrift år 1983. I den finns uttalanden som kan ge viss ledning om inspektionens syn på begreppet personlig integritet. Dåvarande generaldirektören konstaterar i skriften att någon absolut integritet aldrig har förekommit i ett samhälle. Trots detta är det enligt denne möjligt att definiera en sådan absolut integritet. Man skulle kunna slå fast att ingen människa, grupp av människor eller samhället får samla in, lagra, bearbeta eller använda information om en enskild utan hans eller hennes samtycke i varje enskilt fall, oavsett om sådan informationsbehandling är till fördel, nackdel eller saknar betydelse för den enskilde. Detta skulle ge var och en kontroll över hans eller hennes information. Men samhället skulle inte fungera och den enskilde skulle inte få den service han eller hon begär. Definitionen är därför enligt Datainspektionens dåvarande chef egentligen bara intressant som utgångspunkt för de undantag från integriteten vi anser att vi bör tillåta.
År 1983 presenterades också två vetenskapliga studier av datain- spektionens verksamhet, dels en doktorsavhandling inom statsvetenska- pliga institutionen vid Umeå universitet, betecknad "Datainspektionen och skyddet av den personliga integriteten i ADB-system", dels en licentiatavhandling vid institutet för rättsinforrnatik, Stockholms universitet, betecknad "God personregistersed? En undersökning av datainspektionens styrelsebeslut" (IRI-rapport 1983z4).
I doktorsavhandlingen konstateras sammanfattningsvis att analysen av Datainspektionens praxis inletts i förhoppningen att avslöja myndig- hetens egen definition på personlig integritet och otillbörligt intrång, men att den ambitionsnivån måst överges. Intervjuer med ledning och handläggare erbjöd visserligen vissa hållpunkter för en fortsatt analys men lät sig inte reducera till någon enhetlig definition av otillbörligt intrång i den personliga integriteten.
SOU 1993:10 155
Enlig licentiatavhandlingen är praxis i fråga om tolkningen av begreppet otillbörlig registrering vacklande. Någon stabilitet i de faktorer som påverkar avvägningen har inte kunnat iakttas. Intresset personlig integritet har inte heller preciserats. Begreppet " god person- registersed" formas av följande principer enligt denna undersökning. - Beslut om kontroll av de enskilda medborgarna bör vara politiska
och bygga på en så bred medborgaropinion som möjligt; man bör av hänsyn till det psykologiska klimatet i samhället värna om att kontrollen inte blir alltför effektiv. - Man bör vara mån om god datakvalitet. - Möjligheten att använda data i sammanhang som de inte från början avsetts för aktualiserar en mängd hot mot den personliga integrite- ten; hoten förstärks om den registrerade inte är medveten om användningsändamålen. - Ju effektivare och mera komplext ett ADB-system utformas, desto större blir riskerna för otillbörligt intrång. - Krav på rättsskydd måste uppställas vid beslutsfattande som baserar sig på ADB-registrerade uppgifter; personuppgifter skall vara relevanta för sitt ändamål, riktiga, aktuella och fullständiga. - Krav på säkerhet och kontroll i form av insyn bör ställas. Tillsammans utgör principerna enligt avhandlingen grunden för begreppet god personregistersed, vars innehåll formas genom en avvägning mellan den enskildes psykologiska behov av sekretess och rättsskydd samt intresset av en rationell informationshantering. Ut- slagsgivande för denna avvägning år enligt avhandlingen de politiska beslut som anger vilka allmänna intressen som får inskränka den enskildes rättsskydd. Man kan enligt avhandlingen anse att dessa intressen bör uppfylla ett visst mått av godtagbarhet för att det inte skall ske intrång i den personliga integriteten.
Konstitutionsutskottets granskningsbetänkande
Konstitutionsutskottet redovisade i ett betänkande (KU 1983/84:30) regeringens handläggning av vissa datafrågor. Granskningen torde ha kommit till stånd bl.a. med hänsyn till påståenden om att regeringen ändrat på datainspektionens beslut i en stor omfattning.
Undersökningen avsåg ett 70-tal ärenden under den tid lagen varit i kraft. Ungefär hälften av dessa hade inneburit att Datainspektionens beslut ändrats.
Utskottet konstaterade att många ärenden under handläggningen i regeringen tillförts nytt material varför frågan ofta kommit i ett annat läge och att ansökningar om tillstånd troligen i flera fall skulle ha bifallits av Datainspektionen, om den haft tillgång till materialet. Utskottet konstaterade vidare att regeringen i några fall beslutat om inrättande av personregister utan att först inhämta i datalagen före- skrivet yttrande av Datainspektionen. Utskottet förutsatte att departe—
156 SOU 1993:10
meriten i fortsättningen beaktar datalagens föreskrifter i detta hän- seende.
Utskottet hade vidare vissa erinringar mot användningen av SPAR, dvs. det statliga person- och adressregistret, för direktreklamändamål. Utskottet uttalade sig också om Folksams register för administration av gruppsakförsäkringar och om frågan om tillstånd för försöksverksam- het med personregister. Utöver vad sålunda anförts föranledde granskningen inte något yttrande från utskottet.
I en reservation (m, c, fp) ansågs att utskottet, såvitt gäller registret för administration av gruppsakförsäkringar, borde ha yttrat följande: "I beslutet angående registret för administration av gruppsakför- säkringar har regeringen framfört att särskilda skäl att tillåta registret har förelegat bl.a. på grund av att registret behövdes för en rationell försäkringsadministration. Utskottet kan inte dela regeringens bedömning på denna punkt. Regeringens tolkning innebär enligt utskottet en utvidgning av begreppet särskilda skäl som inte kan anses stå i överensstämmelse med stadgandets syfte. "
Den datapolitiska propositionen
I prop. 1984/85:220 om datapolitik anfördes under rubriken Datateknik och den personliga integriteten bl.a. synpunkter på frågan om risker för integritetskränkning som en följd av datateknikens användning inom den offentliga sektorn.
Den kanske mest diskuterade integritetsfrågan rörde enligt pro- positionen samköming och kontroll. Ekonomiska och rationella skäl talar i många fall för att myndigheterna bör använda datatekniken i sin kontrollverksamhet. Exempel på detta är samkörningar för kontroll av olika bidrag samt räntekontroller med hjälp av olika bankregister. Den debatt det här är fråga om rör i själva verket hur långt man skall acceptera myndigheternas kontroll av medborgare, alltså i stort sett samma debatt som man tidigare har fört. Det är emellertid också en fråga om de uppgifter som används för kontroll är riktiga i sak och därtill rättvisande för de uppgifter som skall kontrolleras.
Det måste enligt propositionen anses vara ett berättigat samhällsin— tresse att försöka hindra att människor tillskansat sig fördelar på andra människors bekostnad genom lögnaktiga uppgifter och skenför- faranden. Här kan datatekniken i många fall vara ett bra och accepta- belt hjälpmedel för kontroll. Samtidigt är det naturligtvis viktigt att se till att kontrollen inte utförs på ett sådant sätt att den otillbörligt kränker den enskildes integritet. Betydelsefullt är också att det finns praktiska rutiner för att korrigera när registeruppgifterna har lett till felaktiga åtgärder.
Vad det handlar om är enligt propositionen först och främst att göra en avvägning mellan samhällets och den enskildes intressen. Å ena sidan är det viktigt att de rättigheter och skyldigheter som har lagts fast
SOU l993:10 157
genom statsmakternas beslut också skall tillkomma var och en i enlighet med dessa beslut. Å andra sidan har vi kravet på skydd för den personliga integriteten. Ett mål för regeringen måste vara att datateknikens användning för samkörning och kontroll utformas med full respekt för den enskildes integritet.
Detta är enligt propositionen ofta en svår avvägning. Intressena kan förefalla motstridiga. Men i grunden borde det här inte vara någon egentlig motsättning mellan samhällets krav och den enskildes intressen. Från båda håll är det ju fråga om att tillgodose de enskilda medborgarnas berättigade anspråk; en rättvis fördelning av rättigheter och ett tillräckligt skydd för privatliv och familjeliv.
Konstitutionsutskottet (KU 1985/8625) avgav yttrande över pro- positionen och konstaterade därvid bl.a. att diskussionen framför allt är koncentrerad till de olika risker för integritetskränkningar som kan uppkomma till följd av datateknikens användning inom den offentliga sektorn, där den mest inträngande och känsliga informationen om den enskilde finns.
I en avvikande mening till konstitutionsutskottets yttrande uttalas att samhällsintressena inte får drivas så långt att den enskilda människans berättigade krav på personlig frihet och okränkbarhet sätts åsido.
Data- och offentlighetskommittén (DOK) m.m.
I maj 1984 tillsattes data- och offentlighetskommittén (DOK). DOK har överlämnat fem delbetänkanden under den gemensamma huvudtiteln Integritetsskyddet i informationssamhället.
I sitt tredje delbetänkande (Ds Ju 1987:8) Grundlagsfrågor konstate- rade DOK att det varken i svensk lagstiftning eller i svensk doktrin finns någon enhetlig definition av vad som menas med personlig integritet. En allmän uppfattning om begreppet personlig integritet och integritetsskyddet, såväl i vårt land som utomlands, torde emellertid enligt kommittén vara att det innefattar en rätt för den enskilde att själv bestämma vilka uppgifter om sig själv och sina personliga förhållanden som han eller hon skall lämna ifrån sig och hur dessa uppgifter skall användas och spridas. Kommittén ansåg det mindre ändamålsenligt med en lagregel som definierar begreppet personlig integritet utan anser att frågan måste avgöras från fall till fall. De om- ständigheter som gör sig gällande för den personliga integritetens del är arten av de personuppgifter som inhämtas och registreras, hur dessa uppgifter används, hur de sprids samt mängden av uppgifter som samlas på ett och samma ställe. Av stor betydelse är också om de insamlade uppgifterna är korrekta och aktuella.
Trots den oklara definitionen av begreppet personlig integritet ansåg DOK fördelarna med ett grundlagsfäst skydd för den personliga integriteten överväga nackdelarna med ett sådant uttalande i grundlag. DOK lade därför i betänkandet fram ett förslag att i den s.k. fri- och
158 SOU 1993:10
rättighetskatalogen i regeringsformens andra kapitel skulle skrivas in ett skydd för den enskildes personliga integritet i datasammanhang.
Remissinstanserna tillstyrkte, med några få undantag, förslaget till grundlagsskydd eller lämnade detta utan erinran.
Departementschefen (prop. 1987/88:57) konstaterade i likhet med DOK att det inte går att ge den personliga integriteten en närmare definition som rättsligt begrepp. I propositionen sades vidare att begreppet dock inte bör uppfattas som något statiskt utan mycket väl kan ha olika innebörd vid skilda tidpunkter och förhållanden.
Konstitutionsutskottet framhöll i sitt av riksdagen godkända betänkande (KU 1987/88: 19 s. 3), att den personliga integriteten inte kunnat ges en närmare definition som ett rättsligt begrepp samt att den mycket väl kan ha olika innebörd vid skilda tidpunkter och för- hållanden samt att detsamma gäller det otillbörlighetsrekvisit som används i datalagen.
Sedan den 1 januari 1989 finns i den s.k. fri- och rättighetskatalogen i 2 kap. regeringsformen en grundregel om skydd för den enskildes personliga integritet vid dataregistrering (3 å andra stycket). Be- stämmelsen har följande lydelse.
Varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databe- handling.
Grundlagsskyddet är inte absolut utan gränserna skall enligt grundlags— bestämmelsema närmare anges i lag. Därmed torde i första hand avses en särskild dataskyddslag.
8.3 Europarådets konvention
Konventionen innehåller grundläggande principer för dataskydd. Uppgifter som undergår automatisk databehandling skall ha erhållits och skall behandlas på ett korrekt och lagligt sätt. Uppgifterna skall också lagras för särskilt angivna och lagliga ändamål och de får inte användas på ett sätt som är oförenligt med dessa ändamål. Vidare föreskrivs att uppgifterna skall vara ändamålsenliga, relevanta och inte onödiga för de ändamål för vilka de lagras. De skall vara riktiga och, om nödvändigt, hållas aktuella. Beträffande gallring gäller att upp- gifterna skall bevaras på ett sådant sätt att de registrerade personerna inte kan identifieras under längre tid än som är nödvändigt med hänsyn till ändamålet med lagringen. (Art. 5.)
Bestämmelser om vissa känsliga typer av personuppgifter finns i art. 6 som innehåller en uppräkning av de slags uppgifter som inte får undergå automatisk databehandling, såvida inte nationell lag ger ett
SOU 1993:10 159
ändamålsenligt skydd. Sådana uppgifter är personuppgifter som avslöjar ras och politiska åsikter, uppgifter om hälsa och sexualliv samt uppgifter som hänför sig till att någon dömts för brott.
Undantag från art. 5 och 6 får göras i nationell lagstiftning endast om det är nödvändigt för att skydda statens säkerhet och liknande eller för att skydda den registrerade personen eller andra personers fri- och rättigheter.
Lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgif- ter mot oavsiktlig eller otillåten förstörelse m.m. (art. 7). Vissa ytterligare skyddsåtgärder för registrerade personer finns i art. 8. Bl.a. gäller att alla som är registrerade i ett personregister skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade.
8.4 Förslaget till EG-direktiv
Förslaget till EG-direktiv innehåller i kapitel 11 materiella bestämmel- ser som anger hur personuppgifter skall behandlas i olika hänseenden.
Till en början finns i kapitlet bestämmelser om datakvalitet, bl.a. om ändamålsanknytning och om kravet på att personuppgifter som behandlas skall vara riktiga och fullständiga. Därefter anges under vilka förutsättningar som personuppgifter får behandlas, varvid särskilda bestämmelser finns om känsliga uppgifter. De materiella bestämmelserna i kapitel 11 i direktivförslaget innehåller också regler om den enskildes rätt till information om behandling av personuppgif- ter, rätt till insyn och rätt till rättelse och komplettering av personupp— gifter. Slutligen regleras i kapitlet frågor om bl.a. datasäkerhet och underrättelse till datskyddsmyndigheten.
8.5 Utredningens tidigare ställningstaganden
I datalagen anges att vid bedömningen av om otillbörligt intrång kan uppkomma skall särskilt beaktas arten och mängden av de personupp- gifter som skall ingå i registret, hur och från vem uppgifterna skall inhämtas samt den inställning till registret som föreligger eller kan antas föreligga hos dem som kan komma att registreras. Vidare skall särskilt beaktas att inte andra uppgifter eller andra personer registreras än som står i överensstämmelse med ändamålet med registret.
En allmän uppfattning om begreppet personlig integritet och in- tegritetsskyddet, såväl i vårt land som utomlands, torde vara att det innefattar en rätt för den enskilde att själv bestämma vilka uppgifter om sig själv och sina personliga förhållanden som han eller hon skall lämna ifrån sig och hur dessa uppgifter skall användas och spridas (jfr redovisningen av DOK:s delbetänkande i avsnitt 8.2).
160 SOU l993:10
Den enskildes fredade sfär är emellertid inte helt okränkbar. Intrång i den personliga integriteten måste få tillåtas, om andra och viktigare intressen påkallar det. Den oenighet som kan finnas om integritetsskyd- dets omfattning rör närmast vilka dessa övergripande intressen kan vara. Denna fråga kan i sin tur inte besvaras utan att hänsyn också tas till exempelvis arten och mängden av de uppgifter om den enskilde som skall registreras och i vilka sammanhang de är avsedda att före- komma.
I datalagen anges också vilka personuppgifter som får bedömas som mer integritetskänsliga än andra, exempelvis rörande brott, hälsotill- stånd, sexualliv, ras, politisk uppfattning eller övertygelse i övrigt.
Medan mängden och slaget av uppgifter om en person, dvs. närmast en såväl kvantitativ som bedömning, kan ge viss ledning när det gäller att avgöra omfattningen av ett intrång i integriteten, krävs alltid en kvalitativ avvägning för att slutligt svara på frågan huruvida intrånget kan anses "otillbörligt", dvs. gå utöver vad den enskilde bör tåla. Oftast innefattar denna vägning huvudsakligen att ta ställning till huruvida det allmännas intresse eller något annat allmänt intresse tar över den enskildes rätt till en fredad sfär.
Detta innebär att ett stort antal registrerade uppgifter om den enskilde inte behöver vara otillbörligt kränkande, om de kan motiveras av ett godtagbart ändamål eller behov. Å andra sidan kan en enstaka uppgift i sig vara av sådant slag att den inte bör få registreras, även om den behövs för ett uppgivet allmänt intresse.
Uppfattningen om hur avvägningen av den enskildes intressen på in- tegritetsområdet närmare skall göras i förhållande till det allmännas intresse kan växla från tid till annan och mellan olika länder. I vårt land reser också den grundlagsreglerade handlingsoffentligheten, dvs. principen om allmänna handlingars offentlighet vissa särskilda frågor på området. En utgångspunkt i Sverige, liksom i jämförbara länder, för avvägningen mellan den enskildes och det allmännas intressen är emellertid att den enskildes intresse inte redan från början skall anses vara underordnat det allmännas intresse.
I frågan om hur den närmare avvägningen skall utfalla kan emellertid meningarna gå isär. Tydligast kan skillnaderna framträda när det gäller att avgöra vilket intresse som skall vika - den enskildes eller det allmännas - om det inte råder bred enighet om vad som väger tyngst. Ett annat sätt att uttrycka detta är att ange vem som skall anses ha "bevisbördan", den enskilde eller det allmänna, för utfallet av denna prövning.
Dessa grundläggande frågor synes inte ha diskuterats i någon nämn- värd omfattning vid det reformarbete som hittills har gällt integritets— skyddet på dataområdet. Enligt utredningens mening bör otillbörlig- hetsrekvisitet i datalagen ytterligare kunna preciseras, så att den nödvändiga avvägning som måste göras mellan intrångets omfattning,
SOU l993:10 161
å ena sidan, och ändamålet eller behovet av personregistreringen, å andra sidan, kommer till klarare uttryck i lagtexten.
8.6 Remissutfallet
Remissinstanserna har ansett det angeläget med en ytterligare precise- ring av begreppen personlig integritet och otillbörligt intrång. I flera yttranden betonas vikten av att det så långt möjligt klargörs hur avvägningen mellan den enskildes intresse och motstående intressen skall göras. Juridiska fakultetsnämnden vid Lunds universitet under- stryker att de grundläggande avvägningarna bör göras av lagstiftaren genom så långt möjligt preciserade regler i själva lagtexten.
8.7 Överväganden
Den debatt som varit under de snart tjugo år som datalagen varit i kraft och de reformförsök som gjorts berättigar till slutsatsen att begreppet "otillbörligt intrång i den personliga integriteten" inte låter sig definiera. Det är beroende av en vägning av motstående intressen. Endast om den enskilde ges en absolut rätt att freda sig mot varje intrång i integriteten, dvs. i sin privata sfär, eller om undantagen går att exakt avgränsa skulle en definition vara möjlig. Något allmänt stöd för uppfattningen att den enskilde skulle ha en absolut rätt till uppgifter om sin person föreligger inte. Fallen där intrång skall vara tillåtet och således inte " otillbörligt" växlar beroende på vilka utgångspunkter som väljs.
Utredningen har i sina hittillsvarande överväganden ansett att intrång i den personliga integriteten måste få tillåtas, om andra och viktigare intressen påkallar det och att den oenighet som kan finnas om integritetsskyddets omfattning rör närmast vilka dessa övergripande intressen kan vara. Denna fråga kan i sin tur inte besvaras utan att hänsyn också tas till exempelvis arten och mängden av de uppgifter om den enskilde som skall behandlas och i vilka sammanhang de är tänkta att förekomma.
Enligt utredningens tidigare ställningstaganden borde otillbörlighets— rekvisitet i datalagen ytterligare kunna preciseras, så att den nöd— vändiga avvägning som måste göras mellan intrångets omfattning, å ena sidan, och ändamålet eller behovet av personregistreringen, å andra sidan, kommer till klarare uttryck i lagtexten.
Den praxis som har redovisats från inspektionens sida under de år datalagen varit i kraft ger inte underlag för några säkra hållpunkter när det gäller att ange hur gränserna för den önskvärda vägningen bör vara utformade. Fallen är många gånger enbart av kasuistisk natur, dvs. har
162 SOU l993:10
en räckvidd som inte går utöver det enskilda fallet. Motsvarande gäller de fall där regeringen efter överklagande träffat det slutgiltiga avgörandet.
De utländska bestämmelserna på området synes över huvud taget inte arbeta med begrepp motsvarande "otillbörligt intrång". I stället anges genom de materiella bestämmelserna var gränserna för in- tegritetsintrång går, låt vara att intrång i den enskildes personliga integritet ytterst kan få förekomma genom uttryckligt stöd i lag eller motsvarande.
Den utgångspunkt förslaget till EG-direktiv har i denna del är att laglig ADB-hantering av personuppgifter förutsätter att den enskilde samtyckt till behandlingen. Denna regel är emellertid inte undantags- lös. Det innebär att någon absolut rätt för den enskilde inte är förut- satt. Direktivet anvisar, i de fall samtycke eller avtal inte föreligger, ytterst att en vägning mellan den persondataansvariges legitima intresse och den enskildes intresse måste göras. För användning inom den offentliga sektorn finns ett krav på att behandlingen skall behövas för att utföra en uppgift i det allmännas intresse eller i myndighetsutöv- nlng.
Förslaget till EG-direktiv innehåller dock en rad materiella be- stämmelser som i sig är gränssättande. Motsvarande uppbyggnad har flera av de utländska dataskyddslagarna (se bilaga 4).
Sammantaget ger således den hittillsvarande nationella och in- ternationella utvecklingen närmast stöd för att de gränser för in- tegritetsskyddet som bör framgå av en datalag inte bör utgå från ett så obestämbart och svårfångat begrepp som "otillbörligt intrång". Istället bör lagen mera direkt ange den vägning mellan motstående intressen som bör ske när integritetsintrång i strid med den enskildes mening skall vara tillåtet på ADB-området.
I enlighet med vad som nu har anförts har i förslaget till ny datalag införts regler för de olika momenten i informationsbehandlingen. Lagen innehåller regler om bl.a. den nödvändiga anknytningen till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka personuppgifter som får behandlas, formen för samtycke från den enskilde och gallring av personuppgifter. I lagen finns också angivet vilken typ av uppgifter som skall anses som känsliga. Känsliga personuppgifter får enligt utredningens förslag behandlas endast om den enskilde samtycker till det på visst sätt eller om behandlingen sker med stöd av lag eller annan författning. Genom en fyllig reglering av villkoren för behandling av olika typer av personuppgifter har utredningen alltså försökt att i lagen ange hur avvägningen mellan skyddet för den enskildes integritet och andra motstående intressen skall göras. De föreslagna bestämmelserna överensstämmer till stora delar i sak med den reglering som finns i förslaget till EG-direktiv. Vissa av de avvikelser som förekommer har behandlats i avsnitt 5 och
SOU l993:10 163
övriga avvikelser tas upp i berörda avsnitt i den allmänna motiveringen och i specialmotiveringen.
SOU 1993:10 165
9 Specialreglering genom s.k. stats- maktsregister
9. l Nuvarande ordning
Personregister om vars inrättande riksdagen eller regeringen beslutar är enligt 2 a å datalagen undantagna från kravet på tillstånd.
Om ett sådant s.k. statsmaktsregister innehåller uppgifter som i annat fall skulle ha medfört tillståndsplikt, skall dock yttrande inhämtas från Datainspektionen innan beslut om att inrätta registret fattas (2 a å första stycket andra meningen). När Datainspektionen avger ett sådant yttrande skall en bedömning av registret ske enligt samma grunder som vid prövning av ett tillståndsärende (11 å dataförordningen).
Datainspektionen kan även meddela beslut om villkor för dessa register, i den män inte regeringen eller riksdagen har meddelat något villkor i samma hänseende (6 a och 18 åå datalagen).
Datalagens bestämmelser om den registeransvariges skyldigheter, om tillsyn samt om straff och skadestånd gäller även för statsmakts- registren. Datainspektionen kan dock beträffande sådana register inte förbjuda fortsatt förande eller återkalla något tillstånd (18å andra stycket).
I de fall ett statsmaktsregister utvidgas, måste det prövas om utvid- gningen är sådan att den kan jämställas med att ett nytt register inrättas. I sådant fall måste ett yttrande från Datainspektionen inhämtas.
I förarbetena till datalagen (prop 1973:33 s 97) anförde departe- mentschefen att det av flera skäl var nödvändigt att särbehandla vissa statliga personregister. För det första borde riksdagen kunna besluta om inrättande av personregister för riksdagens egen verksamhet eller verksamheten hos organ som är underställda riksdagen. Vidare förekommer på den offentliga sektorn personregistrering av sådan vikt från allmän och enskild synpunkt att det är nödvändigt att frågan om registrens inrättande förbehålls statsmakterna själva. Det förutsattes att statsmakterna beslutar om inrättande av ADB—register endast i sådana fall då det är starkt motiverat med hänsyn till registrets betydelse eller med hänsyn till övriga omständigheter. Under remissbehandlingen av OSK:s förslag hade också påpekats att ett tillstånd av Datainspektionen i exempelvis de fall inrättandet av ett register beslutats av regeringen
166 SOU 1993:10
och riksdagen eller av endera av statsmakterna skulle få karaktären av en överprövning av statsmakternas beslut.
Frågan om inrättandet av ett statsmaktsregister kan tas upp i en proposition. Det har ibland varit oklart om ett riksdagsbeslut som inneburit att medel anvisats för bl.a. ett register också inneburit att ett nytt register skulle inrättas. Konstitutionsutskottet (KU 1984/ 85:25) har framhållit vikten av att inrättande av statsmaktsregister kommer till klart uttryck i propositioner och i andra sammanhang.
Det finns ett stort antal personregister som regleras genom särskilda registerförfattningar. Registerlagarnas innehåll varierar beroende på bl.a. vid vilken tidpunkt lagarna kommit till och den uppfattning om vad som borde regleras som då var rådande. En del registerlagar fanns redan när datalagen infördes. Dessa äldre registerlagars primära mål har inte varit att värna om integriteten utan de innehåller främst regler om vad som skall registreras och hur information får spridas. Nyare registerlagar kompletterar eller ersätter delvis datalagens integritets— skydd. De kan innehålla bestämmelser om registerändamål, registeran- svar, registerinnehåll, sökbegrepp (dvs. eventuella begränsningar i sökmöjligheterna), utlämnande av uppgifter och regler om gallring. Ibland kompletteras lagarna med förordningar. Datainspektionen kan också komplettera med föreskrifter eller villkor i den mån riksdagen eller regeringen inte utfärdat sådana. Det finns också ett antal registerförordningar med bestämmelser om register.
Riksdagens revisorer har i en rapport om ADB och integritet (rapport 1991/9228) med utgångspunkt från dels Datainspektionens uppgifter om samtliga yttranden enligt 2 a å datalagen t.o.m. novem- ber 1991 dels SFS-registret upprättat en förteckning över registerför- fattningar. Förteckningen har tagits in som bilaga 6.
Vid datalagens tillkomst ansågs det viktigt att Datainspektionens yttrande alltid inhämtades, innan statsmakterna beslutade om inrättande av ADB-register (prop 1973:33 s 98). Vid en granskning av regering— ens handläggning av ärenden enligt datalagen som KU gjorde 1984 (KU 1983/84:30) uppmärksammades att det hade förekommit att regeringen på grund av förbiseende hade inrättat personregister utan att först hämta in yttrande från Datainspektionen. Inspektionen uppgav också vid utfrågning inför utskottet att utvidgningar av register i några fall hade varit att anse som inrättande av nya sådana, varför in- spektionen borde ha fått yttra sig. Vidare hade inspektionen ibland fått yttra sig på ett allt för sent stadium. Vid en förnyad granskning 1986 konstaterade KU att regeringen i ytterligare några fall hade underlåtit att hämta in yttrande från inspektionen (KU 1985/86:25). KU framhöll i sitt granskningsyttrande på nytt betydelsen av att avsikten att inrätta ett statsmaktsregister kommer till klart uttryck i propositioner och andra sammanhang.
Av de totalt 213 yttranden som Datainspektionen avgivit till riksdag och departement under perioden den 1 juli 1986 - den 31 december
SOU l993:10 167
1989 har inspektionen bedömt endast 32 utgöra verkliga yttranden enligt 2 aå datalagen. För tiden efter den 30 juni 1990 redovisas yttranden enligt 2 a å särskilt i inspektionens diarium. Enligt diariet avgavs fyra sådana yttranden under sista halvåret 1990. Under 1991 avgavs sammanlagt åtta yttranden och under första halvåret 1992 tre yttranden.
Endast en mindre del av registren regleras genom särskild register— författning. I författningar av äldre datum föreskrivs endast att register skall hållas. Däremot anges inte särskilt slag av lagringsmedia.
9.2 Data- och offentlighetskommittén (DOK)
I sitt fjärde delbetänkande (SOU 1987:31) Integritetsskyddet i informationssamhället 4, Personregistrering och användning av personnummer föreslog DOK att ytterligare myndighetsregister med känsliga personuppgifter skulle regleras i särskilda registerlagar. Målsättningen bör, enligt kommittén, vara att alla register med ett stort antal registrerade och ett kvalificerat innehåll skall specialregleras om uppgifterna i registret är föremål för en inte obetydlig extern sprid- ning. I första hand föreslogs att vissa register hos Socialstyrelsen, landstingen, kommunerna (socialtjänst och skolhälsovård) samt Riksförsäkringsverket/försäkringskassorna skulle regleras i registerla- gar. Något förslag om registerlagstiftning beträffande register inom den privata sektorn lades inte fram. Detta berodde bl.a. på att avvägningen mellan enskilda och allmänna intressen inom den privata sektorn ansågs vara lättare att göra och att spridningen från de privata registren kan begränsas i större omfattning. Dessutom menade man att det finns ett större inslag av frivillighet i samband med registrering i privata register.
Den föreslagna registerlagstiftningen syftade till att åstadkomma en ingående prövning och debatt om innehållet i och utformningen av de från integritetssynpunkt mest känsliga registren. Registerlagstiftningen ansågs också kunna bidra till att avlasta Datainspektionen.
9.3 Uttalanden i tidigare lagstiftningsärenden
DOK:s förslag om en reglering av känsliga personuppgifter i vissa myndighetsregister genom särskilda registerlagar (se avsnitt 9.2) tillstyrktes vid remissbehandlingen av i stort sett samtliga remissinstan- ser. I den proposition 1990/91:60, Offentlighet, integritet och ADB som följde på DOK:s förslag anförde departementschefen att hennes bedömning av behovet av särskilda registerlagar överensstämmer med DOK:s förslag. En målsättning bör vara, att i de fall register med ett
168 SOU 1993: 10
stort antal registrerade och ett särskilt känsligt innehåll inrättas, bestämmelser skall meddelas i form av lag. Detta gäller särskilt i de fall uppgifterna i registret sprids externt i inte obetydlig omfattning.
Om uppgifter används för strikt avgränsade ändamål i ett register där de primärt har registrerats, t.ex. inom försvaret eller arbetsmark- nadsutbildningen och i många kommunala sammanhang behövs däremot i regel ingen Specialreglering. I dessa register kan integritets— skyddet tillgodoses genom Datainspektionens tillståndsprövning. Om de uppgifter som ingår i registret i sådana fall inte är sekretesskydda- de, kan det övervägas om en utvidgning av bestämmelserna i sekre- tesslagen är en väg att uppnå ett bättre integritetsskydd.
Vad gäller den privata sektorn uttalades i propositionen att det för närvarande inte finns något uttalat behov av registerlagar inom den sektorn.
Propositionen 1990/91:60 om offentlighet, integritet och ADB behandlades i konstitutionsutskottets betänkande 1990/9lzKU11. Beträffande frågan om behovet av särskilda registerlagar anförde utskottet att det allmänt sett är av stor betydelse att en författnings- reglering av ADB-register kommer till stånd i syfte att stärka skyddet för de registrerade i samband med nödvändig registrering av känsliga uppgifter i myndighetsregister. Utskottet delade uppfattningen att register hos Socialstyrelsen, landstingskommunerna, kommunerna och Riksförsäkringsverket bör regleras i särskilda registerlagar. Likaså ansåg utskottet att det krävs ingående överväganden i fråga om vilka register inom dessa områden som bör lagregleras.
Utskottet förutsatte att frågan om vilka övriga register som bör regleras kommer att ägnas en fortlöpande uppmärksamhet från regeringens sida och att åtgärder kommer att vidtas för att få till stånd sådana regleringar. Något särskilt uttalande från riksdagens sida var enligt utskottets mening därmed inte nödvändigt.
Utskottets uttalande godtogs av riksdagen (rskr. 160). Med anledning av en proposition om ändring i sekretesslagen (prop. 1991/92:73 Sekretess inom rättsväsendets informationssystem) har konstitutionsutskottet i sitt av riksdagen godkända betänkande (1991/92zKU 23, rskr. 119) framhållit bl.a. att det är av stor vikt att de ADB-register som innehåller integritetskänsliga uppgifter regleras genom särskilda registerlagar.
9.4 Europarådets konvention
Vissa särskilda slags uppgifter får inte undergå automatisk databehand- ling om inte nationell lag (domestic law) ger ett ändamålsenligt skydd (art. 6). Det gäller personuppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa och sexualliv. Det gäller också
SOU 1993210 169
personuppgifter som hänför sig till att någon dömts för brott. Av kommentaren till bestämmelsen framgår att med uttrycket domestic law avses inte bara lagstiftning utan också annan författningsreglering, så länge den nödvändiga skyddsnivån säkerställs.
9.5 Förslaget till EG—direktiv
Direktivförslaget innehåller särskilda bestämmelser om känsliga uppgifter. Med känsliga uppgifter avses uppgifter om ras eller etniskt ursprung, politisk uppfattning, religiös eller annan filosofisk över- tygelse, facklig tillhörighet eller uppgifter som rör hälsotillstånd eller sexualliv. Utgångspunkten är i förslaget till EG—direktiv att sådana uppgifter inte får behandlas (art. 8.1).
Vissa undantag görs emellertid från den nu nämnda huvudregeln. Den enskildes samtycke konstituerar ett sådant undantag (art. 8.2.a). Vidare får medlemsstaterna, om viktiga allmänna intressen talar för det, tillåta behandling av de aktuella känsliga personuppgifterna genom en särskild reglering i lag eller annan författning eller genom beslut av dataskyddsmyndigheten. En förutsättning är då att man anger vilken typ av uppgifter det gäller, till vem sådana uppgifter får lämnas ut och vem som får vara persondataansvarig. Lämpliga skyddsbestämmelser skall också ställas upp (att. 8.3).
I artikel 8.4 tas som känslig uppgift upp personuppgifter som hänför sig till att någon har dömts för brott och i artikel 8.5 ges föreskrifter om användningen av bl a personnummer.
I artikel 18.4 och 5 ges olika alternativ för regleringen av sådan behandling som innefattar särskilda risker för enskildas rättigheter och friheter. Som exempel nämns i kommentarerna behandling av speciella slag av uppgifter. En möjlighet är att särskilt reglera sådan behandling i lag eller annan författning. Olika slags besked av dataskyddsmyndig- heten i anslutning till sådan behandling godtas emellertid också. Det kan antingen vara fråga om ett regelrätt tillståndsbeslut (art. 18.5) eller ett slags besked (conclusions) med anledning av en granskning från dataskyddsmyndighetens sida av den anmälan som den persondataan- svarige har gett in till myndigheten (art. 18.4). Beskedet skall lämnas inom 15 dagar från det anmälan gjordes.
9.6 Utredningens tidigare ställningstaganden
Utredningen har inte tidigare närmare diskuterat frågan om behovet av registerlagar och andra s.k. statsmaktsregister. Utredningen har dock vid sin behandling av register för forskning och statistik förordat att vissa av principerna för dessa registers förande tas in direkt i datala—
170 SOU 1993:10
gen. Vad som därvid skulle kunna komma i fråga är de grundläggande reglerna om informerat samtycke och de fall då sådant samtycke kan undvaras, inklusive de fall som rör registerforskning. På motsvarande sätt har utredningen förordat att vissa grundläggande bestämmelser för personregistreringen i anställningsförhållanden tas in i datalagen. En regel om att uppgifterna i registren i princip skall samlas in direkt från den anställde och att de i princip inte får lämnas ut utan hans med- givande skulle kunna tas in liksom principiella bestämmelser om registreringen av uppgifter av medicinsk karaktär eller sådana som gäller omdömen såsom prestationsmätning o.d. I övrigt har utred- ningen i sina tidigare ställningstaganden uppehållit sig vid hand— läggningen av statsmaktsregister. I denna del har utredningen uttalat bl.a. följande.
Ett stort antal av de personregister som innehåller integritetskänsliga uppgifter har tillkommit efter beslut om särskilda registerlagar och kompletterande förordningar. Den noggranna beredningen och beslutsprocessen i lagstiftningsärenden har ansetts ge en bättre garanti för ett gott integritetsskydd i fråga om särskilt känsliga register än vad som är möjligt att uppnå vid en tillståndsprövning av Datainspektionen. Till detta synsätt kan också ha bidragit svårigheterna att precisera begreppet personlig integritet och otillbörligt intrång.
Det nuvarande förfarandet, som i allt väsentligt har fungerat bra, bör kunna användas i ett nytt tillsynssystem. Om handläggningen av dessa register bör alltså gälla följande.
I den mån inspektionen i en särskild författning fått bemyndigande härom, bör inspektionen kunna meddela kompletterande verkställig- hetsföreskrifter. Datainspektionen bör vidare liksom i dag kunna meddela villkor för det enskilda registret, om inte riksdagen eller regeringen har meddelat villkor i samma hänseende.
Likaså bör inspektionen ha rätt och skyldighet att yttra sig i samma omfattning som f.n., innan riksdag eller regering fattar beslut om personregistrering.
Det kan därvid enligt utredningens mening inte gärna komma i fråga att ge inspektionens yttrande en annan tyngd än det har i dag, när det gäller beslut av statsmakterna om inrättande av ett visst register. Det innebär att inspektionens yttrande inte är något annat än en del -' må vara en viktig del — av riksdagens eller regeringens beslutsunderlag. Det gäller så mycket mer som såväl regering som riksdag i stor utsträckning redan nu beaktar de synpunkter som inspektionen för fram i sina yttranden över statsmaktsregister. Mot bakgrund av att osäkerhet i en del fall i dag kan råda om när i beredningen av ärendet in- spektionens yttrande skall inhämtas och att inspektionen enligt egen uppgift i några fall kommit in i ett sent skede och därför inte fått erforderlig tid för sin granskning, bör emellertid reglerna härom förtydligas (jfr. KU 1985/86:25).
SOU l993:10 171
9.7 Remissutfallet
Endast några få remissinstanser har i sina yttranden berört frågan om handläggning av statsmaktsregister. De anser att den nuvarande ordningen bör behållas.
9. 8 Överväganden
Redovisningen i det föregående visar att det under årens lopp har tillkommit en lång rad s.k. statsmaktsregister. Uttalanden om prin- ciperna för den fortsatta specialregleringen har gjorts av riksdagen.
Av särskilt intresse för den fortsatta utvecklingen på området är be- stämmelserna i förslaget till EG-direktiv. Enligt artikel 8 får vissa känsliga uppgifter inte bli föremål för automatisk databehandling utan att den enskilde har samtyckt till detta, uttryckligen och skriftligen. Undantag från den nu angivna regeln medges bara om det är påkallat av väsentligt allmänt intresse. Det förutsätts dock att det finns en särskild författningsreglering eller ett tillståndsförfarande. Därvid skall anges vilka uppgifter som får behandlas, vem som får ha tillgång till uppgifterna och vilka som får vara persondataansvariga. Lämpliga skyddsbestämmelser skall också ställas upp. Detta skall jämföras med regleringen i den nuvarande datalagen av känsliga uppgifter. Be- stämmelserna, som finns i 4 å, tillåter registrering men bara om det finns synnerliga eller särskilda skäl. Det förutsätts alltså att en intresseavvägning sker mellan integritetsintresset och andra utom- stående intressen.
Som utredningen utförligt utvecklar i avsnitt 13 bör det nuvarande tillståndsförfarandet i datalagen avskaffas och ersättas med ett renodlat tillsynsförfarande. Skall man följa direktivförslaget återstår därför bara en ordning med författningsreglering såvitt gäller de känsliga uppgifter som tas upp i artikel 8 i förslaget till EG-direktiv.
Vad som talar emot en lösning med författningsreglering är framför allt det betydande behov som den för med sig av en ytterligare framtida reglering genom statsmaktsregister. Särskilt inom den offentliga sektorn behandlas känsliga uppgifter i många olika samman- hang och en konsekvens av den nu diskuterade ordningen skulle bli att dessa uppgifter inte skulle få behandlas i fortsättningen om inte det fanns en reglering i författning av behandlingen av uppgifterna, om man nu bortser från de säkerligen få fall inom den offentliga sektorn där det kan bli aktuellt med samtycke. På den privata sektorn skulle man väl i flertalet fall kunna påräkna samtycke från den enskilde men även här torde det i en del fall komma att krävas författningsstöd.
Enligt utredningens mening talar emellertid övervägande skäl för en reglering i enlighet med det alternativ i förslaget till EG-direktiv som
172 SOU l993:10
innebär författningsstöd. Därigenom kan de mot den enskildes integritet stående intressena, t.ex. statens eller kommunernas kontroll- behov på skilda områden, prövas med den noggrannhet som föregår antagandet av en författning. Någon tveksamhet behöver inte heller uppstå hos den enskilde persondataansvarige om en behandling av känsliga uppgifter är tillåten eller inte. För såväl denne som den vars personuppgifter det gäller ökar förutsebarheten, vilket i sin tur leder till en högre grad av rättssäkerhet. Till detta kommer att Datainspektio- nens tillsyn underlättas, eftersom ett bedömningsmoment som kan innebära svåra avvägningar av skönsmässig karaktär faller bort. En sådan reglering är också i linje med riksdagens uttalanden att det är av stor vikt att de ADB-register som innehåller integritetskänsliga uppgifter regleras genom särskilda registerlagar. Slutligen bör erinras om att kravet på författningsreglering tar sikte enbart på några aspekter av informationsbehandlingen. Några fullständiga registerförfattningar är det alltså inte tal om.
De känsliga uppgifter som nämns i artikel 8 i direktivförslaget har med något undantag sin motsvarighet i bestämmelserna i 4 å och 7 å andra stycket datalagen. I 4 å datalagen tas emellertid upp en rad andra känsliga uppgifter och i 6 å andra stycket nämns som känsliga uppgifter sådana som utgör omdömen eller andra värderande upp- lysningar om den enskilde. Även i en ny datalag bör dessa ytterligare uppgifter bli föremål för särskilda restriktioner. En sådan ordning torde vara helt förenlig med bestämmelserna i artikel 18.4 och 5 i direktivförslaget. Enligt dessa bestämmelser får medlemsstater i lag eller annan författning särskilt reglera viss behandling som utgör särskilda risker för enskildas rättigheter och friheter. Som exempel nämns i kommentaren behandling av speciella slag av uppgifter. Ett alternativ till lag eller annan författning är beslut av dataskyddsmyn- dighet. Enligt bestämmelserna i artikel 18.4 har dataskyddsmyn- digheten inom femton dagar från en anmälan om en behandling som innebär särskilda risker för enskildas rättigheter och friheter att undersöka behandlingen. Som närmare framgår av avsnitt 13 har utredningen valt att inte ge Datainspektionen möjlighet att meddela beslut om tillstånd till behandling av känsliga uppgifter med hänsyn till de betydande fördelar som är förenade med ett renodlat system med tillsyn. Under avsnitt 13 har utredningen vidare avfärdat en ordning med en tidsfrist för Datainspektionens granskning av amnälningar. Skälet härför är att ett system med en tidsfrist i praktiken torde innebära att man via bestämmelserna om anmälningsskyldighet behåller det partiella tillståndsförfarandet till förfång för ett renodlat system med tillsyn. Kvar står således att även för de ytterligare typer av känsliga uppgifter som nu har diskuterats en ordning med författ- ningsreglering bör väljas.
I enlighet med vad som nu har sagts har utredningen tagit upp en bestämmelse om behandling av känsliga uppgifter i 20 å i lagförslaget.
SOU 1993:10 173
Utredningen har också, med stöd av 20 å, föreslagit vissa särskilda bestämmelser om behandling av känsliga uppgifter för forsknings- eller statistikändamål och för anställningsändamål i 30 - 35 åå i förslaget till ny datalag. De angivna bestämmelserna behandlas närmare i avsnitt 10 och 11 samt i specialmotiveringen. I den utsträckning registerlagarna bara reglerar vissa moment av informationsbehandlingen, blir i övrigt de allmänna bestämmelserna i datalagen att tillämpa.
I sammanhanget bör framhållas att i förhållande till ett framtida EG- direktiv, som Sverige blir bundet av genom EES-avtalet eller genom ett medlemskap i EG, de olika speciallagarna givetvis får behandlas på samma sätt som den allmänna datalagen. Det blir alltså inte möjligt att genom särskilda registerlagar införa lösningar som står i strid med de principer som följer av EG-direktivet.
Utredningen har i sina tidigare ställningstaganden utgått från att det nuvarande förfarandet för handläggning av s.k. statsmaktsregister skall användas även i det nya tillsynssystemet. En del förändringar bör dock genomföras.
En förändring sammanhänger med hur Datainspektionens tillsyn avses ske i det nya systemet. Som närmare utvecklas i avsnitt 14 kommer tillsynen att gå ut på att se till att behandlingen av personupp- gifter sker i enlighet med vad som gäller för den ifrågavarande behandlingen. Skulle personuppgifter behandlas i strid med gällande bestämmelser får Datainspektionen meddela villkor. Syftet med villkoret är att åstadkomma rättelse. Några villkor av den typ som enligt nuvarande datalag kan meddelas för ett s k statsmaktsregister blir däremot inte möjliga i det nya systemet.
De materiella bestämmelser som kommer att gälla för behandlingen av personuppgifter blir i första hand datalagen och de särskilda registerlagarna. De allmänna bestämmelserna i datalagen blir, som tidigare har nämnts, att tillämpa i den mån registerlagarna bara reglerar vissa moment i informationsbehandlingen. Till detta kommer de särskilda föreskrifter som regeringen eller Datainspektionen kan meddela med stöd av 36 å i förslaget till datalag eller motsvarande bemyndigande ide särskilda registerlagarna. Dessutom kan regeringen, eller efter bemyndigande Datainspektionen, med stöd av 8 kap 13 å första stycket 2 regeringsformen meddela föreskrifter om behandlingen av personuppgifter inom den statliga förvaltningsorganisationen.
Enligt nuvarande ordning för handläggning av s.k. statsmaktsregister skall yttrande inhämtas från Datainspektionen innan beslut att inrätta registret fattas, om registret avses innehålla uppgifter som i annat fall skulle ha medfört tillståndsplikt. Antalet sådana yttranden har under de senaste åren legat på en ganska jämn nivå. Under det sista halvåret 1990 avgavs fyra yttranden. Antalet yttranden under 1991 uppgick till åtta och under det första halvåret 1992 har tre yttranden avgivits. Med utredningens förslag till datalag skulle det bli aktuellt att besluta om ett stort antal nya registerförfattningar. Enligt Datainspektionens mening
174 SOU l993:10
är i en del fall det knappast nödvändigt med ett särskilt yttrande från myndigheten för den fortsatta handläggningen i regeringskansliet. Ut- redningens förslag till ny datalag innehåller en förhållandevis fyllig reglering av de förutsättningar som skall gälla för behandlingen av personuppgifter. Genomförs förslaget torde det i ytterligare ett antal fall bli onödigt att inhämta yttrande från Datainspektionen. Utred- ningen föreslår att det i det nya systemet inte skall vara obligatoriskt att höra inspektionen. I stället bör man kunna falla tillbaka på den allmänna bestämmelsen i 7 kap 2 å regeringsformen som innebär att regeringen vid beredning av regeringsärenden skall inhämta behövliga upplysningar och yttranden från berörda myndigheter. Detta innebär att remiss till Datainspektionen bara bör ske när Datainspektionens yttrande behövs som underlag för statsmakternas beslut om behandling av personuppgifter.
Den nu förordade ordningen innebär att det inte finns någon anledning att i det nya systemet skilja på yttranden inför blivande s k statsmaktsregister och andra remisser från regeringskansliet. Huruvida inom den offentliga sektorn själva beslutet att behandla personuppgifter fattas av riksdagen, regeringen eller en myndighet får egentligen betydelse bara i ett hänseende. Datainspektionen kan nämligen, enligt 41 å i förslaget till datalag, inte förbjuda fortsatt behandling av personuppgifter, om riksdagen eller regeringen har beslutat att uppgifterna skall behandlas.
Hur utredningens förslag förhåller sig till förslaget till EG—direktiv i nu diskuterade delar har berörts i det föregående.
SOU 1993:10 175
10 Behandling av känsliga personupp- gifter för forsknings- eller statistik— ändamål
10. 1 Gällande rätt
Personregistrering för forskning och statistikändamål är inte särregle- rad i datalagen. I den mån registren inte är hänförliga till s.k. stats- maktsregister, dvs. har tillkommit efter beslut av riksdagen eller rege- ringen, krävs tillstånd av inspektionen för att få inrätta och föra personregister för angivna ändamål.
På grundval av uttalanden i förarbetena har dessa register i praxis kommit att få en privilegierad ställning när det gäller möjligheterna att få registrera personer utan naturlig anknytning till den registeransvari- ge. Enligt en fast praxis ifrågasätter Datainspektionen vid sin prövning som regel inte det behov som anges för inrättande av ett forsknings- register. Denna uppfattning grundar inspektionen i att forskningsom- råde och forskningsmetod är frågor som faller utanför inspektionens behörighet. Däremot kräver inspektionen naturligtvis för tillstånd att det är möjligt att inskränka intrånget i den personliga integriteten genom villkor i det enskilda fallet.
I många fall rör registreringen personuppgifter av känsligt slag, där tillstånd enligt datalagen får beviljas, endast om särskilda eller synnerliga skäl föreligger (4 å). I Datainspektionens praxis anses det förhållandet att uppgifterna skall användas för ett vetenskapligt ända- mål i sig vara tillräckligt för att uppfylla kravet på särskilda eller synnerliga skäl.
Stöd för denna tolkning finns i uttalanden i samband med datalagens tillkomst år 1973. I propositionen (prop. 1973:33 s. 122) anges med hänvisning till ett uttalande av offentlighets- och sekretesslagstiftnings- kommittén, att undantag från kravet på synnerliga skäl borde kunna medges för statistiska bearbetningar och vetenskapliga undersökningar, under förutsättning att enskilda personers namn inte offentliggörs. I direkt anslutning härtill framhålls att även i vissa andra sammanhang undantag bör kunna medges, om det föreligger ett starkt samhälleligt eller annat allmänt intresse att registreringen får ske och det finns säkra garantier för att uppgifterna inte används eller sprids, så att otillbörligt integritetsintrång uppkommer.
176 SOU 1993:10
Vidare görs i praxis åtskillnad mellan sådana register som avses bygga på informerat samtycke från de berörda och register där sådant samtycke inte skall inhämtas.
För vissa personregister för såväl forsknings— som statistikändamål har Datainspektionen meddelat föreskrifter om ett förenklat an- sökningsförfarande (se DIFS 198912 och 199011). För båda ändamålen föreskrivs bl.a. att informerat samtycke i en del fall skall föreligga, dvs. att den som skall registreras i förväg får upplysningar om bl.a. registrets ändamål och innehåll och därefter frivilligt lämnar begärda uppgifter eller medger att dessa inhämtas från någon annan källa.
En förutsättning för det förenklade förfarandet på forskningsområdet är vidare att de som hanterar registren är väl insatta i de regler som gäller. Det gäller både forskare och andra som handhar registren för den registeransvariga myndigheten. Möjligheten att använda det förenklade förfarandet har därför gjorts beroende av Datainspektionens medgivande. De statliga myndigheter som får använda det förenklade förfarandet är universitet, högskolor och andra forskningsinrättningar som efter ansökan fått medgivande att göra det.
Ändamålet med sådana register som omfattas av förfarandet skall vara att framställa statistik i forskningssyfte. Från registret får man en- bart skapa statistiska tabeller eller annan anonym information, där en- skild person inte avslöjas. Vidare får man framställa arbetsmaterial i form av listor för att kontrollera och rätta personuppgifter i samband med statistikproduktionen. För att kunna skicka ut förfrågan om deltagande i undersökningen och för att samla in uppgifterna får man också framställa adressetiketter och listor där de registrerade prickas av. I ändamålet ingår att statistiken skall framställas i forskningssyfte, dvs. syfta till att belysa okända faktorer eller bekräfta hypoteser, t.ex. enligt följande.
Framställning av statistik över mödrar i syfte att studera samband mellan rökning och barns födelsevikt.
Det förenklade ansökningsförfarandet får inte användas för rena registerundersökningar, s.k. registerforskning. Det krävs därför att uppgifterna i registret åtminstone till viss del inhämtas direkt från den registrerade själv genom en enkät eller vid en intervju.
Det förenklade ansökningsförfarandet beträffande vissa person- register för statistikändamål gäller enbart ansökningar från statistiska centralbyrån (SCB) och får avse endast framställning av statistik.
Statistik används vanligen för att beteckna siffermässiga eller annars kvantitativa mått över tillstånd eller samband, inkl. mått framställda med hjälp av diagram, kurvor m.m. Termen betecknar också den vetenskap eller de metoder som används för att framställa statistik.
Bestämmelser i det förenklade ansökningsförfarandet för statistikän- damål finns också om inrättande av tillfälliga personregister genom
SOU 1993:10 177
sambearbetning av två eller flera register, liksom om ändring i registerinnehåll och om tillfälligt förande av personregister som avläm— nats till Riksarkivet för förvaring.
I en promemoria om personregister för vetenskapliga undersök- ningar och i en särskild informationsskrift har inspektionen redovisat sin praxis i frågan om tillstånd för forsknings- och statistikregister utöver det förenklade förfarandet. Praxis är dock inte entydig.
Av redovisningen framgår beträffande informationskravet att in- spektionen anser, att metoder för informationens lämnande i vissa fall kan diskuteras och att kravet på informerat samtycke undantagsvis helt kan efterges. Dessa undantag avser i så gott som samtliga fall uppgiftsinhämtande som sker på annat sätt än genom enkäter eller intervjuer, dvs. närmast i form av s.k. registerforskning. Om in- formation lämnas på annat sätt än vid enkät eller intervju, skall dock rätten att avböja medverkan framgå.
De fall som aktualiserar undantag från informerat samtycke år enligt praxis när
! hälsotillståndet hos dem som skall registreras gör det svårt att informera på vanligt sätt,
I det kan anses oetiskt att ta kontakt med dem som skall registreras, eller
' när informationen skulle förrycka undersökningens resultat.
Vidare anser inspektionen i en del fall, när det inte är fråga om direkt kontakt med dem som skall registreras, att information kan lämnas i annan än individuell form (exempelvis genom anslag eller annonser i pressen), om det står klart att de som avses bli registrerade kan förväntas vara positiva till registreringen och om det gäller mycket stora populationer. Så har t.ex. skett i fråga om det s.k. utbildnings- registret hos SCB, vari uppgifter om de svenska medborgarnas utbildning m.m. finns samlad.
Ett exempel på fall där inspektionen ansett det oetiskt att informera, gällde ett personregister som skulle belysa om intag av läkemedel på- verkade sannolikheten för att få vissa cancersjukdomar. I det fallet hade de flesta personer som skulle ingå i registret uppnått hög ålder och det antogs att de skulle ha oroats, om de informerats om under- sökningens syfte.
Någon generell bestämmelse som i år, månader och dagar anger hur länge personuppgifter i ett forskningsregister får bevaras i identifier- bart skick finns inte. I 12 å datalagen sägs allmänt att personuppgifter- na skall utgå ur registret när de inte längre behövs för registrets ända- mål eller när den registeransvarige upphör att föra registret. Enligt samma lagrum kan dock uppgifter komma att bevaras även därefter,
178 SOU l993:10
om det följer av bestämmelser i lag eller annan författning eller av myndighets beslut som har meddelats med stöd av författning.
Att uppgifterna skall utgå innebär, enligt den information som inspektionen lämnar till forskare, i första hand att namn, personnum- mer och andra rena identitetsuppgifter avlägsnas. Det får emellertid inte heller därefter finnas någon möjlighet att på ett enkelt sätt identifiera en enskild person. Detta kan t.ex. vara fallet om namnet visserligen inte nämns men det förekommer sådana bestämningar av vem vissa uppgifter avser att man lätt kan ta reda på namnet i en matrikel e.d.
När information har lämnats, bl.a. om att registret skall bevaras, i enlighet med Datainspektionens ovan berörda föreskrift (1990: 1) om vissa personregister för forskningsändamål, godtar inspektionen att registret bevaras på datamedium utan att avidentifieras, om Riksarkivet anser att det bör ske och tillika är berett att ta hand om registret.
Om de registrerade däremot är ovetande om registrets existens, blir inspektionens beslut i allmänhet att avidentifiering skall ske. Undantag görs enligt praxis i princip bara om det finns grundad anledning tro att de registrerade inte skulle motsätta sig ett bevarande. Ett beslut om av- identifiering behöver enligt vissa uppfattningar inte utesluta att en utskrift av registret görs på papper som bevaras för framtiden.
Riksdagen antog våren 1992 en lag om den officiella statistiken (prop. 1991/92:118, FiU 23, SFS 1992:889). Lagen bygger på förslag av statistikregelutredningen i dess betänkande (SOU 1990:43) Förenklad statistikreglering. I lagen, som trädde i kraft den 1 januari 1993, regleras skyldigheten att lämna uppgifter för statlig statistik- framställning, liksom frågor om bl.a. uppgiftsskydd, framställnings- metoder och offentliggörande. Lagen är tillämplig på den statistik som behövs för samhällsplanering, forskning, allmän information och internationell rapportering. I 9å erinras om att det finns särskilda regler till skydd för den enskildes personliga integritet när fråga är om sådant personregister som anges i datalagen (1973:289).
10.2 Europarådets rekommendation
Europarådet har antagit en rekommendation år 1983 (Recommendation No. R, 83, 10) rörande skydd för personuppgift som används vid forskning eller för statistik. Sverige har godtagit rekommendationen utan reservation. Innehållet i rekommendationen har redovisats i avsnitt 4.3.2.
SOU l993:10 179
10.3 Förslaget till EG-direktiv
Förslaget till EG-direktiv om skyddet för enskilda vid behandling av personuppgifter finns redovisat i avsnitt 4.5. Direktivets bestämmelser är generellt tillämpliga även på behandlingen av personuppgifter för forsknings- eller statistikändamål. Det innebär att de allmänna reglerna i direktivet om lagligheten av behandling av personuppgifter gäller, bl.a. reglerna i artikel 6 om principer hänförliga till datakvalitet, artikel 7 om principer hänförliga till grunderna för att få behandla personuppgifter och artikel 8 om behandlingen av känsliga uppgifter.
Några bestämmelser i förslaget till EG-direktiv har dock direkt anknytning till forsknings— och statistikområdet. Det är bestämmelserna i artiklarna 2.a andra stycket, 6.1.e och 14.3.
I artikel 2.a andra stycket stadgas att uppgifter som presenteras i statistisk form som är av sådan karaktär att de berörda personerna inte längre rimligen kan identifieras inte räknas som personuppgifter. Bestämmelsen behandlas närmare i specialmotiveringen till 2 å förslaget till datalag.
Artikel 6.1.e föreskriver att personuppgifter inte skall behållas i en form som medger identifikation av enskilda under längre tid än vad som är nödvändigt för de ändamål som föreligger. Medlemsstaterna får dock enligt bestämmelserna i artikeln uppställa lämpliga skyddsregler för personuppgifter som lagras för historisk, statistisk eller vetenska- plig användning. Bestämmelserna behandlas närmare i specialmotive- ringen till 8 och 19 åå förslaget till datalag.
Enligt artikel 14.3 får medlemsstaterna begränsa den enskildes rätt till insyn beträffande uppgifter som bevaras under kort tid i individuell form och som är ämnade att tjäna statistiska syften av sådant slag att de berörda personerna inte längre rimligen kan bli identifierade. Bestämmelsen berörs i specialmotiveringen till 25 å i förslaget till datalagen.
10.4 Utredningens tidigare ställningstaganden
Allmänna utgångspunkter
Datalagen innehåller, som framgått, inte några särbestämmelser vad avser personregister för forskningsändamål. Med forskningsregister brukar i allmänhet avses personregister som inrättas och förs för vetenskapliga ändamål och där syftet inte är att de personuppgifter som ingår i registret skall utgöra underlag för beslut eller administrativa åtgärder. Resultatet av den forskning vari personregistreringen ingår redovisas som regel utan att uppgifterna om den enskilda individen blir kända.
180 SOU 1993:10
Inom ramen för nuvarande ordning krävs alltid tillstånd av Datain— spektionen för att ett personregister för forskningsändamål skall få inrättas.
I sin tillståndsprövning går inte inspektionen närmare in på det vetenskapliga ändamålet i sig. Att pröva behovet av ett visst forsk- ningsprojekt eller användning av en viss metod anser inspektionen faller utanför inspektionens behörighet. Däremot fäster naturligtvis inspektionen stor vikt vid möjligheten att i det enskilda fallet genom villkor begränsa integritetsintrånget. Som framgått av redovisningen ovan spelar därvid förekomsten av informerat samtycke en stor roll.
Datainspektionen har nyligen antagit ett förenklat ansökningsför- farande för tillståndsprövning i de fall sökanden är en statlig forsk- ningsinrättning eller rektorsämbetet vid ett universitet eller en högskola. Förfarandet bygger bl.a. på att uppgifterna inhämtas från den registrerade genom enkät eller intervju först sedan denne in- formerats om vissa förhållanden och därefter frivilligt lämnat upp- gifterna eller medgett att dessa inhämtas från någon annan källa. Enligt förfarandet skall information lämnas om följande: registrets ändamål och innehåll, vilka uppgifter som skall bearbetas med hjälp av ADB, vilka uppgifter som skall inhämtas från andra källor än den regi— strerade och vilka dessa källor är, hur länge myndigheten planerar att föra registret, innebörd och omfattning av sekretesskyddet, den registrerades rätt till utdrag enligt 10 å datalagen och vad Riksarkivet kan ha beslutat i fråga om registrets bevarande hos Riksarkivet samt att registreringen är frivillig.
När det gäller statistikregister har inspektionen, som nämnts, likaledes föreskrivit ett förenklat förfarande som bygger på informerat samtycke. Behörig sökande i de fallen är Statistiska centralbyrån (SCB). Den information som skall lämnas innan uppgifter inhämtas från den registrerade är i stort sett likadan som den som krävs vid forskningsregistrering.
I vilken form samtycket skall lämnas finns inte närmare reglerat i nuvarande bestämmelser. I många fall torde samtycket följa av s.k. konkludent handlande, dvs. att den enskilde medverkar exempelvis genom att lämna de begärda uppgifterna.
Skillnaden mellan de båda slagen av personregister är i de förenkla— de förfarandena beskriven så, att ändamålet med personregistrering för vetenskapliga undersökningar angetts vara framställning av statistik i forskningssyfte, medan ändamålet för statistikregistreringen angivits till enbart framställning av statistik. I båda fallen ingår således fram- ställning av statistik som en väsentlig faktor.
När forskningsregister i det följande behandlas avses också, om inte annat sägs, statistikregister.
Kravet på att personregistrering för vetenskapliga ändamål eller för enbart statistiska syften, när den enskilde lämnar uppgifterna, får ske endast efter informerat samtycke är i full överensstämmelse med den
SOU l993:10 181
rekommendation på området som antagits av Europarådet och som Sverige har ställt sig bakom.
Enligt rekommendationen ges endast ett undantag från kravet på in- formerat samtycke. Det gäller i det fall samtycke har lämnats för in- hämtande av uppgifter för ett visst forskningsändamål och uppgifterna därefter önskas användas för ett forskningsändamål som påtagligt skiljer sig från det ursprungliga projektets syfte eller natur. Enligt rekommendationen får den ursprungligen gjorda registreringen användas också i det senare fallet utan att nytt samtycke inhämtas, om det skulle te sig opraktiskt med hänsyn till tidsåtgång eller det stora antalet personer som berörs att informerat samtycke inhämtas och om skyddsbestämmelser för dessa fall anges i lag. I de kommentarer som gjorts i anslutning till rekommendationen från Europarådets sida anges, att de villkor eller föreskrifter som i lag bör anges för de fall som nu har nämnts bör säkerställa en likvärdig grad av skydd för den enskildes integritet. Som exempel anges det tillstånd som lämnas av en datatill- synsmyndighet eller den prövning som kan göras av särskilda organ som inom forskarsamhället skapats för ändamålet.
Härtill kommer att rekommendationen innehåller en del bestämmel- ser som bl.a. tar sikte på fall då uppgifter inhämtas från annan än den registrerade själv.
Den möjlighet som enligt rekommendationen finns att i vissa fall genom inhemsk lag föreskriva undantag från olika villkor i be- stämmelserna reser frågan vilken författningsform ett sådant undantag bör ha. Användningen av uttrycket lag ("law") i rekommendationen torde inte innebära att ett undantag kan föreskrivas endast direkt genom "lag" i den svenska regeringsformens mening. Den inhemska konstitutionella nivån bör nämligen enligt vad som är brukligt vid tolkningen av internationella åtaganden inte vara avgörande. Det innebär att förskrifter som meddelas av regeringen i en förordning eller av exempelvis Datainspektionen efter bemyndigande i lag också torde uppfylla rekommendationens krav på att vara meddelade i lag ( "law"). Vad som däremot skulle falla utanför "lagkravet" torde vara enskilda beslut, exempelvis villkor i ett enskilt ärende, som meddelas av en myndighet. För att tillgodose kravet på "lag" bör nämligen ett undantag meddelas som en generell norm, varigenom bl.a. vedertagna rättssäkerhetskrav som exempelvis förutsebarhet och likformighet blir tillgodosedda.
En väsentlig utgångspunkt vid personregistrering inom forsknings- och statistikområdet är att integritetsskyddet utformas med beaktande av de behov som forskningen och statistikframställningen kan ha. En sådan avvägning avspeglas i den rekommendation som på området antagits av Europarådet, där den enskilde enligt huvudregeln själv avgör i vilken utsträckning uppgifter om honom eller henne skall lämnas. Endast i fråga om fall där uppgifterna skall användas för ett annat forskningssyfte än det ursprungliga bör avkall på kravet på
182 SOU l993:10
informerat samtycke kunna göras. Enligt rekommendationen bör dessa undantagssituationer, som framgått, kunna prövas av en tillstånds- givande myndighet eller ett särskilt forskningsorgan efter riktlinjer som närmare anges i lag.
Enligt utredningens mening bör kravet på informerat samtycke även framdeles utgöra utgångspunkten för omfattningen av personregistre- ring på forsknings- och statistikområdet. Den närmare regleringen av de villkor som bör uppställas för att informerat samtycke skall anses föreligga bör kunna utformas med utgångspunkt i Europarådets rekommendation och i huvudsak i enlighet med de verkställighetsföre— skrifter som Datainspektionen har antagit på området inom ramen för det nuvarande förenklade ansökningsförfarandet.
De överväganden som datalagsutredningen redovisar för forsknings- register i allmänhet har, som framgått, relevans också för person- register som enbart syftar till framställning av statistik.
Bestämningen av begreppet forskningsregister
Med forskningsregister bör i förevarande sammanhang förstås person- register som innehåller personuppgifter vilka används för vetenskapligt ändamål.
Utanför begreppet forskningsregister faller därför den person- registrering som kan förekomma på forskningsinstitutioner eller i andra forskningssammanhang, men där syftet med registreringen primärt är ett annat än att uppgifterna skall användas för ett vetenskapligt arbete. Hit hör exempelvis de administrativa register som används i arbetet för att handlägga löne- och personalfrågor. De administrativa register som finns hos myndigheter eller institutioner inom social-, hälso- eller sjukvården och som utgör underlag för beslut eller åtgärder som rör enskilda individer faller också utanför bestämningen forskningsregister, eftersom ändamålet också här är ett annat än forskning.
Skulle emellertid i ett vetenskapligt syfte uppgifter hämtas ur sådana administrativa register för vidare elektronisk eller annars automatisk bearbetning, uppstår naturligtvis ett forskningsregister.
Den övergripande frågan huruvida ett register överhuvudtaget har en vetenskaplig koppling får avgöras främst med hänsyn till vem som är registeransvarig, men även andra kriterier kan komma i fråga.
Den verksamhet som bedrivs vid etablerade institutioner såsom de statliga högskoleenhetema och statliga forskningsinstituten hör självfallet hit, liksom den forskning som kan bedrivas inom hälso- och sjukvården i den kommunala sektorn. Å andra sidan bör såsom "forskning" inte anses varje verksamhet som betecknas som sådan av exempelvis samhällsplanerande allmänna organ.
Även privata forskningsinstitutioner bör räknas till dem som anses kvalificerade som forskningsorgan, om det saknas anledning att betvivla den vetenskapliga inriktningen av verksamheten. I tveksamma
SOU l993:10 183
fall kan frågor om finansiering och den vetenskapliga bakgrunden hos den projektansvarige eller annars uppgivne forskaren ha betydelse för en bedömning härvidlag.
Det bör dock understrykas att det inte i första hand är en fråga för Datainspektionen att göra bedömningar av vad som kan räknas till forskning. I ett framtida tillsynssystem är det dock ofrånkomligt att i samband med en granskning av en anmälan eller vid exempelvis en institutions- eller företagskontroll frågan kan komma upp huruvida ett visst register skall anses vara forskningsregister eller inte. Detta får då bedömas med ledning av bl.a. de anknytningsfaktorer som nyss nämnts, dvs. främst institutionstillhörighet, finansiering och den pro- jektansvariges eller enskilde angivne forskarens vetenskapliga meriter.
Datainspektionen bör i tveksamma fall samråda med de etablerade forskningsorgan som finns på området. Förutom fakultets- eller in— stitutitionsstyrelser kan härvid de statliga forskningsråden komma i fråga, dvs. medicinska forskningsrådet, humanistisk-samhällsve- tenskapliga forskningsrådet, naturvetenskapliga forskningsrådet, skogs- och jordbrukets forskningsråd samt det nyligen inrättade socialveten- skapliga forskningsrådet.
Lika lite som f.n. bör det i princip ankomma på Datainspektionen att granska den vetenskapliga inriktningen.
Undantag från kravet på informerat samtycke
Som nämnts bör en utgångspunkt vara att forskningsregister inte får inrättas utan att den registrerades samtycke först har inhämtats. Reglerna för hur information bör ges bör kunna utformas i över- ensstämmelse med vad som nu finns intaget i inspektionens före— skrifter.
Möjligheten att helt ge avkall på informerat samtycke bör enligt Europarådsrekommendationen, som nämnts, finnas i de fall uppgifter som inhämtas för ett forskningsändamål avses användas för ett annat vetenskapligt syfte än det ursprungliga under närmare angivna förhållanden.
Dessa förhållanden bör enligt utredningen preciseras närmare. Datainspektionen upprätthåller i sin nuvarande praxis i tillstånds- ärenden så gott som undantagslöst kravet på att informerat samtycke skall föreligga när det inte gäller registerforskning. Även i de fall den enskilde själv lämnar uppgifterna bör - vid användning av personupp- gifterna för ett nytt forskningsändamål - samtycke enligt utredningens mening kunna avvaras i viss, mycket begränsad omfattning. Ut- redningen avser följande två fall och under villkor som i viss mån knyter an till inspektionens praxis, när undantag har gjorts från huvudregeln om informerat samtycke.
Om det skulle vara kostsamt eller tidsödande att inhämta förnyat samtycke för ett nytt forskningsändamål från dem som lämnat
184 SOU 1993:10
samtycke för en viss registrering, bör samtycke kunna undvaras, under förutsättning att det nya syftet är sådant att man kan anta att de registrerade, om de tillfrågades, inte hade någon invändning mot inrättandet av det nya forskningsregistret.
Det andra fallet där informerat samtycke kan undvaras bör vara, där den registrerades hälsotillstånd eller forskningssyftet är sådant att förnyad information skulle kunna riskera att skada den som inforrnera- des. Ett undantag i detta hänseende bör dock gälla endast, om inte samtycke kan inhämtas från någon som kan anses företräda denne i saken, exempelvis en förvaltare eller god man.
Det åligger den som önskar utnyttja uppgifterna för ett nytt forskningsändamål att se till att villkoren för samtycke är uppfyllda, om denne varit ansvarig för inhämtandet av de ursprungliga upp— gifterna. Genom den anmälningsskyldighet som utredningen har föreslagit skall finnas för uppgifter av mera känsligt slag kommer Datainspektionen att kunna uppmärksammas på förhållandena och ges tillfälle att ingripa.
För att undvika att undantagsfallen aktualiseras bör givetvis de som avses bli registrerade redan vid första tillfället tillfrågas om sin inställning till de forskningssyften som kan förutses komma i fråga.
Registerforskning
Vid såväl forskning som insamling av uppgifter för enbart statistiska ändamål förekommer det att information om den enskilde hämtas ur redan befintliga register eller uppgiftssammanställningar. I vårt land och i de övriga nordiska länderna är sådan s.k. registerforskning vanlig. En förklaring till detta är den jämförelsevis goda tillgången på sådan information hos myndigheter och andra i dessa länder. I Sverige underlättas forskningen också av bestämmelserna om handlingsoffent- lighet för uppgifter hos myndigheter. Vidare bidrar den utbredda an- vändningen av personnummer till att göra personuppgifter mera lätt tillgängliga här. Registerforskningen som metod har lett till goda resultat, bl.a. inom cancerforskningen, och har även rönt internationell uppmärksamhet.
Som redan har nämnts bör utgångspunkten vid en reglering av personregistrering på forsknings- och statistikområdet vara att forskningens och statistikframställningens behov tillgodoses, men att detta bör ske inom ramen för den rekommendation på området som Europarådet antagit och Sverige ställt sig bakom.
Bestämmelserna bör dock inte utformas så, att registerforskningen onödigtvis försvåras. Skulle kravet på informerat samtycke, som diskuterats i föregående avsnitt, undantagslöst upprätthållas, fick de nuvarande rutinerna i stor utsträckning ändras, eftersom det mera sällan förekommer att den som lämnat uppgifter till någon myndighet, ur vars register information för forsknings— eller statistikändamål
SOU 1993:10 185
sedermera hämtas, har lämnat sitt samtycke till uppgiftens vidare an- vändning för angivet ändamål.
I Datainspektionens praxis finns vissa normer utvecklade som kan sägas särskilt ta sikte på registerforskningl den information, som enligt datainspektionens nuvarande föreskrifter på området skall föregå ett beslut av den enskilde att lämna personuppgifter för forsknings- och statistikregistrering, skall regelmässigt lämnas upplysning om vilka uppgifter som skall inhämtas från andra källor än den registrerade och vilka dessa källor år. Även om inspektionen intar den principiella ståndpunkten att information alltid skall ges till dem som registreras och att praktiska olägenheter och kostnader normalt inte bör föranleda att informationskravet efterges ens när uppgifter inhämtas på annat sätt än genom enkät eller intervjuer, anser inspektionen dock att vissa avsteg härifrån i just de fallen kan behöva göras.
Inspektionen medger mot denna bakgrund att samtycke kan undvaras vid registerforskning i följande fall, nämligen när
! hälsotillståndet hos den som skall registreras gör det svårt att informera på vanligt sätt,
I det kan anses oetiskt att ta kontakt med den som skall registreras eller
' när informationen skulle förrycka undersökningens resultat.
I fråga om stora populationer och om det är klart att de som avses bli registrerade kan förväntas vara positiva, anser inspektionen vidare att individuellt samtycke kan ersättas med anslag eller annonser.
I de fall informationskravet har eftergetts beslutar inspektionen, som nämnts, dock regelmässigt om en begränsning i tiden för registrets förande och att avidentifiering eller förstörelse därefter skall ske.
Europarådsrekommendationen innehåller en del bestämmelser som har viss anknytning till de särskilda frågor som registerforskningen ger upphov till, utöver de allmänna villkor i rekommendationen som tidigare har redovisats.
För det första föreskrivs till förmån för forskning ett undantag från den grundläggande principen om förbud mot utlämnande till tredje man av personuppgifter. Personuppgifter får lämnas ut av allmänna eller privata organ för forskningsändamål antingen med den enskildes samtycke eller i enlighet med skyddsbestämmelser som närmare har bestämts i inhemsk lag. Om utlämnade sker, gäller dock det allmänna kravet att personuppgifterna inte får publiceras i identifierbar form, såvida inte de berörda har lämnat sitt samtycke härtill och det skett i enlighet med andra i lag angivna skyddsbestämmelser. Som an- visningar till när utlämnande kan ske utan samtycke av personliga uppgifter nämns i förarbetena till rekommendationen graden av
186 SOU 1993:10
säkerhet i handläggningen, forskningsprojektets betydelse, behovet av identifierbara uppgifter och risken för den berörde, om uppgifterna används för forskningsändamål.
För det andra finns i rekommendationen en föreskrift om att forskares tillgång till allmänna befolkningsregister skall underlättas, så att de kan få underlag för urvalsundersökningar. Om annat inte beslutas av inhemska myndigheter i enskilda fall, bör enligt före- skriften sådana uppgifter få innehålla uppgift om namn, adress, födelsedag, kön och yrke. I förarbetena till denna föreskrift anförs bl.a., att forskningen i ökad utsträckning är beroende av uppgifter som redan finns hos olika statliga institutioner och att föreskriften till— kommit för att inte forskningen ensidigt skall vara beroende av dessa institutioners skönsmässiga bedömning i fråga om utlämnande av uppgifter. I anslutning härtill görs också hänvisning till den lagstiftning om tillgång till allmänna handlingar ("laws on freedom of informa- tion") som finns i många länder. Det understryks att de personuppgif- ter som nämns i föreskriften är den minimi-information som under alla förhållanden måste göras tillgänglig och att det undantag som kan vara föreskrivet i inhemsk lag kan ta sikte på sådana grupper av uppgifter som t.ex. adress- och yrkesuppgifter, om det är av särskild vikt för den enskilde att dessa uppgifter inte lämnas ut.
I det föregående har utredningen ansett att kravet på informerat samtycke bör upprätthållas när det gäller inrättande av personregister för forsknings- eller statistikändamål och att undantag från detta krav bör förekomma endast i de fall det gäller byte av ändamål, dvs. när forskningssyftet är ett annat än det ursprungligen angivna och till vilket samtycket har lämnats. Undantagsfallen bör preciseras i enlighet med Europarådsrekommendationens anvisningar och tas in i föreskrifter.
De uppgifter som hämtas från myndigheter och andra inom ramen för en registerforskning skulle således i de allra flesta fall inte komma att omfattas av denna reglering, eftersom samtycke torde saknas. Endast möjligheten att inrätta registret genom beslut av regeringen eller riksdagen, dvs. som ett statsmaktsregister, skulle då stå till buds. En sådan ordning skulle, å andra sidan, mot bakgrund av vad som redan anförts om registerforskningens betydelse innebära en klart otillfredsställande förändring i förhållande till nuläget.
Frågan är då för registerforskningens del om och i så fall i vilken omfattning rekommendationens bestämmelser medger undantag från kravet på informerat samtycke och därigenom en lösning inom ramen för en allmän reglering av forskningsregister i ett framtida tillsynssys- tem.
Även om en av rekommendationens utgångspunkter, vid sidan av att betona värdet av forskning, är att personregistrering för forsknings- och statistikändamål enligt huvudregeln förutsätter informerat samtycke, framgår det att kravet på sådant samtycke är avsett endast för de fall då den enskilde själv lämnar informationen. De situationer
SOU l993:10 187
då uppgifterna såsom vid registerforskning hämtas från annat håll är inte direkt reglerade i rekommendationens bestämmelser. Den möjlighet till undantag som rekommendationen uttryckligen medger vid utläm- nande av personuppgifter för forskningssyfte utsäger i och för sig ingenting om inrättande av personregister för samma ändamål. En rimlig tolkning av rekommendationens bestämmelser i denna del synes dock vara att även den efterföljande användningen i form av ex- empelvis ett inrättande av personregister omfattas. En sådan tolkning förefaller ha stöd i förarbetena till den aktuella bestämmelsen men även i den ovan nämnda föreskriften i rekommendationen om en tillåten an- vändning utan föregående samtycke av personuppgifter ur befolknings- register för urvalsundersökningar.
Tolkningen ligger också väl i linje med rekommendationens syfte att också beakta forskningens behov.
I den mån samtycke inte föreligger till utlämnande av person- uppgifter för forskningssyfte krävs, som nämnts, enligt uttalanden i förarbetena till rekommendationen i denna del dock att det i inhemsk lag finns intagna bestämmelser, där hänsyn till datasäkerhet och risken för integritetsintrång finns beaktade jämte hänsyn till vikten av forskningsprojektet och behovet av identifierbara data. Den praxis som inspektionen för närvarande tillämpar vid registerforskning, där information inte lämnas i förväg och samtycke således saknas, bör — bl.a. med hänsyn till de strängare kraven på tidsbegränsning och förstörelse som i de fallen föreskrivs - kunna tjäna som underlag för utarbetande av sådana bestämmelser. Det innebär att samtycke kan undvaras där hälsotillståndet hos dem som skall registreras gör det svårt att informera på vanligt sätt eller det kan anses oetiskt att ta kontakt med dessa. Vidare bör information kunna underlåtas om det skulle förrycka undersökningens resultat, i samband med att den enskilde utnyttjade sin strykningsrätt. Slutligen bör man kunna avvara samtycke, om samtycke redan har lämnats och registreringen gäller ett nytt forskningsändamål, allt under förutsättning att det skulle vara kostsamt eller tidsödande att inhämta ett nytt samtycke och man kan anta att de registrerade, om de tillfrågades, inte skulle ha någon invändning mot det nya forskningsregistret.
Med "lag" torde, som redan framgått, också förstås av regeringen meddelade förordningar och de föreskrifter som Datainspektionen efter delegation har rätt att meddela. Rekommendationens krav på lagforrn torde nämligen vara uppfyllt, om det är fråga om i förväg meddelade normer av generell karaktär, till skillnad från myndighetsbeslut i enskilda fall. Den inhemska rättsordningens val av normnivå torde således inte vara avgörande.
Det avsteg från kravet på informerat samtycke som ett bibehållande av registerforskningen i huvudsak i nuvarande omfattning innebär bör därför kunna rymmas inom ramen för en allmän reglering genom förskrifter av forskningsfrågoma i ett framtida tillsynssystem utan att
188 SOU 1993:10
komma i konflikt med Europarådsrekommendationen på Området. Föreskrifterna bör dock innehålla de konkreta materiella skyddsbestäm- melser som är nödvändiga. Frågan om ett forskningsprojekts vikt - vilket vid en registerforskning som görs utan samtycke bör tillmätas särskild betydelse enligt rekommendationens förarbeten - får bedömas mot bakgrund av det allmänna kravet på att syftet med registreringen skall vara personregistrering för forskningsändamål (dvs. att registret är ett forskningsregister), oavsett om det gäller registerforskning eller en verksamhet där uppgifterna inhämtas direkt från den som skall registreras. Vilka krav som bör uppställas i det sammanhanget har ut- redningen diskuterat ovan.
10.5 Remissutfallet
Det stora flertalet remissinstanser ställer sig i huvudsak bakom utredningens överväganden om avvägningen mellan integritets- och forskningsintressena (här och i fortsättningen inbegrips i forskning även statistikframställning). Stor samstämmighet råder om att forsk- ningsverksamhet har stor samhällelig betydelse och att det bör ligga i enskildas intresse att förutsättningar finns för en framgångsrik forskning. Liksom utredningen pekar därför många remissinstanser på att integritetsskyddet på forskningsområdet bör utformas med be— aktande av de behov som forskningen har och att Europarådsrekom- mendationen på området bör utgöra en utgångspunkt för regleringen i en ny datalag. Ingen remissinstans ifrågasätter behovet av att i en ny datalag ta in särskilda bestämmelser om behandlingen av personuppgif- ter för forsknings- eller statistikändamål. Några remissinstanser påpekar dock särskilt att de, även om särskilda bestämmelser förs in i den nya datalagen, förutsätter att vissa forskningsregister blir föremål för särskild lagstiftning genom separata detaljerade registerlagar.
De remissinstanser som uttryckligen delar utredningens uppfattning att s.k. informerat samtycke skall utgöra huvudregel för att få behandla personuppgifter för forsknings— eller statistikändamål är bl.a. Justitie- kanslern, Kammarrätten i Göteborg, Datainspektionen, Socialstyrelsen, Lunds universitets juridiska fakultetsstyrelses forskningsnämnd, Juridiska fakultetsstyrelsen vid Uppsala universitet, Samhällsveten— skapliga fakultetsnämnden vid Umeå universitet, Högskolan i Karlstad, Svenska kommunförbundet, Landstingsförbundet, Socialvetenskapliga forskningsrådet, Universitets- och högskoleämbetet, Humanistisk — samhällsvetenskapliga forskningsrådet, Arbetsmiljöinstitutet, Sveriges Industriförbund, Svenska Arbetsgivareföreningen, Företagarnas Riksorganisation, Sveriges Psykologförbund, Sveriges Universitetslä- rarförbund, Landsorganisationen i Sverige och Sveriges Akademikers Centralorganisation.
SOU 1993:10 189
Datainspektionen påpekar särskilt att i principen om informerat samtycke inbegrips krav på både information och samtycke. Det är därför enligt Datainspektionens mening viktigt att vid utformningen av föreskrifter i en ny datalag hålla i sär dessa begrepp. Information kan, uttalar Datainspektionen, lämnas på olika sätt. Bland annat kan dess utformning enligt Datainspektionen påverkas av i vad mån en viss registrering skall förutsätta de enskildas samtycke.
Flertalet remissinstanser ställer sig i huvudsak bakom utredningens förslag till undantag från kravet på samtycke och många remissinstan- ser pekar på att undantagen ligger i linje med Europarådets rekommen- dation inom området och Datainspektionens hittillsvarande praxis. Datainspektionen framhåller särskilt att inspektionen inte har några invändningar emot de överväganden som utredningen gjort i fråga om tolkningen av rekommendationen eller emot innehållet i redogörelsen för inspektionens nuvarande praxis på området. Datainspektionen har dock påpekat att praxis f.n. inte är entydig.
Vissa remissinstanser såsom Riksdagens ombudsmän (JO Hans Ragnemalm), Sveriges Psykologförbund och Sveriges Universitetslärar- förbund ifrågasätter dock om inte undantagen är för långtgående. Psykologförbundet anser att man bör bortse från kostnads- eller tidsaspekter och att ett nytt samtycke bör inhämtas från den registrera- de om tidigare registrerade uppgifter skall användas i ett nytt forsk— ningsprojekt. Enligt Sveriges Psykologförbunds och Sveriges Universi- tetslärarförbunds mening bör vidare synnerliga skäl föreligga om informerat samtycke skall kunna undvaras.
Andra remissinstanser anser att utredningens förslag till undantag är för snäva. Kungliga Vetenskapsakademien och Medicinska forsknings— rådet hävdar att de motiv som utredningen redovisat för att göra undantag för pressens källregister i allt väsentligt också bör gälla för forskningen. Medicinska forskningsrådet pekar på den framgångsrika medicinska behandling som står till buds i Sverige och att människor som utnyttjar dessa resurser måste förväntas vara positiva till att uppgifter om deras egen sjukvård används. Socialvetenskapliga forskningsrådet hävdar att man i de allra flesta fall har anledning tro att den som en gång samtyckt till att lämna uppgifter för ett visst forskningsändamål inte skulle ha någon erinran mot användning av uppgifterna för ett nytt forskningssyfte. Rådet anser därför att det är onödigt snävt att kombinera kravet på att underlåta ett nytt samtycke med dels att det skulle vara kostsamt eller tidsödande att inhämta förnyat samtycke, dels att man kan anta att de registrerade, om de tillfrågades, inte skulle ha någon invändning mot registrets användning för det nya vetenskapliga syftet.
När det gäller registerforskning anser Medicinska forskningsrådet, Humanistisk - samhällsvetenskapliga forskningsrådet och Arbetar— skyddsverket i princip att individuellt informerat samtycke inte bör krävas vid utnyttjandet av uppgifter från befintliga register. Socialsty-
190 SOU 1993:10
relsen intar en liknande ståndpunkt när det gäller stora forsknings— databaser. Statistiska centralbyrån och Samhällsvetenskapligafakultets- nämnden vid Stockholms universitet ger uttryck för samma inställning när det gäller statistikframställning. Datainspektionen framhåller emellertid att inspektionen för sin del inte kan se någon principiell skillnad mellan det fall att uppgifter samlas in från enskilda och det fall uppgifter hämtas från befintliga register när det gäller att från integritetsskyddssynpunkt bestämma i vad mån samtycke skall få undvaras. Skillnaden ligger snarare enligt Datainspektionen i de olika möjligheterna att inhämta samtycke. Det är ju, uttalar Datainspektio- nen, enklare att begära samtycke om ändå uppgifter måste inhämtas från de enskilda medan begäran om samtycke för registerforskning medför en särskild omgång.
Några remissinstanser framhåller vikten av att precisera begreppet forskningsregister. Justitiekanslern pekar härvid på möjligheten att i författningstext göra den avgränsning av begreppet som följer av ut- redningens överväganden. Enligt Datainspektionens mening bör det klaras ut om de särskilda reglerna i en ny datalag bör omfatta all slags forskning eller endast sådan som bedrivs av vissa offentliga eller privata institutioner. En annan fråga som enligt Datainspektionen bör klaras ut är huruvida samhällsplanerade verksamheter som liknar forskningsverksamhet i någon mån bör omfattas av reglerna. Sam- hällsvetenskapliga fakultetsnämnden vid Stockholms universitet anser att begreppet forskningsregister i enlighet med den forskningsetiska utredningens förslag bör definieras som personrelaterade register och databaser för sådan forskning där resultaten redovisas utan att enskilda individers identitet röjs.
Några remissinstanser framhåller vikten av att så långt möjligt införa preciserade bestämmelser i den nya datalagen om principerna för forskningsregisters inrättande, inklusive regler om informerat samtycke och de undantagsfall när samtycke eller information får undvaras. Universitets- och högskoleämbetet påpekar särskilt att grundregleringen i datalagen först måste få tillräcklig precision innan en delegation av föreskriftsmakten till Datainspektionen kan godtas.
10.6 Överväganden
Inledning
Utredningen vill till en början något beröra vissa skillnader som finns mellan Europarådsrekommendationen och förslaget till EG-direktiv när det gäller behandling av personuppgifter för forsknings- eller statistik- ändamål.
SOU l993:10 191
Europarådsrekommendationen tar sikte på alla personuppgifter som används för forskning eller statistik utan att någon skillnad görs mellan känsliga och mera harmlösa uppgifter. En sådan skillnad görs däremot i direktivförslaget. Enligt artikel 8.3 är behandling av känsliga uppgifter tillåten, förutom vid samtycke, om viktiga allmänna intressen talar härför genom en reglering i lag eller annan författning. För icke känsliga uppgifter som används för forskning eller statistik gäller de allmänna reglerna i direktivförslaget. De innebär bl.a. att behandling av personuppgifter är tillåten, förutom om den enskilde har gett sitt samtycke, om behandlingen är nödvändig för att utföra en uppgift i det allmännas intresse eller i myndighetsutövning av den persondataansva- rige eller någon till vilken uppgifterna lämnas ut (art. 7.e). Vidare är behandling tillåten om behandlingen är nödvändig för att tillgodose ett allmänintresse eller ett intresse hos den persondataansvarige eller någon till vilken uppgifterna lämnas ut, utom då den enskildes intresse tar över (art. 7.f).
Utredningen har valt att följa regleringen i direktivförslaget. Dis— kussionen i det följande gäller alltså bara möjligheterna att för forskning eller statistik behandla känsliga personuppgifter. Behand- lingen av icke känsliga uppgifter följer de allmänna reglerna för personuppgiftsbehandling i 11 å förslaget till datalag, som bygger på artikel 7 i direktivförslaget.
Skillnaderna blir emellertid inte så stora. I allmänhet torde väl någon eller några typer av känsliga uppgifter ingå i underlaget för ett forskningsprojekt och då blir de särskilda bestämmelserna i lag- förslaget tillämpliga, vilka bestämmelser ligger inom ramen för Europarådsrekommendationen. Skulle forskningen endast avse harmlösa uppgifter torde de allmänna reglerna om personuppgiftshante- ring i lagförslaget ge ett fullt tillräckligt skydd.
Informerat samtycke
Värdet av att det här i landet kan bedrivas forskning av hög kvalitet kan inte nog understrykas. Verksamheten utgör ett väsentligt bidrag till kunskapsutvecklingen inom olika områden i samhället. Det är därför ett viktigt samhällsintresse att forskning stimuleras på olika sätt och att inte onödiga regler hindrar eller försvårar en fri forskning.
Men samtidigt står det klart att man i fråga om forskningen måste beakta även andra etiska värderingar som ligger till grund för lagstift- ningen på olika områden i samhället. Detta innebär en begränsning av den fria forskningen. Men enligt utredningens mening är denna begränsning både nödvändig och önskvärd i ett demokratiskt samhälle.
När det gäller forskning som berör människor innebär detta att det måste finnas regler som är till för att värna om rättssäkerheten och skydda privatlivets helgd, som t.ex. reglerna i 2 kap. tryckfrihetsför- ordningen om allmänna handlingars offentlighet, sekretesslagen,
192 SOU l993:10
datalagen och olika internationella konventioner och rekommendatio- ner.
På forskning som berör människor måste ställas kravet att den i största möjliga utsträckning baserar sig på frivilligt deltagande samt att den bedrivs öppet och under former som medger insyn för både deltagare och andra. Härigenom skapar man förtroende för forskarnas verksamhet. När forskning inte kan grunda sig på frivillighet är det enligt utredningens mening nödvändigt att riksdagen i lag tagit ställning till frågan i vilken utsträckning människors integritet måste stå tillbaka för angelägen forskning och under vilka villkor sådan forskning skall få bedrivas. Ingen remissinstans har heller ifrågasatt behovet av att i en ny datalag ta in särskilda bestämmelser om behandlingen av personuppgifter för forsknings- eller statistikändamål, innefattande bestämmelser om informerat samtycke och undantag från kravet på ett sådant samtycke.
Utredningen har i sina tidigare ställningstaganden slagit fast att utgångspunkten för att få behandla personuppgifter för forsknings- eller statistikändamål skall vara att de enskilda som är berörda har lämnat ett informerat samtycke till behandlingen. Utgångspunkten är densam- ma i Europarådets rekommendation inom samma område. Med informerat samtycke förstås som framgått ovan att den enskilde i förväg fått del av tillgänglig information om bl.a. behandlingens ändamål och vilka personuppgifter eller slag av personuppgifter det gäller och därefter frivilligt lämnar begärda uppgifter eller medger att de inhämtas från någon annan källa. Nästan alla remissinstanser delar utredningens uppfattning att informerat samtycke skall utgöra huvud- regel för att få behandla personuppgifter inom forsknings- och statistikområdena.
Datainspektionen har i sitt remissyttrande särskilt påpekat att i principen om informerat samtycke inbegrips krav på både information och samtycke och att det därför är viktigt vid utformningen av föreskrifter i en ny datalag att hålla i sär dessa begrepp. Utredningen delar Datainspektionens uppfattning som också ligger i linje med vad som gäller enligt förslaget till EG-direktiv. Enligt artikel 11 skall medlemsstaterna nämligen föreskriva att en persondataansvarig skall informera en enskild från vilken uppgifter samlas in om åtminstone behandlingens ändamål, om uppgiftslämnandet är obligatoriskt eller frivilligt, konsekvenserna om den enskilde vägrar att lämna uppgifter, mottagare eller kategorier av mottagare av uppgifter, rätten till tillgång till och rättelse av personuppgifter samt den persondataansvariges namn och adress. Utredningen föreslår att en motsvarande särskild bestämmelse förs in i den nya datalagen (16 å förslaget till datalag).
En av regeringen tillsatt utredning, Forskningsetiska utredningen, har diskuterat om samtycke skall kunna lämnas genom en företrädare för en organisation som den berörda personen är ansluten till, dvs. närmast en facklig organisation. Denna form av samtycke är svår att
SOU 1993:10 193
förena med kraven i Europarådets rekommendation och förslaget till EG-direktiv, för såvitt inte ombudets behörighet framgår av lag eller avtal. Några sådana lagbestämmelser finns för närvarande inte förutom de allmänna familjerättsliga bestämmelserna om ställföreträdare (förmyndare, god man och förvaltare). Enligt utredningens mening är det däremot inte lämpligt att generellt lagfästa en rätt för en organisa- tion att i fråga om personligt integritetsskydd företräda den enskilde. Det är dock denne obetaget att genom avtal, exempelvis i en särskild klausul i ett annat anställningsavtal än kollektivavtal, överlåta rätten till samtycke till annan.
När det gäller inhämtande av samtycke från underåriga bör Datain- spektionens praxis kunna vara vägledande. Denna praxis innebär att vårdnadshavaren skall lämna samtycke om barn under tolv år ingår i en undersökning. Om en behandling av personuppgifterna fortfarande äger rum när barnet har fyllt tolv är, bör barnet informeras om be- handlingen. För barn mellan tolv och sexton år skall samtycket enligt Datainspektionens praxis inhämtas från både barnet och vårdnadshava- ren. Barn som fyllt sexton år får själv lämna sitt samtycke. Enligt utredningens mening bör det ankomma på Datainspektionen att genom särskilda föreskrifter närmare utforma de regler som bör gälla när underåriga skall delta i forskningsprojekt.
Undantag från kravet på informerat samtycke
Det stora flertalet remissinstanser ställer sig i huvudsak bakom utredningens tidigare ställningstaganden om undantag från kravet på samtycke. Vissa remissinstanser ifrågasätter dock om inte undantagen är för långtgående medan andra anser att utredningens förslag till undantag är för snäva.
Enligt Europarådets rekommendationen ges endast ett undantag från kravet på informerat samtycke. Det gäller i det fall samtycke har lämnats för inhämtande av uppgifter för ett visst forskningsändamål och uppgifterna därefter önskas användas för ett forskningsändamål som påtagligt skiljer sig från det ursprungliga projektets syfte eller natur. Enligt rekommendationen får den ursprungligen gjorda registreringen användas också i det senare fallet utan att nytt samtycke inhämtas, om det skulle te sig opraktiskt med hänsyn till tidsåtgång eller det stora antalet personer som berörs att informerat samtycke inhämtas och om skyddsbestämmelser för dessa fall anges i lag. Användningen av uttrycket lag ("law") innebär att föreskrifter som meddelas av regeringen i en förordning eller av exempelvis Datain- spektionen efter bemyndigande i lag också uppfyller rekommen- dationens krav på att vara meddelade i lag. I den kommentar som gjorts i anslutning till rekommendationen från Europarådets sida anges, att de villkor eller föreskrifter som bör ställas upp för de fall som nu
194 SOU 1993:10
nämnts bör säkerställa en likvärdig grad av skydd för den enskildes integritet.
I likhet med vad utredningen har kommit fram till i sina tidigare ställningstaganden borde samtycke kunna undvaras inom den ram Europarådsrekommendationen anger vid användning av personupp- gifter för ett nytt forskningsändamål. Förslaget till EG-direktiv innehåller emellertid också en föreskrift som begränsar möjligheten att byta ändamål. Av artikel 6.1.b följer att ett ändamål skall anges innan uppgifter samlas in och att ett byte av ändamål är lagligt endast i den utsträckning det är förenligt med det ursprungligen bestämda ända— målet. Vilka användningsområden som faller inom ramen för ett visst ändamål är en tolkningsfråga. Artikel 6.1.b motsvaras av 9 å i förslaget till datalag. I specialmotiveringen till bestämmelsen i 9å anges exempel på fall då ett nytt ändamål får anses vara förenligt med det ursprungliga.
De förutsättningar som ställs upp i Europarådsrekommendationen för byte av ändamål gäller den situationen att personuppgifterna skall användas för ett nytt forskningsändamål som påtagligt skiljer sig från det ursprungliga projektets syfte eller natur (substantially different in its nature or objects). De begränsningar som rekommendationen vill åstadkomma kan man lika väl uppnå genom en reglering som motsva- rar artikel 6.1.b i direktivförslaget. Byte av ändamål är ju enligt den artikeln tillåtet bara om det nya ändamålet är förenligt med det ursprunliga. Enligt utredningens mening bör därför de allmänna bestämmelserna i förslaget till datalag om byte av ändamål (9 å) gälla även på forskningsområdet.
Det åligger den som önskar utnyttja uppgifterna för ett nytt forskningsändamål att se till att villkoren för samtycke är uppfyllda, om denne varit ansvarig för inhämtandet av de ursprungliga upp- gifterna. För att undvika att undantagsfallet aktualiseras bör givetvis de enskilda som berörs redan vid första tillfället tillfrågas om sin inställning till de forskningssyften som kan förutses komma i fråga.
Vid såväl forskning som insamling av uppgifter för enbart statistiska ändamål förekommer det att information om den enskilde hämtas ur redan befintliga datasamlingar (s.k. registerforskning). Som många remissinstanser påpekat har de framsteg som skett inte minst inom sjukvård och förebyggande folkhälsoarbete till inte oväsentlig del baserats på uppgifter från olika typer av datasamlingar och arkiv. Behovet av sådana uppgifter ökar också kraftigt, beroende både på nya frågeställningar (t.ex. gällande hälso- och sjukvårdens effektivitet) och allt bättre vetenskapliga instrument (t.ex. beträffande epidemiologisk metodik). Kunskapsuppbyggnaden har ägt rum under lång tid i många länder. Den nordiska och kanske särskilt den svenska forskningen har haft en internationellt framträdande position, baserad på en lång tradition av befolkningsregister och åtföljande kompetensuppbyggnad. I Sverige underlättas forskningen också av bestämmelserna om hand-
SOU l993:10 195
lingsoffentlighet för uppgifter hos myndigheter. Vidare bidrar den utbredda användningen av personnummer till att göra personuppgifter mera lätt tillgängliga här.
Några remissinstanser har ansett att individuellt informerat samtycke i princip inte bör krävas vid utnyttjandet av uppgifter från befintliga datasamlingar. Utredningen delar inte denna uppfattning utan anser att informerat samtycke bör gälla som huvudregel också vid registerforsk- ning. I likhet med Datainspektionen kan utredningen inte se någon principiell skillnad mellan det fall att uppgifter samlas in från enskilda och det fall uppgifter hämtas från befintliga datasamlingar när det gäller att från integritetsskyddssynpunkt bestämma' 1 vad mån samtycke skall få undvaras. Även om informerat samtycke således bör gälla som huvudregel bör vissa undantag kunna göras.
Även om en av rekommendationens utgångspunkter, vid sidan av att betona värdet av forskning, är att behandling av personuppgifter för forsknings- och statistikändamål enligt huvudregeln förutsätter informerat samtycke, framgår det att kravet på sådant samtycke är avsett endast för de fall då den enskilde själv lämnar informationen. De situationer då uppgifterna såsom vid registerforskning hämtas från annat håll är inte direkt reglerade i rekommendationens bestämmelser. Den möjlighet till undantag som rekommendationen uttryckligen medger vid utlämnande av personuppgifter för forskningssyfte utsäger i och för sig ingenting om en efterföljande behandling för samma ändamål. I enlighet med sina tidigare ställningstaganden anser dock utredningen att en rimlig tolkning av rekommendationens bestämmelser i denna del synes vara att även den efterföljande användningen i form av en ny behandling av personuppgifterna för forsknings- eller statistikändamål omfattas. En sådan tolkning förfaller ha stöd i förarbetena till den aktuella bestämmelsen men även i en föreskrift i rekommendationen om en tillåten användning utan föregående samtycke av personuppgifter ur befolkningsregister för urvalsundersök- ningar. Ingen remissinstans har heller ifrågasatt denna tolkning, som också ligger väl i linje med rekommendationens syfte att också beakta forskningens behov. Datainspektionen har uttryckligen anfört att inspektionen inte har någon invändning emot de överväganden som utredningen gjort i fråga om tolkningen av rekommendationen.
I den mån samtycke inte föreligger till utlämnande av personuppgif- ter för forskningssyfte krävs enligt uttalanden i förarbetena till rekommendationen i denna del dock att det i inhemsk lag finns intagna bestämmelser, där hänsyn till datasäkerhet och risken för integritetsin- trång finns beaktade jämte hänsyn till vikten av forskningsprojektet och behovet av identifierbara data.
Med lag torde, som redan framgått, också förstås av regeringen meddelade förordningar och de föreskrifter som Datainspektionen efter delegation har rätt att meddela. Rekommendationens krav på lagform torde nämligen vara uppfyllt, om det är fråga om i förväg meddelade
196 SOU 1993:10
normer av generell karaktär, till skillnad från myndighetsbeslut i enskilda fall.
Det avsteg från kravet på informerat samtycke som ett bibehållande av registerforskningen i nuvarande omfattning innebär bör således kunna rymmas inom ramen för en allmän reglering genom föreskrifter av forskningsfrågoma i ett framtida tillsynssystem, utan att komma i konflikt med Europarådsrekommendationen på området. Den be- stämmelse som bör tas in i förslaget till datalag bör knyta an direkt till Europarådets rekommendation och innebära att känsliga personupp- gifter får behandlas för forsknings— eller statistikändamål även utan den enskildes medgivande, om särskilda skäl föreligger med hänsyn till forsknings- eller statistikprojektets vikt, behovet av personuppgifter, säkerheten vid användningen av uppgifterna och den tid som upp— gifterna skall bevaras.
Utöver de förutsättningar för att få behandla personuppgifter utan den enskildes medgivande som följer av Europarådets rekommendation bör, i enlighet med utredningens tidigare ställningstaganden som flertalet remissinstanser ställt sig bakom, bestämmelsen innefatta de begränsningar som i huvudsak följer av Datainspektionens nuvarande praxis. Det innebär att någon av följande situationer måste föreligga, nämligen att 1. det skulle vara synnerligen kostsamt eller tidsödande att inhämta samtycke,
2. den enskildes hälsotillstånd eller forsknings- eller statistikändamålet är sådant att en begäran om samtycke kan antas skada den enskilde, eller
3. en kontakt med den enskilde skulle förrycka undersökningens resultat.
Utredningen har berört Datainspektionens praxis ovan under avsnitt 10.1.
Frågan om ett forskningsprojekts vikt får bedömas mot bakgrund av det allmänna kravet på att syftet med behandlingen skall vara be- handling för forskningsändamål, oavsett om det gäller registerforskning eller en verksamhet där uppgifterna inhämtas direkt från den som skall registreras.
Vid en bedömning av frågan om ett forskningsprojekts vikt måste krävas att projektets vetenskapliga inriktning har ett samhälleligt eller allmänt intresse. Genom detta krav kan alltså inte forskning av perifert slag komma i fråga. Det ankommer i första hand på den som avser att behandla personuppgifter för forsknings— eller statistikändamål att bedöma om projektet har ett samhälleligt eller allmänt intresse. I detta sammanhang torde viss vägledning kunna stå att finna i hur projektet finansieras. Av betydelse är också om projektet har godkänts av en forskningsetisk kommitté. I tveksamma fall bör samråd äga rum med t.ex. företrädare för forskningsråden.
SOU 1993:10 197
Som framgått ifrågasätter Datainspektionen inte enligt gällande praxis vid sin prövning det behov som anges för inrättande av ett forskningsregister. I ett framtida tillsynssystem är det emellertid ofrånkomligt att Datainspektionen i samband med en granskning av en anmälan eller vid en inspektion kan komma att få bedöma ett forsk- ningsprojekts vikt. Detta innebär alltså en förändring i förhållande till vad som gäller i dag. Datainspektionen har att söka motsvarande vägledning vid en bedömning av ett forskningsprojekts vikt som den som avser att behandla personuppgifter för forsknings- eller statistikän- damål. När det gäller frågan om ett forskningsprojekts vikt hänvisas i övrigt till följande avsnitt om behandling av personuppgifter för forskningsändamål.
I de fall som undantag kan göras från kravet på samtycke på grund av att det skulle vara synnerligen kostsamt eller tidsödande att inhämta samtycke, eller att den enskildes hälsotillstånd eller forsknings- eller statistikändamålet är sådant att en begäran om samtycke kan antas skada den enskilde, bör enligt utredningens mening krävas att uppgifterna inte får behandlas förrän information om forsknings- eller statistikprojektet lämnats i en tidning med ett spridningsområde som omfattar dem som berörs av projektet eller på annat liknande sätt, t.ex. genom anslag. När insamling av personuppgifter sker utan samtycke i de fall en kontakt med den enskilde skulle förrycka undersökningens resultat bör, innan fortsatt behandling får ske, den enskilde erhålla i princip samma information som den vars samtycke efterfrågas. Av informationen bör också i alla de här nämnda fallen framgå att den enskilde har rätt att anmäla att han inte vill delta i projektet. Görs en sådan anmälan bör de berörda personuppgifterna utplånas. Den för det tredje fallet förordade informations- och strykningsrätten stämmer överens med vad som sägs i Europarådsrekommendationen. Be- stämmelser om information och strykningsrätt i enlighet med vad som nu har sagts bör tas in i förslaget till datalag. Enligt utredningens mening är det inte utifrån etiska principer acceptabelt att forskning bedrivs under former som ger intryck av hemlighetsmakeri. Genom informationen ges de berörda möjlighet att få vetskap om behandlingen och kan därigenom utnyttja sin rätt till insyn (25 å förslaget till datalag) och i förekommande fall sin rätt att vägra medverkan i forsknings- eller statistikprojektet.
Behandling av personuppgifter för forskningsändamål
Enligt utredningens mening bör med behandling av personuppgifter för forskningsändamål förstås all behandling där personuppgifter används för vetenskapligt ändamål. Utanför begreppet forskningsändamål faller den behandling som kan förekomma på forskningsinstitutioner eller i andra forskningssammanhang, men där ändamålet med behandlingen primärt är ett annat än att uppgifterna skall användas för ett vetenska-
198 SOU l993:10
pligt arbete. Hit hör t.ex. den behandling för administrativa ändamål som görs hos myndigheter eller institutioner inom social-, hälso— eller sjukvården och som utgör underlag för beslut eller åtgärder som rör enskilda individer, eftersom ändamålet här är ett annat än forskning.
Som utredningen också framfört i sina tidigare ställningstaganden får den övergripande frågan huruvida en behandling överhuvudtaget har en vetenskaplig koppling avgöras främst med hänsyn till vem som är persondataansvarig, men även andra kriterier kan komma i fråga. Den verksamhet som bedrivs vid etablerade institutioner såsom de statliga högskoleenheterna och statliga forskningsinstitut hör självfallet hit, liksom den forskning som kan bedrivas inom hälso- och sjukvården i den kommunala sektorn, t.e.x av landsting vid sjukhus, kliniker och andra inrättningar. Även privata forskningsinstitutioner bör räknas till dem som anses kvalificerade som forskningsorgan, om det saknas anledning att betvivla den vetenskapliga inriktningen av verksamheten. I tveksamma fall kan frågor om finansiering och den vetenskapliga bakgrunden hos den projektansvarige eller annars uppgivne forskaren ha betydelse för en bedömning härvidlag. Datainspektionen bör i tveksamma fall, t.ex. i samband med granskning av en anmälan eller vid en inspektion, också samråda med de etablerade forskningsorgan som finns på området.
Några remissinstanser har påtalat vikten av att precisera och avgränsa begreppet forskningsregister. Givetvis skulle det också enligt utredningens mening ha klara fördelar om man en gång för alla kunde definiera vad som avses med behandling för forskningsändamål. Utredningen ser emellertid inte detta som möjligt utan persondataan- svariga och Datainspektionen får i det enskilda fallet göra den avgränsning som följer av utredningens överväganden. I sitt remissytt- rande har Datainspektionen framfört att det bör klaras ut huruvida samhällsplanerade verksamheter som liknar forskningsverksamhet i någon mån bör omfattas av särreglerna i en ny datalag om forskning. Utredningen anser emellertid inte att sådana verksamheter bör omfattas av särreglerna i den nya datalagen om forskning och statistikfram- ställning.
Utlämnande av personuppgifter som används för forsknings- eller statistikändamål
Utlämnande av personuppgifter regleras generellt i en allmän be- stämmelse i förslaget till datalag (11 å). Detta följer av att den föreslagna definitionen av begreppet behandling (3 å förslaget till datalag) även innefattar utlämnande. När det gäller utlämnande av personuppgifter som används för forsknings- eller statistikändamål utgör de bestämmelser som följer av övervägandena i förevarande avsnitt specialbestämmelser i förhållande till den allmänna bestämmel- sen. Det innebär att personuppgifter får lämnas ut, såvida inte
SOU l993:10 199
sekretess föreligger, om den enskilde samtycker eller om särskilda skäl föreligger med hänsyn bl.a. till ett forskningprojekts vikt och behovet av personuppgifter.
En forskningsmyndighet skall givetvis också kunna lämna ut person- uppgifter om myndigheten är skyldig att lämna ut uppgifterna till en enskild på grund av bestämmelserna i tryckfrihetsförordningen om allmänna handlingars offentlighet. Bestämmelsen i 30 å tredje stycket förslaget till datalag avser sådant utlämnande. När det gäller forsk- ningsverksamhet har Forskningsetiska utredningen uttalat att sådan verksamhet har påtagliga likheter med ärende under behandling eller med pågående utredningsarbete. Forskningsetiska utredningen ansåg därför att tryckfrihetsförordningens bestämmelser borde kunna tolkas analogivis så att det förelåg överensstämmelse.
Enligt Datalagsutredningens mening är det inte möjligt att utan vidare göra en sådan analogitolkning. Forskningsverksarnhet skiljer sig i flera hänseenden från traditionell ärendehandläggning. I många fall läggs t.ex. olika typer av delrapporter fram i forskningsprojekt. Givetvis är delrapporterna att anse som upprättade i tryckfrihetsför- ordningens mening och är därmed allmänna handlingar. Dessutom förefaller det orimligt om inte behandlingar i longitudinella forsknings- projekt skulle räknas som upprättade och bli allmänna handlingar förrän projektet har avslutats efter kanske flera decennier.
Förslaget till EG-direktiv
Som framgått ovan föreslår utredningen att vissa undantag från kravet på informerat samtycke skall tas in i den nya datalagen när det gäller behandling av känsliga personuppgifter för forsknings— eller statistikän- damål. Undantagen ligger inom den ram som Europarådsrekommenda- tionen anger. Undantagen avser fall där det föreligger särskilda skål med hänsyn till forsknings- eller statistikprojektets vikt, behovet av personuppgifter, säkerheten vid användningen av uppgifterna och den tid som uppgifterna skall användas.
En fråga som uppkommer är hur dessa undantagsbestämmelser förhåller sig till förslaget till EG-direktiv. Som framgått är en behandling av personuppgifter laglig bara om den sker i överensstäm- melse med de grundläggande reglerna för behandling av personupp- gifter som finns i kapitel 11 (art. 5 första stycket). Vad medlemsstater- na får göra, inom ramen för bestämmelserna i kapitel 11, är att mera precist ange de omständigheter under vilka behandling av personupp- gifter får ske (art. 5 andra stycket). 1 kommentaren framhålls att sådana preciseringar alltid måste ske inom ramen för bestämmelserna i kapitel 11 och att de inte får hindra det fria flödet av information inom EG-området.
Enligt huvudregeln i artikel 8 skall medlemsstaterna förbjuda be— handling av känsliga uppgifter. Medlemsstaterna får dock tillåta sådan
200 SOU l993:10
behandling, förutom vid samtycke, om viktiga allmänna intressen talar härför genom en reglering i lag eller annan författning (art. 8.3.). En sådan reglering skall ange vilka slag av uppgifter som får behandlas, till vem sådana uppgifter får lämnas ut och vem som får vara person- dataansvarig samt lämpligt säkerhetsskydd.
Som utredningen utvecklat ovan utgör forsknings- och statistikverk- samheterna väsentliga bidrag till kunskapsutvecklingen inom olika områden i samhället och är därför av stort allmänt intresse. Detta framhålls också av det stora flertalet remissinstanser. Behandlingen av personuppgifter för forsknings- eller statistikändamål torde därför vara ett sådant viktigt allmänt intresse som det talas om i artikel 8.3. Även i övrigt torde förutsättningarna enligt den berörda artikeln vara uppfyllda. På grund av offentlighetsprincipen är det dock inte möjligt att närmare ange till vem uppgifter får lämnas ut. Kravet på lämpliga skyddsbestämmelser får anses tillgodosett genom de allmänna bestämmelser om säkerhet som finns i 17 och 18 åå förslaget till datalag.
I det föregående har berörts hur utredningens förslag förhåller sig till artikel 6.1.b i direktivförslaget som bl.a. reglerar byte av ändamål.
Av det sagda framgår att utredningens förslag till lagreglerade undantag från kravet på informerat samtycke, när det gäller behandling av känsliga personuppgifter för forsknings- eller statistikändamål, ligger inom ramen för förslaget till EG-direktiv. Myndigheters skyldigheter att lämna ut personuppgifter enligt tryckfrihetsför- ordningen går dock längre än som följer av direktivförslaget och bestämmelsen i 30 å andra stycket förslaget till datalag. Som tidigare nämnts har därför ett särskilt undantag för utlämnande enligt tryck- frihetsförordningen gjorts i 30 å tredje stycket förslaget till datalag.
SOU 1993210 201
11 Behandling av känsliga personupp- gifter för anställningsändamål
11.1 Gällande rätt
11.1.1 Datalagen
Personregistrering i anställningsförhållande är inte särreglerad i datalagen (1973 :289). Merparten av de personregister som arbetsgivare för närvarande för med hjälp av ADB och som innehåller uppgifter om de anställda torde vara sådana som enligt 2 å datalagen får föras utan tillstånd. I vissa fall kan dock registren innehålla sådana uppgifter av känsligt slag, t.ex. värderande omdömen eller uppgifter om en anställds hälsa eller sjukdom som medför att, förutom licens, även tillstånd av Datainspektionen krävs. Tillstånd kan också behövas om personuppgifter skall inhämtas från något annat personregister, s.k. sambearbetning.
Beviljas tillstånd meddelar Datainspektionen enligt 5 å datalagen beslut om ändamålet med registret. I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet kan även meddelas ett eller flera villkor enligt 6 å datalagen. Föreligger särskilda skäl får tillståndet begränsas till viss tid.
Vid bedömningen av om villkor behövs för att förebygga risk för otillbörligt integritetsintrång skall Datainspektionen enligt 6 å andra stycket datalagen särskilt beakta om registret innehåller uppgift som utgör omdöme eller annan värderande upplysning om den registrerade.
För att underlätta hanteringen av tillståndsärenden har Datainspek- tionen före den 1 juli 1982 tillämpat ett förenklat ansöknings- och tillståndsförfarande i fråga om mindre integritetskänsliga register. Motsvarande register får därefter inrättas utan tillstånd.
Datalagen innehåller inte någon bestämmelse - utöver 10å om rätten till insyn - som direkt tar sikte på information till den registrera- de. Datainspektionen kan dock med stöd av 6 å datalagen besluta om en sådan skyldighet för en arbetsgivare i egenskap av registeransvarig.
Genom en lagändring, som trädde i kraft den 1 juli 1992, behövs det inte längre tillstånd för arbetsgivare att inrätta och föra person- register för löne— och personaladministrativa ändamål, som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrån-
202 SOU 1993: 10
varo (2 a å datalagen, prop 1991/92:126, KU 22). Ändringen är föranledd av de nya bestämmelser om arbetsgivares rehabiliteringsan- svar i lagen (1962z381) om allmän försäkring, som gäller sedan den 1 januari 1992.
11.1.2 Vissa arbetsrättsliga bestämmelser
Vissa bestämmelser i arbetsmiljölagen (1977: 1 160) och i lagen (1976 :580) om medbestämmande i arbetslivet har också betydelse för arbets— tagarnas möjligheter till inflytande över införande och användning av datasystem på arbetsplatserna.
Enligt 2 kap. 1 å arbetsmiljölagen skall arbetsmiljön vara till- fredsställande med hänsyn till arbetets natur och den sociala och tekniska utvecklingen i samhället. Vidare sägs att arbetsförhållandena skall anpassas till människans förutsättningar i fysiskt och psykiskt avseende samt att det skall eftersträvas att arbetet anordnas så, att arbetstagare själva kan påverka sin arbetssituation.
I förarbetena till arbetsmiljölagen (prop. 1976/77:149 s. 227 ff) pekade departementschefen särskilt på de nackdelar som införandet av och användningen i arbetslivet av styrsystem baserade på ADB kunde innebära och framhöll vikten av att representanter för arbetstagarna var med redan från början vid förberedelse av sådana system.
Enligt 6 kap. 4 å arbetsmiljölagen skall skyddsombud delta bl.a. vid planering av nya eller ändrade lokaler, anordningar, arbetsprocesser och arbetsmetoder. Arbetsgivare har även skyldighet att underrätta skyddsombud om förändringar av betydelse för skyddsförhållandena inom ombudets område. Sådana frågor skall enligt 6 kap. 9 å arbetsmiljölagen behandlas i en skyddskommitté, när sådan har inrättats. Skyddskommitténs inflytande inbegriper frågor om införande av ny teknik, förändringar av styr- och kontrollsystem eller andra förändringar av arbetsorganisationen.
Arbetarskyddsstyrelsen har meddelat vissa föreskrifter och allmänna råd som rör frågor om införande av ny teknik i arbetet, vilka publice- rats i arbetarskyddsstyrelsens författningssamling (AFS). Sålunda finns allmänna råd om psykiska och sociala aspekter på arbetsmiljön (AFS 1980: 14) och om datorstöd i arbetet (AFS l986:27), föreskrifter och allmänna råd om arbete iutgångskassa (AFS 1986: 1) samt föreskrifter om arbete vid bildskärm (AFS 1985: 12).
Enligt 11 å medbestämmandelagen skall arbetsgivare på eget initiativ förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal, innan han beslutar om viktigare förändring av sin verksamhet. Detsamma skall iakttas innan arbets- givare beslutar om viktigare förändring av arbets— och anställningsför— hållandena för arbetstagare som tillhör organisationen. Om synnerliga skäl föranleder det får arbetsgivaren fatta och verkställa beslut innan han fullgjort sin förhandlingsskyldighet.
SOU 1993: 10 203
Finns lokal arbetstagarorganisation skall förhandlingsskyldigheten enligt 14 å medbestämmandelagen fullgöras i första hand genom förhandling med denna. Uppnås inte enighet vid förhandlingen skall arbetsgivaren på begäran förhandla även med central arbetstagarorgani- sation.
Enligt 19 å medbestämmandelagen skall arbetsgivare fortlöpande hålla arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal underrättad om hur hans verksamhet utvecklas pro- duktionsmässigt och ekonomiskt liksom om riktlinjerna för personalpo- litiken. Arbetsgivaren skall dessutom bereda arbetstagarorganisationen tillfälle att granska böcker, räkenskaper och andra handlingar som rör arbetsgivarens verksamhet, i den omfattning som organisationen behöver för att tillvarata medlemmarnas gemensamma intressen i förhållande till arbetsgivaren. Informationsskyldigheten gäller enligt 20 å medbestämmandelagen i första hand lokal arbetstagarorganisation samt i förekommande fall även central arbetstagarorganisation.
Mellan parter som träffar kollektivavtal om löner och allmänna anställningsvillkor bör enligt 32 å medbestämmandelagen, om arbetstagarparten begär det, även träffas kollektivavtal om medbe- stämmanderätt för arbetstagarna i frågor som avser ingående och upp- hörande av anställningsavtal, ledningen och fördelningen av arbetet och verksamhetens bedrivande i övrigt.
I anslutning till medbestämmandelagen har träffats olika medbe— stämmande— och utvecklingsavtal som kan få betydelse i samband med införandet av ny teknik. Endast ett fåtal avtal synes emellertid ha slutits som direkt omfattar den datoriserade hanteringen av person- uppgifter på arbetsplatsen.
Genom en ändring i lagen (1962:381) om allmän försäkring (AFL), som trädde i kraft den 1 januari 1992, infördes regler om ansvar för arbetslivsinriktad rehabilitering och om ekonomisk ersättning vid sådan rehabilitering (prop. 1990/91: 141 och 181, SfU 16 och 18, rskr. 303 och 372, SFS 1991: 1040). Ändringarna innebär att arbetsgivaren fått ett ökat ansvar för de anställdas rehabilitering.
Arbetsgivaren svarar för att behovet av rehabiliteringsåtgärder utreds när den anställde på grund av sjukdom har varit borta från arbetet längre än fyra veckor i följd, när den enskilde haft upprepade korta sjukfall eller när den anställde själv begär det. En sådan rehabiliteringsutredning skall ske i samråd med den anställde och utgå från dennes individuella förutsättningar och behov. Utredningen skall genomföras och tillställas försäkringskassan inom viss bestämd tid. Arbetsgivaren svarar vidare för att sådana arbetslivsinriktade rehabili- teringsåtgärder vidtas som kan genomföras inom eller i anslutning till den egna verksamheten. Inriktningen skall därvid vara att den anställde skall beredas fortsatt arbete hos arbetsgivaren och att andra alternativ prövas först när dennes möjligheter är uttömda.
204 SOU 1993: 10
Den anställde skall lämna de upplysningar som behövs för att klarlägga hans behov av rehabilitering och efter bästa förmåga aktivt medverka i rehabiliteringen.
Under rehabiliteringen kan den anställde få rehabiliteringsersättning från försäkringskassan. För att sådan ersättning skall kunna utgå förutsätts att rehabiliteringen ingår i en av försäkringskassan upprättad rehabiliteringsplan, som anger bl.a. vilka åtgärder som aktualiseras, vem som ansvarar för dem och när de skall genomföras. Försäkrings- kassan skall fortlöpande se till att planen följs och vid behov anpassas efter ändrade förhållanden. Som underlag för bedömning och fortsatt rehabiliteringsarbete är den anställde på försäkringskassans begäran skyldig att lämna ett mer ingående läkarutlåtande när en sjukperiod har varat i fyra veckor. Ett sådant utlåtande skall innehålla uppgift om behovet av rehabilitering, pågående och planerad behandling eller rehabiliteringsåtgärd samt, om möjligt, beräknad återstående sjukdoms- tid med nedsatt arbetsförmåga.
Försäkringskassan ges ett övergripande samordningsansvar för rehabiliteringsverksamheten, innefattande ansvar för regionalt och lokalt samarbete mellan olika myndigheter och organ med uppgifter på rehabiliteringsområdet. Försäkringskassan skall samordna och ha tillsyn över de utredande och andra insatser som enligt lagen om allmän försäkring krävs för rehabilitering av enskilda försäkrade. Den skall också när det behövs ta initiativ till sådana insatser. I ansvaret ingår att ge stöd åt den enskilde i kontakter med andra rehabilite— ringsansvariga. Gentemot den försäkrades arbetsgivare får försäkrings- kassan ett tillsynsansvar för att denne fullgör sina rehabiliteringsupp- gifter. I speciella fall skall försäkringskassan överta ansvaret för att rehabiliteringsutredning kommer till stånd.
Enligt ändringar i arbetsmiljölagen (1977:] 160), som trädde i kraft den 1 juli 1991, har arbetsgivaren en skyldighet att systematiskt planera, leda och kontrollera arbetsmiljön, att utreda arbetsskador och vidta de åtgärder som behövs för att följa upp dessa och att upprätta handlingsplaner för de åtgärder som inte kan vidtas genast (prop. 1990/91:140, AU22, rskr. 302, SFS 1991:677). Vidare infördes en skyldighet för arbetsgivaren att se till att en på lämpligt sätt organise— rad arbetsanpassnings- och rehabiliteringsverksamhet finns på arbetsstället.
I förarbetena till ändringarna i arbetsmiljölagen och AFL under- stryks vikten av att arbetsgivaren har en ändamålsenlig organisation för rehabiliteringsarbetet och ett system för att tidigt fånga upp behovet av rehabilitering (se prop. 1990/91:140 s. 49 ff, s. 62 och s. 135 ff samt prop. 1990/91:141 s. 42 och s. 89). I prop. 1990/91:140 s. 50 uttalas följande.
Hur en på lämpligt sätt organiserad anpassnings- och rehabilite- ringsverksamhet 1 detalj bör utformas varierar beroende på
SOU 1993: 10 205
förutsättningarna inom olika verksamheter. Det kan t.ex. innebära att arbetsgivaren ser nu att det finns:
kompetens och kontaktpersoner
ekonomiska resurser avdelade för ändamålet
policy och mål för frågorna organisation av arbetet tydlig ansvarsfördelning rutiner för tidiga kontakter med sjukskrivna
rutiner för undersökning av rehabiliteringsbehov m.m. rutiner för kontakter med myndigheter, företagshälsovård m.fl. rutiner för kontroll, uppföljning och utvärdering samverkan med arbetstagarna Organisation och rutiner skall vara sådana att tidiga varnings- signaler uppmärksammas och att åtgärder mot ohälsa planeras och genomförs.
I prop. 1990/91:141 om rehabilitering och rehabiliteringsersättning m.m. påtalas att arbetsgivarens utredningsansvar inte begränsas till att omfatta åtgärder på arbetsplatsen. Det bör enligt departementschefen också ingå i arbetsgivarens ansvar att göra en bedömning av orsakerna till arbetsoförmågan och utreda behovet av åtgärder även om dessa står att finna utanför arbetsplatsen. Mer omfattande utredningar av förhållanden utanför arbetsplatsen bör dock inte vara en uppgift för arbetsgivaren (s. 45). Beträffande genomförandet av rehabiliteringsut— redningen anförs bl.a. följande (5. 46 ff).
Rehabiliteringsutredningen bör göras i nära samråd med den anställde. Det är en genomgående erfarenhet att individens intresse och medverkan behövs för att en rehabilitering skall ] ckas. Den som är föremål för en rehabiliteringsutredning måste ärför själv på ett aktivt sätt få medverka vid planeringen av rehabiliteringen. Genom att utredningen genomförs i nära samarbete med den anställde bör också på ett smidigt sätt den information som behövs för utrednin en kunna bli tillgänglig.
Information om orsaken till sjuk rånvaron, t.ex. sjukdoms- diagnos, bör arbetsgivaren således kunna få tillgång till enbart med den försäkrades samtycke. Jag utgår från att ett sådant samtycke i normala fall kommer att lämnas av den försäkrade. Jag är inte beredd att föreslå en rätt för arbetsgivaren att få tillgång till de uppgifter om den anställdes s'ukdom som finns i det läkarintyg den försäkrade skall lämna till] försäkringskassan. Jag vill emellertid framhålla möjligheten att genom avtal låta arbetsgivaren få tillgång till läkarintyg i vissa situationer. Denna möjlighet har utnyttjats på det statliga området och i vissa fall när de okala parterna har träffat överenskommelse om hur rehabilite- ringsarbetet på arbetsplatsen skall bedrivas.
Några närmare krav utöver dem jag redan nämnt på en rehabiliteringsutrednings innehåll och utformning vill jag inte föreslå i detta sammanhang. I rehabiliteringsberedningens förslag anges att utredning skall göras om det inte framstår som obehöv- ligt. Jag anser det naturligt att utredningens omfattning och karaktär får avgöras med ut ångspunkt i omständigheterna i de särskilda fallen. En rehabiiteringsutredning kan i vissa fall komma att vara av mycket enkel beskaffenhet medan den i andra
206 SOU 1993: 10
fall behöver göras betydligt mer omfattande. Det bör ankomma på riksförsäkrin sverket att utfärda de allmänna råd i ämnet som att komma att ehövas.
Lagen (1991:1047) om sjuklön, som trädde i kraft den 1 januari 1992, skall utgöra grunden för sjukersättning framför allt vid korta sjukdoms- fall (prop. l990/91:181, SfU 18, rskr. 372). Enligt lagen ges arbets— tagare en lagstadgad rätt att under de första 14 dagarna av varje sjukdomsfall (sjuklöneperioden) behålla viss del av den lön och andra anställningsförmåner, som han skulle ha fått, om han fullgjort sina arbetsuppgifter. Andelen skall vara 75 procent under de första tre dagarna med sjuklön och 90 procent under återstående dagar av sjuklöneperioden.
Arbetstagarens rätt till sjuklön bygger på att anmälan om sjukdoms- fallet görs hos arbetsgivaren. Arbetstagaren skall lämna arbetsgivaren en skriftlig försäkran om att han har varit sjuk och i vilken omfattning som hans arbetsförmåga varit nedsatt på grund av sjukdomen. Försäkran behöver inte innehålla närmare uppgift om sjukdomen. Fr.o.m. den sjunde kalenderdagen efter sjukanmälningsdagen skall arbetstagaren styrka nedsättningen av arbetsförmågan genom intyg av läkare resp. tandläkare. Avvikelser från lagens bestämmelser om försäkran och intyg får göras genom kollektivavtal.
Enligt 18 å lagen om sjuklön gäller tystnadsplikt i arbetsgivarens personaladministrativa verksamhet med avseende på uppgifter om arbetstagarens hälsotillstånd eller personliga förhållanden i övrigt som har lämnats i intyg av läkare eller tandläkare eller genom arbets- tagarens skriftliga försäkran om sjukfall. Tystnadspliktsbestämmelsen i lagen om sjuklön gäller endast i enskild verksamhet. Föreskrifter om sekretess i det allmännas verksamhet finns i sekretesslagen, t.ex. i 7 kap. 11 å tredje och fjärde styckena.
Arbetsgivaren skall till försäkringskassan anmäla sjukdomsfall som har gett arbetstagare hos honom rätt till sjuklön, om sjukperioden och anställningen fortsätter efter sjuklöneperiodens utgång. Vidare skall arbetsgivaren lämna uppgift om sjukdomsfall som har gett arbetstagare hos honom rätt till sjuklön. En sådan uppgift skall lämnas skriftligen till Riksförsäkringsverket. Enligt lagen om sjuklön får regeringen eller, efter regeringens bemyndigande, Riksförsäkringsverket, föreskriva att dessa uppgifter i stället skall lämnas till försäkringskassan samt att uppgifterna får lämnas med hjälp av automatisk databehandling. Regeringen har i förordning (1991 : 1396) lämnat Riksförsäkringsverket sådant bemyndigande.
I regeringens prop. 1990/91:181 om lagen om sjuklön m.m. sägs bl.a. följande om de läkarintyg som arbetstagaren skall ge in till arbetsgivaren (s. 47 ff).
SOU 1993: 10 207
Som huvudregel bör gälla att de läkarintyg som ges in till arbets ivaren inte skall innehålla uppgift om diagnos. Närmare uppgi t om sjukdomen bör enligt huvudregeln endast uppges till försäkringskassan. Jag anser därför att det intyg som lämnas till arbetsgivaren för att styrka arbetsoförmåga till följd av sjukdom fr.o.m. sjunde dagen efter anmälningsdagen inte behöver innehålla sådan uppgift. Först när sjuklöneperioden avslutats och den enskilde gör anspråk på ersättning från AFL med anledning av sjukdomsfallet skall ett intyg om arbetsförmågans nedsättning ]med närmare uppgift om sjukdomen överlämnas till försäkrings- assan.
En kom likation kan uppstå i detta sammanhang å rehabilite- ringsområ et. Ett ökat arbetsgivaransvar för e anställdas rehabilitering och arbetsmiljö, i enlighet med vad som har föreslagits i prop. 1990/91:141 om rehabilitering och rehabilite- ringsersättning m.m., kan naturli tvis ge bättre resultat om arbetsgivaren känner till orsaken til? den anställdes sjukfrånvaro. En sådan kunskap kan ibland vara en förutsättning för att adekvata åtgärder skall kunna vidtas för att förbättra arbetsmiljön och för att hjälpa den anställde tillbaka i arbete. På vissa avtalsområden medger kollektivavtal redan nu att arbetsgivaren får del av den anställdes diagnos vid sjukfrånvaro. Det bör mot denna bakgrund även i fortsättningen vara möjligt att via kollektivavtal som träffats eller godkänts på förbundsnivå göra avsteg från lagregleringen och låta arbetsgivaren få rätt att ta del av diagnosuppgifter angående sina anställda när detta bedöms som behövligt som ett inslag i arbetet med arbetsmiljöförbättring- ar och rehabilitering inom företaget. En sådan rätt måste givetvis förenas med regler om tystnadsplikt för arbetsgivaren angående uppgifter han får del av på detta sätt.
I propositionen uttalas bl.a. följande om arbetsgivarens uppgiftsläm— nande (s. 49 ff).
Uppgiftslämnandet om sjukfall inom sjuklöneperioden bör inte få leda till en betungande administration för den enskilde arbets- givaren. Detta har understrukits av sjuklönekommittén, som också framhållit det angelägna i att uppgifterna begränsas till att avse endast det absolut nödvändiga för att tillgodose behovet av information. Jag instämmer i sjuklönekommitténs synpunkter i denna fråga. Mitt förslag, som överensstämmer med kommitténs, innebär att arbetsgivaren skall fullgöra denna uppgiftsskyldighet till riksförsäkringsverket senast vid utgången av den kalendermå— nad som följer närmast efter den då sju öneperioden löpte ut. Det är emellertid samtidigt min förhoppning att uppgifterna skall kunna lämnas tidigare än vad som krävs enligt en föreslagna lagregleringen. Så torde också kunna ske därför att det för ar etsgivaren lär vara lämpligt att rapporteringen görs i samband med löneutbetalningen till de anställda å arbetsstället i fråga. Därmed kan onödig administration un vikas. Uppgiftsskyldig- heten bör omfatta arbetstagarnas personnummer, arbetsgivarens organisationsnummer samt arbetsställenummer, sjuklöneperiodens längd och dagar med ersättning för hel eller partiell nedsättning av arbetsförmågan inom nämnda period.
Inom försäkringsadministrationen avses uppgifter av detta slag bearbetas genom s.k. optisk läsning eller med hjälp av ADB.
208 SOU 1993:10
Som huvudregel bör därför gälla att arbetsgivaren skall lämna uppgifterna i skriftlig form. Möjlighet bör emellertid på sätt Sjuklönekommittén förordat finnas att lämna uppgifterna också med hjälp av ADB eller annan motsvarande metod. Regerin en eller, efter regeringens bemyndigande, riksförsäkringsverket ör därför få meddela föreskrifter härom. Regleringen bör omfatta också möjlighet att föreskriva att uppgifterna skall lämnas, istället för till riksförsäkringsverket, till försäkringskassan. I motsats till sjuklönekommittén anser jag att uppgifterna inte skall kunna lämnas direkt till en privat djuridisk person (servicebyrå e. dyl.). Detta hindrar inte att en så an juridisk person anlitas av myndig- het för t.ex. optisk läsning.
Vid sin behandling av lagförslaget ansåg socialförsäkringsutskottet (1990/91 :SfU 18 s. 23) att rapporteringsskyldigheten enligt propositio— nen var så administrativt enkel som för närvarande kan begäras.
De nya bestämmelserna om rehabiliteringsansvar föranledde, som tidigare nämnts, en lagändring 1 datalagen innebärande att det inte längre behövs tillstånd för arbetsgivare att inrätta och föra person- register för löne- och personaladministrativa ändamål, som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrån— varo.
11.1.3 Datainspektionens föreskrifter m.m.
Datainspektionen införde år 1979 ett förenklat förfarande för vissa slag av löne- och personalregister (föreskrifter för vissa löne- och personal- register, DIFS 1979z2).
Föreskrifterna, som trädde i kraft den 1 februari 1980, angav vad Datainspektionen generellt sett ansåg kunna godtas från integritetssyn- punkt beträffande dessa personregister. I och med att den generella tillståndsplikten upphörde den 1 juli 1982 för löne- och personal- register som inte innehåller känsliga uppgifter har föreskrifterna efter detta datum tillämpats som riktlinjer i Datainspektionens verksamhet och som allmänna råd. De gäller dock fortfarande som föreskrifter för de register som inrättades före den 1 juli 1982.
Som registerändamål anges i föreskrifterna att ett löne- och personalregister endast får användas för administration av löner m.m., personaladministration, framställning av vissa meddelanden som den registeransvarige är skyldig att lämna enligt författning, kollektivavtal eller andra avtal med de registrerade samt för budgetering o.dyl. I föreskrifterna anges närmare vad som inbegrips i dessa registerända— mål.
Enligt föreskrifterna får inte individuella prestationsmätningar företas av andra skäl än för löneuträkning. I föreskrifterna anges i detalj vilka slag av personuppgifter registret får innehålla. Registret får inte innehålla personuppgift som utgör omdöme eller annan värderande
upplysning.
SOU 1993: 10 209
Protokoll från förhandling med berörda fackliga organisationer enligt lagen (19761580) om medbestämmande i arbetslivet ansågs i förekommande fall enligt föreskrifterna böra bifogas ansökan om tillstånd som gjordes före den 1 juli 1982.
Datainspektionen har i ett projekt, det s.k. företagshälsovårdsprojek- tet, särskilt undersökt personregistreringen inom företagshälsovården. Som ett resultat av detta arbete utgavs år 1989 en informationsskrift om personregister inom företagshälsovården.
Datainspektionens syn på löne- och personalregister har även kommit till uttryck i de allmänna råd om ADB-säkerhet för person- register som inspektionen gav ut år 1989. För vanliga löne— och personalregister anser inspektionen skyddsåtgärder på grundnivån, den lägsta av tre nivåer, vara tillfredsställande. För det fall ett personal- register innehåller t.ex. omdömen eller annan värderande upplysning bör skyddsåtgärderna ligga på en högre nivå. I råden framhålls vidare att alla som har tillgång till registret bör få tillräcklig utbildning om ADB-säkerhet och om datalagens innebörd. Det skall även finnas en dokumentation av systemen, och genom en behandlingshistorik (logg) bör det kunna visas vem som utfört eller beordrat en bearbetning eller vem som utnyttjat viss utrustning.
I ett projekt (" Projekt arbetslivet") har Datainspektionen tagit fram allmänna råd till skydd för arbetstagares personliga integritet vid inrättande och förande av sådana personregister i arbetslivet, vilka inte kräver Datainspektionens tillstånd. Inom ramen för projektet har också Datainspektionen utarbetat en skrift med information om vilka regler som gäller för integritetsskyddet i arbetslivet.
11.1.4 Datainspektionens praxis
Datainspektionen har handlagt ett antal ärenden under de senaste åren som gällt tillstånd för ADB-register över anställda. Dessa ärenden har avsett olika slag av registrering, inom såväl offentlig som privat verksamhet. En del har avsett registrering av uppgifter inför en anställning, omplacering eller rekrytering samt personregistrering i tids- och debiteringssystem. Vissa arbetsgivare har för intern rekryte- ring velat registrera uppgifter om anställdas utbildning, kompetens och arbetsförmåga. Vissa fall har avsett registrering av uppgifter om de anställdas hälsotillstånd, bl.a. uppgifter om sjukfrånvaro. Flera av ärendena har avsett tillstånd till sambearbetning och utlämnande av registeruppgifter. Endast ett fåtal klagomål hos Datainspektionen har rört löne- och personalregister.
En utgångspunkt vid inspektionens bedömning har varit att inga andra uppgifter skall finnas i register om anställda än sådana som är relevanta i det sammanhanget. Som tidigare nämnts har Datainspektio- nen som riktlinjer vid sin bedömning använt sina föreskrifter för vissa löne- och personalregister samt sedan år 1989 även de principer som
210 SOU l993:10
anges i Europarådets rekommendation om skydd för personuppgifter som används för anställningsändamål (se avsnitt 11.2 nedan).
11.2 Europarådets rekommendation
Europarådet har är 1989 antagit en rekommendation, Recommendation No. R (89) 2, om skydd för personuppgifter som används för anställningsändamål. Sverige har utan reservation ställt sig bakom rekommendationen. Innehållet i rekommendationen har redovisats i avsnitt 4.3.1.
1 1 .3 Tidigare utredningsarbete
Bakgrund
De riktlinjer för den framtida datapolitiken som har godkänts av riksdagen (prop. 1984/85:220, FiU 1985/86z4, rskr. 89) innebär bl.a. att datateknikens användning skall utformas med full respekt för den enskildes personliga integritet och att användningen av datateknik på arbetsplatserna inte skall tillåtas bli ett hot mot den personliga integriteten.
I den nämnda propositionen framhölls att kontrollen av de anställda och deras prestationer med datateknikens hjälp kunde utgöra ett hot mot den personliga integriteten. Föredraganden anförde i denna del bl.a. följande (5. 26 ff).
Sådan kontroll kan exempelvis utföras med hjälp av stäm el- klockor. Om arbetet är uppdelat i klart avgränsade moment, an kontroll ske med hjälp av olika tidmätnin smetoder. Det är viktigt att det görs en rimlig avvägning mellan verksamhetens berätti ade krav på planerings- och styrningsunderlag och den enskil e arbetstagarens berättigade krav på skydd för sin in- tegritet.
För att planera produktion och leveranstider bygger industrin upp datoriserade planeringssystem till vilka den anställde tvingas rapportera varje störning som får denne att göra ett kort uppehåll i arbetet. Den som arbetar vid en maskin får inte ut nästa arbete förrän han har rapporterat av det han eller hon just avslutat. Utrymmet för den anställdes möjligheter att själv lägga upp sitt arbete blir mindre - friheten för arbetaren minskar.
På arbetsplatser förekommer det också att man kopplar ihop de anställdas möjligheter att med ett datakort som nyckel passera låsta dörrar med en identitetskontroll. Därigenom får ledningen möjligheter att i detalj kartlägga de anställdas rörelser på arbets- platsen.
Den här typen av planering och rapporteringssystem sprider sig nu också utanför den tunga industrin. Till och med yrkesgrupper
SOU l993:10 211
som förflyttar sig i arbetet, som servicemän, montörer, transport- arbetare, får bärbara terminaler som registrerar deras uppehålls- ort, arbetsuppdrag, tidsåtgång, avbrott, avbrottsorsak etc.
Även om denna användning av tekniken kan medföra ökad effektivitet, är det viktigt att inte blunda för de hot och problem denna användning kan innebära när det gäller den enskildes integritet.
För att kunna göra de avvägningar som var lämpliga förordades ett forsknings- och utvecklingsarbete om hur den personliga integriteten hotades och kunde skyddas vid användning av datateknik på arbets- platser.
Regeringens statsrådsgrupp för datafrågor inrättades år 1986 (C 19861D). Denna förordade att regeringen bl.a. skulle få ett bättre underlag för sina ställningstaganden genom att en kartläggning gjordes av dataanvändningen på arbetsmarknaden.
Frågan om de anställdas personliga integritet togs också upp i en proposition om datapolitik för statsförvaltningen (prop. 1987/88:95, FiU 25, rskr. 293). Departementschefen påtalade där (5. 14) att en ökad dataanvändning kunde leda till ökade möjligheter att kontrollera och övervaka de anställda och att kunskaperna om detta förhållande därför borde förbättras.
Med anledning av ett av Landsorganisationen i Sverige i mars 1988 anordnat seminarium om de anställdas personliga integritet i arbetet, inkom organisationen senare samma månad med en skrivelse till bl.a. Arbetsmarknadsdepartementet. I skrivelsen framfördes bl.a. att det förelåg ett behov av ett s.k. basskydd enligt följande:
1. Tillgång till dokumentation på arbetsplatsen om dataanvänd- ning av uppgifter som är knutna till enskilda anställda. Av dokumentationen skall framgå vilka uppgifter som samlas in och i vilka situationer som uppgifterna används.
2. Lokal förhandling skall genomföras och protokollföras innan uppgifter får samlas in eller ändringar ske i hur uppgifterna skall användas.
3. Förbud mot att använda individuella prestationsmätningar för annat än beräkning av lön.
Skrivelsen låg till grund för den kartläggning som senare följde och som nu redovisas.
Rapporten (Ds 1989:24) Datatekniken och den personliga in- tegriteten i arbetet — en kartläggning, m.m.
Chefen för Arbetsmarknadsdepartementet tillsatte i oktober 1988 en arbetsgrupp inom Arbetsmarknadsdepartementet, med uppgift att göra en översiktlig kartläggning av arbetsgivarnas användning av datatek—
212 SOU l993:10
niken för ledning, övervakning och kontroll av arbetet och de enskilda arbetstagarna, för att framför allt ge underlag för att bedöma behovet av en mer ingående översyn av lagstiftning m.m. inom ramen för en särskild utredning. Arbetsgruppen överlämnade i maj 1989 rapporten (Ds 1989:24) Datatekniken och den personliga integriteten i arbetet - en kartläggning.
Av rapporten framgår att arbetsgruppens kartläggning skedde genom studier av rapporter, utredningar och annat skriftligt material, skriftlig förfrågan till arbetsmarknadens parter och studiebesök samt erfaren- hetsutbyte med forskare och experter. Tyngdpunkten i kartläggningen låg på studiebesök, och arbetsgruppen besökte ett detaljhandelsföretag, ett postorderföretag, tre verkstadsföretag, en enhet inom vardera posten och televerket, en kommun samt ett landsting. Vidare knöt arbetsgruppen till sig en referensgrupp bestående av företrädare för de centrala arbetsgivar- och arbetstagarorganisationerna genom vilken samråd skedde med arbetsmarknadens parter.
I sin rapport konstaterade arbetsgruppen att kartläggningen hade visat att det i regel endast var i de sedvanliga personaladministrativa datasystemen som en registrering av uppgifter om de enskilda arbetstagarna skedde. Arbetsgruppen hade inte kunnat finna annat än att registreringen i de fall som hade studerats i princip var sådan som följde av anställningsförhållandet, dvs. anställningsavtalet och lagstadgade skyldigheter för arbetsgivaren. Vidare hade kartläggningen visat att personregistrering sällan tycktes vara aktuell i planerings- och produktionsstyrningssystemen. Man konstaterade dock att upphandling av utrustning och program för t.ex. planering och produktionsstyrning många gånger skedde utan att man hade klart för sig att tekniken även kunde användas för kontroll av den enskilde arbetstagaren. Arbets- gruppens erfarenheter var att arbetsgivaren trots allt inte utnyttjade dessa möjligheter till integritetskränkande kontroll. Arbetsgruppen konstaterade att datasystemen i sig nödvändiggjorde viss form av kontroll av den som använde utrustningen (behörighetskontroll), men att denna kontroll (genom s.k. loggning) inte normalt syftade till att kontrollera den anställdes arbetsprestation utan var till för att skydda datautrustning, program och data från t.ex. obehörigt utnyttjande. Arbetsgruppen, som inte hade erfarit att logginformationen använts för otillbörlig granskning av ett systems användare, ville dock varna för de möjligheter som fanns att relativt enkelt utföra en sådan granskning.
I arbetsgruppens kartläggning hade formerna för och utövandet av arbetstagarnas inflytande i frågor om data och integritet studerats. Enligt rapporten var arbetsgruppens genomgående intryck att den tradition och de krav på samverkan mellan arbetsgivarna och arbets— tagarna som gäller på svenska arbetsplatser hade varit avgörande för situationen i Sverige. Man konstaterade också att det fanns en medvetenhet hos många arbetsgivare om att en effektiv användning av datatekniken förutsatte att den omfattades med förtroende av dem som
SOU 1993:10 213
berördes. Vidare påtalades att det synbarligen fanns en stor medveten- het hos arbetsgivare och arbetstagare när det gällde integritetsriskerna i samband med personregistrering, medan däremot insikten om hur datatekniken kan påverka den enskilde arbetstagarens inflytande över arbetet, dvs. integritetsfrågorna i en vidare bemärkelse, varierade.
Enligt arbetsgruppens mening innebar reglerna för det arbetsrättsliga inflytandet en ändamålsenlig ordning när det gällde att bevaka de registrerades intresse av integritetsskydd i arbetslivet. Gruppen ansåg dock att det kunde vara fördelaktigt att frågan om projektorganisation och former för deltagandet i planeringsarbetet för nya datasystem uppmärksammades av arbetsmarknadens parter centralt även om lokal anpassning kunde medföra fördelar. Man pekade i rapporten bl.a. på möjligheten att ta fram etiska riktlinjer för personrelaterade datasys- tem. Arbetsgruppen ansåg också att det borde övervägas om det vore möjligt att ta fram generella riktlinjer för personregistrering som var särskilt anpassade till olika arbetsområden, verksamheter och bran- scher. Sådana riktlinjer ansåg man lämpligen kunna utarbetas av datainspektionen i samråd med arbetsmarknadens parter. Man föreslog vidare att det i datalagen infördes en rätt för den anställde till insyn i vilka datasystem och personregister som arbetsgivaren har.
Arbetsgruppens överväganden och slutsatser ledde fram till bedöm— ningen att någon särskild utredning inom området data och integritet i arbetslivet inte för närvarande behövdes.
Under remissbehandlingen av arbetsgruppens rapport framkom att flertalet arbetsgivarorganisationer samt SACO/SR, Datainspektionen, Arbetarskyddsstyrelsen och Arbetsmiljöinstitutet i stort delade de synpunkter som arbetsgruppen hade lagt fram. SACO/SR ansåg dock att arbetsgruppen intagit en alltför passiv hållning till frågorna om de anställdas inflytande och lyfte särskilt fram tandläkarnas situation som ett exempel där arbetstagarnas inflytande och deltagande vid utbyggan— det av datatekniken inte var tillräcklig och därför kommit att bli ett hot mot integriteten. Landsorganisationen i Sverige var inte odelat positiv till rapporten utan ansåg att en grundlig översyn av hela frågan om integriteten i arbetslivet borde ske. En sådan översyn borde syfta till att stärka den enskildes rättigheter enligt datalagen och ge de fackliga organisationerna arbetsrättsligt grundat inflytande på utformning och användande av olika integritetskänsliga system. Landsorganisationen i Sverige ansåg att de största riskerna för kränkt integritet fanns vid datoriserade tidsuppföljningssystem där resultatuppföljning samman- kopplades med lönesystemet.
Tjänstemännens Centralorganisation ansåg att arbetsgruppens kart— läggning var för begränsad för att dra de generella slutsatser som arbetsgruppen gjort. Organisationen ansåg att de anställda skulle ha rätt att när som helst få omedelbar tillgång till samtliga uppgifter om sig själva utan kostnad.
214 SOU 1993:10
I sitt yttrande tog Datainspektionen upp frågan om att genomföra en översyn av personregistreringen inom arbetslivet inom ramen för in- spektionens tillsynsverksamhet.
Datainspektionen har därefter, som tidigare redovisats, i ett särskilt projekt ("Projekt arbetslivet") tagit fram allmänna råd till skydd för arbetstagares personliga integritet vid inrättande och förande av sådana personregister i arbetslivet, vilka inte kräver Datainspektionens tillstånd. Inom ramen för projektet har också Datainspektionen utarbetat en särskild skrift med information om vilka regler som gäller för integritetsskyddet i samhället.
11.4 Utredningens tidigare ställningstaganden
Allmänna utgångspunkter
Utvecklingen av datatekniken har, som framgått av avsnitt 3.10, gjort det möjligt för arbetsgivare att på ett allt mer sofistikerat sätt samla in, lagra och bearbeta uppgifter om de anställda och deras agerande på arbetsplatsen. Användningen av sådana avancerade datorsystem har ökat kraftigt i Sverige under de senaste åren och har därigenom kommit att medföra ökade risker för otillbörligt intrång i de anställdas integritet. Utvecklingen utomlands, framför allt i USA och Japan, tyder på att dessa risker framgent kommer att bli än mer påtagliga. Behovet att uppmärksamma och överväga skydd och olika säkerhetsåt- gärder mot integritetsintrång i anställningsförhållanden måste därför anses vara stort.
Samtidigt står det klart att den nya teknologin innebär stora fördelar för verksamheten inom ett företag eller, på den offentliga sektorn, en myndighet, t.ex. i form av en bättre arbetsorganisation eller en möjlighet att bli av med monotona och trista arbetsuppgifter. Den avgörande frågan blir därför, som också betonas i kommentaren till Europarådsrekommendationen, hur man skall få till stånd en rimlig avvägning mellan fördelarna med ADB-tekniken och den anställdes befogade anspråk på att inte utsättas för otillbörliga intrång i sin personliga integritet.
Vid bedömningen av hur en sådan avvägning skall göras måste särskilt beaktas det nära samband som finns mellan datalagens regler om skydd mot otillbörligt intrång i personlig integritet vid person- registrering och medbestämmande— och arbetarskyddslagstiftningen. Parterna på arbetsmarknaden kan dessutom, inom ramen för gällande arbetsrättsliga bestämmelser, genom kollektivavtal få till stånd en ordning som tillgodoser både arbetsgivarens och de anställdas intressen i samband med att ny teknik införs på arbetsplatserna. I kommentaren till Europarådsrekommendationen anges i olika sammanhang att
SOU 1993:10 215
kollektivavtal kan vara ett lämpligt sätt att reglera de olika frågor som kan bli aktuella när ADB används på arbetsplatserna.
En annan utgångspunkt är att de särskilda materiella regler som kan behövas för personregistrering i anställningsförhållanden bör kunna anpassas till en förändring av systemet för kontroll av integritetsskyd- det, där huvudvikten lagts vid tillsyn.
Till grund för utformningen av de materiella bestämmelserna bör främst ligga Europarådets rekommendation på området. Sverige har ju ställt sig bakom rekommendationen och dess principer har beaktats när Datainspektionen har utformat sin praxis på området. Datainspektio- nens föreskrifter från år 1979 angående vissa löne— och personal— register (DIFS 1979:2) torde också i viss omfattning kunna tjäna som en utgångspunkt vid bestämmandet av innehållet i de materiella reglerna.
Inrättande av register
Då det gäller personregistrering i ett anställningsförhållande måste man till en början beakta de möjligheter som arbetstagarna och deras organisationer har att inom ramen för lagstiftningen om medbe— stämmande och arbetarskydd få information om och påverka en datorisering av arbetsplatsen och arbetsgivarnas utnyttjande av olika ADB-system, dvs. också påverka frågan om inrättande av person- register.
En stor del av den datorutrustning och de program som numera köps in av företag och förvaltningar har i många fall större kapacitet och ett större användningsområde än det omedelbara behov man vill täcka. Det innebär att tekniken ofta har inbyggda möjligheter till individuell uppföljning som inte alltid utnyttjas. Register som har inrättats för visst godtagbart ändamål kan också komma att utvecklas och användas så, att otillbörligt intrång i personlig integritet uppkommer. Datorise- rad in- och utpasseringskontroll kan t.ex. användas för registrering och uppföljning av hur de anställda rör sig inom arbetsplatsen i helt annat syfte än vad som ursprungligen avsetts.
Vid bedömningen av ett planerat datasystems effekter är det därför väsentligt att såväl företagsledning som berörd personal och dess före- trädare får verkliga möjligheter att förstå och värdera de effekter ur integritetsskyddsvinkel som kan förväntas.
Europarådets rekommendation anger också ett särskilt informations- och konsultationsförfarande när ADB-system skall introduceras eller förändras på en arbetsplats. De anställda bör känna till följderna av att införa ny teknik. De bör vara helt medvetna om tänkbara hot mot deras personliga integritet eller mänskliga värdighet (their privacy or human dignity). Om konsultationsförfarandet leder till slutsatsen att den personliga integriteten och mänskliga värdigheten kan påverkas, skall arbetsgivaren eftersträva - och om möjligt vinna - de anställdas
216 SOU l993:10
samtycke till åtgärderna. I kommentaren framhålls att kollektivavtal kan vara ett lämpligt sätt att ge uttryck för principen om information och konsultation.
Enligt 11 å medbestämmandelagen skall arbetsgivare på eget initiativ förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal, innan han beslutar om viktigare förändring av sin verksamhet. I 6 kap. 4 å arbetsmiljölagen stadgas att skyddsombud skall delta bl.a. vid planering av nya eller ändrade lokaler, anordningar, arbetsprocesser och arbetsmetoder. Arbets— marknadens parter har också möjlighet att träffa olika medbestämman- de- och utvecklingsavtal som kan få betydelse i samband med införandet av ny datorteknik på arbetsplatserna. Som nämnts anses ju i Europarådsrekommendationen kollektivavtal vara ett lämpligt sätt att reglera hithörande frågor på.
Bestämmelser som ger de anställda goda möjligheter till inflytande över införande och användning av datasystem på arbetsplatserna finns alltså redan i den nuvarande svenska ordningen, som därigenom upp- fyller de krav som uppställs i Europarådets rekommendation.
Någon anledning att, från de utgångspunkter som gäller för utred- ningens arbete, överväga att i den svenska arbetsrättsliga lagstiftningen införa ytterligare bestämmelser som rör inrättandet av datorstyrda system som sådana finns därför inte enligt utredningens mening.
Utredningen övergår därefter till att överväga frågan om behovet av särskilda materiella bestämmelser vid personregistrering på arbets- livsområdet.
De flesta arbetsgivare för i dag något slags personaladministrativt register med vissa uppgifter om sina anställda. Ett stort antal av dessa register, om inte flertalet, förs med hjälp av ADB.
Merparten av dessa personaladministrativa register innehåller inte sådana uppgifter om de anställda att registren enligt nuvarande ordning blir tillståndspliktiga, dvs. de är av mindre integritetskänsligt slag och bygger bl.a. på en naturlig anknytning mellan den registeransvarige och den registrerade. I vissa fall kan dock register som arbetsgivare inrättar innehålla sådana uppgifter av känsligt slag, t.ex. omdömen eller uppgifter om en anställds hälsa eller sjukdom, som medför att i dag även tillstånd av Datainspektionen krävs.
De känsliga uppgifter som oftast förekommer i register över anställda avser uppgifter om anställdas hälsotillstånd och omdömen om anställda, de sistnämnda även i form av s.k. prestationsmätningar.
I Europarådsrekommendationen finns ett flertal principer som särskilt behandlar uppgifter om hälsotillstånd. Sådana uppgifter får bl.a. inte samlas in från andra källor än från den anställde själv utan hans uttryckliga och informerade samtycke eller med stöd av lag. Enligt utredningens mening bör man överväga att införa uttryckliga bestämmelser om registreringen av sådana ytterst känsliga uppgifter
SOU 1993:10 217
direkt i datalagen, i första hand då en bestämmelse om uttryckligt och informerat samtycke.
Uppgifter om hälsotillstånd skall emellertid som nämnts kunna samlas in från annan än den anställde också i andra fall med stöd av lag. I den avslutande etappen av sitt arbete kommer utredningen att diskutera den avvägning mellan olika intressen som är nödvändig för att avgöra vilka känsliga uppgifter som kan tillåtas att registreras, utan att det sker ett otillbörligt intrång i den enskilde arbetstagarens integritet. I fråga om uppgifter om hälsotillstånd gör sig ett allmänt, mera övergripande intresse gällande, nämligen kravet på en bättre arbetsmiljö och mindre arbetsskador.
Vad därefter gäller registrering av omdömen om anställda, presta- tionsmätningar m.m. finns i rekommendationen ett uttalande om att uppgifter om anställdas prestationer och potentiella möjligheter skall grundas på en rättvis och hederlig bedömning och får inte formuleras på ett förolämpande sätt. Här som på andra områden ställs olika intressen mot varandra, bl.a. arbetsgivarens krav på en effektiv verksamhet, å den ena sidan, och det angelägna i att skydda den enskildes integritet, å den andra sidan. Även denna avvägning kommer utredningen att ta upp i den sista etappen av sitt arbete.
Insamling och lagring av uppgifter
Vid bedömningen av vilka uppgifter som får samlas in och lagras i ett register över anställda har man att utgå från det grundläggande ändamålet med registret, dvs. att det skall avse olika delar av ett anställningsförhållande. Insamlingen och lagringen får därför enbart avse sådana uppgifter som faller inom ramen för det ändamål för vilket registret inrättats.
Huvudregeln bör vara att personuppgifterna endast får inhämtas direkt från den enskilde arbetstagaren. Skall uppgifter inhämtas på annat sätt, bör arbetstagaren ha samtyckt till detta eller åtminstone informerats i förväg. Ett uppgiftsinhämtande från tredje man får vidare endast ske om det framstår som lämpligt eller nödvändigt. I fråga om s.k. rekryteringsregister, dvs. register med uppgifter om en arbets- sökande, bör insamlingen av information endast omfatta uppgifter som kan anses nödvändig för bedömningen av den sökandes lämplighet för arbetet.
De utgångspunkter som nu har nämnts överensstämmer med de principer som Europarådsrekommendationen innehåller.
Utlämnande av uppgifter
Ett utlämnande av uppgifter från ett av en arbetsgivare fört register till någon som står utanför företaget eller myndigheten etc. aktualiserar
218 SOU l993:10
särskilt integritetsaspekten. Möjligheterna till utlämnande till tredje man bör därför begränsas så långt som möjligt.
Enligt Europarådsrekommendationen får personuppgifter lämnas ut till myndigheter för att de skall kunna fullgöra sin myndighetsutövning endast inom ramen för arbetsgivares skyldigheter enligt lag. Vissa myndigheter, t.ex. skattemyndigheter och försäkringskassor, måste för att kunna fullgöra sina åligganden erhålla uppgifter om arbetstagarna, även om det skulle innebära ett integritetsintrång. Det bör emellertid krävas författningsstöd för att arbetsgivaren skall få lämna ut dessa uppgifter till myndigheten utan den anställdes samtycke.
Även i övrigt kan enligt Europarådsrekommendationen ett utläm- nande ske om det finns stöd i lag.
I detta sammanhang bör beaktas att reglerna i 2 kap. tryckfrihetsför- ordningen om allmänna handlingars offentlighet även är tillämpliga på ADB-upptagningar. Detta medför att myndigheters personregister är tillgängliga för allmänheten i samma utsträckning som handlingar av traditionell typ och att uppgifter om den anställdes personliga för- hållanden som myndigheten förfogar över inte rutinmässigt kan hemlighållas.
Enligt 7 kap. 11 å tredje stycket sekretesslagen (1980:100) gäller dock sekretess för uppgifter i myndighets personaladministrativa verksamhet för uppgift om enskilds hälsotillstånd och för sådan uppgift om enskilds personliga förhållanden som hänför sig till ärende om omplacering eller pensionering av anställd, om det kan antas att den enskilde eller någon honom närstående lider men om uppgiften röjs. Andra uppgifter om offentliga funktionärers personliga förhållanden, t.ex. adresser och telefonnummer till deras bostäder som myndig- heterna har tillgång till i den personaladministrativa verksamheten kan i vissa fall skyddas av sekretess. Om det kan antas att den enskilde eller hans närstående riskerar att utsättas för våld eller annat allvarligt men om en sådan uppgift röjs, skall denna enligt 7 kap. 11 å fjärde stycket sekretesslagen hållas hemlig.
En särskild fråga är om en fackförening bör ges möjlighet att få del av vissa uppgifter om sina medlemmar.
Enligt Datainspektionens nuvarande föreskrifter om vissa löne- och personalregister (DIFS 1979:2) får uppgifter lämnas ut enligt skyldig- het på grund av kollektivavtal t.ex. till semesterkassa, mätningskontor, försäkrings-, arbetsgivar- eller arbetstagarorganisation.
Europarådsrekommendationen ger även visst utrymme för de anställdas företrädare att inom ramen för villkoren i ett kollektivavtal få vissa uppgifter om de anställda utlämnade till sig. Enligt utred- ningens mening bör det mot denna bakgrund vara möjligt att i kollekti- vavtalsform reglera utlämnandet av vissa sådana uppgifter. Det bör emellertid endast vara fråga om sådana uppgifter som är nödvändiga för att den fackliga organisationen skall kunna ta tillvara de anställdas intressen (in so far as such data are necessary to allow them to
SOU 1993210 219
represent the interests of the employees). l kommentaren framhålls att utlämnandet av uppgifter om andra anställda än sådana som är med- lemmar i den fackliga organisationen endast får ske om de lämnat sitt samtycke till detta.
I andra fall än de nu nämnda och ytterligare ett fall som avser utlämnande för anställningsändamål (jfr art. 8.2.a i Europaråds- rekommendationen) bör krävas att ett utlämnande inte får ske om inte det föreligger ett uttryckligt och informerat samtycke från den enskilde anställde. Med informerat samtycke avses att den anställde får information om det tilltänkta utlämnandet och därefter lämnar sitt samtycke till åtgärden, något som också skall ske uttryckligen. Huvudregeln vid utlämnande blir alltså, liksom vid insamling av upp- gifter, att det i princip är den enskilde som disponerar över de personuppgifter som rör honom. Det kan finnas anledning att ta in denna princip i datalagen.
Insynsrätt
När en arbetsplats datoriseras är det viktigt att den anställde får insyn i de personregister som arbetsgivaren för med hjälp av ADB och som innehåller uppgifter om honom eller henne. När det gäller möjligheten att påverka inrättandet av olika registersystem har det behandlats ovan. En central bestämmelse i datalagen är stadgandet om rätten till insyn i personregister. Enligt 10 å datalagen skall den registeransvarige på skriftlig begäran av den enskilde underrätta denne om innehållet i registret, såvitt det gäller honom eller henne. Ett sådant utdrag, s.k. 10 å-utdrag, har den enskilde rätt att kostnadsfritt få en gång per år. Rätten till denna insyn förutsätter emellertid, för att den skall kunna utnyttjas på rätt sätt, att det är möjligt för den anställde att skaffa sig kunskap om vilka personregister och datasystem Som arbetsgivaren har. För att förbättra den anställdes möjligheter härtill bör därför i datalagen eller i datainspektionens föreskrifter tas in en bestämmelse som ger arbetstagaren rätt att erhålla upplysning om vilka datasystem och personregister som arbetsgivaren har. En sådan insynsrätt för den anställde har också föreslagits i rapporten Ds 1989:24 och står väl i överensstämmelse med Europarådets rekommendation om skydd för personuppgifter som används för anställningsändamål.
11.5 Remissutfallet
Ingen remissinstans är kritisk mot utredningens allmänna överväganden beträffande behandling av personuppgifter i anställningsförhållande. De remissinstanser som uttryckligen ansluter sig till utredningens överväganden är Kammarrätten i Göteborg, Universitets- och hög-
220 SOU 1993: 10
skoleämbetet, Landstingsförbundet, Sveriges Akademikers Centralorga- nisation och Sveriges Universitetslärarförbund. Landsorganisationen i Sverige och Datainspektionen framhåller att behovet är stort att uppmärksamma och överväga vilka skyddsregler som bör gälla mot in- tegritetsintrång på området.
Liksom utredningen bedömer Datainspektionen och Arbetsmil- jöfonden att anledning inte finns att föreslå några ändringar i den arbetsrättsliga lagstiftningen eller lagstiftningen på arbetsmiljöområdet.
Arbetarskyddsverket pekar på att det med anledning av den nya lagstiftningen om arbetsgivares rehabiliteringsansvar kan bli nöd- vändigt för arbetsgivare med många arbetstagare att föra egna register med integritetskänsligt innehåll och att det beträffande denna typ av personregister kan föreligga problem med informerat samtycke.
Arbetsmiljöfonden framhåller att behovet av att kontinuerligt kunna följa upp hälsotillståndet hos olika kategorier anställda och spegla detta i offentlig statistik utgör ett oavvisligt krav i folkhälsoarbetet och att långtgående registreringsmöjligheter kan visa sig angelägna oberoende av de anställdas inställning.
I likhet med utredningen anser Sveriges Industriförbund och Svenska Arbetsgivareföreningen med instämmande av Företagarnas Riks- organisation att utgångspunkten för de materiella bestämmelserna på området måste tas i Europarådsrekommendationen. Dessa remissinstan- ser pekar i sammanhanget också på Datainspektionens föreskrifter rörande löne- och personalregister (DIFS 1979:2).
Tjänstemännens Centralorganisation anser att stor försiktighet måste iakttas vid användning av ADB-teknik för att planera, kontrollera och följa upp arbetsprocessen. Enligt organisationens uppfattning kan det t.o.m. ifrågasättas om personregistrering i normalfallet bör användas för detta syfte. Organisationen framhåller att den också utgår ifrån att alla register som kan komma att inrättas för ren prestationsmätning av anställda eller för registrering av omdöme om anställda kommer att omfattas av den föreslagna anmälningsplikten.
När det gäller inrättande av personregister i arbetslivet uttalar Riksdagens ombudsmän (justitieombudmannen Hans Ragnemalm) att han i enlighet med sin grundläggande inställning är tveksam till utredningens förslag att arbetsgivare skall få inrätta även personal- register med från integritetsskyddssynpunkt mycket känsliga uppgifter - t.ex. värderande omdömen och uppgifter om hälsa och sjukdom - utan krav på tillstånd.
Datainspektionen instämmer i utredningens bedömning att ut- tryckliga bestämmelser i datalagen om förutsättningarna för registre- ring av uppgifter om hälsotillstånd bör övervägas och att sådana bestämmelser bör utformas i harmoni med Europarådsrekommendatio- nen och förslaget till EG-direktiv. Det torde enligt Datainspektionen komma att innebära att ett krav på samtycke från den enskilde blir en utgångspunkt och att det för annan registrering av hälsouppgifter krävs
SOU l993:10 221
lagstöd. Svenska kommunförbundet förklarar också uttryckligen att förbundet inte har någon erinran mot utredningens förslag att registre- ringen av anställdas hälsa eller sjukdom bör regleras direkt i datalagen.
Sveriges Industriförbund och Svenska Arbetsgivarföreningen med in- stämmande av Företagarnas Riksorganisation erinrar om att de stora problem som förekommer inom arbetslivet till stor del föranleds av statsmakternas beslut och myndigheternas ADB-användning och att de krav dessa ställer på arbetsgivarna ibland leder till integritetsintrång.
Lunds universitets juridiska fakultetsstyrelses forskningsnämnd uppger att nämnden delar utredningens uppfattning att utgångspunkten för regleringen bör vara att informerat samtycke krävs vid registrering.
Sveriges psykologförbund anser att vid registrering av uppgifter om en anställds hälsa eller sjukdom ett samtycke alltid skall inhämtas från den anställde och att registrering inte får ske utan sådant samtycke. Förbundet anser även att registrering av subjektiva omdömen eller prestationsmätningar inte i något fall bör komma i fråga.
När det gäller utlämnande av uppgifter från ett personregister delar Svenska kommunförbundet uppfattningen att utlämnande som rör organisationsmedlemmarna bör kunna ske till facklig organisation under förutsättning att uppgifterna är nödvändiga för att organisatio— nerna skall kunna tillvarata medlemmarnas intressen och att med— givande från medlemmen givits. Denna fråga är enligt förbundet av den karaktären att den inte kan regleras i kollektivavtal utan kräver lagstöd.
Sveriges Industriförbund och Svenska Arbetsgivareföreningen med instämmande av Företagarnas Riksorganisation delar utredningens mening att i fråga om utlämnande av uppgifter - liksom vid insam- lingen av uppgifter — huvudregeln bör vara " att det i princip är den enskilde som disponerar över de personuppgifter som rör honom eller henne".
Sveriges Psykologförbund anser att utlämnande av uppgifter till facklig organisation som rör organisationens medlemmar skall kunna ske utan medlemmarnas medgivande vad gäller uppgifter som lön, anställning, placering och tjänstgöringsgrad. Däremot skall enligt förbundet inte känsliga uppgifter, t.ex. uppgifter om medlemmarnas hälsa eller sjukdom, kunna lämnas ut utan den berörda medlemmens godkännande.
Flera remissinstanser uttalar att de inte har någon erinran mot att regler införs i datalagen i fråga om arbetstagares rätt att erhålla upplysning om arbetsgivarens register. Några remissinstanser ifrågasät- ter dock om inte en sådan upplysningsrätt bör åläggas registeransvariga generellt även utanför arbetslivet. Tjänstemännens Centralorganisation föreslår att en regel införs i datalagen som ger den lokala fackliga organisationen rätt att på begäran få information om vilka ADB-— register som arbetsgivaren har samt ändamålen med dessa.
222 SOU 1993: 10
Några remissinstanser betonar vikten av att de grundläggande reglerna på arbetslivsområdet får en godtagbar precision och att de tas in i datalagen.
11.6 Överväganden
Inledning
Utredningen vill till en början något beröra vissa skillnader som finns mellan Europarådsrekommendationen och förslaget till EG-direktiv när det gäller behandlingen av personuppgifter för anställningsändamål.
Enligt rekommendationen ( artikel 4.1 ) bör personuppgifter i princip hämtas in från den enskilde själv. Undantag kan göras från huvud- regeln men den enskilde skall informeras när det kan vara lämpligt att konsultera källor utanför anställningsförhållnandet. Enligt direktivför- slaget får personuppgifter behandlas bl.a om den enskilde samtycker till behandlingen eller om behandlingen är nödvändig för att fullgöra ett avtal med den enskilde ( art. 7 a och b ). Ett anställningsförhållande innefattar givetvis ett avtal mellan arbetsgivare och arbetstagare.
Såvitt gäller behandling av känsliga personuppgifter är regleringen i princip densamma i rekommendationen och i direktivförslaget. Utgångspunkten är att känsliga uppgifter får behandlas bara om de berörda enskilda har lämnat ett informerat samtycke till behandlingen. Undantag får göras men bara genom en reglering i lag eller annan författning.
Det nu sagda innebär att det i fråga om behandling av andra än känsliga uppgifter synes finnas en viss skillnad mellan Europaråds- rekommendationen och förslaget till EG-direktiv. Skillnaderna skall emellertid inte överdrivas. Även enligt rekommendationen är det ju, som har framgått, möjligt att gå utanför anställningsförhållandet för att hämta in information. Utredningen har valt att följa systematiken i direktivförslaget. Diskussionen i det följande gäller alltså bara arbetsgivarens möjligheter att för anställningsändamål behandla känsliga personuppgifter. Behandlingen av icke känsliga uppgifter följer de allmänna reglerna för personuppgiftsbehandling i 11 å förslaget till datalag.
Informerat samtycke m.m.
I sina tidigare ställningstaganden har utredningen slagit fast att det inte finns anledning att, från de utgångspunkter som gäller för utredningens arbete, överväga att i den arbetsrättsliga lagstiftningen införa ytterliga- re bestämmelser som rör behandling av personuppgifter. Under remissbehandlingen har inte heller framförts krav på ändringar i denna
SOU 1993: 10 223
lagstiftning. Tvärtom har uttalats av bl.a. Arbetsmiljöfonden att det inte finns anledning till några ändringar. Den arbetsgrupp som tillsattes inom Arbetsmarknadsdepartementet med uppgift att göra en översiktlig kartläggning av arbetsgivarnas användning har för övrigt i sin rapport (Ds 1989:24) också uttalat att reglerna för det arbetsrättsliga in— flytandet innebär en ändamålsenlig ordning när det gäller att bevaka de enskildas intresse av integritetsskydd i datalagens mening. Mot bakgrund härav vidhåller utredningen sin tidigare ståndpunkt. Den samverkan mellan arbetsgivare och arbetstagare som bör ske vid ett införande av ny datorteknik får ske inom ramen för bl.a. bestämmel- serna i medbestämmandelagen och arbetsmiljölagen. Kollektivavtal kan därvid vara ett lämpligt sätt att närmare reglera förhållandena.
I enlighet med sitt tidigare ställningstagande, bakom vilket en entydig remissopinion står, anser utredningen att en given huvudregel i en ny datalag skall vara att en arbetsgivare endast får behandla personuppgifter för anställningsändamål om berörda arbetstagare har lämnat ett informerat samtycke till behandlingen. Begreppet an- ställningsändamål avser förhållandet mellan arbetsgivare och arbets— tagare eller arbetssökande. Med informerat samtycke förstås att arbetstagaren i förväg fått del av tillgänglig information om bl.a. behandlingens ändamål och vilka personuppgifter eller slag av personuppgifter det gäller och därefter frivilligt lämnar begärda uppgifter eller medger att de inhämtas från någon annan källa.
I principen om informerat samtycke inbegrips krav på både informa- tion och samtycke. Det är därför viktigt vid utformningen av en ny datalag att hålla i sär dessa begrepp. I 16 å förslaget till datalag finns därför en särskild bestämmelse om vilken information som skall ges innan samtycke lämnas.
En fråga som uppkommer är om samtycke skall kunna lämnas genom en företrädare för en facklig organisation som en arbetstagare är ansluten till. Denna form av samtycke är svår att förena med kraven i förslaget till EG—direktiv, för såvitt inte ombudets behörighet framgår av lag eller avtal. Några sådana lagbestämmelser finns för närvarande inte förutom de allmänna familjerättsliga bestämmelserna om ställföret— rädare (förmyndare, god man och förvaltare). Som utredningen också funnit vid sina överväganden angående behandling av uppgifter för forsknings- eller statistikändamål är det däremot inte lämpligt att generellt lagfästa en rätt för en organisation att i fråga om personligt integritetsskydd företräda enskilda. Det är dock arbetstagare obetaget att genom avtal, exempelvis i en särskild klausul i ett annat an— ställningsavtal än kollektivavtal, överlåta rätten till samtycke till annan.
Även om huvudregeln skall vara att en arbetsgivare endast får behandla personuppgifter för anställningsändamål med stöd av informerat samtycke från berörda arbetstagare bör emellertid - mot bakgrund av bl.a. de skyldigheter statsmakterna ålagt arbetsgivare och det samhällsintresse som ligger i ett väl fungerande arbetsliv - vissa
224 SOU 1993: 10
undantag göras från huvudregeln. Till grund för utformningen av de materiella bestämmelserna om undantag från kravet på samtycke bör enligt utredningens tidigare ställningstagande ligga Europarådets rekommendation på området. Ingen remissinstans har heller ifrågasatt denna ståndpunkt.
Den typ av känsliga personuppgifter enligt 20 å förslaget till datalag som undantagen från informerat samtycke bör gälla är uppgifter om sjukdom eller hälsotillstånd samt uppgifter som utgör omdöme eller annan värderande upplysning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Det är i princip samma typ av uppgifter som behandlas särskilt i Europarådets rekommendation. Några andra känsliga personuppgifter torde knappast bli aktuella för behandling av en arbetsgivare för anställningsändamål.
Under följande fyra rubriker tas undantag upp som bör göras från principen om informerat samtycke vid behandling för anställnings- ändamål av den typ av känsliga uppgifter som nyss nämnts. Undanta- gen ansluter sig till Europarådets rekommendation och bör föras in i förslaget till datalag. Det bör understrykas att avsikten inte är att i datalagen reglera i vilka fall arbetsgivare skall ha rätt att få ut information om arbetstagare. Vad saken gäller är således om arbets— givaren utan att ha fått den enskildes samtycke skall få behandla personuppgifter som han på andra grunder än som anges i datalagen har fått tillgång till.
Undantag från kravet på samtycke om uppgifterna rör lämplighet för arbetet och behandlingen av uppgifterna behövs i förfarande för anställning och normalt förekommer i sådant förfarande.
Även om i princip alla personuppgifter bör inhämtas från den anställde eller arbetssökanden själv kan en arbetsgivare utan samtycke behöva behandla uppgifter som rör lämplighet för ett visst arbete samt behövs i förfarande för anställning och normalt förekommer i sådant för- farande. En sådan bestämmelse bör därför tas in i förslaget till datalag. Uppgifterna skall till en början röra lämpligheten för ett visst arbete. Den typ av uppgifter som kan komma att beröras av förevarande undantag är sådana som rör t.ex. kompetens och utbildning. Oftast är det fråga om behandling av omdömen från olika referenter, t.ex. tidigare chefer. Men också behandling av hälsouppgifter som har betydelse för lämpligheten för visst arbete kan komma i fråga. Vidare bör i anställningsförfarandet endast få behandlas sådana uppgifter som är nödvändiga för att bedöma den arbetssökandes lämplighet. Detta stämmer överens med den allmänna principen att endast sådana personuppgifter som behövs för ett visst ändamål får behandlas (se 13 å i förslaget till datalag). Anställningens art måste givetvis beaktas. Ett betydligt bredare underlag för bedömningen kan
SOU 1993: 10 225
behövas om det rör sig om anställning för en specialistbefattning än om det gäller ett mera traditionellt arbete.
Ytterligare en förutsättning bör vara att behandling av personuppgif- terna normalt förekommer i ett sådant anställningsförfarande som det är frågan om. Denna behandling tar sikte på användningen av bl.a. olika slags test. Endast sådana test som kan anses godtagbara på arbetsmarknaden för och normalt förekommer vid den aktuella typen av anställning får utan den enskildes samtycke företas genom auto- matisk databehandling.
Den föreslagna regleringen gäller bara anställningsförhållanden Ärenden om befordran inom ett företag eller en myndighet omfattas alltså inte.
För offentliga arbetsgivare finns inte någon annan grund än reglerna i 2 kap. tryckfrihetsförordningen om allmänna handlingars offentlighet för att lämna ut uppgifter som kan komma att behandlas med stöd av förevarande undantag. Sekretesslagen innehåller emellertid bestämmel- ser som starkt begränsar även offentliga arbetsgivares möjligheter att lämna ut uppgifter från sådana datasamlingar som nu är i fråga. För privata arbetsgivare torde tystnadsplikten enligt 46 å bli tillämplig.
Eftersom personuppgifter som rör arbetssökande inte behövs för sitt ändamål sedan en ansökan om anställning har avslagits, bör en uttrycklig bestämmelse om gallring föras in i förslaget till datalag för denna situation. Kan den arbetssökande komma i fråga för annan anställning hos arbetsgivaren bör emellertid framgå att gallring får ske vid senare tidpunkt, om den arbetssökande lämnar sitt samtycke på visst sätt.
Undantag från kravet på samtycke om uppgifterna rör den anställdes sjukdom eller hälsotillstånd och behandlingen av uppgifterna behövs inom företagshälsovården eller i övrigt för sådan rehabiliteringsverk- samhet som föreskrivs i lag.
Som framgått ovan styrdes företagshälsovårdens verksamhet främst genom de avtal som träffats mellan arbetsmarknadens parter. I avtalen angavs riktlinjer för företagshälsovårdens organisation och arbetsupp- gifter. Huvudavtalet har numera upphört att gälla.
1 större företag, landsting och kommuner finns i regel "inbyggd" företagshälsovård. Små och medelstora företag har slutit sig samman och bildat företagshälsovårdscentraler. Oftast bildar intressenterna en ekonomisk förening eller stiftelse som direkt eller via ett aktiebolag driver centralen.
I 3 kap. 2 å arbetsmiljölagen anges att arbetsgivare skall föranstalta om företagshälsovård i den omfattning verksamheten kräver, om arbetsförhållandena påkallar detta. Med stöd av bestämmelsen kan vidare yrkesinspektionen i enskilda fall förelägga en arbetsgivare att ansluta sina anställda till företagshälsovård. Bidragssystemet för
226 SOU 1993:10
företagshälsovården hade till syfte att stimulera till förebyggande arbetsmiljöarbete och förbättra anslutningen av små och medelstora företag till företagshälsovården.
I propositionen 1990/91:140 om arbetsmiljö och rehabilitering betonades företagshälsovårdens avgörande betydelse för ett framgångs- rikt rehabiliteringsarbete. Vid riksdagsbehandlingen betonades också det viktiga i att utbyggnaden av företagshälsovården fortsätter.
Av det sagda framgår att företagshälsovården har ett stort allmänt intresse. Mot bakgrund härav bör, även om företagshälsovården skall ske på frivillig grund, finnas en möjlighet för arbetsgivare att utan samtycke från anställda behandla personuppgifter om uppgifterna rör den anställdes sjukdom eller hälsotillstånd och behandlingen av uppgifterna behövs inom företagshälsovården. Den yttre ramen för behandlingen är alltså vad som krävs för att arbetsgivaren skall kunna föranstalta om den företagshälsovård som verksamheten kräver. I sammanhanget bör framhållas att bestämmelsen inte reglerar arbets- givarens möjlighet att få tillgång till hälsouppgifter från den anställde eller från annat håll utan enbart möjligheten att databehandla de uppgifter som han på den ena eller andra grunden har fått tillgång till.
I det föregående har redovisats att från den 1 januari 1992 arbets- givarnas skyldigheter i samband med arbetstagares sjukdom har utvidgats.
Genom en ändring i lagen om allmän försäkring har införts regler om ansvar för arbetslivsinriktad rehabilitering och om ekonomisk ersättning vid sådan rehabilitering. Enligt de nya bestämmelserna skall arbetsgivaren svara för att behovet av rehabiliteringsåtgärder utreds när den anställde på grund av sjukdom har varit borta från arbetet längre än fyra veckor i följd, när den anställde haft upprepade korta sjukfall eller när den anställde själv begär det. En sådan rehabiliteringsutred— ning skall ske i samråd med den anställde. Utredningen skall ge- nomföras och tillställas försäkringskassan inom viss bestämd tid. Arbetsgivaren svarar vidare för att sådana arbetsinriktade rehabilite- ringsåtgärder vidtas som kan genomföras inom eller i anslutning till den egna verksamheten.
I förarbetena till ändringen i lagen om allmän försäkring uttalade departementschefen bl.a. att information om orsaken till sjukfrånvaron, t.ex. sjukdomsdiagnos, borde arbetsgivaren kunna få tillgång till enbart med den försäkrades samtycke och att hon utgick från att ett sådant samtycke i normala fall kommer att lämnas av den försäkrade. Departementschefen var inte beredd att föreslå en rätt för arbetsgivaren att få tillgång till de uppgifter om den anställdes sjukdom som finns i det läkarintyg som den försäkrade skall lämna till försäkringskassan.
Enligt ändringar i arbetsmiljölagen har arbetsgivaren vidare en skyldighet att systematiskt planera, leda och kontrollera arbetsmiljön, att utreda arbetsskador och vidta de åtgärder som behövs för att följa
SOU 1993: 10 227
upp dessa och att upprätta handlingsplaner för de åtgärder som inte kan vidtas genast.
Av det sagda framgår att arbetsgivares lagstadgade rehabiliteringsan- svar på motsvarande sätt som när det gäller företagshälsovården har ett stort allmänt intresse. I förslaget till datalag bör därför föras in ett motsvarande undantag från kravet på samtycke som det som föreslås beträffande företagshälsovården. Även om en arbetsgivare som framgått enbart bör kunna få tillgång till information om orsaken till sjukfrånvaro, t.ex. sjukdomsdiagnos, med den anställdes samtycke, bör han inte vara beroende av den anställdes medverkan för att kunna databehandla dessa uppgifter om behandlingen behövs för att han skall kunna leva upp till sitt rehabiliteringsansvar. Vidare torde det omfattande rehabiliteringsansvar som ålagts arbetsgivare innebära att arbetsgivare även utan den anställdes samtycke har behov av att behandla andra uppgifter som rör den anställdes hälsotillstånd än uppgift om orsaken till sjukfrånvaro. För att bedöma behovet av rehabiliteringsinsatser torde t.ex. uppgifter om sjukskrivningsmönster behöva behandlas. Förekomsten av psykosomatiska reaktioner av olika slag som har koppling till sjukfrånvaro kan det också finnas anledning att notera.
Det bör framhållas att det nu föreslagna undantaget från kravet på samtycke är tänkt att behöva tillämpas i mycket ringa omfattning. Som framhålls i förarbetena till de lagändringar som rör arbetsgivares rehabiliteringsansvar bör rehabiliteringsverksamheten bedrivas i mycket nära samråd med den anställde, eftersom det är en genom- gående erfarenhet att individens intresse och medverkan behövs för att en rehabilitering skall lyckas. Det finns knappast någon anledning tro att de anställda skulle motsätta sig att arbetsgivaren använder ADB för att på ett ekonomiskt och rationellt sätt sköta administrationen av rehabiliteringsverksamheten.
Avslutningsvis bör pekas på att de föreslagna undantagen under förevarande rubrik ligger i linje med Europarådets rekommendation på området. Av rekommendationen framgår nämligen att medicinska uppgifter med stöd av lag eller annan författning får behandlas även utan den anställdes uttryckliga och informerade samtycke.
Undantag från kravet på samtycke om uppgifterna rör den anställdes arbetsinsatser och behandlingen av uppgifterna oundgängligen och uteslutande behövs för beräkning av lön eller annan ersättning eller för kontroll, uppföljning eller utveckling av arbetsgivarens produkter eller tjänster.
För beräkning av lön har som framgått av avsnitt 3.10 arbetsgivare olika system såsom personaladministrativa system innefattande datasamlingar för bl.a. löneberäkningar och flextidssystem. Både tillverkningsindustrin och tjänsteproduktionen har också i ökad
228 SOU l993:10
utsträckning börjat att införa system för materialhantering, planering och produktionskontroll. Det finns i dag tekniska förutsättningar att behandla stora mängder information om de olika delarna av arbetspro- cessen och därmed också uppgifter om de enskilda arbetstagarna. Datasamlingar kan t.ex. användas på ett sådant sätt att samman— ställningar avseende individuell utdebiteringsgrad eller beläggningsgrad avspeglar individuella arbetsprestationer.
Datainspektionen har i föreskrifter förbjudit att sammanställningar beträffande individuell utdebiteringsgrad eller beläggningsfördelning, dvs. fördelningen mellan debiterbar respektive inte debiterbar arbetstid, utnyttjas förindividuella prestationsmätningar. Datainspektio— nen har vidare inte ansett det godtagbart att uppgifter som har samlats in för tidsplanering av produktionen eller för kvalitetbedömning av telefonintervjuer används vid löneförhandlingar. Samma synsätt gäller när uppgifter som har samlats 111 för kontroll av in— och utpassering och behörighetskontroll används i annat sammanhang än där de naturligen hör hemma. Enligt Datainspektionens praxis beträffande tillståndsfria register är det således inte godtagbart att mäta individuella prestationer annat än för att räkna ut lön (t.ex. ackordslön). Order—, lager- eller faktureringsregister, där varje order eller åtgärd noteras med en signatur, får därför inte användas för att kontrollera arbets- tagarnas effektivitet eller prestation. För att kunna åstadkomma en effektiv produktion krävs emellertid ofta en behandling av uppgifter om hur många arbetsmoment en arbetstagare utför per tidsenhet. Ändamålet är alltså att effektivisera produktionen men behandlingen gör det också möjligt att mäta arbetstagarnas prestation. En sådan utvidgning kräver enligt gällande praxis Datainspektionens tillstånd. (Uppgifterna om Datainspektionens praxis har hämtats från inspektio— nens skrift Personregister i arbetslivet.)
Enligt Europarådsrekommendationen skall behandling av personupp- gifter som avser omdömen om anställdas prestationer och potentiella möjligheter på arbetsplatsen grundas på en rättvis och hederlig bedömning och får inte vara formulerade på ett förolämpande sätt.
I enlighet med de möjligheter som Datainspektionens praxis medger i dag bör enligt utredningens mening ett undantag från kravet på samtycke föras in i datalagen som innebär att arbetsgivare får behandla uppgifter om uppgifterna rör den anställdes arbetsinsatser och behandlingen av uppgifterna oundgängligen och uteslutande behövs för beräkning av lön eller annan ersättning eller för kontroll, uppföljning eller utveckling av arbetsgivarens produkter eller tjänster. 1 kravet på "oundgängligen behövs" ligger att arbetsgivaren inte får behandla uppgifter på individnivå om det är tillräckligt med en behandling på arbetslagsnivå. Även i övrigt skall arbetsgivaren i första hand söka tillgodose de angivna syftena med andra lösningar än behandling av uppgifter om individuella prestationer. Av formuleringen framgår också uttrvckligen att syftet med behandlingen skall hänföra sig till
SOU 1993: 10 229
löneberäkning m.m. Behandlingen får alltså inte t.ex. syfta till en kontroll av de enskilda arbetstagarna.
I detta sammanhang skall påpekas att personuppgifter skall gallras då uppgifterna inte längre behövs med hänsyn till de ändamål för vilka de behandlas (19% första stycket förslaget till datalag). Ändamålet utgör således utgångspunkten för bedömningen av när uppgifter skall bevaras eller gallras. lntegritetsintressen talar generellt för att uppgifter bör gallras så snart som möjligt. Vissa typer av personuppgifter blir snabbt inaktuella och den anställde har alltid rätt att bli bedömd utifrån så fullständiga och aktuella uppgifter som möjligt. Vad nu sagts gäller i hög grad uppgifter som behandlas med stöd av förevarande förslag till undantagsbestämmelse.
Undantag från kravet på samtycke om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning.
Arbetsgivare, inom såväl offentlig som privat sektor, är enligt ett flertal författningar skyldiga att lämna ut uppgifter om sina anställda till olika myndigheter m.m. Arbetsgivare inom den offentliga sektorn kan vidare vara skyldiga att lämna ut uppgifter enligt 2 kap. tryck- frihetsförordningen om allmänna handlingars offentlighet.
Enligt Europarådsrekommendationen får personuppgifter lämnas ut till myndigheter för att de skall kunna fullgöra sin myndighetsutövning endast inom ramen för arbetsgivares skyldigheter enligt lag eller annan författning. Även i övrigt kan enligt rekommendationen ett utlämnande ske om det finns stöd i lag eller annan författning.
I förslaget till datalag bör föras in en uttrycklig bestämmelse om att arbetsgivare även utan samtycke får behandla de nu berörda känsliga uppgifterna, om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning. En motsvarande bestämmelse för andra, icke känsliga uppgifter finns i ll & första stycket 3 förslaget till datalag.
Information till de anställda m.m.
I de fall som undantag kan göras från kravet på samtycke bör enligt utredningens mening krävas att uppgifterna inte får behandlas förrän den anställde eller arbetssökande informerats. En bestämmelse av förevarande slag bör därför tas in i förslaget till datalag. Bestämmelsen bör dock inte omfatta sådana fall då behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning. Genom informationen ges de berörda möjlighet att få vetskap om behandlingen och kan därigenom utnyttja sin rätt till insyn (25å förslaget till datalag). Den nu föreslagna ordningen stämmer överens med vad som gäller enligt Europarådsrekommendationen.
230 SOU 193110
En motsvarande informationsskyldighet bör i princip föreligga i förhållande till den enskildes fackliga företrädare. En sådan under- rättelseskyldighet får anses ligga inom ramen för vad som är vederta- get på den svenska arbetsmarknaden. I olika sammanhang har också uttalanden gjorts av innebörd att kollektivavtal skall kunna användas för att uppfylla EES—krav som gäller arbetsmarknaden. EES—utskottet underströk i sitt betänkande 1992/93zEU1, Europeiska ekonomiska samarbetsområdet att Sveriges strävan måste vara att vinna gehör för principen att svenska kollektivavtal skall, när så är lämpligt och i linje med vår arbetsrättsliga tradition, kunna användas för att uppfylla kraven i EES-regler som berör arbetsmarknaden. I denna strävan ingår enligt utskottet att säkerställa enskildas rättsställning på samma sätt som skett i den svenska arbetsrätten. I tilläggsdirektiv (Dir. 1992:109) till 1992 års arbetsrättskommitté (A 199l:05) beslutade regeringen att kommittén i sitt arbete skulle utgå från att kollektivavtal även i framtiden kommer att spela en betydelsefull roll för att reglera förhållandet mellan arbetstagare och arbetsgivare. Mot denna bakgrund borde kommittén, enligt tilläggsdirektiven, också utgå från att de kollektivavtalsbärande parterna även fortsättningsvis måste tillerkännas särskilda rättigheter och skyldigheter.
I sina tidigare ställningstaganden har utredningen ansett att en bestämmelse borde föras in i datalagen som gav arbetstagaren rätt att erhålla upplysning om vilka datasystem och datasamlingar som arbetsgivaren har. Genom den bestämmelse som nu föreslås finns enligt utredning inget behov av en sådan bestämmelse.
Förslaget till EG-direktiv
I det föregående har utredningen föreslagit att vissa undantag från kravet på samtycke skall tas in i den nya datalagen när det gäller behandling av känsliga personuppgifter för anställningsändamål. Undantagen ligger inom den ram som Europarådsrekommendationen anger.
En fråga som uppkommer är hur dessa undantagsbestämmelser förhåller sig till förslaget till EG-direktiv. Enligt direktivförslaget är en behandling av personuppgifter laglig bara om den sker i över- ensstämmelse med de grundläggande reglerna för behandling av personuppgifter som finns i kapitel II (art. 5 första stycket). Vad medlemsstaterna får göra, inom ramen för bestämmelserna i kapitel II, är att mera precist ange de omständigheter under vilka behandling av personuppgifter får ske (art. 5 andra stycket). I kommentaren framhålls att sådana preciseringar alltid måste ske inom ramen för bestämmelser— na i kapitel II och att de inte får hindra det fria flödet av information inom EG-området.
Enligt huvudregeln i artikel 8 skall medlemsstaterna förbjuda be— handling av känsliga uppgifter. Medlemsstaterna får dock tillåta sådan
SOU l993:10 231
behandling om, förutom när samtycke lämnas, viktiga allmänna intressen talar härför genom en reglering i lag eller annan författning (art. 8 3.). En sådan reglering skall ange vilka slag av uppgifter som får behandlas, till vem sådana uppgifter får lämnas ut och vem som får vara persondataansvarig samt innehålla lämpliga säkerhetsbestämmel- ser. Enligt utredningens mening är ett väl fungerande arbetsliv i sig ett viktigt allmänt intresse. Uppfyllandet av de av statsmakterna ålagda skyldigheterna för arbetsgivare har givetvis ett direkt allmänt intresse.
Av det sagda framgår att utredningens förslag till lagreglerade undantag från kravet på informerat samtycke, när det gäller behandling av känsliga personuppgifter för anställningsändamål, torde ligga inom ramen för förslaget till EG-direktiv. I fråga om utlämnande av uppgifter med stöd av offentlighetsprincipen torde dock bestämmelsen i 33 5 4 bara i formell mening falla inom ramen för direktivförslaget. I denna del kan hänvisas till avsnitt 5.4 och vad som där sägs om artikel 7.c i direktivförslaget och 11 5 första stycket 3 förslaget till datalag. Regleringen i 32 - 35 åå om behandling av känsliga uppgifter för anställningsändamål innehåller vidare inte några bestämmelser om vem som får ha tillgång till uppgifterna, vilket krävs enligt artikel 8.3 i direktivförslaget.
IwWWHuNumwlmmq-i
lamm.!!- MMIInIllmlw-wmn um anamma. nu 1111... muut-|| nh kuuluu nu utbud!-mmm.. Ehuru [Iwumhmmmm nu 51131 WMMIHIHM mum—Iduniu-
Wunam-
l.#thrwmum-imm Irma-lp: immun 1111 m .nu—Illumnmiu Mar mml- NLHE! nanm-lll II "mms-iw. Hum-lm han innan 1.11 ut nu mamman-inn rull"
Bull-lp nu min-m=. 1. i'mr-lil wit—w ful!-law ilu vill *Mna! lll-l EU dmlwn mm mama-iw !: mimm—WMMMm ”MIM- uunnumm md nu» pump-u- rig-uu. u: undan-u ||- Prralwmniu-nmh ull—LW l? l..-ll ä lll-Inn Ful-ull "En! mudlmnnnmvul uu Ian-, mum run..- Mrttmum : tim-tu, b m.m-w gamlarutan HW uta-111111. lill-mihin w unumnuultu-r Hu- alu 'l'l! :i um nu.-hm ] kummin.-rn Milli-ll ull s-hlunwudtnwulllilmh_t Immmrkulmiumili— lll 1 wwlluuush iu murni- muahh I'lell" immun ullm'Fl muut!
F'Jil'l llm'wlll'u'rh- ' IHMI || lla-IJ udi-wmr- Hjul! h:- *lmuillmig uf Hanky ww I'll-|. Modin-m' :"r :l-rf-L lll-115 ddl'i
SOU 1993: 10 233
12 Vem är ansvarig för behandlingen av personuppgifter?
12. l Gällande rätt
Registeransvarig är enligt 1 & datalagen "den för vars verksamhet personregister förs, om han förfogar över registret". Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. Med att förfoga över ett register avses närmast en befogenhet att överföra registrets innehåll till läsbar form. En registeransvarig måste också kunna påverka innehållet i registret genom att tillföra uppgifter eller ändra de uppgifter som ingår i registret för att förfoga över det.
Departementschefen anförde i specialmotiveringen till l ä i denna del bl.a. följande (prop. 1973:33 s. 119 f).
Definitionen av uttrycket registeransvarig bör utformas så, att man utesluter dels servicebyråer och andra som helt osjälv- ständigt handhar bearbetningen av ett register, dels sådana som använder sig av registret utan att kunna bestämma om dess innehåll. Med hänsyn härtill anser jag att med registeransvarig bör avses den för vars verksamhet personregister förs, om han förfogar över registret. Begreppet förfogande bör därvid ges samma innebörd som i de föreslagna bestämmelserna i 2 kap. 2 & tredje stycket och 9 & första stycket TF. Den nu berörda regeln bör tillämpas på sådant sätt att alltid någon kan konstateras vara registeransvarig. Givetvis bör såväl fysiska som juridiska pgrsoner kunna vara registeransvariga. Aven myndigheter bör
nna falla under begreppet registeransvarig, fastän de inte är att anse som självständiga juridiska personer.
Som har påpekats under remissbehandlingen förekommer det inte sällan att ett visst datasystem inrättas och förs för flera myndigheters eller organisationers räkning. I sådant fall blir varje myndighet eller organisation att anse som registeransvarig, under förutsättning att myndigheten eller organisationen kan bestämma över registerinnehållet eller någon del av detta. I en sådan situation åligger det var och en av myndigheterna eller organisa- tionerna att ansöka om tillstånd beträffande registret. Uppen- barligen föreligger emellertid inte något hinder att ge ln en gemensam ansökan eller att låta ett särskilt organ ansöka om tillstånd för de registeranvarigas räkning.
De omnämnda förslagen till 2 kap. 2 & tredje stycket och 9 & första stycket TF avsåg närmast ändringar varigenom TF i vissa delar gjordes
234 SOU 1993: 10
tillämplig också på ADB—upptagningar. I denna del anfördes i lagstift- ningsärendet bl.a. (prop. 1973:33 s. 77).
Emellertid kan man, när det gäller upptagningar, inte helt och hållet nöja sig med den nu berörda huvudregeln, dvs. att en upptagning är allmän när den förvaras hos myndighet. Som har påpekat(s) förekommer det att databehandling utförs för myndigheters räkning vid privata företag eller andra organisatio- ner som inte är att anse som myndigheter i TF:s mening. En upptagning som har kommit in till eller upprättats hos ett sådant företag e.d. och som används i en myndighets verksamhet bör givetvis inte vara undandragen offentligheten. Huvudregeln om när upptagningar skall anses allmänna bör därför kompletteras med en regel om att upptagning skall anses förvarad hos myndig- het och därmed betraktas som allmän även i fall då den har kommit in till eller upprättats hos annan än myndighet, under förutsättning att myndighet förfogar över upptagningen. Den nu förordade regeln bör föras in i 2 kap. 2 & TF.
Frågan i vad mån en myndighet förfogar över up tagning som finns hos ett privat företag e.d. får avgöras med le ning av bl.a. de avtal som har träffats mellan myndigheten och företaget. För att en myndighet skall anses förfoga över en ADB-upptagning bör det normalt förutsättas att myndigheten ha rätt att föra över upptagningen till visuellt läsbar form. En sådan överföring kan ske genom att myndigheten har en terminal e.d. som är kopplad till den privata dataanläggningen. På samma sätt bör man, när det gäller upptagningar som kräver tekniskt hjälpmedel för att kunna avlyssnas, förutsätta att myndigheten kan föra över upptagningen till avläsningsbar form.
Myndighetsbegreppet spelar en central roll för bedömning av begreppet registeransvarig inom den offentliga sektorn.
Regeringsformen skiljer mellan två slag av offentliga organ, dels beslutande församlingar såsom riksdagen, kyrkomötet, kommun- fullmäktige, landsting och kyrkofullmäktige, dels myndigheter. De senare utgörs av regeringen, domstolarna och förvaltningsmyndigheter- na. Regeringsformens myndighetsbegrepp används även vid till- ämpning av tryckfrihetsförordningen och sekretesslagen. Även vid tolkning av datalagen anses samma avgränsning av begreppet myndig- het kunna göras. (En utförlig redovisning av myndighetsbegreppet finns i Hellners-Malmqvist, Nya förvaltningslagen med kommentarer, 1989, s. 38 ff.)
I praxis har vissa svårigheter uppstått när det gällt att bestämma huruvida en kommunal eller statlig organisatorisk enhet utgör en egen myndighet eller ingår i en annan myndighet.
Staten och kommunen är juridiska personer och som sådana bärare av civilrättsliga rättigheter och skyldigheter, medan de statliga eller kommunala myndigheterna som regel inte anses vara juridiska personer.
I praxis har det inte förekommit att staten som sådan ansetts registeransvarig. För kommunernas del har det förekommit att
SOU 1993: 10 235
inspektionen ansett en kommun eller en landstingskommun vara registeransvarig. I två fall har regeringen dock ansett att ansvaret åvilat en berörd nämnd i stället (dnr 325-83 och 360—83). Numera föreskrivs i de av Datainspektionen fastställda verkställighetsföreskrifterna på området att de kommunala nämnderna är ansvariga (se DIFS l990:2).
I fråga om statens löneuträkningssystem (det s.k. SLÖR-registret) har en del myndigheter hävdat att de inte förfogar över det i datalagens mening. Enligt regeringens uppfattning anses dock myndigheterna förfoga över registret och vara registeransvariga, då de själva eller genom annan kan gå in i registret och förse det med uppgifter och därmed påverka innehållet i det till någon del.
Liknande problem som finns när det gäller avgränsningen inom den offentliga sektorn finns även inom den privata. Inom koncern- och andra bolagsbildningar kan det ibland vara svårt att fixera registeran- svaret.
12.2 Europarådets konvention
Enligt Europarådskonventionen (art. 2.d) är en registeransvarig (controller of the file) den fysiska eller juridiska person, offentlig myndighet eller företrädare eller något annat organ som i enlighet med inhemsk lag är behörig att besluta vad ändamålet med det automatiska dataregistret skall vara, vilka slags uppgifter som skall lagras i det och vilka operationer som skall utföras med dem.
12.3 Förslaget till EG—direktiv
I förslaget till EG-direktiv (art. 2.d) definieras den ansvarige ("control- ler") som fysisk eller juridisk person, offentlig myndighet eller annat organ som behandlar eller låter behandla personuppgifter och som bestämmer ändamålet med och målet för behandlingen, vilka person- uppgifter som skall behandlas, vilka behandlingar som skall utföras med uppgifterna och vilka utomstående som skall få tillgång till uppgifterna.
Direktivet laborerar i detta sammanhang med ytterligare en definition. Den fysiska eller juridiska person som för den ansvariges räkning (on behalf of the controller) behandlar personuppgifter benämns "processor" (art. 2.e).
Den ansvarige åläggs i artikel 24.1 att, när annan utför behandling för den ansvariges räkning, tillse att nödvändiga säkerhetsarrangemang och organisatoriska åtgärder vidtas. Vid valet av medhjälpare vid behandlingen (processor) skall den ansvarige försäkra sig om att tillfredsställande garantier lämnas med avseende på säkerhet och
236 SOU l993:10
organisation. Medhjälparen (the processor) får endast utföra sådan behandling av personuppgifter som finns angivet i hans avtal med den ansvarige och han får inte ta emot instruktioner från någon annan än den ansvarige. Medhjälparen är skyldig att följa de nationella bestämmelser som antagits i enlighet med direktivet (art. 24.2).
Det kontrakt som upprättas mellan den ansvarige (the controller) och medhjälparen (the processor) skall vara skriftligt. Kontraktet skall särskilt ange att personuppgifter endast med den ansvariges med- givande får lämnas ut till tredje man av medhjälparen eller dennes anställda (art. 24.3).
12.4 Utredningens tidigare ställningstaganden
Begreppet registeransvarig är av grundläggande betydelse, eftersom de rättigheter och skyldigheter som anges i integritetsskyddshänseende knyts till, förutom den registrerade enskilde, den registeransvarige. Utredningen har föreslagit att begreppet personregister ersätts med "persondatamängd". I konsekvens härmed bör fortsättningsvis "registeransvarig" kallas "persondataansvarig".
Det förefaller som om den nuvarande avgränsningen, med krav på "förfogande" (se avsnitt 11.1), närmast vållar tillämpningssvårigheter inom den offentliga sektorn. På den privata sidan är det naturligare att koppla ansvaret till den juridiska eller fysiska person som på ett eller annat sätt har beslutanderätten och den operativa kontrollen över persondatamängden. Men även där finns avgränsningsproblem inom exempelvis koncernbildningar. På den offentliga sidan, där staten och kommunerna som juridiska personer har ett övergripande civilrättsligt ansvar men verksamheten bedrivs av mer eller mindre självständiga myndigheter, är bilden dock mera komplicerad.
Myndighetsbegreppets tolkning vad avser rätten till offentliga handlingar har i praxis till synes kommit att styra avgränsningen. Ett krav på möjlighet att påverka innehållet (förfoga) i det finns emellertid som framgått. Det är närmast fråga om att i rättslig mening förfoga över innehållet. Ett faktiskt förfogande är således som regel inte tillräckligt. Det innebär att exempelvis servicebyråer och andra som osjälvständigt handhar bearbetning av ett register inte är att anse som registeransvariga. Genom att persondataansvarighets- och myndig- hetsbegreppen numera har likställts i praxis har vissa fördelar uppnåtts. Det innebär att den persondatamängd som förekommer och används inom en myndighets område också är myndighetens ansvar som sådan, oberoende av hur den operativa kontrollen i myndigheten är ordnad.
En annan möjlighet, om inte nuvarande definition bibehålls, är att knyta persondataansvaret hårdare till den som har den yttersta bestämmanderätten över och kontroll av ett informationssystem. I
SOU l993:10 237
direktiven pekas på möjligheten att utse en som ensam ansvarig för ett informationssystem, trots att andra användare har tillgång till systemet och förfogar över detta helt eller delvis.
Valet skulle således närmast stå mellan något av följande tre alternativ: * nuvarande ordning, dvs. med ett visst krav på förfogande över en persondatamängd och möjlighet till delat ansvar, * ett exklusivt persondataansvar för en "huvudanvändare" i fleran- vändarsystem, * en uttunning av kravet på förfogande, så att redan användningen konstituerade ansvar, vilket också skulle innebära flera ansvariga för olika delar av ett och samma system. Vilket av alternativen som väljs bör ses i ljuset av de konsekvenser det medför för såväl den vars personuppgifter det gäller som den persondataansvarige.
Särskilt tre omständigheter kommer därvid i förgrunden. Det gäller dels rätten att få insyn i och underrättelse om förekomsten av personuppgifter (jfr 10 & nuvarande datalag), dels den därmed sammanhängande rätten till rättelse av oriktiga och missvisande uppgifter. Till dessa två för den enskilde väsentliga faktorer kommer den persondataansvariges skyldighet att ersätta den skada som den enskilde kan ha tillfogats genom att en persondatamängd innehåller oriktig eller missvisande uppgift.
Nuvarande ordning tillmötesgår i så måtto den persondataansvarige, att dennes ansvar för felaktiga eller missvisande uppgifter kan sägas svara mot kravet på förfogande, samtidigt som den enskilde i de flesta fall inte behöver missta sig i fråga om mot vem anspråk på under— rättelse om innehållet i en persondatamängd skall riktas.
I de fall exempelvis en myndighet, med vilken den enskilde har kontakt, i sin verksamhet använder en persondatamängd, utan att myndigheten kan sägas förfoga över uppgifterna däri, föreligger dock inte någon rätt till insyn, underrättelse eller rättelse enligt datalagen. (Rätt till insyn kan dock givetvis föreligga enligt reglerna om hand- lingsoffentlighet i tryckfrihetsförordningen och sekretesslagen.) Den enskilde är hänvisad att vända sig till den som kan utpekas som ansvarig. Det kan naturligtvis inträffa att felaktig hänvisning görs eller att oklarhet råder mellan flera myndigheter om vem som är personda- taansvarig till förfång för den enskilde.
Om ansvaret i stället lades på den myndighet i vars verksamhet upp- gifterna användes, oberoende av var kontrollen eller förfogandet i övrigt låg, skulle den enskildes rättigheter i detta hänseende bli bättre tillgodosedda.
Den enskilde skulle kunna vända sig till myndigheten med begäran om underrättelse om innehållet i persondatamängden för egen del och därigenom få möjlighet att påtala eventuella felaktigheter.
238 SOU 1993le
Om myndigheten i fråga inte förfogar över uppgifterna, fick för myndigheten i författning föreskrivas en skyldighet att medverka till att rättelse sker. I de fall försummelse förelåg, skulle skadeståndsan- svar föreligga för den persondataansvariga myndigheten. Skadestånds— kravet skulle således tunnas ut från nuvarande ordning med s.k. strikt ansvar, dvs. ett ansvar oberoende av försumlighet, till ett ansvar för vårdslöshet (culpa). En sådan ordning för skadeståndsansvaret vore att föredra framför att föreskriva ett strikt ansvar i de fall den personda— taansvarige inte kan förfoga över uppgifterna och således påverka dess innehåll. Ingenting hindrar emellertid, om skyddet för den enskilde ytterligare skulle behöva förstärkas, att den ansvarige även i de fallen hade ett strikt ansvar men gavs möjlighet att i ett fleranvändarsystem eller annars regressvis få ersättning av den som orsakat en felaktig eller missvisande personuppgift i en datamängd.
Förutom att skadeståndsaspekten bör beaktas i en ordning, där persondataansvaret läggs på den i vars verksamhet en persondatamängd förekommer, bör ansvaret inskränkas till att omfatta endast den del av ett informationssystem som ingår i verksamhetsområdet. Det ändamål som styr användningen av en viss datamängd bör härvid kunna användas för att avgränsa ansvarsområdet i ett fleranvändarsystem.
En utveckling mot ett alternativ där förfogandebegreppet inte tillmäts samma betydelse för ansvaret kan sägas i huvudsak gynna den enskilde och ge flera dataanvändare ett ansvar som de idag saknar.
Det återstående alternativet, nämligen att knyta ansvarighetsbe- greppet hårdare till det företag eller myndighet som har den operativa kontrollen över ett fleranvändarsystem, dvs. en centralistisk modell, har en nackdel, eftersom den enskilde måste veta vem som har det rättsliga ansvaret för uppgifterna. Det räcker inte att vända sig till den myndighet eller företag där uppgiften använts. Ytterligare information kan behövas. Som nämnts kan därvid svårigheter uppstå när det gäller att klara ut vem som har ansvaret för att rättelser genomförs.
En sådan ordning har dock uppenbara fördelar. Dels läggs ansvaret för personuppgifternas riktighet på den som har möjlighet att faktiskt påverka innehållet, dels kan skadeståndsansvaret härigenom också göras strikt gentemot den skadelidande enskilde.
I samband med inrättandet av en ordning för summarisk process, dvs. mål om betalningsföreläggande och handräckning, hos kronofog- demyndigheterna med hjälp av ADB—teknik har den enskildes rättig- heter i detta hänseende lett till en lösning, där såväl Riksskatteverket som den berörda kronofogdemyndigheten tillagts ett fullständigt registeransvar, trots att Riksskatteverkets befattning med målen varit begränsad (se SFS l99lz876, prop. 1990/91:126, LU34, rskr. 332). Med hänsyn till den förfoganderätt över register som Riksskatteverkets befattning innebär var det enligt departementschefen nödvändigt att ålägga verket ett registeransvar i datalagens mening för kronofog- demyndigheternas register (se prop. 1990/91:126 s. 67 f).
SOU 1993: 10 239
Utvecklingen mot alltmer integrerade informationssystem gör att antalet olika användare ökar. Det är exempelvis vanligt att vissa offentliga register utnyttjas efter avtal med bl.a. banker och näringsid- kare. Den information som finns i exempelvis register över före- tagsinteckningar och fastigheter kan genom datakommunikation direkt användas för bl.a. beslut om kreditgivning. På motsvarande sätt kan uppgifter i folkbokföringsregister, det centrala bilregistret eller i värde- papperscentralens register komma till användning i skilda sammanhang genom sammankoppling mellan olika delanvändare. I inget fall behöver användaren ha möjlighet att påverka innehållet i persondatamängden. I konsekvens med vad utredningen ansett i fråga om personregisterbeg- reppet skulle dock för användarens del en persondatamängd föreligga redan genom den möjlighet som finns att ta fram personuppgifter för ett visst ändamål genom ADB. Om redan användning av en sådan persondatamängd skulle grunda persondataansvar skulle en avsevärd utvidgning ske i förhållande till nuvarande regler.
Förslaget till EG-direktiven anger att den som har rätt att lämna tredje man tillgång till registret är registeransvarig. Samtidigt förutsätts på denna punkt att den registeransvarige beslutar om användnings- ändamål, vilka slag av personuppgifter som skall lagras och vilka operationer som skall utföras med dem. Ordalydelsen ger närmast vid handen att rekvisitet om utlämnande skall förenas med övriga rekvisit.
Ett vidsträckt persondataansvarsbegrepp kan naturligtvis leda till att flera myndigheter eller andra användare kan anses ansvariga för samma persondatamängd, beroende på de tekniska hjälpmedel som användarna utnyttjar samt de ändamål och datamängder det är fråga om. Ur den enskildes synvinkel är detta, som redan tidigare har berörts, visserligen ingen nackdel när det exempelvis gäller rätten att få uppgifter strukna eller rättade. Häremot skall emellertid ställas de svårigheter som kan uppstå för en ansvarig, inom såväl den offentliga som enskilda sektorn, som inte har möjlighet att påverka innehållet i persondatamängden utan enbart använder uppgifterna för särskilda lagliga ändamål. För att rättelse skulle kunna ske av felaktiga uppgifter fick dessutom en förfoganderätt konstrueras eller en anmälnings— skyldighet till den som har förfoganderätt införas.
Utredningen anser att en rimlig avvägning mellan de olika motståen- de intressena är att upprätthålla ett krav på ett förfogande som, i likhet med EG-direktiven, förutsätter att den ansvarige beslutar om an- vändningsändamål, vilka slag av personuppgifter som skall lagras och vilka operationer som skall utföras med dem. Denna lösning ligger således nära den centralistiska modellen. Härigenom skulle ansvar inte följa för dem som endast använder ett system eller endast förfogar över det i mera begränsad mening (exempelvis de myndigheter som använder SLÖR).
En särskild fråga är vidare hur de fall bör bedömas där en myndig- het använder en persondatamängd, för vilken annan ursprungligen är
240 SOU 1993: 10
ansvarig, som ett led i en gransknings- eller tillsynsverksamhet. Det gäller exempelvis vid fall av revision eller annan granskning eller polismyndighets handläggning under förundersökning. Ett personda- taansvar bör därvid följa för den granskande eller undersökande myndigheten redan genom att ändamålet är annat än hos den vars verksamhet är föremål för granskning eller tillsyn. Genom det nya ändamålet uppstår definitionsmässigt en ny persondatamängd för vilken persondataansvar bör föreligga.
I den mån decentralisering sker av beslutsfattande o.d., som berör användning av datasystem, från en central nivå till regionala eller lokala nivåer inom exempelvis den statliga förvaltningen, bör det uppmärksammas att också persondataansvaret kopplas till beslutsbe- fogenheterna. En delegation till lägre nivåer av dataansvaret utesluter dock inte att också den centrala myndigheten kan ha ett ansvar i det hänseende i likhet med vad som nu föreligger för Riksskatteverkets de] när det gäller den summariska processen (se ovan). Frågor av detta slag aktualiseras t.ex. när det gäller lokala skattemyndighetens hand- läggning av den numera datoriserade folkbokföringen (se prop. 1990/91:53, SkU9, rskr. 109, SFS 1990: 1536 och prop. 1990/91:153, SkU28, rskr. 320, SFS l991:48l). Vid utformning av bestämmelserna om persondataansvar bör också beaktas reglerna för arkivbildning resp. utlämnande av allmänna handlingar. I görligaste mån bör personda- taansvaret för myndigheters del sammanfalla med begreppet arkiv- myndighet och registreringsskyldighet enligt sekretesslagen (jfr 3 & arkivlagen, 19901782, och 15 kap. 13 5 sekretesslagen, 1980:100).
Det rekvisit med rätt till "utlämnande" som EG-direktiven innehåller bör inte ges en självständig betydelse. I Sverige reser tillämpningen av ett sådant rekvisit nämligen de speciella frågor som är knutna till den grundlagsskyddade handlingsoffentligheten, vilken torde sakna motsvarighet utomlands. Som utredningen tidigare har konstaterat är den svenska handlingsoffentligheten enligt tryckfrihetsförordningen och sekretesslagen samt personregistreringen hos svenska myndigheter på vissa punkter svår att förena med EG-direktivens krav vad avser personregistrering inom den offentliga sektorn.
För att tillgodose den enskildes krav på att utan dröjsmål få veta vem som är persondataansvarig bör det även hos användare, som inte är persondataansvariga, finnas utsedda kontaktpersoner som kan ge nödvändig vägledning (jfr 8 & datalagen). En väsentlig uppgift för en sådan kontaktperson bör vara att ange vem hos en persondataansvarig som har skyldighet att bistå den vars personuppgifter är berörda med 10 å-utdrag eller vid misstanke om oriktig eller missvisande uppgift.
Slutligen bör understrykas att frågan om vem som är straffrättsligt ansvarig för exempelvis brott mot datalagen inte är avgjord enbart genom att persondataansvaret fixerats. Straffrättsligt ansvar kan, som bekant, enbart åvila fysiska personer. Vid bedömning härav kan bl.a. frågor om delegation inom en myndighet ha betydelse.
SOU 1993:10 241
12 . 5 Remissutfallet
Majoriteten av de remissinstanser som har yttrat sig i denna del tillstyrker den koncentration av ansvaret för personuppgifter som utredningens förslag innebär. Dessa instanser ser det som en fördel att det med utredningens förslag inte kommer att ske en sådan uppdelning av ansvaret som kan bli fallet med den nuvarande regleringen och att det mer entydigt kommer att framgå vem som är registeransvarig. Positiva är bl.a. Kammarrätten i Stockholm, Riksförsäkringsverket, Riksarkivet, Statistiska Centralbyrån, Rikspolisstyrelsen, Sveriges ln- dustriförbund och Svenska Arbetsgivareföreningen.
Viss kritik framförs mot termen persondataansvarig. Några remissin- stanser menar att det föreligger risk för förväxling med begreppet persondatoransvarig.
När det gäller ansvaret vid tillsynsverksamhet framförs både positiva och negativa synpunkter. Någon remissinstans menar att konsekvenser- na av utredningens förslag blir alltför långtgående, medan andra delar utredningens uppfattning att ansvaret vid tillsyn bör åvila den som har ansvaret för granskningen.
Datainspektionen, Sveriges Industriförbund och Svenska Arbets- givareföreningen pekar på svårigheten att bedöma vem som är persondataansvarig för statsmaktsregister.
Svenska Kommunförbundet anger i sitt yttrande att en ny datalag bör öppna möjligheterna för den kommunala nämnd som så finner lämpligt att överföra registeransvaret åtminstone för visst eller vissa register till en förvaltningschef eller annan befattningshavare på sätt som nämnden finner lämpligt. Landstingsförbundet anser att det inom hälso- och sjukvården är en bättre lösning att göra chefen för varje basenhet, i regel en klinik eller en vårdcentral, ansvarig för de personuppgifter som registreras och används inom basenheten.
12.6 Överväganden
Utredningen har, som framgår av redovisningen i avsnitt 6, i det fortsatta utredningsarbetet avstått från att arbeta med sådana samlings- begrepp som personregister eller persondatamängd. Den avgränsning som behövs mellan olika datasamlingar erhålls genom bestämmelsen att personuppgifter får behandlas endast för ett bestämt och uttryckligt ändamål.
Utredningens förslag om vem som skall vara ansvarig för be- handlingen av personuppgifter medför att en uppdelning av ansvaret inte kommer att ske på samma sätt som enligt gällande ordning. I stället kommer det mera entydigt att framgå vem som är ansvarig för viss behandling. Vidare läggs, som utredningen tidigare har framhållit,
242 SOU 1993: 10
ansvaret för personuppgifternas riktighet på den som har möjlighet att faktiskt påverka innehållet och skadeståndsansvaret kan härigenom också göras strikt gentemot den enskilde. En klar majoritet av remissinstanserna har godtagit förslaget ; utredningen vidhåller därför sitt förslag och har i 5 5 i förslaget till datalag tagit upp en bestämmel- se som innebär att den är persondataansvarig som bestämmer ända- målet med behandlingen, vilka slag av personuppgifter som skall behandlas och hur de skall behandlas. Termen persondataansvarig har behållits eftersom den får anses återspegla vad ansvaret innebär, nämligen ansvar för behandling av uppgifter (data) om personer.
De nackdelar som ett mera centralistiskt ansvarssystem kan innebära för den enskilde när det gäller att ta till vara sina rättigheter har utredningen försökt att överbrygga genom en särskild bestämmelse som gagnar den enskilde. [ 24 å andra stycket förslaget till datalag åläggs den som utan att vara persondataansvarig behandlar personuppgifter att på begäran upplysa en enskild om vem som är persondataansvarig. Upplysning skall också lämnas om vem hos den persondataansvarige som bistår enskilda vid misstanke om oriktig, ofullständig, inaktuell eller missvisande uppgift. Denna bestämmelse torde göra det lättare för den enskilde att utöva sina rättigheter enligt datalagen. Utredningen vill också peka på bestämmelserna i 15 kap 11 & sekretesslagen. I den paragrafen finns särskilda regler om dokumentationsskyldighet beträffande ADB-register som en myndighet har tillgång till. Reglerna syftar till att tillgodose allmänhetens intresse av överblick över och orientering i det ADB-material som finns hos myndigheterna. Bestämmelserna gäller även för sådana myndigheter som behandlar personuppgifter utan att vara persondataansvariga.
Liksom f.n. kan ansvaret åvila både fysiska och juridiska personer samt myndigheter. Vid inrättandet av statsmaktsregister kan det i och för sig hävdas att det är statsmakterna, dvs. riksdagen eller regeringen, som blir persondataansvariga eftersom statsmakterna kan ha bestämt både ändamålet med registret, vilka slag av personuppgifter som skall behandlas och hur de skall behandlas. Det får emellertid anses ligga i sakens natur att persondataansvaret inte faller på statsmakterna utan i stället på den myndighet inom vars ansvarsområde den ifrågavarande behandlingen skall ske och som har den operativa kontrollen av personuppgifterna. I allmänhet torde i statsmakternas beslut anges vem som skall vara persondataansvarig.
Det strikta skadeståndsansvar som följer av datalagen (se 49 5 första stycket i lagförslaget) knyts till den persondataansvarige, liksom f.ö. en lång rad andra skyldigheter enligt datalagstiftningen. Några remissinstanser, Svenska Kommunförbundet och Landstingsförbundet, har efterlyst en ordning där persondataansvaret kan delegeras från vederbörande nämnd till en förvaltningschef eller annan befattnings- havare respektive från Landstingsstyrelsen eller en central nämnd till chefen för varje basenhet, i regel en klinik eller en vårdcentral.
SOU 1993: 10 243
Persondataansvaret kan emellertid inte delegeras utan ligger på myndigheten eller det privaträttsliga subjektet. En annan sak är att ledningen för en privat eller offentlig verksamhet under vissa förut- sättningar kan överflytta det straffrättsliga ansvaret på en ställföreträda- re, som anförtrotts att med tämligen stor självständighet leda verksam- heten i vissa delar. Sistnämnda fråga berörs ytterligare i avsnitt 19. 1.
Utredningen har tidigare berört frågan om vem som är ansvarig för sådan behandling av personuppgifter som sker som ett led i en gransknings- eller tillsynsverksamhet och där personuppgifterna har hämtats från den granskande verksamheten. I sina tidigare ställnings— taganden uttalade utredningen att ett persondataansvar borde följa för den granskande eller undersökande myndigheten redan genom att ändamålet är ett annat än hos den vars verksamhet är föremål för granskning eller tillsyn.
Under remissbehandlingen har flera instanser tagit upp frågan om ansvaret för behandling i samband med gransknings- eller tillsynsverk- samhet.
Riksdagens ombudsmän anser att utredningens förslag får alltför långtgående konsekvenser. Riksdagens ombudsmän menar i stället att sådan tillsyn som utförs av t.ex. centrala fackmyndigheter eller Riksdagens ombudsmän och som innefattar granskning av innehållet i myndighetens ADB-system antingen bör uttryckligen undantas från regleringen eller alternativt anses ingå i myndighetsregistrets ursprung- liga ändamål. Datainspektionen erinrar om det synsätt om granskande myndigheters ansvar som låg till grund för införandet av lagen (1987: 1231) om automatisk databehandling vid taxeringsrevision, m.m. Riksskatteverket har den uppfattningen att något persondataansvar inte uppkommer för den som utför revisionen, eftersom denne inte beslutar om vilka uppgifter som skall lagras. Riksskatteverket påpekar vidare att lagen om automatisk databehandling vid taxeringsrevision till- kommit för att förbygga risken för otillbörligt integritetsintrång när en skattemyndighet granskar någon annans personregister och verket anser därför att det bör krävas mycket starka skäl om regelverket till skydd för enskilda vid taxeringsrevision skall konstrueras på ett annat sätt.
Positiva till utredningens förslag är bl.a. Sveriges Industriförbund och Svenska Arbetsgivareföreningen. De hävdar att det nuvarande förhållandet, då inget registeransvar alls synes föreligga vid be- arbetning för revisionsändamål, är helt otillfredsställande från integritetssynpunkt, såväl vad gäller personlig integritet som före- tagsintegritet. Förhållandet strider också mot vad som sagts i motive- ringen till l & datalagen om att registeransvarighetsregeln bör tillämpas på sådant sätt att alltid någon kan konstateras vara registeransvarig.
Den tidigare nämnda lagen om automatisk databehandling vid taxeringsrevision, m.m. infördes som en komplettering till reglerna i taxeringslagen om ADB-användning. Lagen gäller vid myndighets revision avseende skatter och socialavgifter som innefattar automatisk
244 SOU 1993: 10
databehandling av personuppgifter i personregister enligt datalagen. Syftet med lagen är enligt motiven att skydda personuppgifter som finns hos den som granskas vid en revision och ge ett skydd mot att kontrollverksamheten genom användningen av ADB-teknik får en uppläggning som är oacceptabel från integritetssynpunkt (prop. 1987/88:65 s. 80).
Eftersom en granskande myndighet, med den gällande datalagens synsätt, inte blir registeransvarig för de bearbetningar som utförs under granskningen kan inte alla datalagens regler tillämpas på granskarens bearbetningar. De flesta reglerna i datalagen riktar sig nämligen, uttryckligen eller underförstått, till den registeransvarige. Därmed avses den för vars verksamhet personregistret förs, om han förfogar över det. Definitionen utesluter bl.a. den som använder sig av ett register utan att kunna bestämma dess innehåll. Registeransvarig för de register som revideras är därför i regel den som revisionen utförs hos. Däremot medför inte de bearbetningar som granskaren utför med registret att han eller den myndighet han tjänstgör vid blir att anse som registeransvarig. Granskaren blir inte heller utan vidare bunden av villkor som avser den registeransvariges användning av registret. Det är mot denna bakgrund som lagen om automatisk databehandling vid taxeringsrevision, m.m. måste ses.
Enligt lagen får granskningen av personregister inte leda till otillbörligt intrång i registrerads personliga integritet (2 5). Med otillbörligt integritetsintrång avses i princip detsamma som i den gällande datalagen. Regeln riktar sig i första hand till granskaren men utgör samtidigt grunden för Datainspektionens åtgärder med stöd av 3 - 5 %& i lagen.
Datainspektionen utövar enligt 3 & tillsyn över granskningen och den som verkställer revisionen skall lämna Datainspektionen de uppgifter om den automatiska databehandlingen som inspektionen begär för sin tillsyn. I den mån det behövs för att förhindra risk för otillbörligt integritetsintrång får Datainspektionen enligt 4? meddela villkor. Sådana villkor får meddelas om utförandet av den automatiska databehandlingen, den tekniska utrustningen, de bearbetningar av personuppgifter som får göras, de personuppgifter som får göras tillgängliga, utlämnande och annan användning av personuppgifter, bevarande och gallring samt om kontroll och säkerhet.
Med stöd av en särskild förordning (1987: 1232) har Datainspektio- nen utfärdat förskrifter om verkställigheten av lagen om automatisk databehandling vid taxeringsrevision m.m. (DIFS 19882 och 1991: 1). Inledningsvis ställs upp vissa krav på kompetens hos den som skall granska personregister. Med granskning av personregister med hjälp av ADB avses enligt föreskrifterna att den registeransvarige på granskarens begäran tar fram personuppgifter ur personregister, eller att granskaren själv tar fram uppgifterna genom att använda den registeransvariges eller egna tekniska hjälpmedel (2 ä). Granskning av
SOU 1993: 10 245
personregister får inte ske genom terminaluppkoppllng från skattemyn— digheten till den registeransvarige (3 5). Vidare föreskrivs att av ett beslut om revision avseende skatter och socialavgifter med hjälp av ADB skall framgå för vilket eller vilka ändamål revisionen sker och att den följande granskningen av personregister skall stå i över— ensstämmelse med det ändamål som har bestämts för revisionen (5 och 6 åå).
I syfte att förebygga risk för att granskningen skall medföra otillbörligt intrång i personlig integritet hos den som finns med i registret har ett samrådsförfarande införts. Förfarandet får undvaras endast om annat följer av sekretesslagen. Enligt huvudregeln (75 första stycket) skall således granskaren samråda med den registeransva- rige i fråga om
1. var granskningen skall utföras,
2. vilken teknisk utrustning och programvara hos den registeransvarige som skall användas,
3. vilka personregister som skall granskas,
4. vilka bearbetningar av personuppgifter som skall göras, samt
5. vem som skall ta fram personuppgifterna med hjälp av ADB.
Den registeransvarige skall dessutom, om det är förenligt med revisionens ändamål, ges tillfälle att själv ta fram personuppgifterna (7 & andra stycket).
Datainspektionens föreskrifter omfattar även bestämmelser om användning och bevarande av personuppgifter samt säkerhet avseende ADB. I de bestämmelserna ges bl.a. föreskrifter om begränsningar när det gäller användningen av tekniska hjälpmedel, program och sökbegrepp samt de personuppgifter som kommer fram vid gransk- ningen. Användningen måste enligt föreskrifterna ske i överensstäm- melse med revisionens ändamål (9 och 10 55).
När det gäller ADB-säkerhet skall enligt huvudregeln granskaren, när denne själv tar fram uppgifterna och använder tekniska hjälpmedel, i första hand använda kopior av de personregister som granskas (14 å). Regeln är till för att eliminera riskerna för intrång i registrerads personliga integritet genom att granskningen kan leda till oavsiktlig eller otillåten förstörelse eller ändring av det granskade personregistret.
I samband med överväganden kring frågor om persondataansvaret vid gransknings- eller tillsynsverksamhet kan det finnas anledning att titta närmare på hur olika granskningar utförs i praktiken. Utredningen har som exempel valt skattemyndigheternas ADB-revisioner. (Redovis- ningen har hämtats från SOU 1992:23, Kontrollfrågor i tulldatorise- ringen m.m.)
En ADB-revision innebär en kontroll av ett företags ADB-baserade ekonomisystem. Kontrollen indelas i två faser, en systemgranskning och en datorstödd granskning. Systemgranskningen innebär att
246 SOU 1993: 10
ekonomisystemet kartläggs, i första hand den ADB-baserade delen men kan också innefatta manuella delar. Huvudsyftet med systemgransk— ningen är att undersöka vilken information som finns i systemet, hur man kommer åt den samt bedöma dess tillförlitlighet. Den datorstödda granskningen innebär att företagets ADB—register bearbetas för kontroll av ett visst granskningsområde. Huvudsyftet är här att undersöka viss del av informationen och att sammanställa resultatet på ett överskådligt sätt.
Den information som skattemyndigheten behöver från ett företags olika ADB-register kan normalt inhämtas på något av följande sätt:
1. Företagets personal gör själva alla bearbetningar efter ADB- 1'evisorns begäran om vissa uppgifter.
2. ADB-revisorn gör bearbetningar på företagets dator.
3. ADB-revisorn tar kopior av ADB-register och arbetar på myndig- hetens dator.
Det sistnämnda arbetssättet är enligt skattemyndigheten att föredra med hänsyn till att såväl maskin- som programvara behärskas av revisorn. Vid det arbetssättet stör inte heller revisorn företagets egen databe- handling.
Används företagets datorer kan det innebära att bearbetningar kan göras först när ledig maskinkapacitet finns. I annat fall störs den normala ADB-produktionen hos företaget. Ett sådant arbetssätt kan också, beroende på vilka uppgifter som begärs, medföra att program måste tas fram av företagets personal eller utomstående konsulter. Behärskar inte revisorn företagets programvara eller datorer tar det tid för honom att sätta sig in i arbetsmomenten.
Görs bearbetningarna av företagets personal går myndigheten givetvis till viss del miste om kontroll över att resultatet av be- arbetningarna innehåller korrekta uppgifter.
Den datorstödda granskningens syfte är dels att ta fram uppgifter om fel/brister som bör utredas närmare vid en manuell kontroll, dels att kontrollera omfattningen av vissa fel/brister som kommit fram under revisionen och slutligen att ta fram listor, sammanställningar m.m. för att underlätta övriga revisorers kontroll av respektive granskningsom- råde. En grundförutsättning för en sådan granskning är att eftersökta uppgifter finns på ADB—medium. Detta är inte alltid fallet eftersom bokföringslagen inte ställer krav på arkivering i sådan form. Vad som är möjligt att göra i en enskild revision kan inte avgöras förrän man vet vilka uppgifter som finns bevarade på ADB-media. Som exempel på kontroller som kan göras för att få information om varuinköp m.m. om dessa finns på ett stort antal konton kan nämnas listning efter leverantör, beloppsmässig storlek på fakturor eller leverantörer, antal fakturor per leverantör och snittfakturering per leverantör.
SOU 1993: 10 247
Datalagsutredningen har, som nämnts, under sina tidigare ställnings- taganden uttalat att ett persondataansvar borde följa för den granskande eller undersökande myndigheten redan genom att ändamålet är ett annat än hos den vars verksamhet är föremål för granskning eller tillsyn.
En viktig utgångspunkt vid utredningens överväganden har varit att regleringen av persondataansvaret i datalagen skall utformas på ett sådant sätt att det vid varje tidpunkt skall vara möjligt att avgöra var persondataansvaret ligger. Regleringen skall självfallet inte heller i förhållande till gällande rätt medföra någon försämring av integritets- skyddet.
Vid en granskning eller revision torde ändamålet med behandlingen av personuppgifter regelmässigt bli ett annat än det som bestämts av den persondataansvarige i dennes verksamhet. Det blir också den granskande myndigheten som, med stöd av andra författningar än datalagen, bestämmer vilka uppgifter som skall granskas, dvs. vilka slag av uppgifter som skall behandlas. Inom vissa ramar är det också den granskande myndigheten som bestämmer hur uppgifterna skall behandlas. Med den utformning av persondataansvaret som finns i 5 5 i utredningens lagförslag följer därmed att det blir den granskande myndigheten som blir persondataansvarig för den behandling som sker vid granskningen. En sådan ordning torde ge ett bättre skydd än den nuvarande regleringen för den enskilde vid granskning eller tillsyn genom att den granskande myndigheten, beträffande den behandling av personuppgifter som ingår i granskningsverksamheten, åläggs alla de skyldigheter som enligt förslaget till ny datalag vilar på den personda— taansvarige.
Datainspektionen kommer inte, med utredningens förslag, att kunna meddela några generella föreskrifter om tillämpningen av datalagen vid behandling av personuppgifter i samband med granskning eller tillsyn. Däremot kommer det att finnas möjlighet för inspektionen att, för att åstadkomma rättelse, i enskilda fall meddela villkor för behandlingen. En förutsättning härför är att personuppgifter behandlas eller att det framgår av en anmälan att personuppgifter avses bli behandlade i strid med vad som gäller för behandlingen (jfr 40 5 i lagförslaget). En viss praxis som visar hur granskning eller tillsyn bör utföras torde redan ha utbildats.
Med hänvisning till vad som har sagts föreslår utredningen att lagen om automatisk databehandling vid taxeringsrevision, m.m. upphävs.
Utredningens förslag till definition av persondataansvaret stämmer överens med förslaget till EG-direktiv utom såtillvida att ett fjärde rekvisit för bedömningen av vem som är ansvarig inte har tagits med i förslaget till ny datalag. Det fjärde rekvisitet avser rätten att lämna tredje man tillgång till personuppgifterna och har utelämnats av hänsyn till offentlighetsprincipen.
248 SOU 1993:10
Utredningen har inte bedömt det som meningsfullt att införa ett begrepp motsvarande direktivförslagets "processor". Med den av utredningen föreslagna regleringen av persondataansvaret följer att ansvaret enligt datalagen, vid anlitande av servicebyråer och liknande hjälp i samband med behandling av personuppgifter, kommer att ligga kvar hos den persondataansvarige. För att undgå ett eventuellt skadestånds- eller straffrättsligt ansvar ligger det således i den persondataansvariges intresse att tillse att all behandling av personupp— gifter som sker för hans räkning utförs i enlighet med gällande bestämmelser.
Utredningen har inte heller ansett det nödvändigt att, såsom anges i artikel 24.3 i direktivförslaget, i lagförslaget ta in bestämmelser om avtal om behandling av personuppgifter.
SOU 1993: 10 249
13 Tillstånd eller tillsyn
13. l Gällande rätt
Det ursprungliga, generella tillståndskravet i datalagen ersattes år 1982 med det nuvarande systemet med anmälningsskyldighet och till- ståndsskyldighet för vissa känsliga register och enbart anmälnings- skyldighet för övriga register.
Enligt datalagen får endast den som anmält sig till Datainspektionen och erhållit licens inrätta och föra personregister (2 $). Datainspektio— nen granskar inte anmälan i sak utan ger endast den registeransvarige ett bevis (licens) om att anmälan har gjorts samt ett licensnummer (10 & dataförordningen, 1982:480). En licens berättigar den registe— ransvarige att föra ett eller flera personregister. Licens erfordras inte för personregister som en enskild inrättar eller för uteslutande för personligt bruk (2 & tredje stycket).
För vissa typer av register med känsliga uppgifter krävs utöver licens även ett särskilt tillstånd från Datainspektionen (2å andra stycket datalagen). Sådant tillstånd erfordras i regel för inrättande och förande av register som innehåller 1) känsliga personuppgifter, 2) omdömen eller annan värderande upplysning om den registrerade, 3) uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundför— hållande eller något därmed jämförligt förhållande samt 4) personuppgifter som inhämtas från något annat personregister (s.k. sambearbetning), om inte registreringen av uppgifterna eller utläm- nandet av dessa sker med stöd av författning, Datainspektionens beslut eller den registrerades medgivande.
Tillstånd erfordras inte för personregister som någon inrättar eller för uteslutande för personligt bruk (25 tredje stycket). Tillstånd behövs inte heller för register vars inrättande beslutats av riksdagen eller regeringen (s.k. statsmaktsregister) eller för register som har tagits emot för förvaring av en arkivmyndighet (2 a & första och andra styckena).
Sammanslutningar får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska upp- fattning, religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskapet i sammanslutningen (2 a & tredje stycket 1).
250 SOU 1993:10
Myndigheter inom hälso- och sjukvården får utan tillstånd för vård- eller behandlingsändamål inrätta och föra personregister som innehåller uppgifter om någons sjukdom eller hälsotillstånd i övrigt (2 a % tredje stycket 2). Likaså får myndigheter inom socialtjänsten utan tillstånd inrätta och föra personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten (2 a & tredje stycket 3).
Läkare och tandläkare får utan tillstånd inrätta och föra person- register som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har erfarit i sin yrkesverksamhet (2 a & tredje stycket 4).
Arbetsgivare får utan tillstånd inrätta och föra personregister, som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 5 andra stycket lagen (1962z381) om allmän försäkring (2 a & tredje stycket 5).
Särskilda skäl krävs för att tillstånd skall kunna meddelas för in— rättande och förande av personregister som omfattar andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning (3 ä ä).
Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna erhålla tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att någon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden (4 5 första stycket).
Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom socialt- jänsten eller varit föremål för åtgärd enligt utlänningslagen får endast om särskilda skäl föreligger meddelas annan än en myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter. Särskilda skäl krävs även för registrering av uppgifter om någons ras eller politiska uppfattning eller religiösa övertygelse (4 5 andra och tredje styckena).
Det förhållandet att ett personregister skall användas för statistiska bearbetningar eller vetenskapliga undersökningar kan, enligt lagens förarbeten, i sig utgöra "särskilda” eller "synnerliga skäl" under förut- sättning att enskilda personers identitet inte offentliggörs.
SOU 1993:10 251
13.2 Bakgrunden till gällande ordning
Debatten om behovet av en lagstiftning som skyddade den personliga integriteten vid automatisk databehandling av personuppgifter ledde till att den år 1969 tillsatta ajjfentlighets- och sekretesslagstiftningskommit— tén (OSK) genom tilläggsdirektiv år 1971 fick i uppdrag att utreda frågan om lagstiftning rörande personorienterad ADB-information. I delbetänkandet (SOU 1972:47) Data och integritet redovisade OSK ett förslag till en datalag. Förslaget innebar ett införande av krav på tillstånd för upprättande av i princip alla typer av personregister som fördes med hjälp av ADB. Endast vissa typer av enklare register, som regelmässigt kunde antas inte medföra otillbörligt integritetsintrång, skulle enligt lagförslaget kunna undantas från tillståndstvånget och i stället underkastas en anmälningsskyldighet. En sådan anmälnings- skyldighet skulle enligt OSK:s förslag gälla för medlemsregister, personalregister, hyresgästregister, försäkringsbolagsregister över för- säkringstagare samt reskontra och andra kundförteckningar. Även andra register av liknande slag skulle kunna undantas från tillstånd- splikten. Register som innehöll personnummer och inte var register över anställda skulle dock alltid vara tillståndspliktiga.
OSK föreslog ytterligare begränsningar i fråga om registerinnehåll och användning av uppgifterna för att register skulle få föras efter endast anmälan. Utöver den ovannämnda begränsningen beträffande personnummer menade OSK, att i tillståndsfria register fick införas endast sådana personuppgifter som lämnats antingen av den registrera— de själv för det ändamål för vilket registret fördes eller av myndighet i enlighet med författning eller som uppkommit inom registerförarens verksamhet eller som avsåg ändring av adress. Ytterligare villkor för att ett personregister skulle vara befriat från tillståndstvång var att uppgifterna i registret inte användes för annat ändamål än det för vilket registret fördes samt att det på lämpligt sätt tillkännagjorts för de registrerade att registret fördes och vilka slag av personuppgifter som ingick i registret.
Regeringen skulle enligt OSK, inom den ram som angavs i lagen, få bestämma vilka typer av register som skulle undantas från tillstånd- stvång. Denna befogenhet torde enligt kommitténs mening kunna delegeras till Datainspektionen när erfarenheter vunnits av tillämp- ningen.
OSK:s förslag innebar vidare en möjlighet att inhämta bindande förhandsbesked från Datainspektionen i frågan om ett tilltänkt dataregister var tillståndspliktigt eller underkastat anmälningsskyldig- het.
I den proposition som följde på OSK:s betänkande anförde departe- mentschefen (prop. 1973:33 s. 99 1) att det skulle vara rationellt att slopa anmälningsinstitutet och i stället låta formligt tillståndstvång gälla
252 SOU 1993:10
beträffande alla typer av register. I datalagen borde således, enligt departementschefen, inte tas in några bestämmelser om att vissa personregister skulle vara beroende av endast anmälan.
När den nuvarande datalagen trädde i kraft innehöll den ett generellt krav på tillstånd för alla typer av personregister som fördes med hjälp av ADB. Det enda undantaget från tillståndsplikt utgjordes av person- register vars inrättande beslutats av riksdagen eller regeringen.
Den datortekniska utvecklingen under 1970-talet medförde att datorer kom att användas inom allt fler områden i samhället. Ett resultat av denna utveckling blev en kraftig ökning av antalet till- ståndsärenden hos Datainspektionen. Tillståndsprövningen tog alltmer resurser i anspråk och antalet inspektioner, som hela tiden legat på en relativt låg nivå, minskade markant.
Datalagstiftningskommittén (DALK) som tillsattes år 1976 fick i uppdrag att utreda frågor om skyddet för den personliga integriteten vid personregistrering med hjälp av ADB. I sitt betänkande (SOU 1978z54) Personregister - Datorer - Integritet föreslog kommittén att ett anmälningsförfarande i vissa fall skulle kunna ersätta kravet på tillstånd. Som ett resultat av DALK:s förslag genomfördes år 1979 vissa ändringar i datalagen. Någon mera genomgripande förändring av de grundläggande principerna för tillståndsförfarandet blev det emeller- tid inte. Något anmälningssystem kom inte heller att införas.
För att underlätta hanteringen av en typ av tillståndsärenden införde Datainspektionen år 1979 ett förenklat ansökningsförfarande för vissa slag av löne- och personalregister (föreskrifter för vissa löne- och personalregister, DIFS 1979:2). Föreskrifterna angav vad som enligt inspektionen kunde godtas från integritetssynpunkt beträffande dessa personregister. När den generella tillståndsplikten för löne- och personalregister som inte innehåller känsliga uppgifter upphörde den 1 juli 1982, kom föreskrifterna att tillämpas som riktlinjer i in— spektionens verksamhet och som allmänna råd. För de register som inrättades före lagändringen 1982 gäller de dock fortfarande som föreskrifter. Även beträffande andra typer av register har inspektionen sedermera utfärdat föreskrifter om ett förenklat ansökningsförfarande. Föreskrifter angående förenklat ansökningsförfarande finns f.n.
- om vissa kund— och leverantörsregister m.fl (DIFS 1979z3), - om vissa hyresregister (DIFS 1980:3), - om vissa medlemsregister (DIFS 198111), - för vissa direktreklamregister (DIFS 198811), - beträffande vissa personregister för statistikändamål (DIFS 1989z2), - beträffande vissa personregister för forskningsändamål (DIFS 1990: 1), - för vissa personregister i kommunal verksamhet (DIFS 199012) och - för vissa personregister i svenska kyrkans verksamhet (DIFS 199lz2).
SOU 1993: 10 253
Av föreskrifterna avser de från tiden före 1982 register som numera inte är tillståndspliktiga. Dessa föreskrifter tillämpas därför numera endast som riktlinjer i inspektionens verksamhet.
Ansökningar om tillstånd enligt det förenklade förfarandet görs på särskilda blanketter och blir inte föremål för någon egentlig prövning. I tillståndsbeslutet, som expedieras till den registeransvarige, anges att som villkor enligt 5 och 6 %% datalagen skall gälla dels vad som angetts i ansökan, dels de bestämmelser som angetts i aktuell DIFS såsom villkor för det förenklade förfarandet.
Genom tilläggsdirektiv fick DALK i december 1980 i uppdrag att med förtur undersöka möjligheterna att på kort sikt reformera Datainspektionens verksamhet. År 1981 avlämnade DALK pro- memorian (Ds Ju 1981:15-16) Tillstånd och tillsyn enligt datalagen. I promemorian konstaterade DALK att antalet tillståndsärenden hos Datainspektionen blivit betydligt större än man räknat med vid lagens tillkomst och att inspektionens resurser hade måst koncentreras på tillståndsverksamhet på bekostnad av tillsynsverksamheten. DALK antog att antalet ärenden sannolikt skulle komma att öka de närmaste åren och menade att tillståndskravet innebar att betydande arbete måste läggas ned på personregister som var relativt ofarliga från integritets— skyddssynpunkt. Enligt DALK var detta orsaken till att tillsyns— verksamheten inte hade kunnat bedrivas i den omfattning som avsetts.
Kommittén ansåg det angeläget att Datainspektionens verksamhet försköts i riktning mot ökad tillsynsverksamhet och att det var önskvärt med en förenkling av förfarandet för de registeransvariga. DALK förordade en ordning som byggde på att tillståndsplikten begränsades till särskilt integritetsfarliga register och att det för övriga register skulle vara tillräckligt med en anmälan.
DALK:s förslag ledde till att betydande ändringar genomfördes i datalagen. Ändringarna trädde i kraft den 1 juli 1982 (prop 1981/82 :189, KU 33, rsk. 349, SFS 1982:446). Ändringarna innebär bl.a. att en anmälningsplikt kombinerad med en skyldighet att förteckna sina register infördes för alla registeransvariga. Tillståndsplikten slopades beträffande register för vilka en förhandsgranskning av Datainspektio— nen ansågs obehövlig. Endast de register som ansågs särskilt in- tegritetskänsliga blev tillståndspliktiga. Genom lagändringen undantogs exempelvis kommunernas register inom hälso- och sjukvården samt socialtjänsten från tillståndsplikt.
Tillståndsplikten begränsades till vissa i 25 datalagen angivna situationer. En närmare redovisning av tillståndspliktens omfattning finns i avsnitt 13.1.
För de register som inte var tillståndspliktiga kom att gälla att dessa inte fick föras utan att en anmälan gjorts till Datainspektionen. Som bevis på att anmälan gjorts utfärdade Datainspektionen licens.
Avsikten med 1982 års reform var att begränsa mängden till- ståndsärenden och därigenom göra det möjligt för Datainspektionen att
254 SOU 1993: 10
koncentrera sig på de mest känsliga registren och kunna intensifiera sin tillsynsverksamhet. Effekten av lagändringen blev endast i begränsad omfattning den avsedda. Antalet tillståndsärenden ökade och antalet inspektioner sjönk. Orsaken till den ökande tillströmningen av ansökningar var givetvis den fortgående datoriseringen i samhället.
13.3 Framställning från Datainspektionen om ändringar i datalagen
I november 1988 överlämnade Datainspektionen en skrivelse "Vissa ändringar i datalagen m.m" till Justitiedepartementet. Skrivelsen innehöll förslag till ändringar som borde genomföras i väntan på en genomgripande översyn av datalagen. I skrivelsen konstaterade Datainspektionen bl.a. att antalet tillståndsärenden under de senare åren ökat och att detta lett till att handläggningen av tillståndsärenden upptar en avsevärd del av inspektionens totala kapacitet. Inspektionen menade att flertalet av ansökningarna avsåg situationer för vilka in- spektionen utvecklat en fast praxis för bedömningen. För sådana typsituationer ansåg Datainspektionen att det ofta finns goda möjlig- heter att sörja för skyddet av den personliga integriteten på ett annat och bättre sätt än genom att upprätthålla kravet på tillstånd.
Enligt vad Datainspektionen vidare anför i sin skrivelse har datoran— vändningen i samhället numera nått en sådan omfattning att det är nöd- vändigt att ifrågasätta hela systemet med tillstånd i alla de fall som föreskrivs i den nuvarande datalagen. Inspektionen tror att utveck— lingen går i den riktningen att successivt under 1990—talet terminaler och persondatorer kommer att bli lika vanliga arbetsredskap som telefoner. Skyddet för den personliga integriteten måste därför, enligt inspektionen, företrädesvis bygga på andra metoder än en förhands- granskning av varje tilltänkt personregister. I stället bör integritets— skyddet i högre grad byggas på en verksamhetsanpassad författnings- reglering och branschvis ksjälvreglering. Inspektionen föreslår att den ges befogenhet att beträffande vissa slag av personregister föreskriva undantag från lagens krav på tillstånd för att få inrätta och föra register. Undantagen avses ske i sådana fall då såväl tillstånd som villkoren (" föreskrifterna" enligt datalagens nuvarande terminologi) för tillstånden meddelas enligt fast praxis. Förslaget förutsätter även att Datainspektionen ges befogenhet att meddela generella föreskrifter för att förhindra intrång i personlig integritet beträffande de register som undantas från tillståndsplikten.
Datainspektionens ändringsförslag sändes av regeringen till ett stort antal myndigheter och organisationer för yttrande. Inspektionens förslag godtogs i huvudsak av flertalet remissinstanser.
SOU 1993: 10 255
De remissinstanser som anslöt sig helt eller i huvudsak till Datain- spektionens förslag till åtgärder betonade överlag behovet av att förenkla Datainspektionens hantering av tillståndsärenden och flytta över Datainspektionens resurser till tillsyn och information. De flesta ansåg att en sådan resursöverflyttning skulle innebära en förbättring av integritetsskyddet. Några instanser menade också att förslaget skulle komma att innebära värdefulla förenklingar och resursbesparingar för de registeransvariga. Från något håll påtalades dock risken för att gränsdragningsproblem kan uppstå när det gäller att avgöra om ett tilltänkt register omfattas av ett undantag eller inte.
Några av de remissinstanser som uttryckte tveksamhet inför förslaget menade att ett genomförande av detta skulle innebära att datalagen blev än mer svåröverskådlig och svårtolkad. En viss osäkerhet uttrycktes också beträffande vilken omfattning undantaget från tillståndsplikten var avsett att få och hur omfattande och eventuellt svåröverskådlig mängden av föreskrifter för särskilda registertyper skulle bli. En del remissinstanser har ifrågasatt det konstitutionellt riktiga eller lämpliga i att delegera viss normgivningsmakt till Datainspektionen. Någon av dessa kritiska instanser har ansett att en förskjutning från tillståndsprövning till tillsyn också kan komma att innebära en försämring av integritetsskyddet.
De remissinstanser som motsatte sig förslaget gjorde detta på främst konstitutionella grunder. De ansåg att det borde ankomma på riksdagen och inte på Datainspektionen att ange vilka register som inte skulle kräva tillstånd. Någon remissinstans ifrågasatte även om ett genom— förande av Datainspektionens förslag överhuvudtaget skulle leda till någon rationaliseringsvinst.
13.4 Europarådets konvention
Enligt artikel 10 i konventionen skall den nationella lagen innehålla lämpliga sanktioner och rättsmedel för att de grundläggande prin- ciperna om dataskydd skall kunna tillgodoses. Några föreskrifter om hur sanktionssystemet närmare skall vara utformat finns inte i konventionen. Enligt kommentaren till artikeln överlämnas denna fråga till respektive land.
13.5 Förslaget till EG-direktiv
Enligt artikel 30 i förslaget till EG-direktiv skall varje medlemsstat utse en oberoende myndighet för att övervaka dataskyddet. Data- skyddsmyndigheten skall ges möjligheter att utöva en effektiv tillsyn.
256 SOU 1993:10
I vissa fall krävs enligt direktivförslaget att särskilda förutsättningar föreligger för att personuppgifter skall få behandlas. För behandling av sådana känsliga uppgifter som avses i artikel 8 krävs, om samtycke inte föreligger, antingen en särskild reglering i lag eller annan författ— ning eller tillståndsbeslut av dataskyddsmyndigheten. För sådan behandling som innefattar särskilda risker för enskildas rättigheter och friheter krävs antingen en särskild reglering i lag eller annan för- fattning, tillståndsbeslut av dataskyddsmyndigheten eller ett slags besked från myndigheten med anledning av en anmälan från den persondataansvarige (se art. 8, 18.4 och 5 samt avsnitt 9.5)
13.6 Utredningens tidigare ställningstaganden
En förprövning genom ett tillståndskrav innebär obestridliga fördelar ur integritetssynvinkel. Under förutsättning att de som avser att inrätta och föra register också ansöker om tillstånd, innebär tillståndssystemet en effektiv kontroll av registrets integritetskänslighet.
Den stora nackdelen med ett tillståndsförfarande är att inspektionen måste lägga ner mycket arbete på tillståndsprövning inte bara av känsliga register utan även av register som är relativt ofarliga från integritetsskyddssynpunkt. Redan år 1979, dvs. före 1982 års reform, hade inspektionen därför måst göra vissa förenklingar av tillståndsför— farandet. Kravet på tillstånd innebär också en byråkratisk belastning för de registeransvariga.
Huvudsyftet med 1982 års reform var att ta bort tillståndskravet för vissa register för att därigenom kunna koncentrera krafterna på de typiskt sett särskilt integritetskänsliga registren samtidigt som en anmälningsskyldighet och en ordning med licens föreskrevs för alla registeransvariga. Avsikten var att de resurser som frigjordes i inspektionens tillståndsverksamhet skulle användas för att förbättra tillsynsverksamheten.
Erfarenheterna av 1982 års reform har visat att det nuvarande tillståndsförfarandet alltjämt tar i anspråk en stor del av inspektionens resurser. En betydande kraftsamling mot tillsyn och kontroll skulle kunna göras, om dessa resurser frigjordes.
Avgörande bör dock vara om ett bibehållande av den obligatoriska förprövningen i något hänseende är av sådan betydelse i integritetshän- seende att den inte kan ersättas med en ökad tillsyn. Denna fråga är i sin tur avhängig av vilka slags ärenden som nu omfattas av till- ståndskravet och hur ett framtida tillsynssystem är tänkt att fungera.
När det gäller de ärenden som nu faller under tillståndsprövningen visar en försiktig skattning mot bakgrund av de undersökningar som utredningen har gjort (en statistik undersökning av vissa tillståndsären- den som utredningen genomfört finns intagen som bilaga 7) att i vart
SOU 1993: 10 257
fall tre fjärdedelar av alla tillståndsärenden torde vara av mera ensartat eller stereotypt slag. (Undersökningsresultatet angav att mer än fyra femtedelar av alla tillståndsärenden kan hänföras till vissa klart avgränsade ärendetyper, men med hänsyn till undersökningens begränsade omfattning bör en viss försiktighet iakttas). Hit hör bl.a. tillståndsärenden rörande direktreklam och kommunala register inom hälso— och sjukvårdsområdet. En stor grupp är vidare statistik- och forskningsregister. Gemensamt för dessa ärenden är att de redan nu, under vissa förutsättningar, i stor utsträckning är eller kommer att bli föremål för ett förenklat tillståndsförfarande och att det endast är när någon avvikelse från detta förfarande påkallar det, som en mera individuell ärendeprövning måste göras. Bara i rena undantagsfall synes vidare denna prövning föranleda att tillstånd inte beviljas. Detta förklaras bl.a. med att inspektionen under hand diskuterat med sökanden och att bristfälliga ansökningar i många fall därför inte fullföljs.
När det gäller de återstående tillståndsärendena, alltså i vart fall omkring en fjärdedel av alla ärenden om tillstånd, sker en individuell prövning av varje ansökan. Om dessa ärenden genomgående är av mera integritetskänsligt slag, skulle man kunna överväga att ha kvar den förprövning som ligger i ett tillståndsförfarande. De tidigare nämnda undersökningarna visar emellertid att ärendenas karaktär varierar relativt kraftigt, från mycket integritetskänsliga till för- hållandevis beskedliga tilltänkta register. Den slutsatsen kan dras att inte heller för dessa ärenden är det alltid motiverat med den ingående prövning som ett tillståndsförfarande omfattar.
Det förefaller därför som om de allra flesta av de tillståndsärenden som nu prövas ur integritetsskyddssynvinkel inte i sig motiverar den insats som krävs. Tillståndshanteringen svarar för drygt 35 procent av Datainspektionens hela resursanvändning.
Samtidigt är inspektionens tillsynsverksamhet inskränkt till ett relativt litet antal fall per år. De flesta av inspektionerna är s.k. skrivbordsinspektioner. Inspektionerna och de större tillsynsprojekt som genomförts visar, å andra sidan, att efterlevnaden av reglerna och därmed integritetsskyddet i vissa hänseenden är bristfälligt såväl inom den privata som offentliga sektorn.
Om ett skärpt tillsynsförfarande kunde inriktas på att kontrollera, inte bara de ärendeslag som nu ingår i tillståndsgruppen, utan även de tillståndspliktiga personregister för vilka f.n. något tillstånd inte söks - antingen på grund av okunnighet eller av andra skäl - skulle integritetsskyddet således i hög grad kunna förbättras. Den ökade tillsynen skulle då också avse de register som i dag inte omfattas av tillståndstvånget. Vissa av dessa innehåller mycket känsliga uppgifter, t.ex. register inom hälso- och sjukvården samt socialtjänsten. Register över medlemmar, anställda etc. utgör i sig inget hot mot integriteten
258 SOU 1993:10
men skulle behöva kontrolleras Stickprovsvis, så att inte andra uppgifter registreras än sådana som får finnas i registren.
Vetskapen om att Datainspektionen ägnar sin uppmärksamhet åt en skärpt tillsyn bör ha en allmänpreventiv effekt och avhålla registeran- svariga från att inrätta och föra otillåtna register eller att ta med icke tillåtna uppgifter i registret. När det gäller de nuvarande förhållandena räcker det att peka på skillnaden mellan det nuvarande antalet anmälda registeransvariga, ca 38 500, och det uppskattade antalet personregister i landet, 200 000 - 500 000. Ett mycket stort antal register kan således - även med beaktande av att siffrorna inte är direkt jämförbara, då varje registeransvarig kan ha flera register - på goda grunder antas f.n. vara helt undandragna varje kontroll.
Mot denna bakgrund ansåg utredningen i sina tidigare ställnings- taganden att ett tillsynssystem under vissa förutsättningar, bl.a. en anmälningsplikt för vissa register, borde kunna ersätta det nuvarande tillståndssystemet.
13.7 Remissutfallet
Remissinstanserna delar genomgående utredningens uppfattning att Datainspektionens resurser bör styras över från tillstånds- till till- synsverksamhet. Flera remissinstanser understryker att en aktiv tillsyn är nödvändig för att få ett gott skydd för den enskildes integritetsin- tressen.
Vad gäller frågan om det är möjligt att helt slopa tillståndsför- farandet instämmer majoriteten av remissinstanserna i utredningens förslag att ett system byggt på anmälningsplikt för vissa register bör ersätta det nuvarande systemet med anmälan/tillstånd.
Några remissinstanser anser emellertid att en ordning med tillstånd bör behållas i viss utsträckning. Viss tveksamhet uttrycker Juridiska Fakultetsnämnden vid Stockholms universitet och uttalar att en möjlighet som bör övervägas är att behålla ett reducerat krav på förhandstillstånd baserat på ett allmänt formulerat känslighets- eller farlighetskriterium. Riksskatteverket och Riksförsäkringsverket ifrågasätter om inte kravet på tillstånd bör finnas kvar för de mest integritetskänsliga registren. Även Riksdagens ombudsmän menar att det straffsanktionerade tillståndskravet inte helt kan ersättas av en skärpt tillsyn och ökad normering genom bransch- och sektorsvis gällande detaljföreskrifter och att även i fortsättningen krav på individuellt tillstånd bör gälla för varje personregister vars existens kan medföra beaktansvärda risker för integritetskränkningar. Svenska kommunförbundet anser att både teoretiska och praktiska skäl talar för ett bibehållet tillståndsförfarande.
SOU 1993:10 259
13 . 8 Överväganden
Utvecklingen hos Datainspektionen visar på en fortsatt ökning av antalet tillståndsärenden. För budgetåret 1992/93 räknar inspektionen med att antalet ärenden, som inte handläggs enligt ett förenklat förfarande, ökar med 20 %. Trots att inspektionen under de senaste åren bedrivit rationaliseringsarbete inom tillståndsverksamheten, vilket bl.a. lett till föreskrifter om förenklade ansökningsförfaranden för flera olika registerslag, tar tillståndshanteringen fortfarande i anspråk en stor del av inspektionens resurser, för 1991/92 drygt 30 %. För budgetåret 1992/93 har Datainspektionen som mål för tillståndsverksamheten att denna skall ta i anspråk högst 30 % av inspektionens totala arbetstid. Hos Datainspektionen finns för närvarande registrerat drygt 50 000 licenser och knappt 50 000 tillstånd. Enligt utredningens beräkningar hade antalet licenser bort vara mellan 500 000 och en miljon.
Nackdelarna med det nuvarande tillståndssystemet kan sammanfattas på följande sätt.
Enligt den undersökning som utredningen har låtit utföra och som har redovisats i det föregående innefattar tillståndsansökningarna både behandling av känsliga uppgifter och behandling som från integritets- synpunkt framstår som tämligen harmlös. Det har visat sig vara mycket svårt att dra en klar gräns mellan dessa två kategorier. Följden blir att Datainspektionen ägnar en omotiverat stor del av sin tid åt att granska behandling som inte borde bli föremål för den relativt omfattande procedur som en tillståndsprövning innebär.
Datainspektionens tillsynsverksamhet är samtidigt begränsad till ett ganska litet antal inspektioner varje år. Dessa inspektioner visar på den andra sidan att efterlevnaden av gällande regler och därmed in— tegritetsskyddet i vissa hänseenden är bristfälligt. Det vitsordas också i några remissyttranden att kunskaperna om lagstiftningen på många håll är uppenbart bristfälliga.
Bara ett begränsat antal datasamlingar, jämfört med det antal som antas existera i landet, anmäls till Datainspektionen. Det betyder att det finns ett stort antal datasamlingar som är okända för Datainspektionen. Den stora majoriteten av dessa är förmodligen harmlös men det kan bland dem också finnas datasamlingar med mycket känslig information.
Problemet med den grå sektorn sammanhänger av allt att döma med att den del av Datainspektionens resurser som avdelats för inspektions— verksamhet är begränsad. Man vet bland de persondataansvariga att risken för upptäckt om man låter bli att söka tillstånd eller göra anmälan är nästan försumbar. Detta gäller för övrigt också t.ex. efterlevnaden av de villkor som kan ha meddelats i det enskilda ärendet. Som någon remissinstans framhåller kan vissa brott mot datalagen, t.ex. sådana som innebär att Datainspektionens villkor
260 SOU 1993: 10
åsidosätts, i princip bara upptäckas i samband med inspektionens tillsynsverksamhet.
Enligt utredningens mening talar goda skäl för att överge tillstånds- förfarandet till förmån för ett system med tillsyn. Datainspektionen skulle inte längre behöva syssla alltför ingående med behandling av harmlösa personuppgifter, det skulle bli tillräckliga eller i vart fall bättre resurser för en intensifierad tillsyn och sist men inte minst, ett renodlat tillsynssystem skulle ha en allmänt avhållande effekt på de persondataansvariga som överväger att avvika från de regler som gäller för integritetsskyddet. Majoriteten av de remissinstanser som har yttrat sig i frågan har också tillstyrkt en övergång till ett renodlat till- synssystem.
I några remissyttranden har emellertid hävdats att integritetsskyddet kräver att tillståndssystemet behålls för de mest integritetskänsliga datasamlingarna. Mot detta kan i sin tur invändas att olika försök redan har gjorts att inskränka tillståndsprövningen. Det förenklade förfarandet som infördes av Datainspektionen var ett led i inspektio- nens ansträngningar att begränsa arbetet med de mera harmlösa datasamlingarna till förmån för de mera känsliga. Genom ändringarna i datalagen år 1982 begränsades uttryckligen tillståndskravet till de kategorier av personregister som ansågs vara särskilt känsliga. Syftet var att inskränka omfattningen av tillståndsprövningen och att i motsvarande mån öka tillsynsaktiviteterna. Dessa mål uppnåddes också, men bara för en tid. Det dröjde inte länge förrän situationen var densamma som före lagändringarna med så många tillståndsansök- ningar att knappast några inspektioner kunde äga rum. Teoretiskt är det naturligtvis tänkbart att fortsätta i riktning mot ett ännu mer reducerat tillståndskrav. Bortsett från de gränsdragningsproblem som uppkommer visar emellertid erfarenheten att antalet tillståndsärenden ganska snart på nytt skulle bli så stort att betydande resurser skulle få läggas ner på handläggningen. Detta hänger naturligtvis samman med att inget tyder på att takten i datoriseringen i landet kommer att stanna upp. Till detta kommer att det finns en risk för att man även med en begränsad tillståndsverksamhet förfuskar huvudtanken att genom reducerad tillståndsbyråkrati möjliggöra en effektiviserad tillsyns- och kontrollverksamhet.
I detta sammanhang bör emellertid också de s.k. samkörningarna diskuteras. Samkörning har — utan att ordet som sådant anges i datalagen - likväl för många kommit att symbolisera riskerna från integritetssynpunkt med ADB-användningen.
Med begreppet samkörning avses närmast maskinell eller elektronisk bearbetning av personuppgifter som hänförs till ett visst ändamål till- sammans med personuppgifter som hänförs till ett annat ändamål hos den persondataansvarige eller hos annan persondataansvarig eller annan (även manuell) direkt överföring av uppgifter från en datasamling till en annan.
SOU 1993:10 261
Enligt nuvarande bestämmelser krävs i princip alltid tillstånd av Datainspektionen för en sådan sambearbetning. Krav på tillstånd gäller dock inte om det finns stöd i författning eller ett beslut av inspektionen eller om det görs med den enskildes samtycke.
Informationssystemen har genomgående utvecklats från centrala system till en decentraliserad ordning, vilket tekniskt sett har ökat behovet av "samkörning" utan att man för den skull kan hävda att integritetsriskerna enbart därigenom har ökat. Även databastekniken och teknikanvändningen i allmänhet har bidragit till att öka antalet "samkörningar", liksom behovet att uppdatera lagrat material. Denna tekniska utveckling kan förväntas fortsätta och därigenom göra "samkörningarna" ännu mera vanliga. För att inte inge felaktiga föreställningar om teknikens "farlighet" bör man enligt utredningen i integritetssammanhang i stället för "samkörning" använda termen sambearbetning och överföring av uppgifter mellan datasamlingar. I det följande avses, där inte annat framgår, med sambearbetning också överföring av uppgifter mellan datasamlingar.
Den omständigheten att sambearbetning sker av personuppgifter i flera datasamlingar kan visserligen ibland sägas leda till ett mera omedelbart och okontrollerat integritetsintrång än om insamling och lagring sker i en enda datasamling. Datakvalitén kan också bli lidande av att uppgifter som insamlats för ett visst ändamål används för ett annat. Utredningen har därför övervägt att behålla nuvarande ordning, dvs. att kräva att tillstånd skall föreligga i vissa fall. Som tidigare har utvecklats har emellertid den tekniska utvecklingen och utvecklingen mot decentraliserade systern lett fram till och kommer framöver att i än högre grad leda fram till förekomsten av en stor mängd sambe- arbetningar utan att dessa bearbetningar innebär några egentliga risker från integritetsskyddssynpunkt. En ordning med tillståndsprövning för dessa fall skulle därför innebära ett orimligt stort ianspråktagande av Datainspektionens resurser utan motsvarande vinster för integritets- skyddet. Det finns därför för sambearbetningarna minst lika goda skäl som för datasamlingar i övrigt att upprätthålla ett flexibelt och obyråkratiskt system. Utredningen har alltså stannat för att inte föreslå införande av en särlösning i dessa fall.
Utredningen diskuterar i anslutning till 11 å i förslaget till datalag hur bedömningen skall göras huruvida en sambearbetning är tillåten eller inte.
Sammanfattningsvis är det enligt utredningens uppfattning hög tid att man överger tanken att man genom ett partiellt tillståndsförfarande skulle kunna hantera integritetsfrågorna på ADB-området. Utredningen vidhåller sitt tidigare förslag om en övergång till ett renodlat till- synssystem. Ett sådant system ger naturligtvis i sin tur upphov till vissa problem och kan inte genomföras utan att vissa förutsättningar föreligger. Utredningen återkommer till detta i nästa avsnitt.
262 SOU 1993:10
Som utredningen har redovisat i det föregående (avsnitt 9.5 och 13.5) krävs i vissa fall enligt förslaget till EG-direktiv att särskilda förutsättningar föreligger för att personuppgifter skall få behandlas, nämligen antingen en särskild reglering i lag eller författning, tillståndsbeslut av dataskyddsmyndigheten eller ett slags besked från myndigheten med anledning av en anmälan från den persondataansvari- ge. För behandling av känsliga uppgifter har utredningen valt alternativet med en särskild reglering i lag eller annan författning (se 20 & förslaget till datalag) och här stämmer alltså utredningens förslag om en övergång från det nuvarande tillståndssystemet till ett till- synssystem överens med direktivförslaget.
SOU 1993: 10 263
14 Vissa förutsättningar för en renodlad tillsynsverksamhet
14. 1 Gällande rätt
Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet (15 - 18 55 datalagen).
I denna tillsyn innefattas rätt att få tillträde till de lokaler som har samband med ADB-verksamheten, att få tillgång till den dokumentati- on som rör databehandlingen och att föranstalta om egna körningar av personregister (16 5).
Det åligger vidare den registeransvarige att lämna datainspektionen de uppgifter som inspektionen begär för sin tillsyn (17 å).
Datainspektionen kan vitesförelägga den registeransvarige om denne inte fullgör sina skyldigheter i samband med tillsynen (24 5).
Har förande av personregister medfört eller kan antas medföra otillbörligt intrång i personlig integritet kan datainspektionen meddela villkor eller, om rättelse inte på annat sätt kan åstadkommas, förbjuda fortsatt förande av personregister eller återkalla meddelat tillstånd
(18 5)-
14.2 Utredningens tidigare ställningstaganden
Ett renodlat tillsynssystem, där någon förprövning inte sker, förutsätter dels att de grundläggande bestämmelserna om personregistrering anges i datalagen, dels att Datainspektionen ges möjlighet att genom normer i förväg detaljreglera olika branscher och sektorer samt att förekomsten av vissa personregister genom anmälan i tillräcklig omfattning kommer till inspektionens kännedom.
Datainspektionens bransch- eller sektorsreglering
Utgångspunkten även i ett renodlat tillsynssystem bör sålunda vara att de materiella bestämmelserna i datalagen anger de grundläggande förutsättningarna för personregistreringen. Förutom de grundläggande bestämmelserna i datalagen behövs emellertid, liksom för närvarande,
264 SOU 1993: 10
en regelutfyllnad på lägre nivå. I praktiken innebär den förenklade tillståndsgivningen att register inom en viss sektor i förväg normerats av Datainspektionen med stöd av bl.a. en antagen verkställighets- föreskrift och att den registeransvarige, som har ett register på vilket föreskrifterna är tilllämpliga, på särskild blankett ansöker om tillstånd hos inspektionen. Denna ger därefter formellt tillstånd och beslutar bl.a. att innehållet i föreskrifterna skall gälla såsom villkor (eller "föreskrifter" enligt terminologin i 5 och 6 åå datalagen) för registret.
Denna ordning är närmast föranledd av att inspektionen f.n. inte har någon laglig möjlighet att ge dispens från tillståndskravet och inte har ett allmänt bemyndigande att utfärda generella regler på dataområdet.
De nuvarande bestämmelserna i regeringsformen (8 kap. 2, 3, 5 och 7 åå) sätter vidare en gräns för inspektionens regleringsmöjlighet. Även med ett uttryckligt bemyndigande i datalagen torde det inte vara möjligt för regeringen att subdelegera normgivningsmakt åt Datain- spektionen när det gäller det kommunala och landstingskommunala området (se 8 kap. 5 och 7 åå regeringsformen). Även den privata verksamhet som inte kan räknas till "näringsverksamhet" (se 8 kap. 7 å 3 regeringsformen) faller utanför. Möjligheten för inspektionen att normera dessa sektorer genom regelgivning förutsätter således ändring i grundlagen.
En regelgivning, som innebär att inspektionen utfärdar mera detalje— rade bestämmelser för inrättande och förande av olika slags register, är som framhållits av grundläggande betydelse för en övergång till ett renodlat tillsynssystem. Möjligheterna för Datainspektionen att i ett framtida tillsynssystem normera skilda områden bör emellertid kunna inskränkas till de områden där registrering av känsliga uppgifter förekommer, dvs i princip sådana uppgifter som nu anges i 4 å och 6 å andra stycket datalagen, samt register med uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av med- lemskap, anställning etc. Register som inte innehåller känsliga uppgifter bör täckas av de grundläggande bestämmelserna i datalagen.
Ändring i grundlagen
En ordning med kompletterande föreskrifter förutsätter att regeringen eller den myndighet som regeringen bestämmer, dvs. närmast Datainspektionen, ges ett bemyndigande att närmare reglera vad som skall gälla för inrättande och förande av personregister på skilda områden utöver de grundläggande bestämmelserna i datalagen (och i särskilda registerförfattningar). Utan en ändring i regeringsformen torde dock ett sådant bemyndigande emellertid, som framgått, bara kunna gälla registrering inorn statlig verksamhet och privat "närings- verksamhet". Den kommunala sektorn och vissa andra områden skulle därför falla utanför. Det ligger emellertid under alla förhållanden ett stort värde i att systemet är så beskaffat, att det inte råder några
SOU 1993: 10 265
oklarheter i konstitutionellt hänseende i fråga om den närmare regleringen.
Utredningen föreslår därför att 8 kap. 7 å regeringsformen ändras så, att till uppräkningen i paragrafen fogas ämnet "skydd mot kränkning av personlig integritet vid personregistrering med hjälp av automatisk databehandling " .
I fråga om utformningen av bemyndigandet i datalagen föreslog Datainspektionen i en promemoria som gavs in till regeringen i november 1988, att ett bemyndigande för regeringen eller inspektionen skulle avse befogenhet att ta undan vissa slag av personregister från tillståndskravet under förutsättning att det samtidigt meddelas generella föreskrifter för de undantagna personregistren. Under remissbe— handlingen av promemorian kritiserade vissa remissinstanser (bl.a. Statskontoret, Juridiska fakultetsnämnden vid Stockholms universitet, Svenska Bankföreningen, Svenska Arbetsgivareföreningen och Sveriges Industriförbund) förslaget i denna del. Kritiken tog närmast sikte på att det i en sådan ordning kunde bli svårt att överblicka omfattningen av undantagen.
Utredningen delar den kritik som i dessa remissyttranden har kommit fram om utformningen av det föreslagna bemyndigandet. Det bemyndigade i datalagen som utredningen förordar bör lämpligen få den innebörden, att det avser grupper av sådana register som ofta före— kommer och som är av enhetlig karaktär.
Anmälningsskyldigheten
En ordning med bransch - eller sektorsreglering genom inspektionens försorg är en förutsättning för att man skall kunna slopa det nuvarande tillståndskravet. En ytterligare förutsättning för att tillståndsplikten skall kunna tas bort är, som tidigare har nämnts, att en viss an— mälningsplikt införs.
Redan i dag är det tänkt att anmälningarna för att få licens skall utgöra en viktig grund för inspektionens tillsynsverksamhet (se prop. 1981/ 82: 189 s. 25). Om tillståndsprövningen upphör, förstärks behovet av att få en överblick över personregistreringen. Ett obligatoriskt anmälningsförfarande blir därför av stor betydelse. Med hänsyn till behovet av att förenkla tillsynshandläggningen och att inordna anmälningarna i ett nytt regelsystem måste anmälan innehålla vissa grundläggande upplysningar.
Ytterligare ett skäl att införa en anmälningsplikt är att det under- lättar för den enskilde att få den insyn i personregistreringen som han eller hon har rätt till (se 10 å datalagen). Genom en hänvändelse till inspektionen kan han eller hon på ett enkelt sätt få besked om de olika slag av mera känsliga personregister som från tid till annan förs.
Ett annat skäl som talar för ett anmälningssystem är att någon form av anmälan eller registrering hos en tillsynsmyndighet ingår som ett
266 SOU 1993: 10
led i integritetsskyddet på dataområdet i andra länder. —(Se om förhållandena i Finland, Frankrike, Nederländerna och Storbritannien i bilaga 4.) En avsaknad av en anmälningsplikt i vårt land skulle således kunna avvika från vad som är vanligt utomlands.
Vad som kan tala mot att införa ett anmälningssystem är framför allt att detta är en byråkratisk omgång som tar vissa resurser i anspråk. Anmälningsskyldigheten bör emellertid kunna inskränkas till de fall då känsliga uppgifter förekommer, dvs i princip sådana uppgifter som nu anges i 4 å och 6 å andra stycket datalagen, samt register med uppgifter om personer som saknar sådan anknytning till den personda- taansvarige som följer av medlemskap, anställning etc. Anmälnings- plikt skulle således gälla för följande tre kategorier av personuppgifter.
1 Känsliga uppgifter i egentlig mening, dvs. uppgift om brott, tvångsingripande, hälsa, sexualliv, ras, politisk uppfattning, religiös tro etc. 2 Personuppgift som avser omdöme eller annan värderande upplysning om någon. 3 Uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundför- hållande o.d.
Det innebär exempelvis att en persondataansvarig som endast använder personuppgifter som har en naturlig anknytning till honom inte behöver göra någon anmälan. Skulle i ett fall med naturlig anknytning uppgifterna i sig vara känsliga, trots anknytningen, bör dock givetvis anmälningsskyldighet föreligga.
Huvudpunkter i den framtida tillsynsverksamheten
En huvuduppgift för inspektionen i ett renodlat tillsynssystem blir att genom inspektioner och kontroll se till att bestämmelserna efterlevs och integritetsskyddet upprätthålls.
Underlaget för tillsynen bör i huvudsak utgöras av de anmälningar om register som föreligger hos inspektionen. Dessa bör hos in- spektionen kunna systematiseras så, att de svarar mot den bransch- eller sektorsreglering som föreligger. Härigenom får inspektionen en god möjlighet till överblick och till att fortlöpande följa utvecklingen inom olika områden. Datainspektionen får därigenom också förut- sättningar att göra den anpassning av föreskrifterna som kan vara påkallad. Genom inspektioner hos utvalda registeransvariga bör vidare kontroll regelbundet göras. Inspektionerna kan antingen ske stick- provsvis eller efter mönster av den nuvarande projektverksamheten koncentreras till vissa områden eller grupper av registeransvariga.
Det är naturligt att Datainspektionens tillsyn i första hand inriktas på de typer av register som skall anmälas till inspektionen. Myndig-
SOU 1993: 10 267
heten bör dock ägna viss uppmärksamhet även åt de register som inte behöver anmälas, dvs. den stora massan av register.
Det får förutsättas att en registeransvarig, som avser att föra ett särskilt känsligt register eller ett register som inte ingår i någon av de standardkategorier som kan finnas, tar kontakt med inspektionen före eller senast i samband med sin anmälan för att inte riskera att registret blir föremål för en rad ingripande, icke förutsedda villkor eller rent av förbjuds. Vetskapen om att inspektionen utövar en skärpt tillsyn bör effektivt kunna bidra till ett sådant handlingssätt.
Inspektionen bör, som nyss antytts, i ett enskilt fall liksom f.n. kunna meddela de villkor som skall gälla för förande av ett register.
För många register av mera känsligt slag torde med hänsyn till vad som nu har sagts skillnaden i praktiken mellan en förprövning (tillstånd) och efterprövning (tillsyn) inte bli så stor för den registeran- svarige. Kontrollen kommer däremot att kunna skärpas och tillsynen effektiviseras genom att resurser har frigjorts från den nuvarande tillståndsprövningen för Datainspektionens del.
De personregister som inte anmäls, oavsett om anmälningsplikt föreligger eller inte, får, som utredningen tidigare har berört i detta avsnitt, inspektionen också bevaka genom en kontroll hos de registe- ranvariga. Förfrågningar och information bör kunna riktas till grupper eller inom sektorer, där kontrollbehovet bedöms vara särskilt stort. Erfarenheterna av de tillsynsprojekt som inspektionen har genomfört bör som framgått härvid kunna tas tillvara.
De förteckningar och register över företag som redan förs (exempel- vis det allmänna företagsregistret BASUN) bör kunna användas som ett verksamt underlag för en sådan inspektionsverksamhet.
14. 3 Remissutfallet
De remissinstanser som har berört frågan betonar behovet av en fyllig reglering i lag och andra föreskrifter. Den registeransvarige måste ha möjlighet att förutse om ett visst register är tillåtet eller inte och en tydlig och utförlig reglering är alltså motiverad redan av rättssäker- hetsskäl. Juridiska fakultetsnämnden vid Lunds universitet framhåller att en förutsättning för att det föreslagna tillsynssystemet skall uppfylla den straffrättsliga legalitetsgrundsatsen och i övrigt fungera till- fredsställande är att lagreglerna, liksom övriga föreskrifter, uppfyller betydande krav på precision.
Majoriteten av de remissinstanser som uttryckligen har tagit ställning till frågan, bl.a. Riksdagens ombudsmän och Datainspektio- nen, godtar att Datainspektionen ges möjlighet att meddela bransch- eller sektorsföreskrifter som komplettering till de grundläggande be- stämmelserna i datalagen. Dessa remissinstanser tillstyrker också
268 SOU 1993: 10
förslaget om grundlagsändring. I fråga om avgränsningen till'känsliga personuppgifter uttalar Datainspektionen att förandet av de mindre integritetskänsliga registren liksom hittills i princip bör styras endast av föreskrifterna i datalagen. Kritiska synpunkter förekommer emellertid i en del yttranden. En remissinstans erinrar om bestämmel- sen i 2 kap 3 å andra stycket regeringsformen att varje medborgare i den utsträckning som närmare anges i lag skall skyddas mot att hans personliga integritet kränks genom personregistrering med ADB. Även om den föreslagna grundlagsändringen genomförs, sägs det vidare i yttrandet, kvarstår att den nyss berörda bestämmelsen sätter gränser för den normgivningsmakt som efter delegation kan tilläggas regering- en eller Datainspektionen.
Även när det gäller den föreslagna anmälningsskyldigheten godtas den av en majoritet av de remissinstanser som har tagit upp frågan i sina yttranden. Kammarrätten i Stockholm har svårt att tro att anmälningarna kan avvaras som underlag för inspektionsverksamheten. Den olägenhet som ligger i att tillsynen kan hämmas som en följd av arbetet med anmälningarna torde därför få tas. Enligt Datainspektionen bör den personuppgiftshantering som bedöms vara av mindre känslig art få äga rum utan krav på någon särskild anmälan. Andra remissin- stanser anser det inte självklart att någon anmälningsplikt överhuvud- taget skall finnas. Skyldigheten att dokumentera personregister i kombination med en effektiv tillsyn av Datainspektionen, säger t.ex. Juridiska fakultetsnämnden vid Stockholms universitet, kan mycket väl vara ett bättre kontrollinstrument än en anmälningshantering som belastar myndighetens resurser och minskar möjligheterna att bedriva tillsynen.
Vissa remissinstanser pekar på olika problem som är förenade med en anmälningsskyldighet. Eftersom anmälningsplikten bara gäller för vissa register måste den registeransvarige själv ta ställning till om registret är anmälningspliktigt eller inte. I några yttranden pekar man på de olägenheter som kan uppkomma för den registeransvarige genom att Datainspektionen förutsätts göra en bedömning i efterhand av de inkomna anmälningarna. Riksförsäkringsverket framhåller att den registeransvarige kan få leva i osäkerhet om Datainspektionens bedömning under obestämd tid. Enligt Riksskatteverket bör det krävas att Datainspektionen inom viss kortare tid efter anmälan lämnar besked till den registeransvarige om inspektionen finner att förandet av registret förutsätter betungande villkor. I annat fall bör sådana villkor få meddelas endast om de beror på omständigheter som inte framgår av anmälan. Samma synpunkter förs fram av Datainspektionen men inspektionen pekar också på de skador från integritetssynpunkt som kan inträffa innan myndigheten har haft tillfälle att granska anmäl- ningen. Datainspektionen förordar att anmälningskravet kombineras med någon form av tidsfrist för Datainspektionens granskning av anmälningen och att behandlingen av personuppgifterna inte får
SOU 1993: 10 269
påbörjas förrän tidsfristen löpt ut. Ett alternativ kan enligt inspektionen vara att införa en rätt till formellt förhandsbesked. En sådan regel, sägs det i yttrandet, skulle emellertid kunna anses i alltför hög grad likna prövningen i dagens tillståndssystem och därför strida mot de av utredningen förordade principerna för en ny datalag. Juridiska fakultetsnämnden vid Stockholms universitet erinrar om de risker som ligger i momentana register och registeranvändningar av otillbörligt slag. Från den synvinkeln är det enligt fakultetsnämnden absolut nödvändigt att Datainspektionen åtminstone har möjlighet att meddela interimistiska förbud mot en viss anmäld aktivitet.
14.4 Överväganden
Det nuvarande tillståndstvånget för behandling av integritetskänsliga personuppgifter innebär att den registeransvarige genom ett beslut från Datainspektionen eller i förekommande fall regeringen får veta om registret är tillåtet och kännedom om villkoren för att det skall få föras. I ett renodlat tillsynssystem är det den persondataansvarige själv som i första hand får ta ställning till om hans personuppgiftshantering håller sig inom de ramar som har ställts upp för hanteringen. Det är därför av avgörande betydelse för ett sådant system att det finns en tydlig och utförlig reglering till ledning för den persondataansvariges handlande.
Den nya datalagen kommer, i stället för det nuvarande allmänt hållna begreppet otillbörligt intrång i personlig integritet, att innehålla regler i olika hänseenden för behandlingen av personuppgifter. Lagen är tänkt att innehålla bl.a. bestämmelser om den nödvändiga an- knytningen till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka personuppgifter som får behandlas, formen för samtycke från den enskilde och gallring av personuppgifter. Reglering- en av behandlingen av känsliga uppgifter har utformats på ett sådant sätt att någon tveksamhet inte heller skall behöva uppstå hos den persondataansvarige om en behandling av känsliga uppgifter är tillåten eller inte. Mot den nu angivna bakgrunden menar utredningen att den första förutsättningen för ett renodlat tillsynssystem föreligger, nämligen att de grundläggande bestämmelserna om behandling av personuppgifter uppfyller de krav på precision som rimligen kan ställas.
Trots den förhållandevis fylliga regleringen i lag skulle integritets- skyddet för den enskilde och förutsebarheten för den persondataan— svarige — som utredningen framhåller i sina tidigare ställningstaganden och som majoriteten av de remissinstanser som har berört frågan har anslutit sig till — vinna på en regelutfyllnad på en lägre konstitutionell nivå för olika branscher och sektorer. Samtidigt bör man hålla i minnet
270 SOU 1993: 10
att enligt grundlagsbestämmelsen i 2 kap 3 å andra stycket regerings- formen omfattningen av det integritetsskydd som den enskilde åtnjuter skall närmare anges i av riksdagen stiftad lag. Den normgivningsmakt som skall delegeras till regeringen eller Datainspektionen får inte bli för omfattande och den bör få en klar avgränsning.
Något behov av en ytterligare normering i fråga om de mindre känsliga personuppgifterna torde inte finnas, utan behandlingen av dem bör kunna ske enbart med ledning av de allmänna bestämmelserna i datalagen. Så sker i dag och förutsättningarna för en sådan ordning bör bli ännu bättre genom att den nya datalagen är tänkt att innehålla fylligare och mera precisa bestämmelser. Bemyndigandet i datalagen för regeringen eller Datainspektionen att meddela kompletterande föreskrifter bör alltså i princip bara avse sådan behandling som innefattar särskilda risker för den enskildes integritet. Gränserna för bemyndigandet i det hänseende som nu diskuteras bör i princip sammanfalla med den avgränsning som görs av skyldigheten att anmäla datasamlingar till Datainspektionen. Utredningen tar upp den frågan i det följande.
Ytterligare en begränsning bör göras. Det är naturligt att Datain- spektionens normering tar sikte på områden där det finns många och likartade datasamlingar. En sådan normering ökar förutsebarheten för åtskilliga persondataansvariga och integritetsskyddet för många enskilda. Datainspektionens tillsyn underlättas på breda områden. En reglering som avser enstaka typer av behandling av personuppgifter bör däremot i princip inte förekomma. Som exempel på vad ut- redningen åsyftar kan nämnas sjukhusens patientregister och olika forskningsregister.
I enlighet med vad som nu har sagts förordar utredningen att det i datalagen tas in en bestämmelse om att regeringen eller, efter regeringens bemyndigande, Datainspektionen får i fråga om sådan behandling som innefattar särskilda risker för den enskildes integritet och vilken behandling ofta sker inom ett visst område för ett visst ändamål, meddela närmare föreskrifter om tillämpningen av be- stämmelserna i datalagen om behandling av personuppgifter. Ett sådant bemyndigande kräver, som utredningen har berört i sina tidigare ställningstaganden, en ändring i 8 kap 7 å regeringsformen.
En tredje förutsättning för ett renodlat tillsynssystem bör, som också en majoritet av de remissinstanser som har berört frågan har ansett, vara en anmälningsskyldighet som kan läggas till grund för inspekti— onsverksannheten. Anmälningsskyldigheten bör, liksom bemyndigandet för Datainspektionen att meddela kompletterande föreskrifter, bara avse sådana datasamlingar som kan sägas innefatta särskilda risker för den enskildes integritet. Syftet med anmälningsskyldigheten är att anmälningarna skall ligga till grund för Datainspektionens tillsyn av behandling av personuppgifter. Genom anmälningarna kan också den enskilde, Slom utredningen har utvecklat i avsnitt 5.3, få information
SOU 1993:10 271
om sådana datasamlingar som innefattar särskilda risker för den enskildes integritet. Någon gång kan också en anmälan föranleda ett direkt ingripande från inspektionen i form av villkor eller förbud att använda datasamlingar.
Det primära syftet med anmälningsskyldigheten är alltså att an- mälningarna skall ligga till grund för Datainspektionens tillsyn av behandling av personuppgifter. Med ledning av inkomna anmälningar skall inspektionen få möjlighet till en god överblick och kunna inrikta tillsynen på i första hand de datasamlingar som representerar särskilda risker från integritetssynpunkt. För att man skall kunna uppnå dessa syften måste emellertid antalet anmälningar hållas på en hanterlig nivå. De får inte bli så många att registreringen av anmälningarna och hanteringen i övrigt av dem blir en huvudsak och själva tillsynen en bifräga. Inte heller får de bli så många att Datainspektionen inte får den överblick över den känsliga personuppgiftsbehandlingen som är önskvärd.
Enligt gällande rätt krävs tillstånd för att få inrätta och föra person- register i fråga om tre kategorier av personuppgifter, nämligen känsliga uppgifter i egentlig mening, uppgifter om personer som saknar viss anknytning till den persondataansvarige samt personuppgif— ter som blir föremål för sambearbetning. I avsnitt 9 har utredningen förordat att i sig känsliga uppgifter över huvud taget inte får behandlas om det inte, förutom vid samtycke, finns särskilt stöd i författning för behandlingen. Det kan knappast råda någon tvekan om att nu berörda behandling bör anmälas till Datainspektionen.
När det sedan gäller behandling av uppgifter om personer som saknar sådan anknytning till den persondataansvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande är skälet till den nuvarande tillståndsplikten att behandling inte utan ett angeläget behov bör få ske av uppgifter om andra personer än sådana som har en naturlig anknytning till den persondataansvariges verksamhet. Denna grunduppfattning borde leda till, kan det hävdas, att även i dessa fall en anmälningsskyldighet skulle föreligga. Det finns emellertid också skäl som talar i motsatt riktning.
Man bör till en början ha i minnet att, om behandlingen i de fall en naturlig anknytning saknas också avser i sig känsliga uppgifter, en anmälningsskyldighet följer av förekomsten av känsliga uppgifter. Vad diskussionen nu gäller är således behandling av mera harmlösa personuppgifter.
De mest uppmärksammade fallen av behandling där anknytning saknas har varit behandling av personuppgifter för direktreklamända- mål. I utredningens förslag finns särskilda regler som syftar till att skydda den enskildes integritet vid behandling för direktreklamändamål av personuppgifter som hänför sig till honom. I och för sig bör behandling av personuppgifter för direktreklamändamål kunna ske utan
272 SOU 1993:10
att den enskilde har samtyckt till behandlingen. Om mottagaren av reklamen skulle komma att motsätta sig behandlingen bör emellertid detta konstituera ett sådant intresse hos den enskilde som tar över den persondataansvariges intresse och den sistnämnde får då stoppa direktreklamen till den enskilde (jfr 11 å första stycket 6 i lag- förslaget). En uttrycklig regel om förbud för den persondataansvarige att behandla personuppgifter för direktreklamändamål i strid mot den enskildes önskan finns i 28 å i lagförslaget.
Ett väsentligt skäl mot en anmälningsskyldighet i de fall det saknas en naturlig anknytning är vidare att en sådan ordning skulle leda till ett mycket stort antal anmälningar. Detta sammanhänger bl.a. med den mycket vanligt förekommande ord- och textbehandlingen. Visserligen är ordbehandlingen som sådan undantagen från lagens tillämpningsom- råde (se 6å 5 förslaget till datalag). Som framgår av specialmo- tiveringen till denna bestämmelse är undantaget tillämpligt bara så länge som personuppgifterna är föremål för ordbehandling. Lagras uppgifterna för att behandlas för andra syften än ordbehandling blir datalagen tillämplig. Det torde förhålla sig så att det i flertalet fall sparas i maskinen de brev, skrivelser, dokument etc. som skrivs ut för att man skall ha snabb tillgång till materialet och för att kunna söka i det. Vidare torde det vara så att det, särskilt på den offentliga sidan, finns många fall där korrespondens, beslut m.m. avser andra personer än sådana som den persondataansvarige har en naturlig anknytning till.
Enligt utredningens mening är de skäl som från integritetsskydds- synpunkt talar för en anmälningsskyldighet ide nu berörda situationer- na svagare än som utredningen tidigare har utgått från (jfr avsnitt 14.2). Till detta kommer att en ordning där amnälningsskyldigheten verkligen fyller sitt syfte förutsätter en hård begränsning av antalet amnälningar. Utredningen förordar därför inte längre någon an- mälningsskyldighet i de nu berörda fallen.
Återstår så sambearbetningsfallen. När utredningen i avsnitt 13 diskuterade om man för dem skulle ha en särlösning med tillstånd blev slutsatsen att en sådan ordning skulle innebära ett orimligt stort ianspråktagande av Datainspektionens resurser utan motsvarande vinster för integritetsskyddet. Det fanns därför för sambearbetningarna, sades det, minst lika goda skäl som för datasamlingar i övrigt att upprätthålla ett flexibelt och obyråkratiskt system (se avsnitt 13.8). I sina tidigare ställningstaganden har utredningen också kommit fram till att anmälningsskyldigheten även vid sambearbetning skulle begränsas till de fall där sambearbetningen omfattar känsliga uppgifter eller uppgifter om personer som saknar sådan anknytning till den registeran- svarige som följer av medlemskap, anställning, kundförhållande o.d. (avsnitt 14.2). Någon särskild reaktion mot detta förekom inte under remissbehandlingen. När utredningen nu på nytt tar upp frågan skulle utredningen vilja förorda, mot bakgrund av vad som har sagts i det föregående, att anmälningsskyldigheten begränsas ytterligare och bara
SOU 1993: 10 273
avser de fall då känsliga uppgifter i egentlig mening innefattas i sambearbetningen.
I enlighet med det nu sagda bör i förslaget till datalag tas in en bestämmelse om att en anmälanvskall ha kommit in till Datainspektio- nen innan personuppgifter får behandlas, om behandlingen avser känsliga uppgifter (se 20 och 37 åå förslaget till datalag). Även om behandlingen avser känsliga uppgifter bör emellertid från anmälnings— skyldigheten tas undan de fall av behandling som i dag utgör undantag från tillståndsplikten (2 a å tredje stycket i den gällande datalagen och 37 å andra stycket i utredningens förslag till datalag). Med en sådan reglering kommer den behandling som innefattar särskilda risker för den enskildes integritet att komma till Datainspektionens kännedom samtidigt som antalet anmälningar kan hållas på en hanterlig nivå. Det bör i sammanhanget framhållas att de undantag från anmälnings- skyldigheten som nyss har nämnts inte bör ha någon motsvarighet när det gäller bemyndigandet för regeringen eller Datainspektionen att meddela kompletterande föreskrifter.
Vid remissbehandlingen har förts fram tankar om en tidsfrist för Datainspektionens granskning av anmälningar eller i andra hand en rätt för den persondataansvarige att få ett formellt förhandsbesked. Utredningen har i avsnitt 13 utförligt diskuterat de olägenheter som är förenade med ett tillståndssystem, även om detta är partiellt, och har kommit fram till den slutsatsen att man med ett sådant förfarande inte löser de problem som finns på integritetsskyddsområdet. Systemet med en tidsfrist torde i praktiken innebära att man via bestämmelserna om anmälningsskyldighet behåller det partiella tillståndsförfarandet. Även en ordning med förhandsbesked skulle, som också medges i det berörda yttrandet, i alltför hög grad leda till samma resultat. Ut- redningen är för sin del inte beredd att förorda en ordning med en tidsfrist eller förhandsbesked.
Om man emellertid inte vill ha en ordning med tidsfrist eller förhandsbesked kan det onekligen inträffa att integritetsskador kan uppkomma innan anmälningen har behandlats av Datainspektionen. Denna risk för skador måste emellertid jämföras med motsvarande risk i ett tillståndsförfarande eller en variant av ett sådant förfarande. Vid sin diskussion av frågan om ett renodlat tillsynssystem har utredningen betonat att man med ett sådant system bör ha mycket större möjligheter än f.n. att komma tillrätta med alla de persondataansvariga som inte hör av sig till Datainspektionen och vars verksamhet i det fördolda orsakar mer eller mindre stora integritetsskador. Det är utredningens övertygelse att på sikt integritetsskadorna kommer att bli mindre i ett renodlat tillsynsförfarande än i ett partiellt tillståndsförfarande.
Om därefter anmälningsskyldigheten ses från den persondataansvari- ges perspektiv torde, med den avgränsning som anmälningsplikten har fått i förslaget, det inte innebära några svårigheter att avgöra om en viss datasamling skall anmälas till Datainspektionen eller ej. Däremot
274 SOU 1993: 10
kan det inte bestridas att den persondataansvarige kan komma att uppleva en större osäkerhet med den nya ordningen än i ett till- ståndsförfarande. Datainspektionens bedömning med anledning av en anmälan kan någon gång leda till att inspektionen meddelar villkor för behandlingen av personuppgifterna eller rent av förbjuder datasam- lingen. Även interimistiskt förbud skall enligt utredningens förslag kunna förekomma. Problemet skall emellertid inte överdrivas. Möjligheterna för den persondataansvarige att avgöra vad som är tillåtet är helt annorlunda i den föreslagna ordningen med dess krav på att behandling av känsliga uppgifter åtminstone i vissa hänseenden måste vara särskilt författningsreglerad och dess i övrigt ganska ingående reglering av förutsättningarna för att behandla personuppgif— ter. Den persondataansvarige som är osäker om var gränserna går har också alltid möjlighet att ta kontakt med Datainspektionen före eller i samband med en anmälan för att inte riskera att datasamlingen blir föremål för ingripande.
Utredningen vill till slut ta upp frågan om karaktären på den tillsyn som Datainspektionen skall utföra. På grund av att erfarenheter saknades - såväl nationellt som internationellt - var det vid datalagens tillkomst i början av 1970-talet både naturligt och nödvändigt att statsmakterna avstod från en närmare reglering och lämnade den tillämpande myndigheten stor frihet att genom praxis fylla ut reglerna i lagen. De villkor som Datainspektionen i dag meddelar vid till- ståndsprövningen eller vid sin tillsyn är alltså ett inslag i den materiella regleringen av behandlingen av olika personuppgifter. Läget blir emellertid helt annorlunda genom utredningens förslag med dess förhållandevis utförliga reglering av olika aspekter av datahanteringen. Datainspektionens uppgifter blir i det nya systemet att se till att behandlingen av personuppgifter sker i enlighet med de bestämmelser som gäller för behandlingen av uppgifterna. Skulle personuppgifter behandlas i strid med vad som gäller för behandlingen får Datainspek- tionen meddela villkor. Dessa villkor har dock inte till syfte att fylla ut den materiella regleringen utan syftet är att åstadkomma rättelse. De sanktionsmöjligheter som Datainspektionen föreslås få i sin till- synsverksamhet behandlas närmare i specialmotiveringen i anslutning till 39 å och följande paragrafer.
I fråga om inriktningen av den framtida tillsynsverksamheten hänvisar utredningen till sina tidigare uttalanden (avsnitt 14.2).
Utredningens förslag om delegation av normgivningsmakt innebär inga avvikelser från förslaget till EG-direktiv. Med uttrycket "law" i direktivet torde nämligen också förstås av regeringen beslutade förordningar och de föreskrifter som Datainspektionen efter delegation har rätt att meddela. Direktivets krav på lagform torde vara uppfyllt, om det är fråga om i förväg meddelade normer av generell karaktär, till skillnad från myndighetsbeslut i enskilda fall. Den inhemska rättsordningens val av normnivå torde således inte var avgörande.
SOU 1993: 10 275
Däremot avviker utredningens förslag från förslaget till EG-direktiv när det gäller skyldighet att göra anmälan om en datasamling till dataskyddsmyndigheten. Enligt utredningen skall en behandling av personuppgifter i princip anmälas till Datainspektionen, om be- handlingen avser känsliga uppgifter (jfr 20 å i förslaget till datalag). Som utredningen har redovisat i avsnitt 5.3 gär direktivförslaget mycket längre.
WHMWIMMhhmun-HMIWH ”Mnmwmmn—HMMW mil-ue: I'll!- M» Hirsi-WH» "||| dull- -' irl-||: ull—1 WWMWWFNMMWF M- mman-atn .- nllllnn-jul! Inf MMW'meww-uumw. Wunmhtmmm—nu—umun WMF—lilltån. Ilrniwmthimm—m—ppm u-hi'l'wq-hmm-wn HN'Hn-nm" M-MMMM-uhmmm Wåhlin-||| IMMmW-uhmlm- 'till-linim- null inn _i—I— llnlllI— u MM MUMle-n—ummhlnuw l-'ll|1-|l.- Jin—Illluulm kWiqi—m— lui-ull— WWW'IEIF'FMI-liliihm
'In—w Win—M muim- lill—Huilullllulll'muh
.%m Willi-amma: , MIn-iu- l! minn-:. WMIM
MP'F'IME-Wmm
! Mp wi- lamm-rain u u'ru nu 151-mm:”: "Mardana-ninn- liI-Nll-uillllnu ".:.
""mall”-Illis MWh-irl Wm.-bu "ull-IW mHnLq-Hå'i'F-Hlll I-lIlL'lrrjctu 1.1-m | mm mil platinum-' mhll 'It-dr l'I Him km:-dn W-WMhMMHII-llmnm»m milt-Intima MWHWMMIM. "MM'UW.uIIMdg11—Hllr+wuwiulmmu lll |!th I'M EMM-"lll! tilll-l- '1|l. Ehn % "7511!me ful w mud-:l |||-qu ull-| .li l-n mm.-in.
SOU 1993: 10 277
15 Gallring av personuppgifter
15.1 Den materiella gallringsregeln
15. 1. 1 Gällande ordning
Den 1 juli 1991 trädde arkivlagen i kraft (prop. 1989/90:72, KrU 29, rskr. 307, SFS l990:782). I denna ges grundläggande regler om arkiv hos såväl statliga som kommunala myndigheter samt bestämmelser om bl.a. vad som ingår i en myndighets arkiv, vården av arkivet och gallring av arkiv. De bestämmelser som gäller för statliga arkiv gäller också för arkiv hos kyrkokommunala myndigheter, vissa organ som jämställs med myndigheter och allmänna försäkringskassor. Enskildas arkiv regleras dock inte av lagen.
I 3 å arkivlagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet och att de skall ordnas så att rätten att ta del av allmänna handlingar tillgodoses. Dessutom skall behovet av in— formation för rättskipningen och förvaltningen samt forskningens behov tillgodoses.
Ett myndighetsarkiv i lagens mening bildas enbart av de allmänna handlingarna från myndighetens verksamhet samt av sådana handlingar som avses i 2 kap. 9 å tryckfrihetsordningen (vissa minnesanteckningar och utkast eller koncept) och som myndigheten beslutar skall tas om hand för arkivering. Upptagningar för ADB som är tillgängliga för flera myndigheter bildar dock endast arkiv hos en av de myndigheter hos vilka de utgör allmän handling och då i första hand hos den myndighet som svarar för huvuddelen av upptagningen (3 å 1 st).
Arkivmyndigheterna och deras tillsynsuppgifter beträffande myndig- heternas arkivvård regleras också genom arkivlagen. I fråga om ansvaret för arkiven anges att varje myndighet skall ha ansvar för sitt arkiv samt att särskilda arkivmyndigheter skall ha tillsyn över myndigheternas arkivverksamhet (4 och 7 åå). Statliga arkivmyndig- heter är Riksarkivet, Krigsarkivet och landsarkiven, som sorterar under Riksarkivet. Om inte andra arkivmyndigheter utsetts, skall kommunsty- relsen och förvaltningsutskottet sköta den sysslan i kommuner och landsting (8 å).
Enligt 10å arkivlagen får allmänna handlingar gallras. Gallring skall dock alltid ske med beaktande av att arkiven utgör en del av kulturarvet och på sådant sätt att det återstående arkivmaterialet fyller
278 SOU 1993:10
de i 3 å angivna ändamålen med arkiven, nämligen att tillgodose rätten att ta del av allmänna handlingar, rättskipningens och förvaltningens behov av information samt forskningens behov. Undantag från huvud- regeln om gallring görs dock för de fall att det i annan lag eller i förordning finns avvikande regler om gallring. Dessa avvikande bestämmelser tar då över arkivlagens bestämmelser om gallring. Arkivlagens bestämmelser gäller dock enligt 10 å framför bestäm- melserna i 12 å datalagen.
Enligt 12 å datalagen skall personuppgifter som inte längre behövs med hänsyn till registerändamålet utgå ur personregistret om de inte skall bevaras på grund av bestämmelser i författning eller myndighets beslut som meddelats med stöd av författning. Detsamma gäller då den registeransvarige upphör att föra personregistret. Bestämmelserna gäller för alla personregister.
Datainspektionen kan meddela beslut om bevarande och gallring av personuppgifter i ett visst register med stöd av 6, 6 a eller 18 å datalagen. Beträffande tillståndsregister bestämmer Datainspektionen i de villkor som meddelas för personregistret, i den mån det behövs för att förebygga risk för otillbörligt intrång i den personliga in- tegriteten, vad som skall gälla om bevarande och gallring av upp- gifterna i registret (6 å). Skulle författningsföreskrifter i detta hänseende saknas beträffande ett sådant statsmaktsregister som avses i 2 aå första stycket andra meningen datalagen ankommer det på Datainspektionen att besluta därom (6 a å). Datainspektionen kan också i mån av behov meddela beslut om gallring beträffande licensregister om förandet av registret lett till otillbörligt intrång i personlig integritet eller om det finns anledning anta att sådant intrång skall uppkomma (18 ä)-
Principen att uppgifter skall gallras ur registren finns också i för- fattningar som reglerar olika integritetskänsliga register. Det är här fråga om akter och register med personuppgifter. Reglerna ges i flertalet fall i lag. Bestämmelserna varierar något, men som den gemensamma principen framträder att materialet skall förstöras efter en viss tid, om det inte finns direkta föreskrifter om bevarande. Sådana särbestämmelser som nu har berörts finns bl.a. i lagen (19681430) om mervärdeskatt, fastighetstaxeringslagen(197911152), skatteregisterla- gen (1980z343), socialtjänstlagen (1980:620), utsökningsregisterlagen (19861617) och tullregisterlagen (19901137). I lagen (1963:197) om allmänt kriminalregister och polisregisterkungörelsen (1969: 38) stadgas det att uppgifter skall utgå ur registret när vissa förutsättningar har in— träffat. I patientjournallagen (19851562) finns föreskrifter om att journalhandlingar skall bevaras en minsta tid.
De särskilda registerlagarna har i samband med propositionen om arkiv m.m. setts över och gjorts mer enhetliga, se lagen (1990:325) om självdeklaration och kontrolluppgifter, lagen (1990:330) om ändring i lagen om mervärdesskatt, lagen (1990:379) om ändring i
SOU 1993: 10 279
fastighetstaxeringslagen, lagen (1990:785) om ändring i patientjournal- lagen, lagen (l990:786) om ändring i utsökningsregisterlagen och lagen (1990:789) om ändring i socialtjänstlagen. Riksdagen har därefter antagit lagen (l990:1536) om folkbokföringsregister, som stadgar att gallring av uppgifter i ett lokalt folkbokföringsregister och i det centrala referensregistret skall ske i enlighet med arkivlagens bestämmelser.
För de enskilda arkivbildarna, dvs. för företag, organisationer etc., finns inte några allmänna författningsbestämmelser om arkivvård. Datalagen gäller dock även för de enskilda arkivbildarna. I vissa andra författningar, som främst gäller ekonomiska förhållanden, finns det be- stämmelser om att vissa handlingar skall bevaras under en bestämd tid. Hit hör bl.a. lagen om mervärdeskatt, bokföringslagen (1976zl25), fastighetstaxeringslagen och lagen om självdeklaration och kontrol- luppgifter.
I detta sammanhang kan även nämnas lagen (1978z487) om pliktexemplar av skrifter och ljud- och bildupptagningar. Denna lag innehåller bestämmelser om skyldighet att leverera skrifter och s.k. kombinerat material till vissa bibliotek samt av ljud- och bildupptag- ningar till arkivet för ljud och bild, men saknar motsvarande be- stämmelser om information lagrad på ADB-medium. Närmare föreskrifter om bl.a. bevarande av det material som omfattas av lagen meddelas i en särskild förordning (1978:779) om pliktexemplar av skrifter och ljud- och bildupptagningar.
15. 1.2 Europarådets konvention
1 artikel Se föreskrivs att personuppgifter som undergår automatisk databehandling skall bevaras på ett sådant sätt att de registrerade personerna inte kan identifieras under längre tid än som är nödvändigt med hänsyn till det ändamål för vilket uppgifterna lagras. Av kommen— taren till den berörda bestämmelsen framgår att syftet inte är att uppgifterna efter en tid på ett oåterkalleligt sätt skall skiljas från namnet på den person som de avser, utan i stället är tanken att det inte längre på ett enkelt sätt skall vara möjligt att knyta uppgifterna till någon enskild person.
15.1.3 Förslaget till EG—direktiv
Enligt artikel 6.1.e får personuppgifter bevaras i en form som tillåter identifiering av enskilda bara så länge som detta behövs med hänsyn till ändamålet med behandlingen. En medlemsstat får dock lägga fast lämpliga skyddsbestämmelser för personuppgifter som lagras för historisk, statistisk eller vetenskaplig användning.
280 SOU 1993:10
15.1.4 Utredningens tidigare ställningstaganden
Gallringen är en viktig uppgift och utgör en nödvändig del av arkivverksamheten. Som påtalas i propositionen till arkivlagen (prop. 1989/90:72 s. 39 ff) skulle utan gallring arkivmaterialet växa i en omfattning som vore ohanterlig, utan att det skulle medföra några fördelar från insyns- eller informationssynpunkt. Gallringen syftar till att arkiven inte skall tyngas av handlingar som saknar påtagligt informationsvärde och som bara utgör en dubblering av information som bättre kan sökas i ett annat arkiv eller som har ett information- svärde som är markant begränsat i tiden. En riktigt utförd gallring bör, enligt vad som vidare sägs i propositionen, leda till att arkiven blir mer överskådliga och mer effektiva som informationskällor samtidigt som det innebär en kostnadsbesparing.
Sedan länge utgallras också en stor del av de allmänna handlingarna hos myndigheterna. Arkivutredningen har beräknat att gallringen av statsförvaltningens handlingar svarar mot i genomsnitt ungefär 80 % av de ursprungligen tillförda handlingarna. Detta avser pappersbaserat material. Gallringen av personregister torde ske i något mindre omfattning och förestavas i huvudsak av integritetsskäl, men även hanteringsskäl och ekonomiska skäl har betydelse. Hårdast är gall- ringen hos lokala och regionala myndigheter eftersom informationen ofta finns bevarad även hos en central myndighet, då ofta i ackumule- rad eller komprimerad form.
Vid sidan om den gallring som är betingad av hanterlighetsskäl och ekonomiska skäl kan gallring också vara påkallad av hänsyn till den enskildes integritet. Det gäller särskilt sådana register som förs med hjälp av ADB, men i några fall också personakter, oavsett om de förs på papper eller med elektroniska hjälpmedel. I allmänhet går gall- ringsprincipen i dessa fall ut på att uppgifterna efter en viss tid skall förstöras, om det inte finns särskilda föreskrifter om bevarande. Datainspektionens beslut när det gäller gallring är närmast föranledda av de särskilda risker för integritetsintrång som ADB-tekniken kan medföra.
Integritetsskälen betonas i den proposition (1979/8011) som låg till grund för socialtjänstlagen. Syftet med gallringsbestämmelserna angavs där vara att det från allmänna integritetssynpunkter i princip framstod som olämpligt att ömtåliga personliga uppgifter om enskilda människor skulle sparas för längre tid än de behövdes för det ändamål för vilket de hade samlats in. Vidare nämndes att det vid sidan av dessa integri— tetsskäl också måste beaktas att det av ekonomiska skäl förr eller senare måste bli nödvändigt att i någon form gallra socialnämndernas på papper förda personregister.
I propositionen till arkivlagen(1989/90:72) behandlade departe- mentschefen också de olika intressen som har betydelse för hur länge uppgifter skall bevaras samt anförde bl.a. följande (5. 31 ff).
SOU 1993:10 281
När det gäller att ställa upp målen för det offentliga arkivväsendet finns det — vid sidan om kulturarvsas ekten, som jag nyss berört - mycket konkreta rättssäkerhets- ocg rationaliseringsaspekter att beakta. Främst är här att beakta den grundlagsfästa handlingsof- fentligheten. Enligt denna har var och en rätt att ta del av allmänna handlingar, om de inte i särskild lag har belagts med sekretess. Denna insyn i den offentliga förvaltningen hör till de grundläggande elementen i vårt samhällsskick. Rätten till insyn är inte tr sbegränsad. I praktiken kan väl sägas att insynsintresset avklingar med tiden, men rent faktiskt är det ytterst med stöd av handlingsoffentligheten som även äldre allmänna handlingar kan begäras utlämnade. Det kan här räcka med att som exem el an öra att handlingsoffentligheten gör det möjligt att nu, se an sekretesstiden har löpt ut, få fram vilka åtgärder som vidtogs av svenska myndigheter under andra världskriget. Efter en viss tid har dock i allmänhet kravet på insyn, i den mening man främst förknippar med handlingsoffentlighetens syfte, kommit att efter- trädas av något som mer kan betecknas som ett forskningsin- tresse. Gränsen torde dock sällan vara klar. Ett forskningsintresse kan sålunda till dels förestavas av en önskan att till sist få korten på bordet och klarlägga hur något som varit uppmärksammat verkligen förhöll sig.
Rätten till insyn enligt bestämmelserna om handlingsoffentlighet kan givetvis inte till odoses utan ett välordnat arkiv. Redan dessa bestämmelser ger ärför grunderna för en arkivreglering. De medför krav på att allmänna handlin ar i princip bevaras. att de ordnas så att det går att hitta bland em och att de vårdas så att de inte skingras eller förstörs.
Behov av att handlingar bevaras, hålls ordnade och vårdas finns också med hänsyn till rättskipningens och förvaltningens egen verksamhet. Människor har rätt att kräva att både domstolar och förvaltningsmyndigheter visar konsekvens i sin tillämpning av författningar och håller reda på de uppgifter som en gång har lämnats. För detta fordras välordnade arkiv.
Arkiven är också en viktig bas för forskning av olika slag. Sålunda är arkiven nyttiga för den professionella forskning som ger oss sådana insikter i samband och orsaker som är av omedel— bar praktisk nytta för framtiden. Jag tänker härvid t.ex. på den medrcinska forskningen, men även modern ekonomisk forskning kan vara beroende av arkivmaterial, t.ex. från skattemyndig- heterna. Att bevara, ordna och vårda arkiven så att de kan tjäna också forskningens olika behov ser "ag som ytterligare en huvuduppgift i arkivverksamheten. Här ramstår kulturarvsaspek- ten tydligast, det för en kulturnation självklara att bevara minnet av sin utveckling och använda detta minne för att dels belysa den historiska utvecklingen, dels nyttiggöra de erfarenheter som dras ur materialet.
Jag vill på eka att när det gäller bevarande av arkivmaterial måste man öra in också integritetsaspekten. Jag skall utveckla den frågan senare, men den är så viktig att den bör nämnas i omedelbart samband med mitt förslag att ett av arkivens huvud- syften skall vara att tillgodose forskningens behov. Integritetshän- syn kan sålunda leda till att material inte bevaras i den utsträck- ning som hade varit önskvärd från andra synpunkter eller att tillgången till bevarat material begränsas. Sådana av integritets- hänsyn påkallade avvikelser från huvudregeln om bevarande bör tas in i de särskilda lagar som reglerar integritetskänsliga akter
282 SOU 1993:10
och register. Reglerna kan därmed bäst anpassas efter vad det specrella materialet kräver.
Vid utformningen av gallringsbestämmelser för personregister som förs med hjälp av ADB-teknik måste naturligtvis hänsyn tas till de av departementschefen berörda aspekterna. Enligt datalagsutredningen bör härvid inte minst offentlighetsintressena beaktas så att rätten att ta del av allmänna handlingar inte inskränks på ett otillbörligt sätt. Samtidigt måste emellertid beträffande dessa personregister bevarandefrågan, med hänsyn till ADB-teknikens effekter på skyddet för den personliga integriteten, också bedömas mot bakgrund av människors befogade krav på skydd mot otillbörliga integritetsintrång.
Vid riksdagsbehandlingen av förslaget till ny arkivlag framhölls att det är nödvändigt att göra en avvägning mellan olika intressen i fråga om gallring och att därvid integritetsaspekten är särskilt viktig att beakta (jfr KrU 1989/90:29 s. 12).
Det förtjänar att framhållas att gallring av personuppgifter är endast en av flera möjliga integritetsskyddande åtgärder och att i vissa fall den personliga integriteten kan anses bli tillräckligt skyddad utan att någon gallring sker. Under vissa förutsättningar kan t.ex. sekretesslag- stiftningen ge tillräckliga garantier för att något otillbörligt integritets- intrång inte sker. Vidare kan redan ett överlämnande av materialet till arkivmyndighet innebära ett förbättrat skydd mot bl.a. tillgrepp och obehörig åtkomst och därmed också innefatta en förstärkning av skyddet mot otillbörligt intrång. En annan följd av överlämnande till arkivmyndighet är att myndighetens egen tillgång till materialet blir begränsad av sekretesslagens regler (jfr prop. 1989/90:72 s. 102). I vissa fall kan det dock vara nödvändigt av integritetsskäl att gallra.
Den omständigheten att gallring sker av uppgifter som finns på ADB-medium behöver emellertid inte innebära att insynsmöjligheterna helt försvinner. Motsvarande information kan nämligen föreligga på annat slags medium, då huvudsakligen papper. Insynsmöjligheterna torde i de flesta fallen dock bli sämre på grund av en minskad överblick och svårigheter för exempelvis forskare att bearbeta vissa uppgifter. Ett fall av överföring av information från datamedium till papper föreligger när en myndighet använder sig av en upptagning för automatisk databehandling för handläggning av ett visst mål eller ärende. Enligt 14å datalagen skall då upptagningen tillföras hand- lingarna i målet eller ärendet i läsbar form, om inte särskilda skäl föranleder annat. Med hänsyn till den fortsatta utvecklingen på teknikområdet får man dock räkna med att en allt mindre mängd information kommer att återfinnas på papper. En positiv följd av detta är att lagringen av pappersmaterial i framtiden inte kommer att utgöra det stora problem som det är i dag. Den gallring som enbart är betingad av hanterlighetsskäl kommer följaktligen också att minska i betydelse.
SOU 1993: 10 283
En ökad användning av ADB-teknik i handläggningen kan emellertid på den andra sidan innebära en utveckling där hänsynen till integritet- sintresset kan komma att få en allt större betydelse vid bedömningen av gallringsfrågor. Önskemålet att ta till vara viktig och t.ex. för forskningen betydelsefull information kan då i allt större utsträckning komma i konflikt med önskemål att begränsa tillgängligheten till upp- gifter som rör enskilda människor. Utredningen avser att i en senare etapp i utredningsarbetet återkomma till den övergripande frågan om hur en avvägning mellan olika intressen lämpligen bör ske och närmare behandla de riktlinjer som därvid bör gälla.
I sitt tidigare arbete presenterade utredningen alltså inte något förslag till en materiell gallringsregel.
15. 1 .5 Överväganden
Som har framgått av det föregående uppställs i utredningens förslag till datalag olika regler till skydd för den personliga integriteten. Några av bestämmelserna finns i 11 å som ger uttryck för den grundläggande principen att behandling av personuppgifter får förekomma bara när detta är nödvändigt för vissa syften. En annan grundläggande princip för integritetsskyddet är att en påbörjad behandling inte får hålla på längre än som är nödvändigt. Reglerna i 11 å i förslaget till datalag bör därför kompletteras med en föreskrift som säger att personuppgif- ter skall gallras när de inte längre behövs för de ändamål för vilka de behandlas. En sådan bestämmelse finns i 12 å i den nuvarande datalagen och en motsvarighet till den har förts in i 19 å första stycket förslaget till datalag.
Frågan när personuppgifter inte längre behöver behandlas för sitt ändamål är svår att besvara generellt. Integritetsintressena talar för en så snabb gallring som möjligt. Utredningen har på några ställen i betänkandet för särskilda situationer berört frågan om gallring. En särskild bestämmelse i 35 å förslaget till datalag avser gallring av vissa känsliga uppgifter som behandlas för anställningsändamål. Gallrings- frågor har också tagits upp i den allmänna motiveringen i avsnitt 11.6 vid diskussion av möjligheten att i anställningsförhållanden behandla personuppgifter som rör den enskildes arbetsinsatser samt i specialmo- tiveringen till 6 å 5 förslaget till datalag där gallring av löpande text berörs. I vissa fall är det ofrånkomligt att personuppgifter får behand- las under lång tid, t.ex. när longitudinella studier görs inom forsk- ningen. I sådana fall torde med jämna mellanrum en prövning böra ske om de berörda personuppgifterna fortfarande behöver behandlas.
När man diskuterar bevarande och gallring kan man dock inte bara ta hänsyn till integritetsintressena. Andra motstående intressen får också vägas in i bedömningen. I fråga om allmänna handlingar har dessa motstående intressen angetts i arkivlagen. Enligt 10 å arkivlagen får allmänna handlingar gallras men vid gallringen skall beaktas att
284 SOU 1993:10
arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår skall kunna tillgodose de mål som anges i 3 å tredje stycket. I sistnämnda lagrum föreskrivs att myndigheternas arkiv skall bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov.
Någon allmän bestämmelse om hur integritetsintressena skall vägas mot de intressen som anges i 3 å tredje stycket arkivlagen finns inte i datalagen. I förarbetena till arkivlagen (prop. 1989/90:72 s. 32) framhölls att man måste föra in också integritetsaspekten när det gäller bevarande av arkivmaterial. Integritetshänsyn kan sålunda leda till att material inte bevaras i den utsträckning som hade varit önskvärd från andra synpunkter eller att tillgången till bevarat material begränsas. Sådana av integritetshänsyn påkallade avvikelser från huvudregeln om bevarande bör, sades det också i propositionen, tas in i de särskilda lagar som reglerar integritetskänsliga akter och register. Reglerna kan därmed bäst anpassas efter vad det speciella materialet kräver. Vid diskussionen i propositionen om Datainspektionens möjlighet att meddela villkor om gallring uttalades vidare att, när det infördes en generell arkivlagstiftning som anger mål för arkivverksamheten och knyter gallringsreglerna till dessa mål, inspektionen givetvis hade att beakta den lagstiftningen och att väga intressena för bevarande mot integritetsintresset. I sak torde det emellertid inte vara något nytt för inspektionen och det fanns inte då anledning att i datalagen närmare reglera denna avvägningsfråga (anförda prop. s. 49).
Det berörda lagstiftningsärendet ledde alltså inte till att det i datalagen togs in en allmän bestämmelse om bevarande och gallring av personuppgifter som utgör allmän handling. Frågan är emellertid om inte avvägningen mellan de motstående intressena bör komma till uttryck i lagtexten när en ny datalag införs. Det ligger visserligen i sakens natur att bestämmelsen måste bli allmänt hållen och att närmare regler om gallring på olika områden får tas in i särskilda registerlagar eller läggas fast genom rättspraxis. Det är enligt utredningens mening ändå av värde att lagstiftarens intentioner kommer till uttryck i själva lagtexten. Av en sådan bestämmelse bör framgå att vid gallring av personuppgifter som utgör allmän handling inte bara integritetsin- tressena utan även andra intressen bör beaktas. Sistnämnda intressen är de som anges i 3 å tredje stycket arkivlagen. En bestämmelse av nu nämnt innehåll har tagits in i 19 å andra stycket förslaget till datalag.
Hur avvägningen skall göras i det enskilda fallet är svårt att närmare ange. Allmänt kan sägas att ju känsligare materialet är desto tyngre väger integritetsskyddet medan omvänt bevarandeintressena får större tyngd när materialet är mindre känsligt från intregritetsskyddssyn- punkt. Viktiga bevarandeintressen kan på den andra sidan leda till att även mycket integritetskänsliga uppgifter bevaras.
SOU 1993: 10 285
Arkivlagen gäller inte för enskilda arkiv. Vissa uttalanden om sådana arkiv finns emellertid i förarbetena till lagen. Bl.a. framhålls att även enskilda arkiv utgör en viktig del av vårt kulturarv och att den omständigheten att uppbyggnad och vård av enskilda arkiv i princip bör lämnas åt enskilda dock inte innebär att de offentliga arkivinstitu- tionerna skall avstå från att befatta sig med dessa arkiv. De statliga arkivmyndigheterna har hittills haft en viktig uppgift i att ge råd och anvisningar till hjälp för skötseln av enskilda arkiv. Det är angeläget för bevarandet av ett allsidigt arkivmaterial att de statliga arkivmyndig- heterna även i framtiden kan lämna detta stöd till de enskilda arkiven (prop. 1989/90:72 s. 29 f, 35).
Enligt utredningens mening bör det i vissa fall vara möjligt att göra undantag från huvudregeln om gallring även när det gäller personupp- gifter som inte utgör allmän handling. Vad utredningen då tänker på är sådana fall då intresset av att personuppgifterna bevaras tar över den enskildes intresse av att inte förekomma i datasamlingar längre än som behövs med hänsyn till det ändamål som datasamlingen används för. Det skall alltså röra sig om ett väsentligt bevarandeintresse. Det skall vidare finnas ett bestående intresse av att bevara uppgifterna. Som exempel på vad som åsyftas kan nämnas arkiv hos företag som belyser den industriella utvecklingen eller arkiv hos fackföreningsrörelsen som ger en bild av den fackliga rörelsens framväxt. Det nu sagda har uttryckts i lagtexten på det sättet (19å tredje stycket förslaget till datalag) att uppgifterna skall ha ett historiskt intresse och att detta intresse får anses väga tyngre än den enskildes intresse av att upp- gifterna om honom gallras.
Liksom när det gäller allmänna handlingar bör vidare personuppgif- ter som inte utgör allmän handling kunna bevaras om de har intresse för den framtida forskningen. Även här bör gälla att forskningsintresset skall väga tyngre än den enskildes intresse av att uppgifterna gallras. Av förarbetena till arkivlagen framgår att hänvisningen i 3 å tredje stycket 3 till forskningens behov avser inte bara den professionella forskningen utan också amatörforskningen (prop. 1989/90:72 s. 71). Den nyss angivna intresseavvägningen bör emellertid såvitt gäller personuppgifter som inte utgör allmän handling leda till att bara uppgifter som är av intresse för den professionella forskningen bör kunna bevaras. De uttalanden som utredningen har gjort i avsnitt 10 om vikten av ett forskningsprojekt bör kunna vara till ledning även för bedömningen när personuppgifter kan ha ett sådant intresse för framtida forskning att de bör bevaras.
I fråga om förhållandet till förslaget till EG—direktiv har utredningen redan i avsnitt 5.4 konstaterat att direktivförslaget inte innehåller något undantag från huvudregeln om gallring som gör det möjligt att bevara personuppgifter med hänsyn till offentlighetsprincipen. I övrigt stämmer utredningens förslag i huvudsak överens med direktivför- slaget. Det är dock tveksamt om behovet av information för rättskip-
286 SOU 1993:10
ningen och förvaltningen (3 å tredje stycket 2 arkivlagen) enligt artikel 6. 1.e i direktivförslaget utgör någon grund för att bevara personuppgif- ter längre är som behövs för det ursprungliga ändamålet. Utredningen har heller inte, i överensstämmelse med vad som gäller enligt arkivlagen, gjort något uttryckligt undantag för personuppgifter som kan vara av intresse för den framtida statistikproduktionen.
15.2 Vem skall besluta om gallring?
15.2. 1 Inledning
Enligt 10 å tredje stycket arkivlagen får särbestämmelser, som skall ta över grundreglerna om gallring av allmänna handlingar i 10 å första och andra styckena, bara meddelas genom lag eller förordning. Riksdagen har vid antagandet av arkivlagen understrukit att avvikelser som regel skall ske i lag och bara undantagsvis i förordningsform (1989/90KrUz29 s. 13). En sådan avvikande bestämmelse som avses i 10 å tredje stycket arkivlagen finns i 19 å i förslaget till datalag (se avsnitt 15.1.5). Frågan är om även Datainspektionen skall ges rätt att meddela gallringsnormer, vilket förutsätter att bestämmelsen i 10 å tredje stycket arkivlagen ändras. Av den materiella gallringsregeln i 19å framgår vidare inte vem som skall besluta om gallring, dvs. kompetensfördelningen mellan Datainspektionen på den ena sidan samt Riksarkivet och kommunerna på den andra sidan. Utredningen har under sitt tidigare arbete diskuterat de nu angivna frågorna och dessa behandlas nu i det följande. Bestämmelser i enlighet med det sagda finns för statliga myndigheter i arkivförordningen (1991:446). Föreskrifter och särskilda beslut om gallring avseende myndigheter inom Försvarsdepartementets verksamhetsomräde meddelas dock av Krigsarkivet.
15.2.2 Gällande rätt
Gallringsnormerna i form av verkställighetsföreskrifter har, såvitt gäller statsförvaltningen (prop. 1989/90:72 s. 42ff), förutskickats bli fattade företrädesvis av riksarkivet i samarbete med berörda arkiv- bildande myndigheter. Gallringsföreskrifter för kommunala myndig- heter avses i allt väsentligt bli meddelade av kommunerna själva. Inom statsförvaltningen avses myndigheterna normalt få gallra endast enligt de föreskrifter som den centrala arkivmyndigheten har utfärdat. Bestämmelser i enlighet med det sagda finns för statliga myndigheter i arkivförordningen (1991:446). Föreskrifter och särskilda beslut om gallring avseende myndigheter inom Försvarsdepartementets verksam- hetsområde meddelas dock av Krigsarkivet.
SOU 1993: 10 287
Som tidigare nämnts kan emellertid även Datainspektionen med stöd av bestämmelser i datalagen (6, 6 a eller 18 å) meddela beslut om bevarande och gallring av personuppgifter. Sådana beslut har med— delats dels i enskilda ärenden, dels i av Datainspektionen meddelade föreskrifter om förenklat ansöknings- och tillståndsförfarande. Datain- spektionens beslut om gallring är betingade av de särskilda risker för integritetsintrång som ADB-tekniken medför.
Departementschefen behandlade förhållandet mellan arkivlagen och datalagen på följande sätt (5. 48 ff).
Bestämmelserna i den föreslagna arkivlagen om bevarande och gallring samt föreskrifter som meddelas med stöd av arkivlagen, t.ex. om bevarande för forskningsändamål, blir regler som enligt datalagens gällande lydelse tar över datalagens regel i 12 å om förstörande. Licensregister hos myndigheter som utgör allmän handling - och som inte är författningsreglerade i särskild ordning - kommer därmed att gallras enligt arkivlagens normsystem. Detta bör normalt sett inte innebära några problem (jfr vad som sagts ovan om 18 å datalagen) och jag anser därför att det bör vara en rimlig ordning.
När datainspektionen meddelar föreskrifter om bevarande och gallring för tillståndsregister (6å datala en) skall ins ektionen örutom integritetsaspekten även beakta e skäl som ta är för ett bevarande. Frågor om bevarande och gallrin av personre ister avgörs enligt 12 å dataförordningen(1982:485) efter samrå med riksarkivet. Det är min uppfattning att datainspektionens före- skrifter om bevarande och gallring 1 praktiken tillkommer under vederbörlig hänsyn till gängse gallringsprinciper. Jag anser inte att arkivlagen bör medföra någon ändring när det gäller datain- (spektionens uppgifter med tillståndsregistren. Bestämmelsen i 6 å atalagen bör ärför gälla före arkivlagens regler. När det införs en generell arkivla stiftning som anger mål för arkivverksam— heten och knyter gaåringsreglerna till dessa mål har inspektionen givetvis att beakta den lagstiftningen och väga intressena för bevarande mot integritetsintresset. I sak torde et emellertid inte vara något nytt för inspektionen. Jag ser därför inte nu anledning att i datalagen närmare reglera denna avvägningsfråga.
Sammanfattningsvis innebär den nu föreslagna ordningen att när det gäller tillståndsregistren är det datainspektionen som med stöd av datalagen meddelar föreskrifter om gallring och bevaran- de, medan det är riksarkivet alternativt den kommunala arkiv- myndigheten som meddelar sådana föreskrifter i övrigt, alltså även om det rör sig om licensregister.
Enligt dataförordningen skall datainspektionen samråda med riksarkivet när inspektionen utfärdar föreskrifter om bevarande och allring. I verkställighetsföreskrifterna till arkivlagen bör föres ivas att riksarkivet skall samråda med datainspektionen innan arkivet utfärdar föreskrifter som täcker också licens- registren på det statliga området. Jag avser att återkomma till regeringen med förslag i det avseendet. Givetvis bör också kommuner som avser att meddela föreskrifter om gallring av licensregister samråda med inspektionen.
Aven med den ordningen att arkivlagen tar över den allmänna regeln i 12 å datalagen om gallring återstår emellertid frågan om förhållandet mellan arkivlagen och datalagens bestämmelse i 18 å
288 SOU 1993:10
om rätt för inspektionen att meddela särskilda gallringsföre- skrifter också beträffande licensregistren. Bestämmelsen motive- ras av integritetshänsyn. Den har enligt uppgift kommit till användning endast i några enstaka fall. Enligt min mening bör dock datainspektionen ha kvar möjligheten att på förekommen anledning ingripa till skydd för integriteten även om andra organ i princip svarar för gallringsföreskrifterna på området. Sådan 18 å datalagen är avfattad anser jag det vara klart att inspektionen har kvar denna befogenhet även efter införandet av den nu föreslagna arkivlagstiftningen. Givetvis förutsätter jag att datain- spektionen samrådet med riksarkivet eller resp. kommun innan den går ut med särskilda bestämmelser enligt 18 å datalagen.
Det av departementschefen redovisade förhållandet mellan arkivlagen och datalagen, som godtagits av riksdagen (KrU 1989/90:29, rskr. 307), innebär således att Datainspektionen även framdeles skall ha möjlighet att i det särskilda fallet meddela beslut om gallring för personregistren. (Jfr även prop. 1990/91:53 om lag om folkbok- föringsregister m.m., s. 33. Departementschefen frångick i denna proposition ett i lagrådsremissen framlagt förslag om att låta gallrings— frågorna avgöras av Riksarkivet efter samråd med Datainspektionen. Vid sin behandling av propositionen beslöt riksdagen att i lagen om folkbokföringsregister ta in en bestämmelse, 13 å, om att gallring av uppgifter i ett lokalt folkbokföringsregister och i det centrala referens- registret skall ske i enlighet med arkivlagens bestämmelser, se SkU 1990/91:9, rskr. 109). Gallringsbeslut för statligt och kommunalt förda personregister som kräver särskilt tillstånd enligt datalagen ("tillstånds- register") skall meddelas av Datainspektionen i den mån det behövs för att förebygga risk för otillbörligt intrång i den personliga integriteten (6 å datalagen) och i annat fall av resp. arkivmyndighet. Vad angår personregister som enbart kräver licens enligt datalagen ("licens- register") skall gallringsbeslut meddelas av Riksarkivet, Krigsarkivet eller respektive kommun. Om det emellertid skulle behövas med anledning av vad som framkommit om registret skall dock Datainspek- tionen i det enskilda fallet kunna meddela beslut om gallring även för sådana register (18 å datalagen).
Den nya arkivlagen innebär alltså i sak inte någon förändring av den nu gällande kompetensfördelningen på gallringsområdet mellan Datainspektionen och arkivmyndigheterna.
15.2.3 Förslaget till EG-direktiv
En dataskyddsmyndighet skall, enligt artikel 30.2 i direktivförslaget, utrustas med befogenheter att effektivt ingripa mot behandling av personuppgifter, bl.a. genom befogenheter att besluta om innehållande (blocking) eller utplånande av uppgifter.
SOU 1993: 10 289
15.2.4 Utredningens tidigare ställningstaganden
Allt mer material lagras på ADB-medium och i en framtid kommer troligen huvuddelen av myndigheternas uppgifter att återfinnas på sådant medium. (Se t.ex. den genomgång av elektronisk informations— förmedling som har getts i biblioteksexemplarsutredningens be- tänkande, SOU 1989:89, Översyn av lagen om pliktexemplar s. 54 ff). Detta är en omständighet som talar för att den centrala arkivmyndig- heten, Riksarkivet, även erhåller det övergripande ansvaret för gallringsfrågor rörande personregister på sådant medium. Riksarkivet skulle då, förutom att beakta de i arkivlagen särskilt angivna arkivän— damålen, även ha att ta vederbörliga integritetsskyddshänsyn.
De risker för den enskildes integritet som personregistrering på ADB—medium innebär, medför emellertid att just integritetsintresset i dessa fall väger tungt. Även om Riksarkivet har erfarenhet av att bedöma vissa integritetsfrågor får Datainspektionen anses vara den myndighet som har störst kompetens och erfarenhet i landet av att bedöma frågor om risk för integritetsintrång. Inspektionen har den bästa överblicken över personregistreringen på ADB-området i landet.
Denna inspektionens särskilda kompetens och erfarenhet på integritetsskyddsområdet talar för att Datainspektionen svarar för gallringsbesluten i fråga om personregister där integritetsintressena väger särskilt tungt. För övriga register, dvs. sådana som inte innehåller någon från integritetssynpunkt särskilt känslig information, kan däremot gallringsfrågan med fördel regleras av Riksarkivet eller kommunerna. Som tidigare har nämnts är detta den ordning som stats- makterna har beslutat i fråga om förhållandet mellan arkivlagen och datalagen. Denna kompetensfördelning är väl avvägd och bör gälla också när den nuvarande datalagen ersätts av en ny lag på området.
Integritetskänsliga register torde huvudsakligen komma att återfinnas i den grupp av register som enligt en framtida datalag skulle bli föremål för anmälningsskyldighet. Gallringsbeslut för dessa register bör därför meddelas av Datainspektionen. Det blir dels fråga om före- skrifter, dels beslut om gallring för det enskilda registret. För det fall inspektionen inte skulle finna något villkor om gallring motiverat från integritetsskyddssynpunkt för det enskilda registret och därför underlåter att meddela något sådant villkor får det anses ankomma på vederbörande arkivmyndighet att bestämma regler för gallring av registret.
De föreskrifter som Datainspektionen kommer att utfärda på gall- ringsområdet avser således fall där bevarandefrågan måste bedömas med särskild hänsyn till integritetsaspekten. Det blir alltså fråga om särbestämmelser som skall ta över grundreglerna om gallring i 10 å första och andra styckena arkivlagen. Sådana avvikande regler är möjliga att utfärda enligt tredje stycket i den nyss nämnda paragrafen, dock bara i lag eller förordning. Riksdagen har vid antagandet av
290 SOU 1993: 10
arkivlagen understrukit att avvikelser som regel skall ske i lag och bara undantagsvis i förordningsform. (KrU 1989/90:29 s. 13).
Kravet på lagform kan tillgodoses genom att den normering genom Datainspektionens försorg som utredningen har tänkt sig ersätts av en reglering genom särskilda registerlagar. Kravet på lagform kan också tillgodoses genom att riksdagen i lag beslutar om särskilda gallrings- regler som då skulle komplettera de författningar som Datainspektio- nen utfärdar. Utredningen har utgått från att så många som möjligt av myndigheternas register inom skilda sektorer skall regleras genom föreskrifter av Datainspektionen. För närvarande finns bara ett fåtal registerlagar och avsikten är att en ytterligare Specialreglering av myndighetsregister skall ske endast på vissa begränsade ämnesområden (jfr prop. 1990/91:60 s. 56 ff). Inte heller är det realistiskt att tänka sig att riksdagen genom lagstiftning skulle komplettera författningar som utfärdas av Datainspektionen med en rad gallringsregler.
En annan möjlighet att möta kravet på lagform skulle vara att i datalagen ta in en bestämmelse som klargör under vilka förutsättningar som Datainspektionen får meddela föreskrifter om gallring. Be- myndigandet skulle alltså ha en sådan precision att avvikelserna från de vanliga gallringsreglerna i arkivlagen ändock kunde anses ha skett i lag. Med hänsyn till de skilda områden och ämnen som Datainspek- tionens normering skall avse är det emellertid knappast möjligt att förutse de olika aspekter på bevarande och gallring som kan bli aktuel— la och ge bemyndigandet den fasthet och precision som krävs.
Vill man inte bemyndiga Datainspektionen att meddela gallrings- föreskrifter återstår inte annat än att inspektionen för varje enskilt register meddelar beslut i gallringsfrågan. Detta skulle emellertid leda till en omfattande byråkrati, en byråkrati som utredningen velat undvika genom sina förslag om normering i förening med en an- mälningsskyldighet och en skärpt tillsyn.
Arkivlagen torde alltså behöva ändras, så att det också blir möjligt för Datainspektionen att meddela föreskrifter på gallringsområdet för de känsliga registren. Kulturutskottet har vid sin behandling av förslaget till arkivlag framhållit att det är särskilt viktigt att beakta integritetsaspekten vid avgörande av gallringsfrågor. En ändring av arkivlagen som ger Datainspektionen rätt att i detta syfte meddela före- skrifter på gallringsområdet överensstämmer därför väl med de skäl som enligt utskottsbetänkandet låg bakom riksdagens önskemål att begränsa avvikelser från arkivlagen till i princip bara lagnivån (se KrU 1989/90:29 s. 12 ff).
Gallringsbeslut för de register av mindre känsligt slag som inte omfattas av någon anmälningsplikt torde lämpligen kunna meddelas av Riksarkivet eller kommunerna. Datainspektionen bör dock beträffande sådana register förbehållas en möjlighet motsvarande nuvarande 18 å datalagen att i undantagsfall meddela villkor om gallring för det
SOU 1993:10 291
enskilda registret, om den finner detta nödvändigt med hänsynen till risken för otillbörligt integritetsintrång.
Datainspektionen och Riksarkivet skall innan de avgör frågor om bevarande och gallring också framgent samråda med varandra. Även om de avvägningsproblem mellan olika intressen som kan uppkomma i erforderlig grad torde kunna beaktas vid ett sådant samråd, kan i vissa fall uppfattningarna gå isär. Frågan är hur man bör förfara i sådana fall. Vid oenighet mellan de båda myndigheterna om ett gallringsbeslut enligt datalagen äger Datainspektionens mening före- träde.
För det fall beslutet avser ett inspektionens beslut om föreskrifter, dvs. normerande beslut för en viss sektor eller bransch, torde frågan redan idag kunna underställas regeringen utan att några regler om formell anmälan eller hänskjutande föreligger.
En tänkbar lösning, om meningarna i enskilda ärenden ofta går isär mellan myndigheterna, är att den myndighet, dvs. närmast Riksarkivet, som är missnöjd med ett visst av inspektionen meddelat gallringsbeslut får möjlighet att föra frågan vidare till högre instans. Det torde dock vara mindre lämpligt att ge den missnöjda myndigheten en formell möjlighet att överklaga beslutet. Inte heller synes det vara en till- fredsställande ordning att överlåta åt exempelvis Justitiekanslern i ett sådant fall att överklaga beslutet eller vara "skiljeman". Alternativet att tillskapa en särskild nämnd med uppgift att besluta i tvistiga frågor framstår inte heller som särskilt lämpligt.
Enligt Datalagsutredningens bedömning har det nuvarande samråds- förfarandet mellan Datainspektionen och Riksarkivet hittills inte uppvisat sådana meningsskiljaktigheter, att det finns anledning att nu göra några ändringar i det gällande systemet. Dock skulle möjligen samrådsförfarandet och även annan kontakt mellan Datainspektionen och Riksarkivet kunna vinna på att det inrättades ett informellt samrådsforum med företrädare för de två myndigheterna. Med en sådan ordning skulle man smidigt kunna lösa eventuella konflikter och den skulle också kunna underlätta möjligheterna för Datainspektionen och Riksarkivet att utbyta erfarenheter från sina olika verksamhetsom- råden. En kompetensutveckling av myndigheternas handläggare skulle också kunna ske inom ramen för ett sådant samrådsforum.
15 .2.5 Remissutfallet
Vid remissbehandlingen har några remissinstanser, bl.a. Riksdagens ombudsmän och Justitiekanslern, uttalat att utredningens synpunkter om gallring inte ger anledning till några påpekanden. Svenska kommunförbundet uppger att det delar utredningens uppfattning att den nuvarande kompetensfördelningen bör kunna behållas. Förbundet anser att Datainspektionen bör kunna svara för gallringsbeslut i fråga om känsliga personregister och kommunerna själva beträffande övriga
292 SOU 1993: 10
register. I vissa andra yttranden, bl.a. från Kammarrätten i Göteborg och Arbetarskyddsverket, ansluter man sig också till principen att Datainspektionen bör få meddela villkor om gallring beträffande de mer integritetskänsliga registren och arkivmyndigheterna beträffande de övriga. Dessa remissinstanser motsätter sig dock att Datainspektio- nen genom generella föreskrifter skall få meddela särbestämmelser i förhållande till arkivlagen. De särbestämmelser som behövs bör tas in i datalagen.
En kritisk inställning till utredningens förslag har i allmänhet de arkivmyndigheter som har yttrat sig. Riksarkivet framhåller att utredningens resonemang om kompetensfördelningen mellan Datain- spektionen och Riksarkivet bygger på förutsättningen att integritetshän- syn vid en konflikt alltid skall kunna ta över motstående intressen. Att Datainspektionen vid sin bedömning av gallringsfrågor tillräckligt skulle beakta även andra intressen, såsom offentlighetsprincipen och forskningens intressen, på bekostnad av de intregritetsintressen man har uteslutande uppdrag att bevaka, är ett mycket osäkert antagande. Riksarkivets mångåriga och breda erfarenhet i gallringsfrågor, grundad på bedömningar även av förvaltningens och framför allt forskningens behov, gör inte utredningens förslag på denna punkt invändningsfritt. Riksarkivet avvisar vidare tanken att Datainspektionen skulle ges möjlighet att utfärda särbestämmelser om gallring som skulle ta över huvudregeln i 10 å arkivlagen. Riksarkivet avvisar också förslagen att Datainspektionen skulle ha rätt att utfärda gallringsbestämmelser för de personregister som redan tidigare bedömts som mindre känsliga. Liknande synpunkter förs fram av BIK-förbundet.
15.2.6 Överväganden
Utredningen har genom den materiella gallringsregeln i 19 å andra stycket i förslaget till datalag för personuppgifter som utgör allmän handling försökt ange den avvägning som måste göras mellan de intressen som anges i arkivlagen och integritetsintressena. Av naturliga skäl är bestämmelsen allmänt hållen och det står klart att det på vissa områden kan behövas specialbestämmelser om gallring. Sådana specialbestämmelser har ju också, som framgått av den föregående redogörelsen, meddelats i en del fall. Dessa gallringsregler finns i lag och regleringen stämmer därmed överens med vad som krävs enligt 10 å tredje stycket arkivlagen. Utredningen har i sina tidigare ställningstaganden förordat en ordning som innebär att även Datain- spektionen skulle få besluta gallringsnormer. Ett argument som då åberopades var att det bara fanns ett fåtal registerlagar och att avsikten var att en ytterligare specialreglering av myndighetsregister genom lag skulle ske endast på vissa begränsade ämnesområden.
Saken har emellertid kommit i ett annat läge genom utredningens förslag om behandlingen av de känsliga personuppgifterna (20å i
SOU 1993: 10 293
förslaget till datalag). Enligt den bestämmelsen får känsliga personupp- gifter i princip inte behandlas om inte behandlingen åtminstone i vissa hänseenden har reglerats genom särskilda bestämmelser i lag eller annan författning. Skulle behov finnas av en särskild gallringsbe- stämmelse på ett visst område förefaller det då naturligt att denna gallringsbestämmelse tas in i den författning som ändå måste beslutas. I fråga om de känsliga personuppgifterna finns det därför knappast någon anledning att ge Datainspektionen befogenhet att meddela generella föreskrifter om gallring. Som framgår av avsnitt 14.4 har bemyndigandet att meddela kompletterande föreskrifter begränsats till att avse känsliga personuppgifter.
Utredningen övergår därefter till att diskutera frågan vem som får besluta om gallring i det enskilda fallet.
Eftersom enskildas arkiv inte omfattas av arkivlagen kommer Datainspektionen att få meddela villkor om gallring i fråga om alla personuppgifter som behandlas av enskilda. Diskussionen i det följande gäller bara personuppgifter som utgör allmän handling.
Majoriteten av remissinstanserna har inte haft något att erinra mot en ordning som innebär att Datainspektionen får besluta om gallring i fråga om de mer integritetskänsliga datasamlingarna. En sådan lösning stämmer också överens med vad som gäller i dag. Utredningen förordar en sådan regel även i den nya datalagen. Avgränsningen av de känsliga datasamlingarna torde kunna göras på samma sätt som har skett i fråga om Datainspektionens rätt att meddela föreskrifter (se 36 å).
I fråga om sådana personuppgifter av mindre känsligt slag som utgör allmän handling gäller i dag att gallringsbeslut meddelas av arkiv- myndigheterna eller kommunerna. Datainspektionen har dock en möjlighet enligt 18 å i nuvarande datalagen att iundantagsfall meddela villkor om gallring för det enskilda registret. Denna fördelning av befogenheter har också ganska nyligen prövats och godtagits av stats- makterna i anslutning till den nya arkivlagens tillkomst. Utredningen ser för sin del ingen anledning att föreslå någon avvikelse från den nu gällande ordningen.
I enlighet med det nu sagda har i 40 å i förslaget till datalag tagits upp bestämmelser som innebär att Datainspektionen under vissa förut- sättningar får meddela villkor om gallring. Är det fråga om personupp- gifter som utgör allmän handling och som är mera harmlösa får dock inspektionen meddela villkor om gallring bara om synnerliga skäl talar för det, dvs liksom enligt gällande ordning bara i undantagsfall.
Utredningen har i sina tidigare ställningstaganden berört frågan om samråd mellan Datainspektionen och Riksarkivet i ärenden om bevarande och gallring. En motsvarighet till de bestämmelser om samråd mellan Riksarkivet, Krigsarkivet och Datainspektionen som finns i dataförordningen och arkivförordningen bör finnas även i det nya systemet.
294 SOU 1993: 10
Utredningens förslag innefattar inte några avvikelser i förhållande till förslaget till EG-direktiv.
SOU 1993:10 295
16 Behövs en samordning av datalagen med annan integritetsskyddslag- stiftning?
16. l Gällande rätt
Regeringsformen m.m.
Skyddet för den personliga integriteten finns i svensk rätt intagen i olika bestämmelser av skild konstitutionell valör. Det grundläggande skyddet återfinns i regeringsformens (RF) bestämmelser, som reglerar skyddet för vissa medborgerliga fri- och rättigheter. Skyddet för den personliga integriteten utgör en del av de fri- och rättigheter som är avsedda att skydda bl.a. opinionsfriheterna. Som ett led i skyddet för de medborgerliga fri— och rättigheterna finns i 1 kap. 2 å RF en bestämmelse om att det allmänna skall värna den enskildes privatliv och familjeliv. Vidare finns reglerna i 2 kap. om grundläggande fri- och rättigheter. Förutom med stöd av den egna rättstraditionen, bl.a. 16 å i 1809 års regeringsform, har fri- och rättighetskatalogen i 2 kap. RF utformats mot bakgrund av två internationella instrument som Sverige förbundit sig att följa: Förenta nationernas allmänna förklaring om de mänskliga rättigheterna av år 1948 och Europarådskonventionen från år 1950 om skydd för de mänskliga rättigheterna och de grund- läggande friheterna.
Sedan år 1988 har katalogen i 2 kap. RF utvidgats till att också omfatta skydd för medborgarna mot att deras personliga integritet kränks genom att uppgifter om dem registreras med hjälp av auto- matisk databehandling (2 kap. 3 å andra stycket).
Den allmänna grundlagsbestämmelse som tar sikte på personligt integritetsskydd, utöver skyddet mot kroppslig integritet, är 2 kap. 6 å. Enligt denna bestämmelse är den enskilde skyddad gentemot det allmänna mot husrannsakan och liknande intrång samt mot under- sökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande.
I likhet med en del andra fri- och rättigheter i 2 kap. RF kan emellertid också denna bestämmelse begränsas genom lag. Enligt 2 kap. 12 å får begränsningen göras endast för att tillgodose ändamål
296 SOU 1993: 10
som är godtagbart i ett demokratiskt samhälle. Den får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den eller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen som är en av folkstyrelsens grundvalar. Begränsning får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (12 å andra stycket).
Bland de lagar som utgör undantag från skyddet för personlig integritet i förevarande fall kan nämnas bestämmelserna i 27 kap. rättegångsbalken om beslag av brev, telegram eller annan försändelse 1 post- eller televerkets vård och om hemlig teleavlyssning, liksom i lagen (1952198) med särskilda bestämmelser om tvångsmedel i vissa brottmål och lagen (1989:530) om åtgärder för att förebygga våldsdåd med internationell bakgrund (terroristlag). Andra exempel på undantag från skyddet för personlig integritet är föreskrifterna i 28 kap. rättegångsbalken om husrannsakan och rätten att bl.a. undersöka påträffade post— och telegrafförsändelser. Intrång av samma slag som husrannsakan kan även förekomma vid administrativa tvångsför- faranden enligt bevissäkringslagen (197511027) för skatte- och avgiftsprocessen samt enligt utsökningsbalken vid exekutiva för- faranden.
Medan grundlagsbestämmelsema reglerar integritetsskyddet mellan det allmänna och den enskilde, är skyddet mellan enskilda reglerat enbart i vanlig lag. Sådana bestämmelser riktar sig naturligtvis också till företrädare för det allmänna till den del integritetskränkande åtgärder vidtas på ett obehörigt eller olovligt sätt. Exempel på integritetsskyddande bestämmelser i vanlig lag är, förutom datalagen, vissa bestämmelser i brottsbalken samt kreditupplysningslagen(1973:1173), inkassolagen(1974: 182) och sekretesslagen(19801100). Som framhålls i direktiven för utredningen hör också regleringen av TV—övervakning hit. I följande avsnitt skall kortfattat bestämmelserna i de nu nämnda författningarna beskrivas, särskilt med hänsyn till huruvida anknytning finns till datorteknik och personregistrering. Den lagstiftning som i övrigt mera allmänt kan sägas vara av integritets- skyddande slag berörs dock inte. Hit hör framför allt den upphovs- rättsliga lagstiftningen och bestämmelser till skydd för namn o.d., bl.a. firmalagen ( 1974:156) och lagen (1978:800) om namn och bild i re- klam).
År 1986 genomfördes vissa lagändringar i brottsbalken i syfte att förstärka det straffrättsliga skyddet mot straffvärda förfaranden som har anknytning till användningen av automatisk informationsbe- handling, särskilt datorer (SFS 1986:123, prop. 1985/86:65, JuU17, rskr. 121). Bl.a. fördes i bedrägeristadgandet i brottsbalken (9 kap. 1 å) in en ny bestämmelse som straffbelägger att någon bereder sig
SOU 1993: 10 297
vinning genom att olovligen påverka resultatet av en automatisk informationsbehandling eller en liknande automatisk process, så att det innebär skada för någon annan. Vidare ändrades straffstadgandena om olovligt brukande (10 kap. 7 å brottsbalken) och dataintrång (21 å datalagen) i syfte att möjliggöra ett effektivare ingripande mot förfarande som brukar betecknas som tidsstöld resp. "wire—tapping" (olovlig avtappning av data som är under befordran).
De bestämmelser i brottsbalken som tar sikte på att skydda den personliga integriteten i annat hänseende än när det gäller att skydda mot en rent kroppslig kränkning är närmast reglerna om hemfridsbrott (4 kap. 6 å), brytande av post— eller telehemlighet (4 kap. 8 å), intrång i förvar (4 kap. 9 å) och olovlig avlyssning, dvs. s.k. buggning (4 kap. 9 a å). I vidare mening hör även bestämmelserna om ärekränkning i 5 kap. hit.
Lagen om övervakningskameror m.m.
År 1990 ersattes 1977 års lag (1977:20) om TV-övervakning av en ny lag (1990:484) om övervakningskameror m.m. Syftet med den nya lagen var främst att anpassa den rättsliga regleringen av användningen av optisk-elektronisk övervakningsutrustning till den tekniska ut- vecklingen och att hålla ett tillfredsställande skydd mot integri- tetskränkningar i samband med användningen av sådan utrustning (se prop. 1989/90:119; JuU34, rskr. 320).
Med övervakningskameror förstås enligt lagen TV-kameror, andra optisk-elektroniska instrument och därmed jämförbara utrustningar som är uppsatta så att de, utan att manövreras på platsen, kan användas för personövervakning (1 å). Med termen optisk avses enligt förarbetena alla registreringar som kan ske med instrument inom det elektromagne- tiska våglängdsspektret för optisk strålning. Under beteckningen optisk faller därmed den insamling av information som kan ske på såväl optisk-elektronisk som fotokemisk väg. Med uttrycket elektronisk förstås att förmedlingen av bilderna, visningen av bilderna på en till instrumentet anknuten monitor eller lagringen av de upptagna bilderna sker genom elektronisk påverkan. Däremot saknar det betydelse om andra funktioner hos instrumentet styrs på elektronisk väg. Detta innebär exempelvis att s.k. fiber-optiska kikare liksom stillbilds- och filmkameror är att anse som optisk-elektroniska instrument, om bildupptagningen direkt förmedlas vidare till en elektronisk bildskärm eller lagras på videoband, i datorminne eller på något annat elektro- niskt medium (se prop. s. 39).
Enligt lagen skall en övervakningskamera användas med tillbörlig hänsyn till enskildas integritet och upplysning om kameran skall lämnas genom tydlig skyltning eller på något annat verksamt sätt (2 - 3 55).
298 SOU 1993:10
Tillstånd att använda en övervakningskamera krävs enligt huvud- regeln för att en sådan kamera skall få vara uppsatt så att den kan riktas mot den plats dit allmänheten har tillträde. Undantag medges bl.a. för övervakningskameror som är uppsatta på fordon av trafiksä- kerhets— eller arbetsmiljöskäl och för vissa kameror som används av polisen (4 å).
Tillstånd får meddelas endast om sökanden kan anses ha ett befogat intresse av att få använda övervakningskameran och detta intresse inte lika väl kan tillgodoses på något annat sätt. Tillstånd skall under denna förutsättning meddelas, om den information som kan förmedlas, och om tillståndet är avsett att förenas med en rätt att behandla eller bevara bilder, denna rätt kan antas vara av ringa betydelse för enskildas personliga integritet med hänsyn till den utrustning som skall an- vändas, det område som skall bevakas och övriga omständigheter. I andra fall, dvs. när integritetsriskerna är mera framträdande, skall tillstånd meddelas bara om intresset av att tillgodose det avsedda ändamålet med övervakningen är så starkt att det skall ges företräde framför intresset att värna enskildas personliga integritet (5 å).
I förarbetena ges vissa exempel på hur bestämmelsen skall tolkas, varav bl.a. framgår att affärslokaler inom detaljhandeln liksom bank- och postlokaler i allmänhet hör till den kategori som regelmässigt bör ges tillstånd under förutsättning att utrustningen endast medger en allmän övervakning och inte tillåter närbilder eller annan mera närgången granskning. Detsamma gäller områden i anslutning till allmänna kommunikationsmedel, t.ex. väntsalar, biljetthallar och perronger. Däremot anses integritetsriskerna vara större när det gäller områden som används för allmän trafik, liksom lokaler och områden som används av allmänheten för att utöva någon av de grundläggande fri- och rättigheterna i regeringsformen (se 2 kap. 1 å) eller där allmänheten uppehåller sig för rekreation eller nöjen. Till de senare platserna uppges höra andra utrymmen än entréer och foajéer i exempelvis muséer, restauranger och hotell. Även sjukhusentréer, socialkontor, försäkringskassor och domstolslokaler nämns som exempel på platser där integritetsintressen kan göra sig särskilt gällande (prop. s. 47 i). I de fall där riskerna för integritetsintrång är mera framträdande krävs för tillstånd, som tidigare har nämnts, att in- tresset av att tillgodose det avsedda ändamålet är så starkt att det skall ha företräde framför integritetsintresset.
Tillstånd lämnas av länsstyrelsen som också har vissa tillsynsupp- gifter (7 —13 åå).
I de fall integritetsriskerna bedöms som ringa och i sådana andra fall där övervakningskameran är avsedd att användas för att förebygga brott, förhindra olyckor eller tillgodose något annat därmed jämförligt ändamål, får ett tillstånd förenas med rätt att med någon teknisk anordning behandla eller bevara bilder, som tas upp av kameran, om sökanden av särskilda skäl har behov av detta (6 å). Härmed avses
SOU 1993: 10 299
exempelvis att en bank eller någon annan penninginrättning som har tillstånd att använda en övervakningskamera kan vara beroende av att få bevara bilder från upptagningar av inträffade rån o.d. för att övervakningen inte skall förlora sitt syfte. Likaså kan enligt för- arbetena (prop. s. 49) en naturlig anknytning mellan övervakning och bevaring av bilder föreligga när ändamålet med övervakningen är att förhindra olyckor. Det kan nämligen vara så att det först genom en granskning av dokumentationen av en inträffad olycka kan var möjligt att begränsa verkningarna av den eller få underlag för insatser för att förhindra framtida olyckor påpekas det. Länsstyrelsen får vid sin tillståndsgivning meddela villkor avseende bl.a. behandling och bevaring av bilder samt andra förhållanden av betydelse för att skydda enskildas personliga integritet. I förarbetena påpekas i detta samman- hang (prop. s. 53) att villkor som riktar sig till myndigheter inte får gå utöver vad dessa har att iaktta enligt tryckfrihetsförordningen och sekretesslagen i fråga om offentlighetsprincipen.
I fråga om förhållandet mellan datalagen och föreskrifterna om över- vakningskameror påpekas att tillstånd enligt datalagen att få inrätta och föra ett register kan krävas, om ett bildregister som uppkommer vid användningen av en övervakningskamera samtidigt är att anse som ett personregister (prop. s. 45).
I lagen regleras också frågor om sekretess, straff, överklagande m.fl. liknande frågor (14-19 åå).
Sekretesslagens(1980:100) bestämmelser tar i stor utsträckning sikte på skydd för enskilds integritet. Det gäller närmast 7 - 9 kap. som avser sekretesskyddsbestämmelser med hänsyn till enskilds personliga och ekonomiska förhållanden. I dessa kapitel anges i vilken ut- sträckning uppgifter hos en myndighet skall hållas hemliga.
Sekretesslagens bestämmelser skall ses i ljuset av den offentlig- hetsprincip för allmänna handlingar, inklusive ADB-upptagningar, som sedan länge gäller enligt tryckfrihetsförordningen. Bestämmelserna härom har varit föremål för översyn vid flera tillfällen under senare är, senast genom lagändringar år 1991 (prop. 1990/91:60, KUll, rskr. 160).
Riksdagsbeslutet innefattar vissa ändringar i tryckfrihetsförord- ningen. En ändring innebär att det inte längre skall vara möjligt för en enskild att med stöd av offentlighetsprincipen ställa datorprogram och datorkapacitet till en myndighets förfogande och begär bearbetningar med hjälp av dessa. Den s.k. biblioteksregeln i tryckfrihetsförord- ningen förtydligas, så att det klart framgår att den omfattar även databaser som en myndighet har tillgång till genom avtal med enskild. Vidare görs ett par ändringar i sekretesslagen som innebär precise- ringar av det krav på " god offentlighetsstruktur" som gäller myndig-
300 SOU 1993:10
heternas ADB-verksamhet. Vissa ändringar görs också i datalagen för att tydligare markera att uppgifter ur myndigheters personregister inte får säljas, om det inte finns särskilt stöd för det, och i sekretesslagen och datalagen för att underlätta allmänhetens möjligheter att få information om när en myndighet får sälja uppgifter ur personregister. Slutligen genomförs den ändringen att myndigheters beslut att vägra lämna utdrag ur personregister enligt 10 å datalagen skall överklagas på samma sätt som beslut att vägra utlämnande enligt offentlighetsprin- cipen.
När det gäller den närmare redovisningen av sekretesslagsbe- stämmelserna och förhållandet till ADB hänvisas till propositionen och till data- och offentlighetskommitténs slutbetänkande (SOU 1988:64) Offentlighetsprincipens tillämpning på upptagning för automatisk databehandling.
Enligt kreditupplysningslagen(1973:1173) får kreditupplysnings- verksamhet som regel inte bedrivas annat än efter tillstånd av Datain- spektionen. Med kreditupplysning avses uppgift, omdöme eller råd som lämnas till ledning för bedömning av annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende.
Verksamheten får inte bedrivas så att den leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut.
Restriktioner gäller vidare för insamling och lagring av vissa uppgifter (politisk eller religiös uppfattning, ras eller hudfärg, brottsmisstanke, tvångsvård, sjukdom, hälsotillstånd m.fl.).
Begränsningar finns också när det gäller upplysningar om annan enskild person än den som är näringsidkare eller annars har så väsentligt inflytande i viss näringsverksamhet att uppgift om hans egna förhållanden behövs för att belysa verksamhetens ekonomiska ställning.
Vidare finns bestämmelser om underrättelseskyldighet, rättelse, tystnadsplikt och förbud mot överlåtelse av register som används i kreditupplysningsverksamhet, liksom om tillsyn, straff och skadestånd m.m.
Inkassolagen (1974zl82) gäller indrivning av egen eller annans fordran genom krav eller annan inkassoåtgärd (inkassoverksamhet). Lagen innehåller krav på tillstånd från Datainspektionen för att få bedriva sådan inkassoverksamhet som avser indrivning av fordringar för annans räkning eller fordringar som har övertagits för indrivning.
Tillstånd får meddelas endast om verksamheten kan antas bli bedriven på ett sakkunnigt och omdömesgillt sätt.
Inkassoverksamhet skall bedrivas enligt "god inkassosed".
SOU 1993:10 301
Register som avser gäldenär och som används i tillståndspliktig inkassoverksamhet får överlåtas eller upplåtas till annan endast efter medgivande av datainspektionen.
Bestämmelser finns om tystnadsplikt avseende bl.a. enskilds personliga förhållanden liksom om tillsyn, straff och skadestånd m.m.
Såväl kreditupplysningsverksamhet som inkassoverksamhet bedrivs oftast med hjälp av ADB, varför en prövning enligt datalagen som regel också behövs. Ett trettiotal företag har för närvarande tillstånd att bedriva kreditupplysningsverksamhet, medan antalet inkassoföretag är knappt 400.
16.2 Utredningens tidigare ställningstaganden
Som framgår av redovisningen av gällande rätt uppvisar skyddet för den enskildes integritet enligt svensk rätt en i viss mån splittrad bild. Någon samlad reglering till skydd för personliga förhållanden av icke- kroppsligt slag finns inte. Vid sidan av de grundläggande föreskrifterna i regeringsformen (och de undantag från skyddet till förmån för allmänna intressen som finns intagna i främst rättegångsbalken) återfinns de allmänna integritetsskyddsreglerna framför allt i brotts- balken, där också regler om datorrelaterade brott finns intagna.
När det gäller det speciella område som omfattas av datalagen, nämligen integritetsskydd vid personregistrering med hjälp av ADB, finns härutöver beröringspunkter i ett antal särskilda lagar såsom lagen (1990:484) om övervakningskameror m.m., kreditupplysningslagen(1973:1173) och inkassolagen(19741182). Det gemensamma för dessa lagar är att de avser att skydda den enskilde mot att uppgifter om honom eller henne i otillbörlig omfattning samlas in, lagras, bearbetas och sprids i olika sammanhang. I fråga om övervakningskameror gäller det närmast bilder av den enskilde, medan det vid kreditupplysning och inkassoverksamhet rör uppgifter om dennes personliga och ekonomiska förhållanden. I mycket stor utsträckning är den särskilt tillståndsplikti- ga verksamhet som är reglerad enligt de nu nämnda lagarna också ADB-anknuten. Någon osäkerhet om att i sådant fall också datalagens regler om integritetsskydd är tillämpliga torde inte föreligga.
I fråga om det integritetsskydd som sekretesslagen(1980:100) innebär tar detta mera sikte på utlämnande av uppgifter, dvs. aktualise- ras först sedan personuppgifter inhämtats och lagrats. I den mån de handlingar som regleras av tryckfrihetsförordningen och sekretesslagen också är att anse som personregister i datalagens mening kan dock även i de fallen frågan om en dubbel prövning uppstå. Enligt datalagen (11 å första stycket) får personuppgift som ingår i personregister inte lämnas ut om det finns anledning anta att uppgiften skall användas för automatisk databehandling i strid med lagen. Motsvarande förbudsregel
302 SOU 1993: 10
som i 11 å första stycket datalagen finns för myndigheternas del i 7 kap. 16å sekretesslagen. Inte heller i nu nämnda fall torde några gränsdragnings- eller tillämpningssvårigheter uppstå.
Nuvarande ordning har, såvitt utredningen kunnat finna, inte inneburit behov av någon särskild samordning av de skilda bestämmel- serna.
Med hänsyn till att utredningen inte föreslår att några ändringar i ADB-begreppet vid tillämpning av datalagen behöver göras och att personregisterbegreppet framgent skall göras mera teknikoberoende finns det inte heller skäl att tro att tillämpningssvårigheter skulle uppstå i framtiden i förhållande till de speciallagar som nu har behandlats. Enligt Datalagsutredningens mening finns det därför inte skäl att ytterligare samordna lagstiftningen på integritetskyddsområdet vad gäller områden där datorteknik används och personregistrering sker. Å andra sidan synes det inte vara möjligt att i en vidare ut— sträckning undvika den dubbla prövning som nu i en del fall kan krävas enligt skilda bestämmelser. En förändring i en sådan riktning skulle tvärtom kunna leda till att brister i integritetsskyddet skulle uppstå på området. När det gäller kreditupplysnings- och inkasso- verksamhet förtjänar det att framhållas att integritetsskyddet främjas av att Datainspektionen är tillsynsmyndighet också på dessa områden. Inspektionens tillsyn och kontroll bör verksamt kunna bidra till en enhetlig tillämpning vid en prövning av integritetsskyddet.
16.3 Remissutfallet
Av de fyra remissinstanser som närmare har uppehållit sig vid de frågor som nu har berörts om samordningen av datalagen med annan integritetslagstiftning har Justitiekanslern, Kammarrätten i Göteborg och Datainspektionen inget att erinra mot utredningens synpunkter. Juridiskafakultetsnämnden vid Stockholms universitet är något tveksam och menar att det är möjligt att se samordningsbehoven i ett an— norlunda perspektiv än det utredningen valt. Fakultetsnämnden förordar en förnyad analys.
16.4 Överväganden
Utredningen har stannat för att datalagen skall vara tillämplig på be- handling av personuppgifter, inte personregister eller persondata- mängd. Detta ger emellertid inte utredningen anledning att ändra den uppfattning i samordningsfrågan som tidigare har redovisats. Inte heller i övrigt finns det enligt utredningens mening skäl till förnyade överväganden.
SOU 1993: 10 303
17 Organisatoriska frågor
17. 1 Nuvarande ordning
För Datainspektionen gäller förordningen (1988:912) med instruktion för datainspektionen. Datainspektionens generaldirektör är chef för inspektionen. Inspektionens styrelse består av högst elva personer, inklusive generaldirektören, och står under dennes ordförandeskap.
Inom inspektionen finns två sakenheter som svarar för uppgifterna inom resp. offentlig verksamhet och enskild verksamhet. Varje enhet leds av en byråchef. Dessutom finns en administrativ och en teknisk enhet.
Sammanlagt finns f.n. 38 tjänster vid myndigheten. Enligt särskild föreskrift i förordningen skall styrelsen besluta i frågor om tillstånd eller återkallelse av tillstånd som är av särskild principiell vikt.
Beslut om föreskrifter fattas regelmässigt av styrelsen. I övrigt är beslutsfattandet delegerat i enlighet med föreskrifterna i verksför- ordningen (198711100) och i inspektionens arbetsordning.
Fördelningen av arbetad tid på olika aktiviteter under budgetåret 1990/91 framgår av följande bild (föregående budgetårs siffror inom parentes). Av bilden kan utläsas bl.a. att den enda verksamhetsgren som har minskat sin andel av den arbetade tiden är tillsyn. Den andel av den arbetade tiden som anslås till tillsyn uppgår bara till 14 %.
35.77; Tillstånd (35.7 %)
10.17; Licjrågor (9.3 %)
16.57: Extlnfo
(125 %) 14.27. Tillsyn
(22.7 %)
15.57, Regelgivn 8.071 Teknikverk (12.6 %) (7.3 %)
304 SOU 1993: 10
Fördelningen av arbetad tid under 1991/92 har också tagits fram av Datainspektionen. Den bilden visar bl.a. en inte oväsentlig ökning av tillsynsaktiviteterna medan andelen arbetad tid för tillstånd har sjunkit.
7.273 Teknikverk
30.72 Tillstånd
7.472 Licfrågor
20.82 ExLlnlo 14” Regelgivn
I den verksamhetsplan som inspektionen bilagt sin anslagsframställan för budgetåret 1990/91 och ett treårigt budgetförslag t.o.m. budgetåret 1992/93 har inspektionen i sin beskrivning över målen för den framtida verksamhetsutvecklingen behandlat bl.a. tillståndsprövningen, tillsynsverksamheten, licensverksamheten, informationsverksamheten och regelgivningen.
För tillståndsprövningen har inspektionen angivit att målet är att högst en tredjedel av inspektionens resurser skall utnyttjas för handläggning av tillståndsärenden vid treårsperiodens slut. Rationalise- ringar, utbyggnad av ADB-stödet, dokumentation av praxis samt kompetensutveckling anges som medel för att nå det uppsatta målet.
När det gäller tillsynsverksamheten anges som mål att denna skall öka och att minst en tredjedel av resurserna skall användas för tillsyn i olika former.
Det uppsatta målet bör enligt inspektionen kunna nås genom rationalisering av klagomålshanteringen samt en ökad inriktning på projektanställd specialistkompetens och en uppföljning av resultatet av allmänna råd och föreskrifter om förenklade ansökningsförfaranden.
I fråga om informationsverksamheten och regelgivningen anges särskilt att dessa verksamheter skall intensifieras.
I sin verksamhetsplan för budgetåret 1992/93 har Datainspektionen som mål för tillståndsverksamheten angett att denna skall ta i anspråk högst 30 % av inspektionens totala arbetstid. Den produktivitetsökning som detta kräver - med hänsyn också till att antalet ärenden som inte handläggs enligt ett förenklat ansökningsförfarande beräknas öka under budgetåret med 20 % - skall ske genom rationaliseringar av hand— läggningen av tillståndsärendena, bl.a. genom användning av standardi- serade tillståndsbeslut i vissa typer av ärenden.
För tillsynsverksamheten gäller enligt verksamhetsplanen att detta arbete skall ta i anspråk minst 25 % av inspektionens totala arbetstid.
SOU 1993:10 305
För den enhet som svarar för uppgifterna inom offentlig verksamhet gäller att varje handläggare under budgetåret skall ha genomfört fyra inspektioner utöver dem som föranleds av den löpande verksamheten (klagomål m.m.). Den andra enheten, som svarar för uppgifterna inom enskild verksamhet, skall under budgetåret ha företagit 20 inspektioner på eget initiativ. Den tekniska enheten skall följa upp av Datainspektio- nen beslutade ADB—säkerhetsföreskrifter genom ett tekniskt till— synsarbete, bl.a. genom inspektioner på sjukvårdsområdet.
I sammanhanget bör erinras om att Datainspektionens verksamhet inte är begränsad till frågor som regleras i datalagen. Inspektionen beslutar bl.a. också om tillstånd enligt kreditupplysningslagen(1973:1173) och inkassolagen(1974: 182).
17.2 Utredningens tidigare ställningstaganden
Följande utgångspunkter för en organisatorisk förändring vid in- spektionen som en konsekvens av ett renodlat tillsynssystem bör enligt utredningen beaktas.
Tillståndsprövningen upphör
Den nuvarande tillståndsprövningen kan helt upphöra. De fall där in- spektionen i framtiden behöver göra en individuell ärendebedömning i fråga om inrättande och förande av register inskränker sig till de fall där en anmälan görs om inrättande av ett personregister. I dessa fall kan inspektionen ha att besluta om villkor för eller undantagsvis förbud mot fortsatt förande samt ta ställning till frågan om medgivande till utlandsöverföring. Handläggningen av de nu nämnda frågorna kan kräva en ändrad organisation för att identifiera ärendena och på lämplig nivå kunna besluta i saken.
Urvalet och identifieringen av anmälningar av nyss nämnt slag bör kunna ske med ADB-stöd och huvuddelen av ärendena kunna beslutas av enhetschef efter föredragning eller handläggas som enmansärenden. Beslut om förbud mot fortsatt förande bör i viktiga fall underställas styrelsen, om det inte är tillräckligt att generaldirektören fattar beslutet. Det ligger i sakens natur att det av tidsskäl inte torde vara möjligt att låta styrelsen besluta i fråga om ett interimistiskt beslut.
Förstärkt tillsyn
Tillsynen bör framdeles koncentreras till att följa upp tillämpningen av bestämmelserna, såväl datalagens som inspektionens egna föreskrifter, genom inspektioner och handläggning av klagomål. Hit hör givetvis också en kontroll av att de registeransvariga följer de villkor som har
306 SOU 1993:10
ställts upp av Datainspektionen i det enskilda ärendet. Den del av tillsynen som f.n. handläggs som projektverksamhet bör i en förändrad ordning snarare hänföras till de bransch- eller sektorsöversyner som krävs för normeringen eller regelgivningen.
En viktig del av den framtida tillsynen bör vara att ta ställning till i vad mån överträdelser av bestämmelser också bör medföra lagföring. Datainspektionen saknar f.n. möjlighet att annat än i form av anmälan till polis- eller åklagarmyndighet påkalla en fråga om straffansvar. De fall där ansvars- eller skadeståndstalan förs är också mycket få. Detta hänger till en del samman med att inspektionen inte har möjlighet att i önskvärd utsträckning ägna sig åt tillsynsverksamhet. Det kan inte heller uteslutas att de nuvarande förhållandena är föranledda av att de brottsutredande myndigheterna har vissa svårigheter att tillämpa föreskrifterna inom det speciella rättsområde som integritetsskyddet och datafrågorna utgör. Det bör dock understrykas att inspektionen i sin klagomålshantering många gånger får rättelse till stånd genom påpekanden underhand, vilket kan göra frågan om lagföring i dessa fall onödig.
I de få fall där ansvarstalan verkligen förs är det mycket vanligt att tjänstemän vid Datainspektionen kontaktas av polis— eller åklagarmyn- dighet under förundersökningen för att bidra med synpunkter på den rättsliga bedömningen i ett visst fall. Det har vidare förekommit att en tjänsteman vid inspektionen av åklagaren åberopats och också av domstolen kallats som "vittne" för att redogöra för tolkningen av vissa bestämmelser i datalagen vid huvudförhandlingen i målet.
I ett renodlat tillsynssystem kan — i vart fall inledningsvis - frågor om straffansvar m.m. komma att få en mera framträdande roll än f.n. Det bör naturligtvis inte vara något självändamål att öka antalet fall av lagföring av brott mot datalagen, men en skärpt tillsyn bör rimligen få till resultat att flera fall som kräver straffrättslig prövning upptäcks. Och det är av allmänpreventiva skäl av vikt att de upptäckta fallen, där avsteg från de integritetsskyddande föreskrifterna i datalagen föreligger eller från de bestämmelser som inspektionen har beslutat om, verkligen också i tillräcklig omfattning leder till lagföring och straff, i den mån det inte bedöms tillräckligt med påpekanden underhand.
Datainspektionens roll kommer således i ett renodlat tillsynssystem att behöva inriktas mera mot en ombudsmannafunktion, dvs. att övervaka och påtala avvikelser, än f.n.
En ombudsmannaroll reser i sin tur frågor om i vilken utsträckning inspektionen själv bör kunna initiera och påverka frågor om straffan- svar. F.n. saknar de ombudsmän åtalsrätt - näringsfrihetsombudsmann- nen (NO), konsumentombudsmannen (KO), jämställdhetsombudsman— nen (JämO) och diskrimineringsombudsmannen (DO) - som under de senaste decennierna efter mönster av justitieombudsmännen införts i vårt land. Vid sidan av de allmänna åklagarna har endast ett mycket
SOU 1993: 10 307
begränsat antal myndigheter möjlighet att väcka åtal som särskilda åklagare. Hit hör främst Justitiekanslern och justitieombudsmännen.
NO och KO har dock givits en exklusiv behörighet att inom respektive ämnesområde lämna medgivande till allmänt åtal. JämO, å sin sida, har möjlighet att inom sitt område föra talan för den enskildes räkning.
Vid inrättandet av den senaste ombudsmannen, DO, för några år sedan behandlades frågan om åtalsrätt inte närmare. Däremot be- tonades i lagstiftningsärendet (prop. 1985/86:98, SfU 20, rskr. 301) att DO skulle ha en rådgivande och utredande funktion och att om- budsmannen inte skulle uppfattas som en tillsynsmyndighet i egentlig mening. Straff, sanktioner och rättslig prövning borde därför inte, framhöll man, förknippas med diskrimineringsombudsmannens verksamhet (prop. s. 66 f).
Utgångspunkterna vid inrättandet av DO kan således sägas i förevarande hänseende ha varit i viss mån annorlunda än vad som nu har antagits för inspektionens del i ett framtida tillsynssystem.
Frågan om att ge Datainspektionen som dataombudsman åtalsrätt reser en rad svåra frågor om avvägningen mellan allmänna åklagare och särskild åklagare samt om formerna för bedrivande av förunder- sökning m.m. (se 7 och 23 kap. rättegångsbalken). En sådan reform skulle också bryta det mönster som utvecklats rörande de ombudsmän som under senare år inrättats inom skilda specialområden.
Enligt utredningens mening bör det därför inte vara näraliggande att ge Datainspektionen som ombudsman ställning som särskild åklagare eller att på annat sätt ge inspektionen rätt att självständigt väcka åtal.
Däremot bör inspektionen kunna ges rätt att - i likhet med vad som gäller för NO:s och KO:s del — inom sitt specialområde få påverka åtalsfrågan genom en uttrycklig behörighet att medge att allmänt åtal väcks. Det kan också diskuteras om inte tjänstemän vid inspektionen av Riksåklagaren i något fall skulle kunna förordnas att som biträdande åklagare medverka vid åtalsprövningen eller utföra ett åtal som de allmänna åklagarna beslutat om (jfr. 7 kap. 1 å rättegångsbalken och 8 å förordningen med instruktion för riksåklagaren, 1989: 847). En sådan ordning skulle i vissa fall kunna bidra till att effektivisera lagföringen på området, även om utredningen är tveksam till att mera allmänt förorda en sådan lösning.
Härtill kommer naturligtvis de gynnsamma resultat som ökade utbildningsinsatser inom detta specialområde kan medföra för berörda myndigheter, främst åklagar- och polismyndigheterna.
Utredningen har alltså inte velat utesluta att Datainspektionen också skulle ges rätt att medge åtal och att tjänstemän vid myndigheten någon gång skulle kunna förordnas att som biträdande åklagare medverka vid en åtalsprövning eller utföra ett av allmänna åklagaren väckt åtal. Dessa uppgifter bör kunna handläggas på byråchefsnivå hos myndig- heten.
308 SOU 1993: 10
Utredningen har också tagit upp frågan om de statliga tillsynsmyn- digheter som svarar för olika delar av förvaltningen och vissa övriga sektorer bör medverka i den skärpta tillsynen. Det gäller närmast de myndigheter som redan i dag har ett tillsynsansvar för skilda områden (t.ex. Finansinspektionen, Socialstyrelsen, Riksskatteverket och Riks- försäkringsverket).
De myndigheter som skulle kunna ges ett särskilt tillsynsansvar inom dataområdet bör utan större svårighet kunna utsträcka sin vanliga tillsyn till att gälla också integritetsskyddet inom myndighetens ansvarsområde. Vad det närmast gäller är att se till att underlydande myndigheter eller övriga institutioner eller inrättningar som står under tillsyn följer de föreskrifter angående inrättande och förande av personregister som Datainspektionen har utfärdat. Det innebär att tillsynen från dessa myndigheters sida bör begränsas till de i förväg bransch- eller sektorsnormerade områdena. De berörda myndigheterna skulle heller inte få använda sig av de sanktionsmöjligheter som står Datainspektionen till buds.
I inspektionens informations- och utbildningsuppgift bör särskilt ingå att utbilda befattningshavare på andra tillsynsmyndigheter i de krav som integritetsskyddet på dataområdet ställer på dessa myndigheter.
Liksom f.n. bör verksamheten hos Datainspektionen kunna fördelas på två sakenheter, dvs. en för den privata och en för den offentliga sektorn.
En fortsatt utbyggnad av inspektionens tekniska kompetens är önskvärd. Det är också värdefullt om teknisk sakkunskap finns företrädd i inspektionens styrelse.
Inspektionens normgivning
Såsom redan har förutskickats i inspektionens verksamhetsplan kommer arbetet med att utarbeta föreskrifter att behöva intensifieras. Enligt utredningens modell bör olika branscher eller sektorer gås igenom och behovet av anpassade föreskrifter prövas. Erfarenheterna från det nuvarande förenklade tillståndssystemet med de "föreskrifter" som hittills utgivits och den särskilda projektverksamheten bör härvid kunna utnyttjas. Resurserna för regelgivningen kommer dock att behöva förstärkas, utöver vad inspektionen redan har antagit i sin verksamhetsplan.
Med tanke på den betydelse som föreskrifterna kommer att ha för tillsynsverksamheten är det angeläget att dessa får en lämplig och väl avvägd utformning. Beslut om föreskrifter bör självfallet fattas av inspektionens styrelse. Beredningen bör också ske under nära samarbete med berörda myndigheter resp. branschföreträdare.
En intensifiering av regelgivningen kan organisatoriskt behöva medföra en utbyggnad av vissa stabsfunktioner inom inspektionen.
SOU 1993:10 309
Utredningen avser då närmast funktionen som verksjurist. Även i övrigt kan en förstärkning vara nödvändig.
Handläggningen av anmälningar
Koncentrationen av anmälningsplikten till enbart känsliga personupp- gifter medför att antalet anmälningar högst bör uppgå till det antal som enligt nuvarande ordning är tillståndspliktigt (f.n. uppgår antalet till knappt 2 000 årligen, exklusive de ärenden som faller inom det förenklade förfarandet).
Det bör framhållas att anmälningarna av Datainspektionen bör kunna handläggas på ett sådant flexibelt sätt att onödig byråkrati och resursslöseri kan undvikas. Man torde kunna räkna med att det i en del fall inte behövs något särskilt beslut från Datainspektionen i form av villkor för persondatamängden eller förbud att använda den. I dessa fall kan anmälningarna efter granskningen bara läggas till hand- lingarna.
Information m.m.
Datainspektionens resurser bör givetvis vid en reform också förstärkas vad gäller information och utbildning. Detta gäller särskilt vid genomförandeskedet och övergången till ett nytt system. Förutom information till framför allt de registeransvariga behövs bl.a. riktad utbildning för nyckelbefattningshavare vid de myndigheter som är avsedda att biträda vid tillsynen.
17 . 3 Remissutfallet
De organisatoriska frågorna har bara berörts av ett begränsat antal remissinstanser. Statskontoret framhåller att en förstärkt tillsyn bör åtföljas av organisatoriska förändringar för-att Datainspektionen skall kunna arbeta effektivt.
Tanken att Datainspektionen skulle ges rätt att medverka i det straffrättsliga förfarandet vid brott mot datalagen har fått ett blandat mottagande. Bl.a. Justitiekanslern och Datainspektionen avstyrker en sådan ordning.
Ett antal centrala förvaltningsmyndigheter har yttrat sig över förslaget att Datainspektionen skulle få visst biträde i tillsynsarbetet av de förvaltningsmyndigheter som redan i dag har tillsynsuppgifter inom området. En majoritet av de centrala myndigheter som har yttrat sig avstyrker, i likhet med Svenska kommunförbundet, detta förslag.
310 SOU 1993:10
17.4 Överväganden
Redogörelsen i det föregående visar att Datainspektionen, trots en ökande arbetsbörda på tillståndssidan, successivt avsätter en allt större del av sina resurser för tillsyn. Utvecklingen går alltså, som ut- redningen ser det, åt rätt håll och det är viktigt att Datainspektionen redan nu börjar förbereda sig för en ordning där tillståndsverksamheten har avskaffats. När detta sker bör givetvis den tid som går åt för tillståndsarbetet användas för tillsyn. Utredningen vill i det samman— hanget än en gång framhålla att anmälningsförfarandet är avsett att bli ett hjälpmedel i tillsynsarbetet och inte någon slags efterföljare till tillståndsverksamheten (jfr avsnitt 14.4). Målet i den nya ordningen bör vara att andelen arbetad tid för tillsyn inte understiger 60 % av den totala tiden.
Samtidigt är det ofrånkomligt att vissa andra aktiviteter måste ta inte obetydliga resurser i anspråk, inte minst under en övergångsperiod före och efter den nya datalagens ikraftträdande. Enligt den senaste redovis- ningen tar verksamheten "regelgivning" i anspråk omkring 14 % av resurserna. Till denna verksamhet räknas också det arbete som består av besvarande av remisser, yttranden enligt 2 aå datalagen och granskning av delningar av författningsförslag. Detta arbete har, som framgår av Datainspektionens senaste verksamhetsplan, tagit allt större resurser i anspråk. Utredningen har i det föregående förordat att den nu gällande skyldigheten att alltid inhämta yttrande från Datainspektio- nen inför ett s.k. statsmaktsregister skall avskaffas. Remissförfarandet bör enligt utredningen begränsas till fall då det verkligen är nödvändigt att få ett underlag från Datainspektionen. Denna ordning bör, om den genomförs, inte oväsentligt minska Datainspektionens arbete med remisser inför s.k. statsmaktsregister. Även i övrigt är det angeläget att regeringskansliet försöker begränsa antalet remisser till Datain- spektionen.
Men även när det gäller själva författningsarbetet är det önskvärt att Datainspektionens insatser kan begränsas, till förmån för tillsyns— arbetet. Utredningens förslag förutsätter att de allmänna reglerna i datalagen kompletteras med föreskrifter från Datainspektionen för vissa områden eller för vissa branscher. Ett sätt att reducera Datainspektio- nens insatser i denna del kan vara att arbetet med kompletterande föreskrifter sköts av en grupp utanför myndigheten. Inför ikraftträdan— det av lagen skulle t.ex. en mindre grupp inom Datalagsutredningen få svara för författningsarbetet. Datainspektionen måste naturligtvis medverka med sin sakkunskap men den skisserade ordningen skulle likväl kunna innebära en klar lättnad för inspektionen. Målet bör vara att den verksamhet som hänför sig till författningsarbete, remisser m.m. inte tar i anspråk mer än högst 10 % av resurserna.
SOU l993:10 311
Teknikverksamheten och informationsverksamheten tar för närvaran- de i anspråk omkring 7 resp. 20 % av den arbetade tiden. Som ut- redningen tidigare har framhållit är dessa båda verksamhetsgrenar av stor betydelse, inte minst vid genomförandeskedet och övergången till en ny ordning. Detta har också understrukits av en del remissinstanser. Man får räkna med att i huvudsak samma behov av resurser kommer att behövas även i framtiden för teknik- och informationsverksam- heterna.
Behovet av resurser för att ta in den årliga avgiften torde däremot relativt sätt komma att minska. Detta sammanhänger med att i dagens ordning i princip alla registeransvariga skall betala den årliga avgiften (licensavgiften), medan i det nya systemet betalningsskyldigheten har kopplats till anmälningsskyldigheten. Anmälningsskyldigheten omfattas av nuvarande tillståndsplikt. Som närmare utvecklas i nästa avsnitt löper inkasseringen av licensavgifter från tillståndshavarna i stort sett friktionsfritt medan betalningsförsummelser från en del andra registe- ransvariga orsakar Datainspektionen en hel del arbete. Den tid som behövs för att ta in den årliga avgiften i det nya systemet torde emellertid inte bli mindre än som nu åtgår för licensavgifterna, detta med hänsyn till det årliga antalet anmälningar som utredningen räknar med (jfr avsnitt 21).
Andelen arbetad tid för tillsyn bör som nämnts inte understiga 60 % av den totala arbetstiden. Effektiviteten i tillsynsarbetet skulle emellertid kunna öka ytterligare om andra myndigheter med till- synsuppgifter inom statsförvaltningen kunde medverka i tillsynen på dataområdet. Utredningen har tidigare tagit upp frågan om en sådan medverkan.
Som utredningen har utvecklat i det föregående bygger den nya ordningen på att en systematisk och effektiv tillsyn kommer till stånd. Utredningens tanke om biträde i tillsynsarbetet av vissa andra myndigheter skall ses mot denna bakgrund. Samtidigt går det inte att komma ifrån att en sådan lösning är förenad med vissa nackdelar, delvis av principiell natur. Som har utvecklats i en del av remissvaren kan en meningsfull tillsynsverksamhet komma att kräva en del extra resurser hos de berörda myndigheterna. Det kan också finnas risk för att visst dubbelarbete med Datainspektionen uppkommer. Kompetens- problem kan uppkomma och den skisserade ordningen kan också innebära intressekonflikter. Myndigheterna skall ju i sin verksamhet både ta tillvara och utveckla sin normala ADB—verksamhet och samtidigt ha ett särskilt tillsynsansvar. En remissinstans har pekat på att de aktuella myndigheterna i sin tur står under Datainspektionens tillsyn. Med hänsyn till vad som nu har sagts och det övervägande negativa remissutfallet är utredningen inte beredd att vidhålla sitt tidigare förslag i denna del.
Utredningen har tidigare framhållit att Datainspektionens roll i ett renodlat tillsynssystem mera kommer att inriktas mot en ombudsman-
312 SOU 1993:10
nafunktion, dvs. att övervaka och påtala avvikelser, än f.n. Datain- spektionens huvuduppgift blir att se till att behandling av personupp- gifter sker på ett sätt som stämmer överens med de regler som gäller för behandlingen av de berörda personuppgifterna. Under sitt tidigare arbete har utredningen tagit upp frågan om inte Datainspektionen, som ett led i sin nya roll, skulle få möjlighet att påverka åtalsfrågan vid brott mot datalagen och att en tjänsteman där skulle kunna förordnas som biträdande åklagare vid sådana brott. Under remissbehandlingen har olika invändningar gjorts mot dessa tankar. Det har sagts att åtalsfrågorna vid brott mot datalagen knappast är mera komplicerade än inom många andra specialstraffrättsliga områden, t.ex. miljöom- rådet. Det har också framhållits att en mera effektiv lagföring inte kommer till stånd genom att Datainspektionen svarar för rena åtalsuppgifter utan genom en skärpt tillsyn från inspektionens sida. Datainspektionen har ansett det olämpligt att dess verksamhet med tillsyn och rådgivning i olika former förenas med en möjlighet för en tjänsteman vid inspektionen att självständigt påverka ett åtal. I allmänhetens ögon skulle tjänstemannen kunna framstå som partisk och bunden av tidigare ställningstaganden i inspektionens verksamhet.
De invändningar som har förts fram är sådana att de bör beaktas. Datalagsutredningen vidhåller inte de nu diskuterade förslagen, vilket dock innebär en avvikelse i förhållande till förslaget till EG-direktiv. Enligt artikel 30.2 i direktivförslaget skall nämligen dataskyddsmyndig- heten ges befogenhet att väcka talan vid domstol vid överträdelse av dataskyddsbestämmelserna.
Datainspektionen är i dag en myndighet som i huvudsak i arbetar i traditionella verksformer. Verksamheten består till mycket stor del av handläggning av olika ansökningar som kommer in till myndigheten. Den tillsyn som förekommer är av blygsam omfattning. De utåtriktade aktiviteterna består i en ganska omfattande informationsverksamhet samt olika åtgärder för att ta in licensavgifter. Arbetsformerna avspeglas i myndighetens organisation som följer det vanliga verks- mönstret.
Utredningens förslag innebär om de genomförs en radikal förändring av inriktningen av Datainspektionens verksamhet. Det utåtriktade arbetet i form av tillsyn skall prioriteras och omfatta åtminstone 60 % av arbetstiden. Tillsynen får också en annan karaktär än i dag. Den kommer att gå ut på att kontrollera att persondataansvariga i sin ADB- hantering håller sig till de bestämmelser som gäller för den berörda behandlingen av personuppgifter. Datainspektionens verksamhet kommer att i ganska hög grad likna den verksamhet som renodlade tillsynsmyndigheter, t.ex. Riksdagens ombudsmän, ägnar sig åt.
De nya arbetsformer som utredningens förslag förutsätter kommer att medföra krav på en ny myndighetskultur hos Datainspektionen. Omställningen kommer, kan det antas, att innebära vissa problem för en personal som är van vid att utföra sitt arbete i helt andra former. I
SOU 1993:10 313
andra sammanhang, särskilt under senare tid, när en myndighets verksamhetsinriktning förändrats kraftigt, har förändringar i arbetsbe- tingelserna följts upp av en organisatorisk översyn i syfte att ge myndigheten en organisation som är anpassad till de förändrade arbetsuppgifterna. Frågan är om inte en sådan översyn skulle vara på sin plats även när det gäller Datainspektionen.
Vad utredningen närmast tänker på är att lägga ner Datainspektionen som myndighet och i stället anförtro integritetsskyddet åt en dataom— budsman. En ordning med en dataombudsman är vanligt förekomman— de utomlands. Beslutande i den nya myndigheten skulle bli om- budsmannen ensam och hos myndigheten skulle det finnas ett antal föredragande samt kanslipersonal, dvs. ungefär samma struktur som Riksdagens ombudsmän har i dag. Genom övergången till en kon- struktion med en dataombudsman skulle även organisatoriskt markeras den starka inriktning på tillsyn som ligger i utredningens förslag.
Vissa komplikationer finns emellertid. En fråga är hur man skall göra med den ganska omfattande informationsverksamhet som Datainspektionen bedriver i dag och som kommer att behövas även i fortsättningen. En annan fråga är finansieringen av dataombudsman— nens verksamhet. Det arbete som består i att meddela kompletterande föreskrifter till datalagen måste också utföras. Det är också angeläget att ha kvar någon form av lekmannainsyn i verksamheten, även om detta inte är lika påkallat som idag med Datainspektionens funktion att med sin praxis fylla ut en ganska så generalklausulbetonad lagstiftning.
Den nu berörda översynen omfattas inte av utredningens direktiv. Utredningen vill emellertid väcka frågan om inte de föreslagna materiella förändringarna i datalagstiftningen bör följas upp med en mera omfattande organisatorisk förändring.
11 '|' *l'r" 11.11" 1
lli—l*|11.l"' 1111-111; . | " sjuda, ||". liir , ,l--1 armaturen” , 'a' medla—1.11 ,,u' Miflfd'tå'ljmo. 15:
,,,,nw || ?"lll' ,,”,
Ett!
i nå't'tlmnlnarl 53,11. ,.|,.;|&WLJ')*1""1 lliw, ,'itfll'lfii'rdd'
",i1tif'lålj311 tl Milw
11',1,1'Ir:I|11-..'a,|u':1111 ut *
". imagine-h ' 5411-3114?! HU" -'-T'i -* 1 1'1131'11'TEJ-1u.”
"i"», Mia!-il, f_ ,;' '11 101. jp' .. än," Fd 1,11: mm: ' 'fag.1pjt*tlf'1'in,n:e ** ," jlu11|1"'|'.l_ll'*1f*uorl :1. rie-' "I—9111” WW, """tr'i rltlann * .| ”'_'—Pal"" "ml . I| * |,lT—ll
-="f|.|11t11111.r11.. 1 .imr
'11'|||"','| _,, LIP, || Hjul-| ",,."1 * .. 113;
ärm,- ||| |
|||HH'1'” l| ,, ' || _||-|,, '1| | 4 |
it"—fin,]
SOU 1993:10 315
18 Finansiella frågor
18.1 Nuvarande ordning
Datainspektionens budget omsluter f.n. omkring 20 milj. kr. Verksam- heten bekostas i sin helhet av licens- och handläggningsavgifter enligt förordningen (1982:481) om avgifter för datainspektionens verksamhet.
Avgift tas ut enligt förordningen för handläggning av tillståndsären- den och vissa andra ärenden. Intäkterna i form av handläggningsav- gifter uppgår f.n. till drygt 2 milj. kr.
Licensintäkterna, som svarar för ca 18 milj. kr., är således av avgörande betydelse för inspektionens ekonomi. Det totala antalet registrerade licenspliktiga uppgår till ca 50 000, varav ca 3 800 avgiftsbefriats (bl.a. ideella föreningar med färre än 200 medlemmar).
Avgiften för varje licenspliktig är f.n. 435 kr. per år. Inspektionen för en förteckning som omfattar alla registeransvariga som gjort licensanmälan. Detta licensregister förs med hjälp av ADB och benämns LIRE.
Antalet nya licenspliktiga som anmält sig har uppgått till ca 8 000 per år de två år inspektionen haft informationskampanjer (budgetåren 1986/87 och 1988/89), medan det årliga tillskottet i övrigt varit 3 000 - 4 000 nya licenser.
F.n. tar licensverksamheten i anspråk drygt sju procent av inspektio— nens resurser för hela verksamheten.
I den verksamhetsplan som Datainspektionen bilagt sin anslagsfram- ställning för budgetåret 1990/91 och ett treårigt budgetförslag t.o.m. budgetåret 1992/93 anges att arbetet med att få de registeransvariga att göra anmälan skall fortsätta, men att särskilda informationskampanjer inte torde vara behövliga längre. Licenshanteringens andel av inspektionens hela resursanvändning kan därför förväntas minska.
18.2 Utredningens tidigare ställningstaganden
Utgångspunkten bör enligt utredningens mening vara att inspektionens verksamhet även framgent är helt avgiftsfinansierad.
De organisatoriska förändringar som torde bli följden av ett mera renodlat tillsynssystem bör även kunna finansieras inom ramen för nuvarande resurser. En omfördelning bör kunna ske, så att resurser
316 SOU 1993:10
som frigörs från den nuvarande tillståndshandläggningen kan föras över till bl.a. tillsynsverksamheten och de delar inom inspektionen som bör ha ansvar för beredning av föreskrifter.
Kunskapen om licenssystemet har fått relativt stor spridning bland allmänheten och de registeransvariga som en följd av de informations— kampanjer som inspektionen har genomfört, även om långt ifrån alla licenspliktiga anmäler sig. Licenssystemet har också fördelar av annat än rent ekonomiskt slag. Licensregistret kan således användas för att nå registeransvariga med riktad och avpassad information, vilket kan bidra till att stärka integritetsskyddet. Härtill kommer att licensregistret kan utgöra underlag för inspektionsverksamhet.
Redan dessa förhållanden är tunga skäl för att behålla en ordning med en årlig avgift för vissa registeransvariga.
Det avgörande skälet för att behålla systemet bör enligt utredningens mening dock vara att systemet med årliga avgifter innebär att de som i sin verksamhet ger upphov till risker för otillbörligt intrång i den personliga integriteten på dataområdet också bär den ekonomiska bördan för samhällets försök att förhindra ett sådant intrång.
Det kan naturligtvis diskuteras andra alternativ, exempelvis att genom en specialdestinerad skatt på bl.a. omsättningen av datorer sörja för finansieringen av inspektionens verksamhet. En sådan skatt skulle emellertid, för att bli administrativt hanterbar, behöva innefatta också den försäljning av datorer som sker för enskilt eller annars personligt bruk och därmed även belasta ett område, där risken för intrång i den personliga integriteten typiskt sett är mycket liten. En sådan lösning är därför mindre lämplig.
Utredningen förordar därför att med anmälningsskyldighet för en persondatamängd också bör följa en skyldighet att betala en årlig avgift till inspektionen, så länge persondatamängden förekommer i verksam— heten. Det nuvarande licenssystemet samt handläggningsavgifterna i avgiftsförordningen bör avskaffas.
18. 3 Remissutfallet
De tämligen få remissinstanser som har uttalat sig om de finansiella frågorna delar utredningens uppfattning att Datainspektionens verksam- het även i fortsättningen skall vara helt avgiftsfinansierad samt att de som i sin verksamhet ger upphov till integritetsrisker också bör bära den ekonomiska bördan för samhällets försök att förhindra att den personliga integriteten kränks. Man har i allmänhet inte haft något att erinra mot att avgiftsskyldigheten kopplas till skyldigheten att göra anmälan.
SOU 1993:10 317
18.4 Överväganden
Ingenting har framkommit som ger utredningen anledning att frångå sin tidigare uppfattning att Datainspektionens verksamhet även sedan en ny datalag har trätt i kraft bör helt avgiftsfinansieras. Det är vidare en rimlig ordning att kostnaderna för verksamheten betalas av de persondataansvariga vars behandling av personuppgifter innebär särskilda risker och hot. Genom att skyldigheten att betala en årlig avgift införs för dem som är anmälningsskyldiga, fördelas kostnaderna enligt den princip som nyss har antytts. Den årliga avgiften bör vara lika stor för alla berörda. Den bör betalas i anslutning till att anmälan görs och därefter per kalenderår på tid som Datainspektionen be- stämmer.
Storleken av den årliga avgiften bestäms i princip av det antal anmälningar som har gjorts till Datainspektionen och de årliga kostnaderna för myndighetens verksamhet. Antalet gällande tillstånd enligt datalagen kan beräknas till omkring 50 000. Som har berörts i avsnitt 14.4 är anmälningsskyldigheten mindre omfattande än till- ståndsplikten. Anmälningsskyldigheten omfattar inte behandling av uppgifter om personer som saknar sådan anknytning till den personda- taansvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande. Det saknas uppgifter om hur många dessa fall kan vara men antalet kan vara betydande. I fråga om sambearbetningar föreligger vidare anmälningsskyldighet bara när sambearbetningen innefattar känsliga uppgifter, medan tillståndsplikten avser i princip alla sambearbetningar. Vad denna skillnad innebär går det heller inte att få fram uppgifter om. Anmälningsskyldigheten enligt den nya lagen hänför sig på den andra sidan till ett mer preciserat och snävare ändamålsbegrepp än vad tillståndsplikten bygger på enligt den gällande datalagen. Sammanfattningsvis bör den ståndpunkt som utredningen har intagit i frågan om anmälningsskyldighet leda till att det i övergångsskedet kommer att röra sig om en stock på runt 35 000 - 40 000 anmälningar. Det årliga antalet nytillkommande anmälningar är svårt att uppskatta. Antalet torde dock komma att ligga mellan 5 000 och 10 000 per år.
Mot bakgrund av vad som nu har sagts skulle, om man räknar med en årlig kostnad för Datainspektionens verksamhet på drygt 20 milj. kr, den årliga avgiften komma att uppgå till i stort sett samma belopp som nu betalas för licens. I förhållande till licenssystemet blir dock skillnaden den att den årliga avgiften i den nya ordningen måste betalas för varje ändamål för vilket personuppgifter behandlas. Detta är emellertid helt i överensstämmelse med principen att betalnings- skyldigheten bör stå i direkt proportion till de risker och hot som de persondataansvariga förorsakar.
Storleken på den årliga avgiften bör liksom nu bestämmas av regeringen.
318 SOU 1993:10
En särskild fråga är om det behövs någon sanktion för utebliven betalning. Någon sådan sanktion finns inte i dag men utredningen har tidigare tagit upp frågan och förordat sanktioner i form av tilläggsav- gift eller, i sista hand, förbud att behandla personuppgifter. Uppgifter från Datainspektionen visar att inte så få licensinnehavare underlåter att betala sina licensavgifter och att de belopp som skrivs av till följd av underlåten betalning inte är oväsentliga. Man har emellertid också från Datainspektionen uppgett att betalningsförsummelserna inte hänför sig till de registeransvariga som är tillståndspliktiga utan till andra innehavare av personregister. De som har tillstånd betalar nästan undantagslöst sina licensavgifter. Med hänsyn till vad som sålunda har kommit fram kan det ifrågasättas om det behövs några sanktioner för utebliven betalning. Anmälningsskyldigheten enligt utredningens förslag omfattas ju av tillståndsplikten enligt nuvarande ordning. Utredningen är mest benägen att inte vidhålla sitt tidigare förslag om sanktioner vid utebliven betalning.
SOU 1993:10 319
19 Vissa övriga frågor
19. 1 Straffbestämmelser
19.1.1 Gällande rätt
I 20 å datalagen finns regler om straff för överträdelser av vissa be- stämmelser i datalagen. Enligt första stycket döms till böter eller
fängelse i högst ett år den som uppsåtligen eller av oaktsamhet
l.inrättar eller för personregister utan licens eller tillstånd enligt datalagen, när detta erfordras, 2.bryter mot villkor eller förbud som Datainspektionen har meddelat enligt 5, 6 eller 18 å, 3.1ämnar en personuppgift i strid mot utlämnandeförbudet i 11 å, dvs. lämnar ut personuppgifter ur personregister när det finns risk för att uppgifterna skall användas i strid mot datalagen eller lämnar ut sådana uppgifter, utan erforderligt tillstånd av Datainspektionen, när det kan antas att uppgifterna skall användas för automatisk databehandling i en stat som inte anslutit sig till Europarådets datas- kyddskonvention, 4.bryter mot gallringsregeln i 12 å, 5.1ämnar en osann uppgift vid fullgörande av skyldigheten att lämna underrättelse enligt 10 å, 6.1ämnar en osann uppgift i sådana fall som avses i 17 å, dvs. då Datainspektionen begär upplysningar för sin tillsynsverksamhet. Enligt andra stycket döms till böter den som uppsåtligen eller av oaktsamhet bryter mot 7 a å första eller tredje stycket, dvs. inte för registerförteckning eller inte har angivit avsändaren på försändelse som innehåller personuppgift till den registrerade.
En straffbestämmelse finns också i 21 å datalagen. Där föreskrivs att den som olovligen bereder sig tillgång till en upptagning för auto— matisk databehandling eller olovligen ändrar eller utplånar eller i ett register för in en sådan upptagning skall dömas för dataintrång till böter eller fängelse i högst två år, om inte gärningen är belagd med straff i brottsbalken. Med upptagning avses här även uppgifter som är under befordran via elektroniskt eller annat liknande hjälpmedel för att användas vid automatisk databehandling. Brottet är straffbart även på försöks- och förberedelsestadiet, om det inte är ringa.
320 SOU 1993: 10
Ett personregister kan enligt 22 å datalagen förklaras förverkat om det inrättats eller förts utan nödvändig licens eller tillstånd eller förts i strid med ett av Datainspektionen meddelat förbud.
Här bör också nämnas att bestämmelsen i 13 å datalagen om tystnadsplikt sanktioneras av bestämmelsen i 20 kap. 3 å brottsbalken om brott mot tystnadsplikt.
Datalagens straffbestämmelser är inte formellt utformade så att ansvaret riktas mot någon särskilt utpekad person. Av förarbetena till datalagen framgår dock att man utgått från att straffbestämmelserna endast i ringa utsträckning skulle vara tillämpliga på annan än den registeransvarige (se prop. 1973:33 s. 104).
Som tidigare nämnts kan såväl fysiska som juridiska personer och myndigheter vara registeransvariga. I de fall då den registeransvarige utgörs av en myndighet eller en juridisk person, t.ex. ett aktiebolag, uppstår frågan vilken fysisk person som skall bära det straffrättsliga ansvaret för brott som förövas inom ramen för en sådan registeransva- rigs verksamhet. Härvidlag har man att tillämpa allmänna straffrättsliga principer.
När det gäller placeringen av ansvaret för lagöverträdelser som begås i privata företags verksamhet har vissa regler om s.k. före- tagaransvar utvecklats i rättspraxis. I princip åvilar det straffrättsliga ansvaret företagsledningen. I ett aktiebolag utgörs denna av styrelsen eller den verkställande direktören. Ansvaret inom företagsledningen fördelas så att ansvaret i första hand åvilar den ledamot inom vars verksamhetsområde en lagöverträdelse begåtts. Verkställande direk— tören kommer därvid i första hand i fråga eftersom han ansvarar för den löpande förvaltningen. Endast undantagsvis finns anledning att ålägga en medlem av en juridisk persons högsta beslutande organ (t.ex. bolags- eller föreningsstämma) ansvar. Aktieägare anses bli ansvariga endast vid kvalificerad medverkan eller mycket grova brott.
Såväl enskilda näringsidkare som ledare av juridiska personers verksamhet kan enligt rådande rättspraxis under vissa förutsättningar överflytta det straffrättsliga ansvaret på en ställföreträdare, som anförtrotts att med tämligen stor självständighet leda företagets verksamhet i dess helhet eller en gren därav. Som förutsättning för att ansvaret skall kunna överflyttas krävs att det med hänsyn till före— liggande omständigheter är svårt för företagaren att förhindra vissa lagöverträdelser. Exempel på sådana omständigheter är att företaget är så omfattande att företagaren inte kan behärska alla detaljer i verksam- heten, att företagaren är bosatt på annan ort än den där verksamheten bedrivs eller att företagaren på grund av ålder eller sjukdom, lyte eller omfattande engagemang i andra företag eller allmänna angelägenheter inte helt kan övervaka arbetets anordnande och bedrivande. Se professorn Hans Thornstedts promemoria (DsJu 1975:23) om vissa specialstraffrättsliga problem.
SOU 1993:10 321
Företagsledningen ansvarar emellertid alltid för att företaget organiseras på sådant sätt att lagöverträdelser kan förutsättas inte ske i dess verksamhet. Ledningen har alltså att sörja för att företaget har en ändamålsenlig personalorganisation och att underordnad personal är kompetent och tillräckligt instruerad för sina uppgifter. Även om överflyttning av straffansvar skett är ledningen skyldig att gripa in om det visas föreligga brister eller annars särskild anledning föreligger. Vid oaktsamhetsbrott kan ansvar utkrävas av den i företagsledningen som oaktsamt brustit i vad som enligt det nyss sagda ålegat honom.
Då uppsåt erfordras för straffbarhet, blir företagaren, även om han anförtrott förvaltningen åt en ställföreträdare, ansvarig för lagöverträ- delser som inträffar med hans vetskap och vilja. Naturligtvis blir företagaren också straffansvarig om han givit order om en lagöverträ- delse. Detsamma gäller, om han inte respekterar den bestämda arbetsfördelningen mellan sig och ställföreträdaren och trots denna faktiskt utövar ledning och kontroll i detalj av viss verksamhet. Ansvaret åvilar då företagaren och inte ställföreträdaren för förseelser, som står i samband med denna verksamhet.
Dessa principer för företagaransvar på det privata näringslivets område torde även kunna tillämpas då straffrättsligt ansvar skall utkrävas för brott i en myndighets verksamhet. Det innebär att även styrelseledamöter och chefer vid myndigheter kan bli straffrättsligt ansvariga. Vid brott mot datalagen kommer straffansvaret att åvila den eller de personer som är ansvariga för verksamheten. Detta torde i princip gälla både statliga och kommunala myndigheter. I fråga om kommunala nämnder torde ansvaret åvila nämndens ordförande och dess ledamöter.
Högsta domstolen (HD) har i ett rättsfall (NJA 1987 s. 426) prövat frågan om ordföranden i en kommunal nämnd kunde göras ansvarig för brott mot datalagen bestående i att personregister förts utan tillstånd av Datainspektionen. Ordföranden gjorde bl.a. gällande att ansvaret för datalagsfrågor genom den ansvarsfördelning som gällde inom kommunen delegerats till nämndens kanslichef. I domen, vari åtalet ogillades, uttalar HD bl.a. att de principer för företagaransvar som utbildats i rättspraxis för det privata näringslivet kan tjäna som en utgångspunkt också på den kommunala sektorn. HD nämner vidare att möjligheten att delegera ansvar möjligen är något mindre omfattande på den kommunala sektorn och att omständigheterna i det särskilda fallet måste tillmätas betydande vikt när det gäller att ta ställning till om delegation av det straffrättsliga ansvaret för förtroendevalda kunnat ske.
322 SOU 1993:10
19.1.2 Praxis
Datalagens straffbestämmelser har endast tillämpats i ett fåtal fall.
Av en av datalagstiftningskommittén i februari 1981 upprättad PM framgår att kommittén då endast hade funnit tre avdömda fall vad gäller brott mot datalagens bestämmelser. Dessa var följande.
Norrtälje tingsrätt dömde år 1978 en person till dagsböter enligt 20 5 ] datalagen för att ha inrättat personregister utan tillstånd. Ett aktiebolag hade använt ett annat närstående aktiebolags personregister för marknadsföring utan att söka erforderligt tillstånd.
Borås tingsrätt dömde år 1978 en person till dagsböter för dataintrång och brott mot tystnadsplikt. Dataintrånget bestod i att en polisman berett sig tillgång till Rikspolisstyrelsens polisregister i en angelägenhet som inte rörde tjänsten. Genom att polismannen dessutom visat registerutdrag för kollegor som inte haft berättigat intresse av att få del av uppgifter dömdes han även för brott mot tystnadsplikten.
Borås tingsrätt dömde år 1980 en person för bl.a. brott mot 20 5 2 datalagen till dagsböter. I domen åberopades även 6 5 7 datalagen. Brottet bestod i att ett bolag som hade tillstånd enligt förenklat förfarande att föra kund-, leverantörs—, abonnent- och faktureringsregister även använde register med annat bolags kunder för marknadsföring. Enligt Datainspektionens föreskrifter fick endast egna kunder ingå i registret.
Utredningen har tidigare berört en dom av Högsta domstolen. Domstolen ogillade i ett avgörande från år 1987 ett åtal för brott mot datalagen avseende en valnämndsordförande för att valnämnden inrättat och fört ett personregister. Underinstanserna hade även ogillat ett åtal för brott mot datalagen avseende en sektionschef vid Stockholms kom— muns dataenhet för att kommunens befolkningsregister i strid mot ett beslut av Datainspektionen sambearbetats med det av valnämnden in- rättade registret. I målet aktualiserades frågan om vem som bar det straffrättsliga ansvaret. Rättsfallet är refererat i NJA 1987 s. 426.
Rikspolisstyrelsen gjorde i november 1988 en rundfråga till landets polismyndigheter om frekvensen av databrott och datorrelaterad brottslighet. Resultatet av undersökningen har redovisats i RPS Rapport 199111 Datorrelaterad brottslighet En undersökning hos polismyndigheterna. Redovisningen omfattar brottsutredningar som var aktuella under tiden 1 januari 1987 - 31 augusti 1989. I rapporten redovisas 47 ärenden, varav det i 18 fall var fråga om brott eller misstanke om brott mot 21 & datalagen (dataintrång). I övrigt gällde de redovisade ärendena olika slags brottsbalksbrott med datoranknytning (18 ärenden), brott mot lagen om upphovsrätt (7 ärenden) samt fall av illojal konkurrens (4 ärenden).
För att få en bild av hur sanktionsbestämmelserna i datalagen har tillämpats av domstolarna under de senaste åren har utredningen tillskrivit landets samtliga 97 tingsrätter. Dessa har tillfrågats om de
SOU 1993: 10 323
under åren 1985 — 1991 har handlagt mål där talan förts med åberopan- de av bestämmelserna i 20 - 24 55 datalagen. Utredningen har fått svar från 89 tingsrätter. Av svaren framgår att 14 av dessa tingsrätter har handlagt mål av det efterfrågade slaget. Det totala antalet sådana mål under den aktuella perioden uppgick till 17. Nästan samtliga mål avsåg frågan om straffansvar. Endast två av målen gällde skadestånds— skyldighet enligt 23 & datalagen.
Av brottmålen gällde nio mål ansvar för dataintrång. De övriga sex brottmålsdomarna var följande.
Göteborgs tingsrätt ogillade i april 1985 ett åtal för brott mot datalagen avseende en läkare vid Göteborgs sjukhusförvaltning. Sjukhusförvaltningen hade år 1975 beviljats tillstånd att inrätta och föra ett personregister för att genomföra en undersökning om barnolycksfall i kommunen. Läkaren, som var s.k. kontaktman, hade fortlöpande varit i kontakt med datainspektionen samt begärt förlängning m.m. angående registret samt ensam utnyttjat detta för forskning. I november 1980 erhöll sjukvårdsförvaltningen tillstånd att tillfälligt till registret inhämta upp ifter från socialför- valtningens personregister. Datainspektionen öreskrev i samband därmed att de från socialförvaltningen inhämtade uppgifterna skulle förstöras senast den 31 april 1981. Vid en inspektion av Datainspektionen i oktober 1982 framkom att så inte hade skett. Aklagaren lade läkaren till last att han av oaktsamhet inte tillsett att uppgifterna förstörts. Tingsrätten fann att den omständigheten att läkaren hade uppträtt som kontaktman mellan Datainspektio- nen och sjukvårdsförvaltningen inte kunde medföra att det ansvar, som åvilat den registeransvarige att tillse att Datainspektionens föreskrifter följts, överflyttats på läkaren.
Falköpings tingsrätt dömde år 1986 kanslichefen i en kommun för brott mot datalagen enligt 20 5 l jämförd med 2 5 andra stycket 3 och fjärde stycket datalagen till trettio dagsböter. Tings- rätten fann utrett att fritidsintendenten i kommunen utan tillstånd av Datainspektionen påbörjat insamlandet av personuppgifter avsedda att ingå i ett dataregister. Kanslichefen, som i admini- strativt hänseende var överordnad fritidsintendenten och som haft befogenhet att beordra intendenten att inställa arbetet, hade samtyckt till insamlandet av uppgifterna. Domen överklagades till Göta hovrätt som fastställde tingsrättens dom i ansvarsdelen. Högsta domstolen meddelade inte prövningstillstånd.
Norrköpings tingsrätt ogillade i januari 1990 ett åtal för brott mot datalagen avseende en person som under avtjänande av straff på kriminalvårdsanstalt med hjälp av ADB utan tillstånd u prättat och fört ett personregister över bl.a. landets samtliga ri sdags- ledamöter och personer som förekommit i den honom rörande förundersökningen. Den tilltalade uppgav att han hade använt och avsåg att använda registren enbart för att skapa debatt och bilda opinion samt för att kunna tillvarata sin rätt vid kommande domstolsprövning. Tingsrätten fann att denna uppgift inte motbe- visats utan fick tas för god. Registren ansågs ärför ha inrättats och förts uteslutande för personli t bruk för vilket tillstånd inte hade erfordrats. Efter överklagan e av åklagaren fastställde Göta hovrätt i mars 1990 tingsrättens dom. Hovrättens dom har vunnit laga kraft.
324 SOU 1993: 10
Göteborgs tingsrätt dömde i februari 1990 en man för brott mot datalagen till sextio dagsböter. Den dömde hade varit verkställande direktör och firmatecknare i ett aktiebolag som utan licens och tillstånd inrättat och i drygt ett års tid fört ett person- register innehållande olika personers namn, arbetsgivare, inkomst och förmögenhetsförhållanden. Då bolaget försattes i konkurs överläts bl.a. detta ersonre ister till ett annat av mannen ägt aktiebolag. Vid konEurstillfä let innehöll registret uppgifter om ca 12 700 ersoner varav åtminstone 4 700 personer inte hade något kund örhållande till konkursbolaget. Tingsrättens dom vann laga kraft.
Malmö tingsrätt dömde i september 1990 en man för brott mot 205 1 stycket 1 punkten datalagen till sextio dagsböter. Den dömde hade utan licens och tillstånd inrättat och fört ett ADB— register. Registret innehöll rubriknamnen på olika tidningsartiklar och för varje rubrik en sidohänvisning till ett antal pärmar med diverse tidningsurklipp. Personnamn var sökbara i den mån namnet ingick i en rubriknamnet. Urklippen innehöll up gifter om personer vilka dömts för brott och om den politiska de atten. Mannen använde registret i sin verksamhet som journalist, författare och föredragshållare för att snabbt kunna plocka fram fakta från pärmarna. Rätten ansåg registret vara att anse som ett personregister i datalagens mening, vilket inte använts uteslutande för personligt bruk. Den omständigheten att personuppgifterna i registret i vissa fall måste "översättas" till en viss person på manuell väg genom sidohänvisningarna i registret och mannens samling av urklipp ansågs inte utgöra grund för en annan be- dömning. Detta även om det endast var möjligt för mannen att försftå vilken person som avsågs. Tingsrättens dom vann laga kra t.
Västerås tingsrätt dömde i a ril 1991 en man för brott mot 20% 1 stycket 1 punkten data agen till tjugo dagsböter. Den dömde var verkställande direktör och huvudredaktör för en tidning vars datoriserade klipparkiv, innehållande bl.a. person- uppgifter, hade förts utan licens och tillstånd under ca sex månader. Under denna tid hade bibliotek och skolor via termina— ler haft direktåtkomst till registret. Tin srätten fann omständig- heterna förmildrande och utdömde där ör endast ett lågt bötes- straff. Domen överklagades. Svea Hovrätt höjde i dom meddelad i februari 1992 dagsbotsantalet till femtio. Målet överklagades till Högsta Domstolen som inte meddelade prövningstillstånd.
I detta sammanhang kan även nämnas följande två fall i vilka Datain— spektionen gjort anmälan om misstänkta datalagsbrott.
Datainspektionen ingav år 1989 till Justitiekanslern en anmälan mot Statens invandrarverk för misstanke om brott mot 20 ä 2 datalagen. Datainspektionen menade att Statens invandrarverk i vissa hänseenden inte efterkommit av inspektionen meddelade villkor om bl.a. kontroll och säkerhet i verkets s.k. SU-system (systemet för utlänningsärenden; ett personregister omfattande ca 470 000 personer med uppgifter om bl.a. utlänningars namn, födelsetid, medbor arskap, resedokument, vissa tvångsåtgärder, ansökan om politis asyl, utvisning p.g.a. brott m.m.) samt om utlämnande av ersonupp ifter från registret. Datainspektionen påtalade att vilkor inte öljts rörande behörighetskontroll och
SOU 1993: 10 325
behandlingshistorik samt rörande utlämnande av personuppgifter till Arbetsmarknadsdepartementet och Rikspolisstyrelsen. Justitie- kanslern fann i beslut den 2 oktober 1989 att de av Datainspektio- nen meddelade villkoren hade blivit åsidosatta i viktiga hän- seenden och att dessa brister var allvarliga med tanke på att SU- systemet var ni cket integritetskänsligt. Justitiekanslern fann dock att något stra frättsligt förfarande inte borde inledas med an- ledning av vad som förekommit. Skälen härför angavs framför allt vara att det förekom omständigheter som kunde tyda på att Datainspektionen blivit informerad om åtminstone vissa av bristerna men inte påtalat dessa samt att bristerna i övrigt, dvs. utlämnandet av personuppgifter till Arbetsmarknadsdepartementet och Rikspolisstyrelsen, inte kunde antas ha varit ägnade att leda till integritetskränkning för någon enskild. I augusti 1991 ingav Datainspektionen till åklagarmyndigheten i Stockholm en anmälan mot en social distriktsnämnd om ifrågasatt brott mot 205 första stycket datalagen. Nämnden ansökte i december 1990 om tillstånd att få inrätta och föra ett personregister benämnt "Arbetskortsregister". Vid en inspektion os distriktsnämnden den 31 maj 1991 fann Datainspektionen att det ifrågavarande personregistret redan hade inrättats och användes i verksamheten. I sin åtalsanmälan anförde inspektionen att den sociala distriktsnämnden underlåtit att ansöka om tillstånd innan registret, som innehåller mycket integritetskänsliga uppgifter (bl.a. uppgifter om brott och brottsmisstanke), in- rättades trots att den varit medveten om att denna skyldighet före- legat samt att säkerhetsåtgärderna till skydd för personregistret varit bristfälliga. Förundersökningen pågår fortfarande.
1913 Internationella överenskommelser
Enligt artikel 10 i Europarådets dataskyddskonvention skall den nationella lagen innehålla lämpliga sanktioner och rättsmedel. I kommentaren till artikeln sägs att det ankommer på varje enskild stat att bestämma karaktären av dessa sanktioner och rättsmedel, dvs. huruvida dessa skall vara av civilrättslig, administrativ eller straff— rättslig karaktär.
Medlemsländerna skall enligt punkt 19 i OECD.-s riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna bl.a. särskilt sträva efter att införa lämpliga sanktioner och rättsmedel.
Enligt artikel 25 i förslaget till EG—direktiv skall medlemsstaterna ha verkningsfulla straff för den som bryter mot de nationella bestämmel- ser som har antagits i enlighet med direktivet.
19.1.4 Utredningens tidigare ställningstaganden
I dag gäller att den som uppsåtligen eller av oaktsamhet inrättar eller för personregister utan erforderlig licens eller tillstånd enligt datalagen ådöms straffansvar. Detsamma bör gälla den som i ett framtida tillsynssystem underlåter att fullgöra sin anmälningsskyldighet.
326 SOU 1993:10
Enligt den nuvarande datalagen år det vidare straffbart att bryta mot vissa generella föreskrifter i lagen, nämligen förbudet att lämna ut personuppgifter utomlands m.m. , bestämmelserna om gallring och om vad som skall iakttas när ett personregister upphör att föras samt reglerna om skyldighet att ha en förteckning över personregister och ange avsändare i handlingar till den registrerade. Motsvarande straffbestämmelser bör återfinnas i en ny datalag.
En framtida datalag kommer därutöver enligt utredningens förslag att innehålla vissa materiella förhållningsregler för den som enligt lagen är ansvarig för personuppgifter i form av grundläggande principer för dataskydd. Arbetslivs- och forskningsområdena, där känsliga uppgifter kan förekomma, avses vidare bli särskilt reglerade i en framtida datalag. Datainspektionen kommer att svara för detaljreg- leringen i form av generella föreskrifter för vissa områden och branscher.
Förutom för överskridande av de i datalagen intagna grundläggande principerna för dataskydd, bör även straff föreskrivas för avvikelse från vissa av de bestämmelser som Datainspektionen kan ha meddelat. Motsvarande bör gälla i fråga om de villkor och förbud som in- spektionen kan ha meddelat i ett särskilt fall.
Vad angår utformningen av den bestämmelse i datalagen som avser att straffbelägga avvikelse från Datainspektionens generella föreskrifter måste särskilt beaktas bestämmelserna i 8 kap. 3, 5, 7 och 11 åå regeringsformen. Utredningen föreslår att 8 kap. 7 % regeringsformen ändras så, att till uppräkningen i första stycket i paragrafen fogas ämnet "skydd mot kränkning av personlig integritet vid person- registrering med hjälp av automatisk databehandling". Härigenom blir det möjligt att delegera normgivning också vad avser den kommunala sektorn och den privata verksamhet som inte kan räknas till närings- verksamhet. Enligt 8 kap 7 & sista stycket kan riksdagen i lag, som in— nehåller bemyndigande med stöd av första stycket samma paragraf, föreskriva även annan rättsverkan än böter för överträdelse av föreskrift som regeringen meddelar med stöd av bemyndigandet. Det innebär att, om fängelse skall följa på en överträdelse av en av Datainspektionen meddelad föreskrift, en sådan straffbestämmelse måste tas in i datalagen.
Slutligen bör en ny datalag innehålla motsvarigheter till de nuvaran- de bestämmelserna om straff för den som lämnar osann uppgift vid fullgörande av skyldighet att lämna s.k. lO å-utdrag eller som lämnar osann uppgift rörande den automatiska databehandlingen när datain- spektionen begär uppgifter för sin tillsyn.
Det bör liksom i dag vara tillräckligt med oaktsamhet för att straffansvar skall anses föreligga.
Vid bedömningen av det straffvärde som föreligger vid brott mot datalagens regler måste särskilt beaktas att datalagen har till uppgift att skydda den enskildes personliga integritet mot otillbörligt intrång.
SOU 1993:10 327
Med undantag av vissa mindre förseelser mot datalagens regler, såsom att inte föra förteckning över persondatamängd eller inte ange avsändaren på försändelse som innehåller personuppgift till den vars personuppgifter det gäller, måste brott mot lagens bestämmelser, med hänsyn till lagens särskilda skyddsområde, rimligen ges ett förhållande— vis högt straffvärde. Med ett sådant högt straffvärde måste också strängare straff än i dag kunna utdömas. Fall som det finns anledning att se allvarligt på är t.ex. sådana där myndigheter eller företag i strid mot datalagens bestämmelser registrerar särskilt känsliga uppgifter om sina anställda, t.ex uppgifter om deras politiska åsikter.
Vid bedömningen av vilken straffskala som bör väljas kan man jämföra med de straffskalor som gäller för de bestämmelser i brotts— balken som tar sikte på att skydda den personliga integriteten i annat hänseende än när det gäller att skydda mot en rent kroppslig kränk- ning. Dessa är närmast reglerna om hemfridsbrott (4 kap. 6 5), brytande av post— eller telehemlighet (4 kap. 8 5), intrång i förvar (4 kap. 9 5), och olovlig avlyssning (4 kap. 9 a 5) samt i vidare mening även bestämmelserna om ärekränkning i 5 kap. En sådan jämförelse ger vid handen att straffskalan bör bestämmas till böter eller fängelse i högst två år. Utredningen föreslår därför att straffskalan i datalagen anpassas till denna nivå.
Vad angår de rena ordningsförseelserna, dvs. i en framtida lag bestämmelser motsvarande de två ovan nämnda fallen om registerför- teckning och skyldighet att ange avsändare, bör de även i fortsätt- ningen endast kunna leda till böter.
I fråga om brott mot anmälningsskyldigheten kan det möjligen hävdas att även detta är att bedöma som en ordningsförseelse och därför endast bör kunna straffas med böter. Den omständigheten att man underlåter att inge en erforderlig anmälan kan dock ske med avsikt att undanhålla Datainspektionen kunskap om att en känslig persondatamängd förs och därigenom minska risken för upptäckt. Det bör därför även vara möjligt att ådöma annan påföljd än enbart böter. Så är för övrigt fallet beträffande den som i dag underlåter att skaffa erforderlig licens.
Enligt rådande rättspraxis har det ansetts möjligt att under vissa förutsättningar i viss mån delegera straffansvar. Såvitt avser brott mot datalagens bestämmelser har HD också i ett rättsfall (NJA 1987 s. 426) prövat frågan om sådan delegation.
De regler för delegation av straffansvar som sålunda utvecklats i rättspraxis bör också fortsättningsvis gälla även i fråga om brott mot datalagens regler. Anledning att i en ny datalag särskilt reglera frågan om överflyttning av det straffrättsliga ansvaret föreligger därför inte. Nuvarande regler innebär, som framgått, att ledningen för en privat eller offentlig verksamhet under vissa förutsättningar kan överflytta det straffrättsliga ansvaret på en ställföreträdare, som anförtrotts att med tämligen stor självständighet leda verksamheten i vissa delar.
328 SOU 1993: 10
19. 1.5 Remissutfallet
Praktiskt taget alla remissinstanser som har berört frågan i sina yttranden tillstyrker utredningens förslag i fråga om straffbestämmel- ser. Bland de positiva remissinstanserna återfinns Justitiekanslern, Kammarrätten i Stockholm, Riksåklagaren, Datainspektionen, Riksförsäkringsverket, Juridiska fakultetsnämndens forskningsnämnd vid Lunds universitet, Rikspolisstyrelsen, Svenska kommunförbundet och Landstingsförbundet. Ett par remissinstanser är emellertid kritiska i vissa avseenden. Enligt Hovrätten över Skåne och Blekinge har utredningen inte anfört tillräckligt övertygande skäl för en skärpning av straffskalan och hovrätten avstyrker därför förslaget i den delen.
19. 1.6 Överväganden
Datastraffrättsutredningen har i sitt betänkande (SOU 1992:110) Information och den nya informationsteknologin - straff— och process- rättsliga frågor m.m. föreslagit att bestämmelsen om dataintrång flyttas över till brottsbalken. Datalagsutredningens förslag till ny datalag innehåller därför ingen motsvarighet till den nyss nämnda bestämmel- sen i den nuvarande datalagen.
Utredningens synpunkter på straffbestämmelserna i en framtida datalag har godtagits av praktiskt taget alla remissinstanser som har berört frågan. Utredningen vidhåller därför sina förslag. En förändring bör emellertid göras. Utredningens lagförslag innehåller inte, av skäl som har utvecklats i avsnitt 5.3, någon motsvarighet till de regler om förteckningsskyldighet som nu finns i 7 a & datalagen. Straffbe- stämmelserna bör jämkas i enlighet med detta. I fråga om utform- ningen av straffbestämmelserna i övrigt hänvisas till specialmotivering- en i anslutning till 47 &.
Utformningen av straffbestämmelserna torde tillgodose de krav som ställs upp i artikel 25 i förslaget till EG-direktiv.
19.2 Skadestånd
19.2.1 Gällande rätt
Om en registrerad tillfogas skada genom att ett personregister innehåller oriktig eller missvisande uppgift om honom, skall den registeransvarige enligt 23 5 första stycket datalagen ersätta skadan. Regeln korresponderar med regeln om rättelse av oriktiga och missvisande uppgifter i 8 & datalagen. Den omständigheten att den registeransvarige uppfyllt sin rättelseskyldighet enligt den paragrafen behöver inte innebära att han befrias från sin skadeståndsskyldighet.
SOU 1993: 10 329
Skadeståndsregeln i 23 5 första stycket innebär att skadestånds- skyldighet föreligger även om den skadeståndsansvarige inte har orsakat skadan avsiktligt eller genom vårdslöshet, dvs. s.k. strikt skadeståndsansvar. Detta innebär bl.a. att även för det fallet att en viss felaktighet i ett personregister inte har sin grund i ett agerande från den registeransvariges sida utan härstammar från ett annat håll, t.ex. från ett annat personregister, den registeransvarige bär ansvaret gentemot den registrerade. Den registeransvarige kan dock i vissa fall enligt allmänna skadeståndsrättsliga regler ha rätt att regressvis återkräva det skadeståndsbelopp han betalat ut.
En regel om skadestånd vid brott finns intagen i 23 å andra stycket datalagen. Där stadgas att om någon tillfogas skada genom brott som avses i 205 första stycket datalagen (brott mot Datainspektionens villkor och vissa allmänna registerbestämmelser) eller 21 & datalagen (dataintrång), skall den som gjort sig skyldig till brottet ersätta skadan.
Vid bedömande om och i vad mån skada har uppstått skall man enligt 23 & tredje stycket datalagen ta hänsyn även till lidande och andra omständigheter av annan än rent ekonomisk betydelse, dvs. ersättning kan utgå även för s.k. ideell skada.
Av allmänna skadeståndsrättsliga regler följer bl.a. att skadestånd enligt 23 5 första och andra stycket datalagen kan utgå för personska— da, sakskada och ren förmögenhetsskada. Enligt 23 & tredje stycket kan alltså även skadestånd utgå för ideell skada utan samband med personskada.
Att skadestånd i ett visst fall skall utgå enligt paragrafens andra stycke behöver inte utesluta att skadestånd kan utgå även enligt första stycket för samma förfarande. Som exempel nämns i förarbetena (prop. 1986/87:116 s. 22) att en registeransvarig registrerar en personuppgift, som dels är oriktig eller missvisande och dels inte får registreras enligt vad Datainspektionen bestämt för registret. Att uppgiften är oriktig eller missvisande kan grunda skadeståndsskyldighet enligt 23 5 första stycket datalagen. Brottet mot Datainspektionens villkor faller under straffbestämmelsen i 20 5 första stycket datalagen och kan grunda skadeståndsskyldighet enligt 23 å andra stycket. I bägge fallen kan ersättning utgå även för ideell skada enligt tredje stycket.
När skada uppstår till följd av oriktighet i myndighets register kan det vara fråga om sådan skada vid myndighetsutövning som avses i 3 kap. 2 & skadeståndslagen. Även om Skadeståndsregeln i datalagen innebär att skadeståndsskyldigheten regleras särskilt på förevarande område bör enligt förarbetena till datalagen (prop. 1973:33 s. 149) vissa regler i skadeståndslagen kunna vara tillämpliga, t.ex. be- stämmelsen i 6 kap. l 5 om jämkning av skadestånd på grund av vållande på den skadelidandes sida. Den utvidgning av det straffrättsli- ga tjänsteansvaret för offentligt anställda som trädde i kraft den 1 oktober 1989 innebar inga ändringar av bestämmelserna om det
330 SOU 1993:10
allmännas ansvar enligt skadeståndslagen (prop. 1988/891113; JuU24, rskr. 312, SFS 1989:608). Däremot upphörde genom en lagändring vissa bestämmelser i skadeståndslagen (3 kap 3 - 5 55) om särskilda begränsningar i det allmännas skadeståndsansvar att gälla den 1 januari 1990 (prop. 1989/90:42, LUlO, rskr. 50, SFS 1989:926).
Enligt 9 & lagen om inskrivningsregister (1973z98) har staten strikt ansvar för skador som orsakats av tekniska fel. Regeln stadgar att be- stämmelsen i 19 kap. 19 & jordabalken om ersättning för förlust till följd av fel eller försummelse äger motsvarande tillämpning på förlust som orsakats av tekniska fel i registret eller i anordning som anslutits till detta hos vissa statliga och kommunala myndigheter. I 19 kap. 5 & fastighetsbildningslagen (1970z988) finns en liknande skadeståndsregel för skador som orsakats av tekniska fel i fastighetsregistret och i vissa till registret anslutna terminaler.
Liknande skadeståndsregler finns dels i 370 & sjölagen (1891 :35) för skada som orsakats av tekniska fel i skepps- eller skeppsbyggnadsregi- stret vid användning av ADB eller i anordning som hos registermyn- digheten eller annan statlig myndighet är ansluten till registret, dels i 5 kap. 1 åföretagshypotekslagen (1984:649) för skada som någon lider till följd av tekniskt fel i företagsinteckningsregistret eller i någon anordning som hos inskrivningsmyndigheten eller annan statlig myndighet är ansluten till registret.
Även i aktiekontolagen (19891827) finns i 7 kap. 2 5 en bestämmel- se om rent strikt skadeståndsansvar som direkt riktar sig mot ADB- baserad verksamhet. Regeln innebär att om någon tillfogas skada till följd av oriktig eller missvisande uppgift i ett avstämningsregister eller i annat fall genom fel i samband med uppläggning eller förande av ett sådant register, denne har rätt till ersättning av värdepapperscentralen (VPC). VPC har dock viss möjlighet att exkulpera sig.
En annan lag som bör nämnas i detta sammanhang är inkassolagen (19741182). Enligt 18 å inkassolagen skall den som bedriver in- kassoverksamhet och förorsakar skada genom otillbörlig påtryckning eller annan otillbörlig inkassoåtgärd ersätta denna. Om ett inkassoregis- ter förs med hjälp av ADB är Skadeståndsregeln i datalagen tillämplig.
En skadeståndsregel finns också intagen i 21 & kreditupplysnings- lagen (1973: 1173). Enligt denna skall den som bedriver kreditupplys- ningsverksamhet ersätta skada som till följd av verksamheten tillfogas någon genom intrång i hans personliga integritet. Vidare uppkommer skadeståndsskyldighet om oriktig uppgift lämnas, om inte den som bedriver verksamheten kan visa att tillbörlig omsorg och varsamhet iakttagits. Vad som skall ersättas är både ideell och ren förmögenhets— skada. I de fall ett kreditupplysningsregister förs med hjälp av ADB blir dock även Skadeståndsregeln i datalagen tillämplig (jfr prop. 1973:155 5. 122).
SOU 1993:10 331
19.2.2 Praxis
De praktiska erfarenheterna av datalagens skadeståndsregel är mycket begränsade beroende på att antalet skadeståndsärenden varit litet. Det alldeles övervägande antalet av dessa har gällt anspråk mot staten. De har slutligt reglerats av Justitiekanslern (JK) som i de fall skadestånd över huvud taget medgetts har bestämt dessa till förhållandevis låga belopp.
Vid remissbehandlingen av DALKs delbetänkande (SOU 1978z54) Personregister — Datorer- Integritet hänvisade JK i sitt yttrande till att han reglerat ett trettiotal skadeståndsärenden i vilka han hade tillämpat 23 & datalagen. Åtskilliga av anspråken hade avsett ringa belopp,i några fall endast ersättning för portokostnader (se prop. 1978/79:109 s. 199).
För att få en bild av hur omfattande skaderegleringen var hos JK samt av ärendetypen vad gällde registeransvariga, typen av fel, ersättningsbelopp m.m. granskade DALK härefter beslut hos JK som rörde skadestånd enligt datalagen för åren 1978 — 1980. Resultatet av undersökningen redovisades i en är 1981 upprättad PM. Av denna framgår att JK under år 1978 beslutade om ersättning i elva fall, under år 1979 i 18 fall och under år 1980 i sex fall. Nästan alla ärenden gällde fel i bilregistret eller parkeringsanmärkningsregistret och medförde skadeståndsskyldighet för Trafiksäkerhetsverket eller berörd länsstyrelse. Ett fall gällde fel i en länsstyrelses skatteregister och ett annat fall fel i register hos en försäkringskassa. Lägsta ersättnings- belopp som beslutats var 2 kr 10 öre och högsta belopp 2 200 kr. Av ärendena rörde 24 belopp som understeg 100 kr, och 13 av fallen gällde 20 kr eller mindre. Näst högsta belopp var 361 kr. De flesta fallen rörde fel i parkeringsanmärkningsregistret beroende t.ex. på att undanröjda beslut inte registrerades, förväxling av bilar hade skett eller att för hög parkeringsavgift registrerats. Vad som ersatts var telefon- och portokostnader för att få rättelse. Vidare hade ersättning för besvär och tidsspillan utgetts samt ersättning för ränteförlust genom att återbetalning av felaktiga parkeringsavgifter fördröjts. Även när det gällde fel i bilregistret hade skadestånd utbetalats för rättelsekostnad och som ersättning för tidsspillan. I några fall hade det gällt ersättning för onödig besiktning, något som varit en följd av felaktiga uppgifter. I ett fall hade en bil åsatts fel årsmodell. Köparen ansågs på grund härav ha gett ett för högt pris för bilen när han köpte den begagnad och tillerkändes ersättning med 2 100 kr för att kompensera detta, förutom ersättning för resor och telefonsamtal med 100 kr. De fel— registreringar som medfört skadeståndsskyldighet hade ofta varit mer inriktade på objekt - t.ex. bilen - än personer och ibland gällt detaljuppgifter om objekten som t.ex. felaktiga chassi—nummer och dylikt. I en del fall hade ersättning yrkats för ideell skada i form av
332 SOU 1993:10
psykiskt lidande. De fall som ersatts hade dock uteslutande gällt ekonomisk skada.
I DOK:s delbetänkande (SOU l986:24) Rättelse och skadestånd Patientuppgifter i personregister refereras ytterligare några exempel på skadeståndsärenden hos J K under åren 1984 och 1985 (s. 42 f). De var följande.
En oriktig adressuppgift i folkbokföringsregistret hade spritt sig till bl.a. Riksförsäkringsverkets sjukförsäkringsregister och medfört försenad utbetalning av bidragsförskott. Felet hade uppkommit enom att två personer med samma namn hade förväxlats se an pastorsämbetet aviserat om adressändring för den ene. Den drabbade mannen begärde ersättning av staten med 12 000 kr, varav huvuddelen för eget arbete och för lidande. Utredningen visade endast att mannens post i vissa fall hade blivit försenad. Han ansågs varken berättigad till ersättning för psykiskt lidande eller för eget arbete. Däremot utbetalades 25 kr, för ränteförlust, portokostnader, brevpapper m.m.
Sedan länsstyrelsen fått underrättelse om att en utomlands bosatt man hade ändrat namn sände Trafiksäkerhetsverket ut ett nytt körkortsunderlag å vilket en bokstav i mannens namn var fel. På den avi som ade sänts ut fanns anvisningar om vad körkortshavaren skall göra om uppgifterna inte är riktiga. I stället för att iaktta denna rutin försökte mannen nå Trafiksäkerhetsver— ket er telefon och lade enligt egen uppgift ut 1 100 kr på de resu tatlösa försöken att få kontakt med Trafiksäkerhetsverket. Han ansågs inte berättigad till skadestånd.
Två makar begärde ersättning med 2 500 kr vardera, för lidande, obehag och kostnader i samband med att en kronofo - demyndighet vid två olika tillfällen anmanat dem att betaåa kvarstående skatt trots att anstånd hade beviljats. Utredningen visade att det första kravet som riktats till båda makarna hade skrivits ut två dagar innan skattemyndigheten hade beslutat om anstånd. Det andra kravet, som enbart riktats mot mannen, hade däremot orsakats av ett fel hos kronofogdemyndigheten. Ersätt- ning utbetalades till mannen med 500 kr för visst obehag och en del extra arbete.
En man begärde ersättning med 50 000 kr för psykiskt lidande som han angav hade förorsakats av att han fått kontrolluppgift avseende annan persons inkomster från en taxeringsmyndighet. Utredningen visade att Tekniska Hö skolan i Stockholm var arbetsgivare till en gästforskare som sa ade personnummer. För denne hade högskolan tillskapat en identitetsbeteckning som var densamma som klagandens personnummer och som angavs på kontrolluppgiften. Sedan kla anden besökt lokala skattemyndig- heten rättades felet efter ett åtal dagar. Ersättningen bestämdes av JK till 500 kr för psykiskt lidande.
Mannen i det sist refererade ärendet väckte sedermera talan vid Stockholms tingsrätt och yrkade att staten skulle förpliktas att till honom utge ytterligare 49 500 kr jämte ränta. 1 dom i maj 1987 tillerkändes mannen 9 500 kr jämte ränta. Staten överklagade domen till Svea hovrätt som i januari 1990 fastställde tingsrättens domslut. En
SOU 1993: 10 333
av hovrättens ledamöter var skiljaktig och ville utdöma hela det yrkade beloppet.
Utredningen har gått igenom och granskat beslut hos JK som rör skadestånd enligt datalagen för åren 1985 - 1991. Härvid kan konstate- ras att någon större förändring av skaderegleringen mot vad som redovisades av DALK och DOK inte skett. Antalet sådana ärenden är i stort oförändrat i förhållande till tidigare år och uppgår till ca 10 per år. Registeransvariga och typen av fel är i stort sett de samma som under tidigare år. En stort antal av ärendena har gällt fel i bil—, körkorts-, eller parkeringsanmärkningsregistret och medfört skades— tåndsskyldighet för Trafiksäkerhetsverket eller länsstyrelse. De ersättningsbelopp som tillerkänns för ideell skada varierar från några hundratals kronor till 10 000 kr som utgick i ett ärende (se nedan). En utveckling mot en något höjd skadeståndsnivå kan dock skönjas under de allra senaste åren.
Som exempel på några avgöranden av JK under perioden kan nämnas:
En man registrerades i både kriminal- och rikspolisregistret som skyldig till två rattfylleribrott när det rätteligen bara var ett. JK tillerkände mannen ersättning för lidande med 2 000 kr (Beslut 1986—01-23).
En länsstyrelses folkbokföringsregister innehöll under två månader en oriktig uppgift om att en man hade avlidit ett visst datum istället för, som var fallet, att han hade erhållit äktenskaps— skillnad detta datum. Den oriktiga uppgiften ledde till att mannen erhöll ett brev adresserat till sitt eget dödsbo. Mannen till- erkändes ersättning för lidande med 500 kr (Beslut 1986—03-07).
En kvinna begärde ersättning för kostnader och lidande som åsamkats henne på grund av att Riksskatteverket hade ändrat ett personnummer som hon av misstag tidigare hade tilldelats. Andringen av personnumret hade bl.a. föranlett henne att ta kontakt med ett tiotal olika myndigheter, banker m.m. för att underrätta dessa om personnummerändringen. Vidare hade löneutbetalningarna vid två tillfällen fördröjts. Kvinnan till- erkändes ersättning med totalt 500 kr (Beslut 1986—03-11).
Genom att två personnummer hade sammanblandats kom det centrala skatteregistret att innehålla en oriktig inkomstup gift. Den oriktiga uppgiften medförde att en man under två år fic för- frå ningar från taxeringsnämnden om en inkomst som han inte ha e haft. Ersättning tillerkändes med 1 000 kr (Beslut 1986-03— 13).
En man erhöll en oriktig betalningsanmaning från kronofog- demyndigheten på grund av en felaktig registrering om restförd skatt. Mannen tillerkändes ersättning med 1 000 kr (Beslut 1986- 03-21).
En felaktig uppgift i aktiebolagsregistret om att en man var styrelseledamot ledde till att denne upprepade gånger söktes för delgivning och även kallades till kronofogdemyndigheten. JK tillerkände mannen ersättning för lidande med 2 500 kr (Beslut 1987-09-03).
Två makar fick en lägre inkomst vid föräldraledighet än de skulle ha haft, detta som en följd av oriktiga uppgifter i ett
334 SOU 1993:10
sjukförsäkringsregister. Ena maken tillerkändes ersättning för utebliven arbetsförtjänst och lidande. Ersättningen för lidande bestämdes till 500 kr (Beslut 1987-09-16).
Som en följd av falsk tillvitelse kom person- och belastnings- registret att innehålla oriktiga uppgifter beträffande en kvinna om misstanke om rattfylleri, stöld och bedrägeri. I vart fall uppgiften om misstanke om rattfylleri hade funnits registrerad i mer än två år. Vidare kom ett föreläggande av ordningsbot att felaktigt registreras i registret över brott av betydelse i körkortssamman- han . Den uppgiften hade funnits i registret i minst tre år. Un errättelse om ordningsboten hade lämnats till körkorts- registret. Då ordningsboten inte hade betalts hade anteckning även skett i utsökningsregistret. Ersättning för lidande bestämdes till 5 000 kr. (Beslut 1987-10-27).
En man begärde ersättning för att han nödgats fullgöra en krigsförbandsövnin under tolv dagar trots att han inte varit skyldig till detta e igt värnpliktslagen. Ersättning begärdes med 1 781 kr för förlorad arbetsförtjänst och med 12 000 kr för frihetsberövande dygnetrunttjänstgöring i fält. Utredningen visade att inkallelsen var oriktig. Eftersom det register som utgjorde underlaget för inkallelsen var ett personregister prövades begäran om ersättning enligt datalagen. JK uttalade i sitt beslut i februari 1988 att 23 5 datalagen fick anses täcka även det fall där det saknades en personuppgift, vilken borde ha tillförts registret med hänsyn till ändamålet med detta. Mannen ansågs därför berättigad till ersättning för den skada som orsakats honom genom att registret varit ofullständigt då en av fem genomförda krigsför- bandsövnin ar inte blivit re istrerad. Mannen erhöll begärd ersättning fgör förlorad arbets örtjänst. Ersättningen för lidande bestämdes till 3 000 kr (Beslut 1988-02-23).
En kvinna begärde skadestånd med bl.a. 50 000 kr för lidande på grund av att Socialstyrelsens register över sluten psykiatrisk vård innehållit en oriktig uppgift om att hon lidit av schizofreni. Utredningen visade att uppgiften i registret varit felaktig och att kvinnan därför var berättigad till ersättning. JK bestämde i ett beslut i september 1988 ersättningen för lidande till 7 500 kr. I sitt beslut anförde JK att den omständigheten att personupp- gifterna varit mycket integritetskänsliga och funnits i registret under förhållandevis lång tid samt att obehaget kunde sägas ha förstärkts av att de oriktiga uppgifterna hade kvarstått viss tid i registret även sedan deras felaktighet påtalats, var omständigheter som gjorde att ersättningen för lidande borde bestämmas till ett jämförelsevis högt belopp. A andra sidan menade JK att det i sammanhanget också måste vägas in att inget framkommit som tytt på att personuppgifterna obehörigen röjts eller spritts till andra register (Beslut 1988-09-02).
I ett senare ärende som också gällde en felaktig uppgift i Socialstyrelsens register över sluten psykiatrisk vård, begärde en man skadestånd med 50 000 kr för psykiskt lidande. Ersättningen för lidande bestämdes av JK till 5 000 kr (Beslut 1989-09-25).
Ett av Riksförsäkringsverket fört personregister innehöll en oriktig uppgift om det skatteavdrag som skulle göras vid utbe- talning av ersättning från försäkringskassan. Uppgiften medförde att avdrag för reliminär skatt skedde med för litet belopp, vilket ledde till att en registrerade senare påfördes kvarstående skatt och kvarskatteavgift. Ersättning tillerkändes för den merkostnad
SOU 1993: 10 335
som kvarskatteavgiften medförde samt för lidande och obehag med 2 000 kr (Beslut 1989-01-04).
På grund av en förväxling av en gäldenärs förnamn och efternamn kom en man att felaktigt registreras som gäldenär i utsökningsregistret. Den felaktiga registreringen ledde till att han från kronofogdemyndigheten erhöll underrättelse om utsöknings- mål och utmätningsförrättning. Ersättningen för lidande bestäm- des till 3 000 kr (Beslut 1989-02-08).
En man som på grund av namnförväxling felaktigt kom att registreras som styrelseledamot i aktiebolagsregistret tillerkändes förutom viss ersättning för kostnader även 500 kr för lidande (Beslut 1989-04—21).
I samband med sin makes dödsfallregistrering hade en kvinna blivit registrerad i det regionala folkbokföringsregistret som avliden i stället för som änka. JK fann att felaktigheten hade avsett ett i högsta grad integritetskänsligt område och hade - trots att åtgärder för rättelse snabbt hade vidtagits - lett till ett avsevärt lidande. Ersättning för lidande bestämdes till 10 000 kr (Beslut 1990-02-13).
På grund av en förväxling av personnummer kom oriktiga uppgifter om en man att registreras i ett försäkringskasseregister. Detta medförde att ett intyg om "sjukförsäkringstillhörighet i Sverige " kom att innehålla personuppgifter om mannen samt om en främmande kvinna och hennes barn såsom familjemedlemmar. Detta medförde diskussion mellan mannen och hans hustru. Mannen begärde bl.a. ersättnin med 500 kr för lidande. JK tillerkände honom det yrkade befoppet (Beslut 1990-06—05).
På grund av oriktiga uppgifter i bilregistret tvingades en bilägare i onödan inställa sitt fordon till en registreringsbe- siktning. Bilägaren tillerkändes ersättning för de merkostnader som därigenom uppstått. Bilägarens yrkande om ersättning för ideell skada lämnades utan bifall (Beslut 1991-05-08).
På grund av en personförväxling kom en kvinna som var bosatt i Gustavsberg att felaktigt kyrkobokföras i Sveg. Detta medförde att en felaktig uppgift registrerades i det regionala folkbok— föringsregistret. Folkbokföringsregistret används för uppdatering av andra myndighetsregister, t.ex. skatteförvaltningens centrala och regionala skatteregister, kommunala register och register hos försäkringskassan. Aven dessa register kom därför att innehålla oriktiga adressuppgifter. Kvinnan begärde skadestånd med 10 000 kr avseende ersättning för att hennes personnummer använts felaktigt och för det extraarbete hon haft för att tillrättalägga och utreda felet hos olika myndigheter, telefonkostnader samt person- ligt lidande. Ersättningen för besvär, kostnader och lidande bestämdes av JK till totalt 5 000 kr (Beslut 1991-06-14).
På grund av personalbrist hos en länsstyrelse kom ett beslut om återkallelse av körkort att registreras i det centrala körkorts— registret först efter utgången av beslutets giltighetstid. Detta medförde att körkortsinnehavaren inte i rätt tid fick tillbaka sitt körkort och därigenom gick miste om arbetsförtjänst. Körkort- sinnehavaren tillerkändes yrkad ersättning för den förlorade arbetsförtjänsten. Något yrkande om ideellt skadestånd fram- ställdes inte (Beslut 1991—08-06).
En värnpliktig tillerkändes ersättning för den inkomstförlust han hade åsamkats på grund att han blev inkallad tre månader för tidigt. Den felaktiga inkallelsen berodde å en felaktig uppgift om honom i ett dataregister (Beslut 1991—O -28).
336 SOU 1993:10
Av de tingsrätter som svarat på utredningens förfrågan om de under åren 1985 - 1991 handlagt datalagsmål har endast en tingsrätt, Stockholms tingsrätt, uppgett att den handlagt mål som gällde skadeståndsskyldighet enligt 23 % datalagen. Stockholms tingsrätt uppgav att den handlagt två sådana mål.
I det ena av dessa mål fastställde tingsrätten i en mellandom år 1989 att vissa av Upplysningscentralen UC Aktiebolag (UC) registrerade betalningsanrnärkningar inte var skadeståndsgrundande. Kärandena, som vitsordade att innehållet i de registrerade uppgifterna varit korrekt, gjorde bl.a. gällande att uppgifterna varit oriktiga på det sätt som avsågs i 23 & datalagen i dess lydelse före den 1 april 1988. (Skadeståndsskyldigheten enligt datalagen omfattade då inte skada som vållats genom att ett personregister innehöll missvisande personupp- gift.) Tingsrätten fann att uttrycket "oriktig" borde förstås så att uppgiften inte är korrekt och ansåg att lydelsen av 23 & datalagen före den 1 april 1988 och det faktum att en ändring ansågs påkallad inte gav utrymme för att ålägga UC skadeståndsansvar för uppgift som inte är oriktig.
I det andra målet väckte en man år 1989 talan vid tingsrätten och yrkade att Stockholms läns landsting skulle förpliktas att till honom utge skadestånd med 25 700 kr jämte ränta. Av det yrkade beloppet avsåg 25 000 kr ersättning för psykiskt lidande och 700 kr kostnaden för självrisk för byte av en lägenhetsdörr. Bakgrunden var att någon - för parterna okänd person -sedan hösten 1984 vid flera tillfällen hade använt en patientbricka med kärandens namn, personnummer och adress. Denne okände person hade bl.a. använt sig av denna patient- bricka då han hade behandlats för en infektionssjukdom. Då denne person inte återkom till infektionskliniken efter en permission begärde sjukhuset hjälp av polisen för att hämta honom i bostaden. Polisen tog sig också in i kärandens bostad. De gjorde detta genom att bl.a. bryta upp lägenhetsdörren. Vid tidpunkten för sjukhusets begäran om biträde från polisen fanns personuppgifter i ett dataregister och i en manuellt förd journal. Käranden gjorde gällande att hans personliga integritet bl.a. hade kränkts genom det felaktiga polisingripandet i hans bostad och genom att han utpekats som en allvarligt sjuk person. Landstinget, som bestred käromålet, gjorde gällande att några felaktiga uppgifter inte hade tagits in i registret eftersom uppgifterna var korrekta såvitt avsåg den okände man som hade varit intagen på infektionskliniken. Tingsrätten fann att det förekommit sådana oriktiga uppgifter i ett personregister för vilken ersättningsskyldighet enligt 23 & datalagen förelåg. Då enligt tingsrättens mening polisingripandet mot kärandens bostad skulle ha skett även om uppgifter om käranden endast funnits i den manuellt förda journalen ansågs denne inte vara berättigad till ersättning för skada som han kunde ha lidit till följd av polisingripan- det. Tingsrätten fann dock klarlagt att käranden lidit ideell skada dels genom den integritetskränkning som det hade inneburit att uppgifterna
SOU 1993: 10 337
i registret hade utpekat honom som en sjuk person, dels genom den risk som funnits för att han skulle ha kunnat utsättas för felbehandling om han hade tagits in på sjukhus. Käranden tillerkändes ersättning med 10 000 kr jämte ränta. Domen meddelades i juni 1990.
1923 Tidigare utredningsarbete
Offentlighets- och sekretesslagstiftningskommittén (OSK) ansåg i sitt betänkande (SOU 1972:47) Data och integritet att den dåvarande skadeståndslagens bestämmelser inte var tillräckliga för att reglera den registrerades rätt till skadestånd vid fel i personregister som förs med hjälp av ADB. OSK föreslog därför att särskilda regler skulle gälla när registrerad hade utsatts för en skada genom att felaktiga uppgifter hade lämnats ut. OSK diskuterade även en obligatorisk försäkringsskyldighet för de registeransvariga men tanken på en sådan skyldighet till- bakavisades (s. 92 f).
Vid remissbehandlingen av OSK:s förslag (se prop. 1973:33 s. 146 ff) föreslogs en särskild regel om ideellt skadestånd vid vissa straffbe- lagda handlingar, främst utlämnande av uppgift. Från flera håll ansågs emellertid att den föreslagna skadeståndsskyldigheten var alltför långtgående. Ett annat alternativ som fördes fram var att begränsa rätten till skadestånd till de fall där oriktigheten medfört kränkning av den registrerades personliga integritet på ett väsentligt sätt. Några remissinstanser ansåg att endast sådana oriktigheter som var hänförliga till den registeransvariges egen handläggning skulle vara relevanta. Någon ville ha en uttrycklig reglering av det inbördes ansvaret mellan den registeransvarige och den från vilken felaktig uppgift har lämnats ut.
I den proposition (prop. 1973:33) som följde på OSK:s betänkande ansåg departementschefen att behovet av skadeståndsregler på datatek— nikens område i stor utsträckning täcktes genom bestämmelserna i skadeståndslagen. Han menade dock liksom OSK att det för vissa fall fanns skäl att införa regler om skadestånd som gick längre än skadeståndslagens bestämmelser för de fall då skada uppstått till följd av att personregister innehållit oriktig uppgift. Som motiv för att införa ett strikt skadeståndsansvar för dessa fall anfördes bl.a. att skadeverk— ningarna av en oriktig registeruppgift kan bli betydande genom den stora spridning av en uppgift som datatekniken möjliggör och den särskilda tilltro som datauppgifter i många fall åtnjuter. Som ett ytterligare motiv anfördes att faktiska fel kan uppkomma i ett dataregister genom missöden som inte kan läggas någon till last som vållande. Departementschefen tyckte att vissa skäl talade för att utsträcka rätten till ersättning för ideell skada även till fall då brottslig handling har begåtts med avseende på datalagrat material utan att någon personuppgift har fått ett oriktigt innehåll. Som exempel nämndes fall där någon stulit uppgift som i och för sig är riktig eller
338 SOU 1993:10
upprättat personregister utan tillstånd. Någon särskild bestämmelse för sådana fall föreslogs emellertid inte i propositionen. Föredragande departementschefen ansåg att skadeståndsansvaret gentemot den enskilde borde åvila den som sist haft hand om uppgiften, dvs. den registeransvarige som lämnat ut den oriktiga uppgiften eller på annat sätt orsakat skadan. En sådan registeransvarig kunde enligt före- draganden i vissa fall ha rätt att regressvis återkräva utgiven ersättning av annan (prop. s. 148 f).
Sålunda intogs en skadeståndsregel i datalagen som i stort över- ensstämde med den OSK föreslagit. Denna innebar strikt ansvar för den registeransvarige för skada som tillfogats registrerad genom att personregister innehåller oriktig uppgift om honom. Även ideellt skadestånd kunde utgå. Skadeståndsskyldighet förelåg även om den oriktiga uppgiften inte var hänförlig till den registeransvariges egen verksamhet.
I sitt betänkande (SOU 1978254) Personregister - Datorer — Integritet berörde DALK att kritik hade riktats mot skadeståndsregeln i datala— gen. Enligt Datainspektionen hade ifrågasatts om det var lämpligt att införa en så vittgående skadeståndsregel som samtidigt enligt kritiken var inkonsekvent då den inte täckte alla situationer där otillbörligt intrång kunde tänkas uppkomma. DALK fann att skadeståndsregeln ännu inte hade tillämpats och att praktisk erfarenhet av regeln saknades. Enligt DALK:s mening fanns inte tillräckliga skäl att förorda någon ändring av den gällande skadeståndsregeln (s. 281).
I propositionen 1978/791109 med förslag till ändring i datalagen fann departementschefen att skadeståndsreglerna borde ses över. En mera inträngande undersökning borde enligt departementschefen göras i samband med utredningen av en generell lagstiftning om person- register.
Data- och offentlighetskommittén (DOK) föreslog i sitt första delbe- tänkande (SOU 1986:24) Rättelse och skadestånd Patientuppgifter i personregister bl.a. att den som hade begått brott enligt datalagen skulle bli skyldig att betala skadestånd även för s.k. ideell skada (23 å). Kommittén ansåg att det, med hänsyn till de möjligheter till ideellt skadestånd i samband med brott mot den personliga integriteten som numera tagits upp i skadeståndslagen, vore inkonsekvent om man inte vid behov kunde utkräva skadestånd för lidande som hade orsakats av brott mot datalagens bestämmelser. Med hänsyn till departements- chefens uttalande i datalagens förarbeten och den allmänna restriktivi- teten i svensk rätt när det gäller att medge ersättning för ideell skada fann Kommittén det mindre lämpligt att förlita sig till utvecklingen av praxis och föreslog ett tillägg i 1 kap 3 & skadeståndslagen som klart angav att ideellt skadestånd kan utgå i samband med brott mot datalagen (s. 46). DOK föreslog även vissa ändringar i datalagen in- nebärande utökad skyldighet för den registeransvarige att rätta felaktiga
SOU 1993: 10 339
uppgifter i ett personregister och skyldighet för denne att utse en eller flera kontaktpersoner.
DOK:s förslag ledde till vissa ändringar i datalagen som trädde i kraft den 1 april 1988 (prop. 1986/87:116, KU 1987/8815, rskr. 10, SFS 1987:990). Ändringarna innebar att den registeransvarige i ökad utsträckning blev skyldig att rätta felaktiga uppgifter i ett person- register. Rättelseskyldigheten utsträcktes till att i vissa fall även omfatta uppgift som är missvisande utan att vara oriktig. Den registeransvarige blev också skyldig att utse en eller flera kontakt— personer som skall bistå de registrerade vid misstanke om att en personuppgift är felaktig. Vad angår skadeståndsskyldigheten enligt datalagen utvidgades den till att avse skada som vållats genom att ett personregister innehåller missvisande personuppgift. I 23 & infördes nuvarande andra stycke som inte var avsett att innebära någon ändring i sak utöver vad som redan gällde enligt skadeståndslagen (jfr prop. 1986/87:116 s. 21 f). Vidare infördes i datalagen en särskild föreskrift om att även ersättning för ideell skada kan utdömas. Som skäl för att en sådan regel fördes in i datalagen och inte, som DOK föreslagit, i skadeståndslagen angavs att skadeståndslagen i första hand borde reserveras för regler av mera allmän räckvidd och att regler som endast berör ett speciellt område bör tas in i den särskilda lagstiftning som gäller för det området (prop. s. 19 f). I propositionen uttalade departementschefen även att de motiv som åberopades vid datalagens tillkomst till stöd för 23 & datalagen enligt hans mening alltjämt hade bärkraft (s. 17). Han yttrade vidare (5. 19):
Med hänsyn till de intressen som datalagen är avsedd att skydda torde det i första hand vara de registrerade som kan bli be- rättigade till ersättning för ideell skada vid brott som avses i nämnda lagrum. För att skadestånd skall ut å i ett konkret fall bör givetvis krävas att målsäganden har livit utsatt för en integritetskränkning som inte är obetydlig. En sådan integri- tetskränkning kan t.ex. bestå i att en integritetskänslig uppgift om målsä anden kommit __till obehörigas kännedom genom det brotts iga förfarandet. Aven en påtaglig risk för detta bör kunna beaktas. Ett integritetsintrång av detta slag torde kunna upp- komma t.ex. i vissa fall när ett register förs utan tillstånd (jfr 20 & första stycket 1 datalagen) eller när en personuppgift registreras, lämnas ut eller bevaras i strid med en bestämmelse i datalagen eller en föreskrift som meddelats av datainspektionen (jfr 20 5 första stycket 2 — 4). Motsvarande torde kunna bli fallet gm änågon olovligen bereder sig tillgång till en personuppgift (jfr 1 ).
Ersättning för ideell skada bör också kunna utgå när den registrerade genom det brottsliga förfarandet blir utsatt för en påtaglig risk för att bli föremål för felaktiga ingripanden från myndigheter eller för att inte kunna tillvarata sina lagliga rättig— heter i ett visst avseende. Ett sådant integritetsintrån torde kunna uppkomma t.ex. i vissa fall då någon olovligen än rar, utplånar eller för in en personuppgift i ett register (jfr 21 & datalagen). Skadestånd bör också kunna utgå om en registrerad blir ur stånd
340 SOU 1993: 10
att tillvarata sin rätt i en angelägenhet på grund av att en registe- ransvarig har lämnat osann uppgift vid fullgörande av sin skyldig- het att lämna en underrättelse enligt 10 & (jfr 20 5 första stycket 5). Aven i vissa andra fall torde ett brott mot datalagen kunna ge upphov till ett integritetsintrång som berättigar till ersättning för ideell skada. Särskilt gäller detta vid 5. k. wire- tapping som avses med den år 1986 utvidgade gärningsbeskrivningen i fråga om dataintrån och som ligger brytande av telehemlighet nära (prop. 1985/86: 5 s. 30 ff).
Det får ankomma på rättstillämpningen att bedöma u p— kommande skadeståndsfall mot bakgrund av allmänna ska es- tåndsrättsliga principer och de intressen som datalagen skall skydda.
19.2.4 Internationella överenskommelser
Enligt artikel 10 i Europarådets dataskyddskonvention skall den nationella lagen innehålla lämpliga sanktioner och rättsmedel. I kommentaren till artikeln sägs att det ankommer på varje enskild stat att bestämma karaktären av dessa sanktioner och rättsmedel, dvs. huruvida dessa skall vara av civilrättslig, administrativ eller straff- rättslig karaktär.
Medlemsländerna skall enligt punkt 19 i OECD:s riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna bl.a. särskilt sträva efter att införa lämpliga sanktioner och rättsmedel.
Förslaget till EG—direktiv innehåller en bestämmelse om den enskildes rätt till skadestånd (art. 23). Bestämmelsen ålägger med- lemsstaterna att föreskriva att en person vars personuppgifter behandlas och som lider skada till följd av en olaglig behandling eller annat handlande i strid mot de nationella bestämmelser som har antagits i enlighet med direktivet skall vara berättigad till ersättning av den persondataansvarige.
Direktivförslaget möjliggör för medlemsstaterna att föreskriva att den persondataansvarige skall kunna undgå ersättningsskyldighet, helt eller delvis, för skada till följd av förlust eller förstörelse av uppgifter eller på grund av obehörig tillgång om den persondataansvarige visar att han vidtagit lämpliga åtgärder för att uppfylla de krav som direktivförslaget uppställer i fråga om datasäkerhet (art. 17) och behandling som för den persondataansvariges räkning utförs av annan (art. 24).
19.25 Utredningens tidigare ställningstaganden
De skadeståndsregler som finns i den nuvarande datalagen bör kunna föras in även i en framtida datalag. Ersättning bör alltså också framdeles utgå om någon tillfogas skada genom att en persondata— mängd innehåller oriktig eller missvisande uppgift om honom eller henne.
SOU 1993:10 341
Med hänsyn till den lösning som utredningen förordar beträffande vem som skall bära ansvaret för personuppgifter som förs med ADB (se avsnitt 12) bör skadeståndsansvaret även i framtiden vara strikt till sin natur, dvs. gälla oberoende av vårdslöshet. En bestämmelse om skadestånd vid brott mot datalagens regler bör också ingå i en framtida datalag.
Liksom i dag bör ersättning även kunna utgå för s.k. ideell skada. Med hänsyn till den skärpta syn på straffnivån som utredningen redovisat bör en höjning av skadeståndsbeloppen i dessa fall också ske. Enligt utredningens mening bör skadeståndets storlek vid det slag av integritetskränkning som kommer i fråga vid brott mot datalagen i vissa fall kunna jämställas med de belopp som utdöms för annan kränkning av personlig integritet, exempelvis i fall av fysiskt övervåld. Utredningen tänker t.ex. på det tidigare (avsnitt 19.2.2) redovisade ärendet som avsåg felaktig uppgift i Socialstyrelsens register över sluten psykiatrisk vård. Det innebär att ersättningsbeloppen i järn- förelse med Justitiekanslerns nuvarande praxis i dessa fall bör höjas väsentligt.
19 . 2 . 6 Remissutfallet
Praktiskt taget alla remissinstanser som har berört frågan har anslutit sig till utredningens förslag om skadeståndsskyldighet. Till dessa hör Datainspektionen, Juridiska fakultetsstyrelsens forskningsnämnd vid Lunds universitet, Tjänstemännens Centralorganisation, Lands- organisationen i Sverige samt Dataföreningen i Sverige. När det gäller frågan om en höjning av skadeståndsbeloppen anser Justitiekanslern att det kan vara motiverat att i anslutning till de senaste årens utveckling höja ersättningsbeloppen för de integritetsintrång som kan komma i fråga. Han ställer sig dock tveksam till utredningens bedömning att ersättningsbeloppen bör höjas "väsentligt". Hovrätten över Skåne och Blekinge ställer sig avvisande till en höjning av skadeståndsbeloppen och hänvisar till att den har avstyrkt förslaget om straffskärpning. Kritiska synpunkter framförs också av Swedish Direct Marketing Association som anser att utredningen lämnat en utvidgad och svårtillgänglig definition av begreppet personregister och att ut- redningens förslag skulle innebära att ett allt för stort ansvar över- flyttades på de för register ansvariga i samhället. En registeransvarig skulle kunna komma att stå skadeståndsansvarig utan att ens känna till att han är ansvarig för ett anmälningspliktigt register.
19.2.7 Överväganden
Utredningen har under det fortsatta utredningsarbetet inte funnit skäl att frångå de ställningstaganden i skadeståndsfrågorna som man tidigare har kommit fram till.
342 SOU 1993: 10
Skillnaderna i förhållande till gällande rätt (23 & datalagen) är endast att brottet dataintrång inte längre finns med i uppräkningen i paragra- fens andra stycke. Genom att detta brott enligt förslag från Datastraff— rättsutredningen avses bli överfört till brottsbalken har det inte ansetts motiverat att reglera frågan om skadestånd på grund av detta brott i datalagen. I stället blir bestämmelserna i skadeståndslagen att tillämpa. Någon ändring i sak i fråga om skadeståndsskyldighetens omfattning är inte avsedd. Frågan har behandlats av Datastraffrättsutredningen i dess betänkande (SOU 1992:110) Information och den nya informa- tionsteknologin - straff- och processrättsliga frågor m.m. Vidare har skadeståndsansvaret uttryckligen utvidgats till att avse skada inte bara när personuppgifter är oriktiga eller missvisande utan även när de är ofullständiga eller inaktuella. Utvidgningen är en konsekvens av regleringen i 22 och 23 åå förslaget till datalag.
Enligt förslaget till EG-direktiv skall varje handlande som strider mot de nationella bestämmelser som antagits i enlighet med direktivet kunna leda till skadestånd. De skadeståndsgrunder som tas upp i utredningens förslag (49 & första och andra styckena) är emellertid så omfattande att kraven i artikel 23 i direktivförslaget får anses till- godosedda.
19. 3 Överklagande
19. 3.1 Gällande rätt
Datainspektionens beslut kan f.n. överklagas enbart hos regeringen (25 5 första stycket datalagen). För överklagandet gäller förvaltnings- lagens (19861223) bestämmelser. Det innebär bl.a. att klagotiden är tre veckor från det klaganden fick del av beslutet och att enbart den som beslutet angår, om det har gått denne emot, har rätt att överklaga.
Enligt 25 5 första stycket datalagen har också Justitiekanslern rätt att överklaga Datainspektionens beslut för att ta tillvara allmänna intressen. '
19.3.2 Förslaget till EG—direktiv
Enligt artikel 22 i direktivförslaget skall enskilda ha rätt till dom— stolsprövning (judicial remedy) vid brott mot de rättigheter som tillförsäkras dem genom direktivet.
19.3.3 Utredningens tidigare ställningstaganden
I direktiven för utredningen har pekats på de krav på tillgång till doms- tolsprövning som den europeiska konventionen om skydd för de
SOU 1993: 10 343
mänskliga rättigheterna och de grundläggande friheterna (Europakon- ventionen) uppställer. Konventionens rättigheter gäller såväl fysiska som juridiska personer.
Enligt artikel 6 i konventionen föreskrivs att "envar skall, när det gäller att pröva hans civila rättigheter och skyldigheter...., vara berättigad till opartisk och offentlig rättegång inom skälig tid och inför en oavhängig och opartisk domstol som upprättats enligt lag." Den europeiska domstolen i Strasbourg har givit begreppet "civila rättig— heter och skyldigheter" en tämligen vid tolkning, enligt vilken begreppet anses omfatta inte bara vad som traditionellt brukar hänföras till civilrätten. Även viktigare offentligrättslig reglering av individens näringsfrihet och frihet i ekonomiskt hänseende räknas hit (en kortfattad redovisning av artikel 6 och praxis finns i Ds Ju l986z3). Utvecklingen på detta område har lett till att möjligheten till dom- stolsprövning rent generellt vidgats i Sverige genom att institutet rättsprövning införts.
Enligt lagen (1988:205) om rättsprövning av vissa förvaltnings— beslut, som är tidsbegränsad till utgången av år 1994, skall Regerings- rätten på ansökan av enskild part i ett sådant förvaltningsärende hos regeringen eller en förvaltningsmyndighet som rör något förhållande som avses i 8 kap. 2 eller 3 & regeringsformen pröva om avgörandet i ärendet strider mot någon rättsregel. Rättsprövning kan gälla endast sådana beslut som innebär myndighetsutövning mot den enskilde. Dessutom krävs att beslutet annars kan prövas av domstol endast efter ansökan om resning och inte skulle ha kunnat överprövas i annan ordning. Beslut av vissa nämnder är dock undantagna från rättspröv- ning, liksom beslut i vissa typer av ärenden.
Av förarbetena till lagen (prop. 1987/ 88 69) framgår att Regerings- rättens prövning skall omfatta inte bara lagtolkning utan också faktabedömning och bevisvärdering. Även kraven i 1 kap. 9 & regeringsformen om allas likhet inför lagen samt om saklighet och opartiskhet bör kunna prövas. Det är däremot inte avsett att rättspröv- ning skall kunna ske av politiska lämplighetsfrågor i egentlig mening.
De beslut av Datainspektionen som kan komma i fråga i ett framtida tillsynssystem är i huvudsak frågor huruvida personuppgifter av visst slag får förekomma i en viss datamängd eller om användningen av uppgifter skall begränsas till visst ändamål eller förbjudas. Vidare hör hit frågor om medgivande till utlandsöverföring, liksom förelägganden av olika slag riktade till den persondataansvarige för att tillgodose krav på rättelse eller komplettering av felaktiga eller ofullständiga uppgifter. Däremot faller frågan om straff och skadestånd utanför, eftersom dessa frågor avgörs av allmän domstol. Såväl den enskilde som den persondataansvarige kan ha anledning att vilja få ett beslut av Datain- spektionen överprövat.
344 SOU 1993:10
Normbeslut, dvs. Datainspektionens beslut att efter delegation normera vissa sektorer eller branscher, bör emellertid inte omfattas av fullföljdsreglerna.
Om integritetsskyddet enligt datalagen skulle vara hänförligt till en sådan rättighet som avses i artikel 6 Europakonventionen skulle således en domstolsprövning vara det enda möjliga alternativet till nuvarande ordning vid fullföljd från Datainspektionen. De rättigheter och skyldig- heter som enskilda har enligt datalagen saknar direkt motsvarighet i Europakonventionen. Det integritetsskydd som datalagen och rege- ringsformens 2 kap. 3 & ger uttryck för ligger emellertid nära den rätt till skydd för privat- och familjeliv, hem och korrespondens som konventionen innehåller (art. 8, jfr 1 kap. 2 & regeringsformen). Iden praxis som har utvecklats vid Europakommissionen vid dess till- ämpning av konventionen har också frågan om dataskydd ansetts falla inom ramen för rätten till skydd för privatlivet. Enligt artikel 13 i Europakonventionen skall den vars konventionsskyddade rättigheter kränkts ha rätt till ett effektivt rättsmedel inför inhemsk myndighet. Därmed anses dock inte ett krav på domstolsprövning föreligga, utan även administrativa rättsmedel kan vara tillräckliga för att uppfylla konventionens krav i denna del (jfr Danelius, Mänskliga rättigheter, 4 uppl., s. 134 ff). Eftersom integritetsskyddet inte heller direkt torde omfattas av bestämmelserna i artikel 6, förefaller således inte en övergång till domstolsprövning kunna motiveras med hänvisning enbart till Europakonventionen.
Den svenska ordningen med en överprövning hos regeringen av beslut av förvaltningsmyndighet har en lång tradition och saknar motsvarighet utomlands. Det vanliga i andra länder är att förvaltnings— myndigheters beslut, i den mån de kan överklagas, prövas av allmän domstol eller förvaltningsdomstol. Å andra sidan har den svenska förvaltningstraditionen en mera självständig prägel än den styrning som utomlands utövas från ministerierna över de underlydande myndig- heterna.
Fördelen med att behålla regeringen som överinstans är att lämplig- hetsfrågor som rymmer behov av en mera övergripande bedömning kan bli bättre tillgodosedda.
I den mån det är fråga om en mera uttalad rättslig prövning minskar dock behovet av en sådan diskretionär bedömning. De materiella bestämmelserna i en framtida datalag bör vara så utformade att de möjliggör en rättslig prövning.
Vad som nu har sagts talar för att regeringens befattning med överklagande inom datalagens område upphör. Härigenom kan regeringen också i linje med en utveckling som pågår avlastas ytterligare en ärendegrupp. Sedan flera år sker inom regeringskansliet en systematisk översyn av reglerna om rätt att överklaga till regering- en. Riktlinjerna för detta arbete fastställdes av riksdagen år 1984 (prop. 1983/84:120). En redovisning av utvecklingen finns i bil.2 till
SOU 1993: 10 345
budgetpropositionen 1991 s. 55 f. I översynsarbetet ingår även att undersöka om det är ändamålsenligt att låta domstolsprövning ersätta överklagande i administrativ ordning på områden där Europakon- ventionens krav om tillgång till domstolsprövning gör sig gällande (se KUl990/91:7 s. 12).
Olika skäl talar således för att fullföljd av inspektionens beslut framgent i stället skall göras till domstol. Bl.a. skulle en anpassning till en europeisk modell åstadkommas och risken för att nuvarande ordning trots allt står i strid med Europakonventionen undanröjas.
Utredningen föreslår med hänvisning till vad som nu har anförts att överklagande av enskilda framgent görs hos domstol och inte hos regeringen. Detta stämmer också överens med vad som föreslås i utkastet till EG-direktiv.
När det gäller förvaltningsmyndigheters möjlighet att föra talan mot inspektionens beslut måste emellertid vissa andra frågor beaktas.
Att lösa tvist mellan statliga förvaltningsmyndigheter innebär att andra än rent rättsliga aspekter kommer i förgrunden. Om Datainspek- tionen skulle fatta beslut på integritetsområdet som gäller en annan förvaltningsmyndighets handläggning kan detta sägas röra en tvist mellan två myndigheter, vilka båda är underställda regeringen.
Frågor om integritetsskydd i ADB-sammanhang inom den statliga förvaltningen torde i många fall komma att bli aktuella som en följd av att en myndighet beslutat att av administrativa skäl eller effektivitets- skäl införa eller utvidga ett ADB-stöd. Den prioritering som därvid kan behöva göras mellan integritetsskydd, å ena sidan, och den statliga förvaltningens effektivitet, å den andra, bör lämpligen lösas genom att frågan slutligt avgörs av regeringen som har den nödvändiga över- blicken. En statlig förvaltningsmyndighet bör därför även framgent kunna överklaga till regeringen.
När det gäller kommunala myndigheter, som inte lyder under regeringen, gör sig behovet av en regeringsprövning inte gällande på samma sätt. Visserligen sker en utveckling med ADB-stöd i rationalise- ringssyfte inom den kommunala sektorn i inte så få fall mot bakgrund av statliga beslut om ålägganden och bidrag m.m. Den kommunala verksamheten omfattas emellertid inte till alla delar av en statlig reglering. Det innebär att regeringen inte som för den statliga förvaltningen kan göra de övergripande bedömningar för den kommu— nala sektorn som motiverar regeringens ställning som besvärsmyn— dighet för den statliga förvaltningen. I de kommunala fallen bör således en domstolsprövning lämpligen göras, liksom när det gäller enskilda.
Särbehandlingen för statliga myndigheters del har en motsvarighet när det gäller fullföljdsreglerna i sekretesslagen (1980:100). Se 15 kap. 7—8 55 (prop. 1979/80:2 Del A 5. 362 ff).
346 SOU 1993:10
Den lösning som nu föreslås ligger också i linje med den särskilda behandling av s.k. statsmaktsregister som utredningen tidigare har förordat skall behållas.
När det gäller frågan om valet av domstolsinstans som bör över- pröva Datainspektionens beslut förefaller det enligt utredningens mening vara mest närliggande att låta denna prövning företas av de allmänna förvaltningsdomstolarna. I dessa domstolar finns en erfaren- het av administrativa förvaltningsbeslut som saknas i de allmänna domstolarna. Omfattningen av skadestånds- resp. ansvarstalan enligt datalagen i allmänna domstolar är inte heller sådan att dessa domstolar av det skälet har en förtrogenhet med det speciella område som datalagen utgör.
Antalet framtida överklagandeärenden är givetvis svårt att uppskatta. Det får dock bedömas vara av en mycket begränsad omfattning. Antalet klagoärenden som nu prövas av regeringen inskränker sig till ca tio fall årligen. Detta förhållande och målens speciella karaktär talar mot att låta länsrätten vara första instans. Överklaganden bör därför göras till kammarrätten. Av forumreglerna följer att målen kan koncentreras till Kammarrätten i Stockholm (se l & förordningen, 1977:937, om kammarrättemas domkretsar m.m.).
Övervägande skäl talar således för att Datainspektionens beslut framgent överklagas till Kammarrätten i Stockholm. En möjlighet till fullföljd på sedvanligt sätt efter prövningstillstånd till Regeringsrätten bör givetvis finnas.
När det slutligen gäller beslut av Datainspektionen som rör en domstol bör domstolen också kunna överklaga dessa. Domstolarna är emellertid inte statliga förvaltningsmyndigheter och lyder inte under regeringen, varför det synsätt som i föregående avsnitt redovisats för förvaltningsmyndigheterna inte bör tillämpas. Även för dessa fall bör således en domstolsprövning föreskrivas.
När det gäller de beslut av Datainspektionen som kan komma i fråga rör de domstolens administration och inte någon sökande eller part vid domstolen. Den ordning inom en domstolsinstans som gäller för besvärsmål eller annan ordinär fullföljd är därför inget naturligt val för överklagande. Ett lämpligare alternativ är att låta även en domstol överklaga till kammarrätten. Vad som nu har sagts bör gälla inte bara för allmänna domstolar i första och andra instans och för de allmänna förvaltningsdomstolarna i första instans utan också för de special- domstolar och domstolsliknande nämnder som finns. Det innebär att de av inspektionens beslut som rör exempelvis Bostadsdomstolen, Arbetsdomstolen, Marknadsdomstolen, Försäkringsöverdomstolen och hyresnämnderna bör fullföljas till kammarrätten.
Om kammarrätten ges exklusiv behörighet bör dock Högsta domsto- len och Regeringsrätten undantas. De båda högsta instanserna får anses själva kunna slutligt pröva de beslut av Datainspektionen som nu är i fråga. Om Datainspektionens beslut rör en kammarrätt bör talan mot
SOU 1993: 10 347
beslutet, utan krav på prövningstillstånd, kunna fullföljas till Rege— ringsrätten.
De privaträttsliga organ, slutligen, som nämns i 1 kap 8 & sekre- tesslagen, dvs. sådana organ som är jämställda med myndigheter när det gäller att ta del av allmänna handlingar (bl.a. notarius publicus och AB Svensk Bilprovning), bör i förevarande sammanhang följa den ordning som gäller för dem som inte är statliga förvaltningsmyndig- heter. Det innebär således att fullföljd bör ske till kammarrätten och inte till regeringen. Motsvarande bör gälla för myndigheterna under riksdagen.
Vad utredningen föreslagit i fråga om överklagande bör inte ändra Justitiekanslerns möjlighet att överklaga för att ta till vara allmänna intressen. Huruvida talan av denne skall föras hos regeringen eller i domstol är avhängigt av vem Datainspektionens beslut riktar sig emot eller annars angår, dvs. en statlig förvaltningsmyndighet resp. en enskild person, en myndighet under riksdagen, en kommunal myndig— het, myndighetsliknande organ eller en domstol (domstolsliknande nämnd).
19. 3 .4 Remissutfallet
Utredningens förslag om ett system med olika besvärsvägar har fått ett blandat mottagande. Flera remissinstanser tillstyrker utredningens förslag, nämligen Riksförsäkringsverket, Juridiska fakultetsstyrelsens forskningsnämnd vid Lunds universitet, Polismyndigheten i Göteborg, Landstingsförbundet och Dataföreningen i Sverige.
Det framförs emellertid också många kritiska synpunkter. Riks— dagens ombudsmän anför att frågan om rätt besvärsinstans bör avgöras med utgångspunkt i vem som för registret, inte i vem som anför besvär. I annat fall kan samma sak komma att prövas av olika instanser. Hovrätten över Skåne och Blekinge motsätter sig inte förslaget att talan av statlig förvaltningsmyndighet skall prövas av regeringen, detta med hänsyn till den särskilda beslutsordning som gäller för inrättande av s.k. statsmaktsregister. Beträffande doms- tolarna anser hovrätten att regleringen av datoranvändningen inte står i sådant direkt samband med dömandet att en särskild reglering av fullföljd mot talan mot Datainspektionens beslut rörande persondata- mängder 1 domstol är motiverad. Även talan av domstolar bör således enligt hovrätten prövas av regeringen.
Kammarrätten i Stockholm föreslår att alla överklaganden av beslut av Datainspektionen, med undantag för Högsta domstolen och Regeringsrätten, överklagas till allmän förvaltningsdomstol. Om det anses erforderligt att besvär i ärenden som rör andra myndigheter än domstolarna anförs hos regeringen, sätter kammarrätten i fråga om inte samma reglering bör gälla också i fråga om domstolarna, dock med undantag för Högsta domstolen och Regeringsrätten. Om utredningens
348 SOU 1993:10
förslag i fullföljdsfrågorna skulle följas menar kammarrätten att en bestämmelse om undantag från prövningstillstånd vid besvär över Datainspektionens beslut som rör en kammarrätt bör undvikas. Kam- marrätten anser det naturligt att frågan om till vilken instans av förvaltningsdomstol talan skall fullföljas löses i samband med att ställning tas till domstolsutredningens betänkande.
Datainspektionen pekar på behovet av samordning med fullföljds- reglerna i närliggande lagstiftning.
Juridiska fakultetsnämnden vid Stockholms universitet anser att det skulle vara naturligt att generellt tillämpa en ordning med över- klagande till domstol. En sådan ordning kan, hävdar fakultetsnämnden, också vara ägnad att stärka tilltron till att individens skyddsintressen blir objektivt och rättsenligt bedömda också när det är fråga om statliga förvaltningsmyndigheters persondatabehandling. Det är angeläget inte minst eftersom de mest omfattande och mest integri- tetskänsliga hanteringarna finns just inom denna sektor. Statens person- och adressregisternämnd, som i övrigt godtar utredningens förslag, menar att även Högsta domstolen och Regeringsrätten bör fullfölja talan till regeringen.
Svenska kommunförbundet anför i sitt yttrande att enskilda och det allmänna inte bör ges olika överklagningsvägar eftersom i stort sett samma datarättsliga grunder gäller för alla registeransvariga. En betydande risk för olikheter i rättstillämpningen kan annars föreligga. Medborgarrättsrörelsen Friheten i Sverige anser också att ett system med två besvärsvägar bör undvikas och föreslår att endast besvär till förvaltningsdomstol används, dock att de båda högsta instansernas beslut undantas överprövningsmöjligheten. Vilken typ av förvaltnings— domstol som skall komma i fråga - länsrätt eller kammarrätt —får avgöras i samband med den omstrukturering som blir en följd av de ändringsarbeten inom domstolarna som domstolsutredningens be— tänkande leder till.
Swedish Direct Marketing Association anser att de överväganden som skall göras i en besvärssituation mellan en registerförande myndighets krav på effektivitet och samhällsmedborgarnas krav på skydd för den personliga integriteten med fördel kan göras av domstol i stället för av regeringen. Organisationerna menar också att det är en fördel om alla frågor kring integritetsskyddet avgörs av samma instans, oavsett i vilken form den registeransvarige uppträder.
19.3 .5 Överväganden
Enligt gällande rätt har en registrerad en mycket begränsad talerätt. Den som har gjort en anmälan till Datainspektionen om en felaktig registrering av uppgifter om honom själv, anses t.ex. inte ha någon rätt att överklaga beslut varigenom inspektionen förklarat att anmälan inte föranleder någon åtgärd. I princip är det bara Justitiekanslern och den
SOU 1993: 10 349
registeransvarige som har klagorätt. Den av utredningen förslagna ordningen med två besvärsvägar skall ses mot bl.a. den bakgrunden.
Artikel 15 i förslaget till EG-direktiv föreskriver att den enskilde skall ha en rätt att motsätta sig, på lagliga grunder, behandling av personuppgifter som hänför sig till honom (relating to him). Som tidigare har redovisats skall vidare den enskilde ha rätt till dom- stolsprövning vid brott mot de rättigheter som tillförsäkras honom genom direktivet.
Enligt regleringen i förslaget till EG-direktiv anses alltså ett beslut av en dataskyddsmyndighet angå en enskild i betydligt större om— fattning än som följer av nuvarande praxis i Sverige. Den som anser att uppgifter om honom inte får behandlas därför att ändamålet med behandlingen inte medger detta eller därför att uppgifterna borde ha gallrats får, enligt det synsätt som direktivförslaget ger uttryck för, möjlighet att överklaga dataskyddsmyndighetens beslut, om det har gått honom emot. På motsvarande sätt torde anmälaren i det förut angivna exemplet ha klagorätt. Enligt utredningens mening bör tolkningen av vem ett beslut angår på dataskyddsområdet ske i enlighet med de principer som följer av förslaget till EG—direktiv. Den närmare gränsdragningen får överlåtas åt rättstillämpningen.
Med en ordning där den enskilde på dataskyddsområdet ges en betydligt utvidgad klagorätt uppkommer med utredningens tidigare ställningstaganden de olägenheter som några remissinstanser har pekat på, nämligen att samma sak kan komma att prövas i två olika instanser. För att undvika denna svårighet bör talan kunna fullföljas endast till en instans. Med hänsyn till vad förslaget till EG-direktiv innehåller på denna punkt, de skäl som utredningen tidigare har redovisat till stöd för en domstolsprövning och den uppfattning som en hel del remissinstanser har fört fram, bör man välja ett system som innebär att domstol prövar alla överklaganden av beslut av Datainspek- tionen, således även de fall där talan fullföljs av en statlig förvaltnings- myndighet. Utredningen vidhåller dock sitt förslag att undantag bör göras för Högsta domstolen och Regeringsrätten.
Av skäl som tidigare redovisats bör man i valet mellan allmänna domstolar och förvaltningsdomstolar välja att låta förvaltningsdomstol pröva överklaganden enligt datalagen. När det gäller frågan till vilken instans inom de allmänna förvaltningsdomstolarna som överklagandena skall föras bör i och för sig den grundläggande principen vara att tyngdpunkten i rättsskipningen skall ligga i den första domstolsinstan- sen. Domstolsutredningen har i sitt betänkande (SOU 1991:106) Domstolarna inför 2000-talet (s. 442) anfört att det bör krävas mycket starka skäl för att frångå principen att den första domstolsprövningen av ett förvaltningsärende alltid skall ske i länsrätt. Datainspektionen får emellertid anses ha en i viss mån speciell ställning. Det kan nog också hävdas att datalagsmål kan komma att bli så komplicerade att det av den anledningen krävs juristkollegial sammansättning i första instans.
350 SOU 1993:10
Målen torde på flera sätt komma att skilja sig från andra typer av mål och mycket talar för att de borde föras direkt till kammarrätten. Ut— redningen har därför slutligen stannat för att föreslå att kammarrätten blir första besvärsinstans vid överklaganden enligt datalagen.
Som utredningen tidigare har berört är antalet klagoärenden f.n. mycket begränsat. Den utvidgade klagorätten för enskilda kan leda till en inte oväsentlig ökning av antalet överklaganden. Det går dock inte att säga något bestämt om hur stor ökningen kan bli.
Liksom i dag bör Justitiekanslern ha möjlighet att överklaga inspektionens beslut för att tillvarata allmänna intressen.
Datainspektionens beslut om föreskrifter som avses i 8 kap rege- ringsformen och som har meddelats med stöd av bemyndigande i 36 & bör inte omfattas av fullföljdsreglerna.
I enlighet med det nu anförda har bestämmelser om överklagande tagits upp i 51 & förslaget till datalag. Hur bestämmelserna förhåller sig till förslaget till EG—direktiv har berörts i det föregående.
19.4 Datalagens tillämpning på bilder m.m.
Som framgått av redovisningen av den tekniska utvecklingen i avsnitt 3 ökar lagringen på datormedia av annan information än text och textrelaterad information, t.ex. bilder. Förutom direkta bilder av personer och andra motiv blir den information som lagras i form av bilder på datormedia allt mer omfattande. Textinformation kan med hjälp av scanners lagras som digitala bilder på datormedia. Det förekommer även att fingeravtryck och viss genetisk information lagras i form av bilder. Av de direkta bilderna (främst fotografier) är ett porträtt ett tydligt exempel på en bild som är klart personrelaterad. Men en enskild kan naturligtvis också identifieras på en bild vars huvudsakliga syfte inte är att återge någon enskild person, t.ex. en bild som avser att dokumentera olika gatumiljöer. Annan information som i hög grad är hänförlig till en viss person är naturligtvis fingeravt- rycksbilder och olika slag av genetisk information.
Den digitala bildlagringen har ökat i omfattning under den allra senaste tiden. Med hjälp av en s.k. filmscanner kan i dag film av alla filmfabrikat, svartvitt, färg och dia läsas in till elektroniska bilder. Bilderna kan bl.a. lagras på en CD—ROM—skiva. I avsnitt 3.7 har nämnts hur CD Photo sedan en tid tillbaka marknadsförs på bred front. Förutom vad där sagts kan nämnas att det nu på marknaden även finns digitala kameror med vilka man direkt lagrar tagna bilder på ett datormedium. Med vissa av dessa kameror kan också bilder sändas direkt via telenätet till en mottagande dator. Som nämnts i avsnitt 3.6 finns nu också en omfattande bilddatabas med miljontals bilder i Sverige (Posten Bildbanken AB i Kiruna). Förutom att ansluta sig till
SOU 1993:10 351
denna svenska databas är det möjligt att medelst modem koppla upp sig till utländska motsvarigheter till denna svenska databas. Enligt uppgift har bl.a. Kodak planer på att inrätta en global söknings- och förmed- lingstjänst av bilder, Kodak Picture Exchange. Medelst en persondator skall man kunna koppla sig till en databas. I databasen kan man söka efter bilder och se dessa i en lågupplöst version samt beställa original- bilden. Kodaks förmedlingstjänst är planerad att starta under år 1993 i USA och under år 1994 i Europa.
I början av 1970-talet var det inte tekniskt möjligt att digitalt lagra fotografiska bilder, varför frågan om registrering av bilder överhuvud- taget inte diskuterades i samband med den nuvarande datalagens tillkomst. Frågan om digitala bilder omfattas av datalagens bestämmel- ser har därför fått avgöras i praxis.
Datainspektionen avgjorde i april 1992 frågan om tillstånd för Posten Bildbanken AB att driva sin bilddatabas i Kiruna. I sitt beslut anförde Datainspektionen bl.a. följande.
Enligt 1 & datalagen definieras personuppgift såsom upplysning som avser enskild person. Personregister är register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling (ADB) och som innehåller personuppgift som kan hänföras till den som avses med uppgiften.
Med uppgift i datalagens mening avses inte endast text utan även bild oc ljud. Datainspektionen konstaterar att personuppgif- terna i ifrågavarande register inte endast ut örs av den text som registreras utan även av de bilder som skal lagras digitalt i den mån bilden kan hänföras till viss person, d.v.s. av någon kan identifieras som personen i fråga.
Det förhållandet att re istret avser att innefatta kommersiella bilder utesluter inte att bi dema även kan utgöra sådana känsliga up gifter som anges i 4 & datalagen, t.ex. bilder som visar ett po is-ingripande, en sjukhusinteriör eller ett politiskt eller religiöst möte.
Posten Bildbanken AB erhöll ett med ett antal föreskrifter förenat tillstånd. Beslutet har överklagats.
Digital bildbehandling innebär att fotografiska bilder kan tas emot, lagras, visas och lämnas ut genom ADB. Visningen sker på det sättet att man med hjälp av en dator söker fram bilder via särskilda sökord eller att man med hjälp av en dator bläddrar i bildarkivet. I allmänhet torde vissa av bilderna, på sätt som tidigare har berörts, vara hänför- liga till vissa enskilda personer. Digitalt lagrade identifierbara bilder faller därmed in under den föreslagna datalagens tillämpningsområde (behandling av personuppgifter).
Digitalt lagrade identifierbara bilder har hittills inte förekommit i någon större skala och därför inte orsakat några större problem vid tillämpningen av datalagens bestämmelser. Det är emellertid endast en tidsfråga innan den moderna bildlagringstekniken blir allmänt tillgänglig och kommer till en större praktisk användning. Den
352 SOU 1993:10
omständigheten att vissa digitala bilder kan anses utgöra personuppgif- ter i datalagens mening innebär ett antal svåra tillämpningsproblem. Utredningen har därför funnit anledning att särskilt ta upp denna fråga till diskussion.
Det bör dock först noteras att en stor del av de personorienterade digitala bilderna torde helt falla utanför den föreslagna datalagens tillämpningsområde. Detta gäller främst den användning som sker uteslutande för personligt bruk (7 g). Amatörfotografens bilder som t.ex. lagras på en Photo CD—skiva bör i de allra flesta fall hamna utanför datalagen. Bilder som ingår i uppslagsverk o.dyl., t.ex. på CD- ROM-skivor, undantas också (6 & 4). Även många av de bilder som avses att publiceras i massmedia kan komma att falla utanför datala- gens reglering (6 5 1). I detta sammanhang skall också erinras om att bilder som har varit publicerade i en tidning och som har arkiverats med ADB-teknik inte omfattas av datalagens tillämpningsområde (6 5 3).
För de bilder som är textrelaterade, t.ex. genom scanner inlästa texter som lagras som bilder, synes datalagens olika bestämmelser inte komma att innebära några större tillämpningsproblem. Datalagens bestämmelser torde i dessa fall kunna tillämpas som på lagrad textinformation. Däremot uppkommer ett antal problem vid till— ämpningen av den föreslagna lagens bestämmelser på andra slag av ADB-lagrad bildinformation såsom stillbilder (t.ex. foton och teckningar) och rörliga bilder.
Uppgifter om bl.a. ras, etniskt ursprung, politisk uppfattning, religiös eller filosofisk övertygelse, sjukdom, hälsotillstånd eller sexualliv är känsliga uppgifter enligt 20 & förslaget till datalag. Härav följer att en bild på en person som utvisar dennes rastillhörighet är en känslig uppgift. De flesta bilder på personer torde utvisa personens rastillhörighet. Bilder som t.ex. avbildar personer i samband med politiska möten blir också att anse som känsliga. Enligt 201; får personuppgifterna, dvs. i dessa fall de digitala bilderna, endast behandlas om den enskilde skriftligen lämnar sitt samtycke på särskilt angivet sätt eller det följer av bestämmelserna i datalagen om be- handling för anställningsändamål resp. forsknings- eller statistikända- mål eller av annan författning.
Några problem att erhålla samtycke från medverkande aktörer vid reklam— och spelfilmsupptagningar och olika slag av modellfotografe- ring torde inte föreligga. I de flesta andra fall torde det emellertid vara förenat med mycket stora svårigheter att erhålla erforderliga samtyck- en. Bilder av äkta dokumentärkaraktär synes bli närmast omöjliga att behandla. Såvitt avser polis och andra myndigheter kan det av lag följa att de har rätt att lagra och behandla bildinformation. Utan hinder av 20 & kan vidare digitala bilder som anses som känsliga behandlas om det sker under sådana omständigheter att det är uppenbart att inga kränkningar av personlig integritet äger rum (21 & förslaget till
SOU 1993: 10 353
datalag). Detta inte särskilt vida undantag torde emellertid vara svårt att tillämpa i nu aktuella fall. Slutsatsen måste bli att det för den digitala bildhanteringen behövs en särskild författningsreglering i enlighet med bestämmelserna i 20 & förslaget till datalag. Då som nämnts flertalet digitala bilder kan anses vara av känslig art torde också anmälningsskyldigheten för sådana bilder bli mycket omfattande.
Andra bestämmelser i datalagsförslaget som kan orsaka tillämp- ningsproblem när en personuppgift består av en bild är bestämmelsen i 14 & om att personuppgifter skall vara riktiga, fullständiga, aktuella och inte missvisande. Det finns i dag möjlighet att med hjälp av datortekniken manipulera bilder på alla tänkbara sätt. Problem uppkommer även vid tillämpningen av 22 och 23 åå som bl.a. föreskriver en rättelse- och kompletteringsskyldighet för den personda- taansvarige. Hur rättar eller kompletterar man ett fotografi?
Den enskilde har enligt 25 & förslaget till datalag en rätt till insyn. Den enskilde kan med stöd av denna bestämmelse kräva att få besked om han förekommer på någon bild som den persondataansvarige har lagrat på datormedia. Det säger sig självt att om den persondataansva- rige har lagrat en enorm mängd bilder och inte har någon förteckning över vilka personer som förekommer på bilderna, denne inte har någon rimlig möjlighet att besvara en sådan förfrågan. ] den tidigare nämnda bilddatabasen i Kiruna kan sökning inte ske på personnamn, person- nummer eller andra personidentifierande sökbegrepp, eftersom sådan information inte lagras i datasamlingen och inte heller i övrigt finns tillgänglig. I ett sådant fall får det därför närmast anses ankomma på den enskilde att på ett tillräckligt tydligt sätt precisera sin begäran eller, om möjligt, får den enskilde erbjudas möjlighet att på egen hand gå igenom den lagrade bildinformationen.
Digitalt lagrad bildinformation har som framgått sådana särdrag som gör det svårt att reglera all dess behandling på det sätt som skett i ut- redningens förslag till ny datalag. Det gäller för övrigt all annan datalagstiftning som utredningen har gått igenom och den internationel- la regleringen på området. Bildhanteringen är av sådan art att det möjligen vore lämpligare att reglera den i särskild ordning och då på ett sätt som ger enhetliga regler för bildhantering oavsett på vilket sätt bilderna framställs och lagras. I avvaktan på en sådan generell reglering finner dock utredningen sig inte kunna låta de digitala bilderna, som i dag regleras av datalagens bestämmelser, stå utanför en kommande datalags regelsystem.
Den lösningen bör då väljas att datalagen kompletteras enligt 20 5 med en särskild registerlag för den digitala bildhanteringen. En sådan registerlag skall göra det möjligt att behandla känslig bildinformation utan att samtycke föreligger från de berörda enskilda. En förutsättning för att detta skall kunna ske är att det föreligger ett viktigt allmänt intresse (se avsnitt 9.8, 10.6 och 11.6). Ett sådant intresse utgörs av informationsfriheten i samhället och bildförmedling ingår som ett
354 SOU 1993: 10
väsentligt led i denna informationsfrihet. Mot informationsfriheten bör emellertid ställas integritetsintressena och den särskilda registerlagen bör innehålla vissa bestämmelser som tillgodoser dessa intressen. Den persondataansvarige bör ha en viss informationsskyldighet, i massme- dia eller på annat lämpligt sätt. Informationen bör avse bildbankens ändamål, dess innehåll och den strykningsrätt som bör tillkomma den enskilde. Med strykningsrätt förstås en skyldighet för den personda— taansvarige att på begäran av den enskilde ta bort de uppgifter som är hänförliga till denne. Strykningsrätten framstår för utredningen som en rimlig åtgärd vid avvägningen mellan informations- och integritetsin- tressena. Den innebär också en praktisk lösning på de problem som sammanhänger med rätten till rättelse och komplettering av informa- tion.
I den utsträckning bildbanken saknar direkt personorienterande urvalskriterier får det för att strykningsrätten skall kunna utövas krävas att den enskilde på ett tillräckligt tydligt sätt preciserar sin begäran om strykning. Ett alternativ kan vara att den enskilde får möjlighet att på egen hand gå igenom den lagrade bildinformationen. Vad som nu har sagts om utövande av strykningsrätten gäller också den enskildes rätt till insyn enligt 25 & förslaget till datalag. Den särskilda registerlagen bör också innehålla bestämmelser i enlighet med det nu sagda.
Slutligen bör övervägas vissa inskränkningar i anmälningsskyldig- heten eftersom denna annars skulle bli alltför omfattande.
Förslaget till EG-direktiv
Enligt kommentaren till direktivförslaget kan person identifieras bl.a. genom en bild på denne eller dennes röst samt genom fingeravtryck eller genetiska kännetecken. Den skisserade särskilda registerförfatt— ningen torde vara förenlig med direktivförslaget i den meningen att viktiga allmänna intressen, informationsfriheten, ligger till grund för regleringen (art. 8. 3). Den berörda insynsrätten avviker emellertid från vad som gäller enligt direktivförslaget, liksom även från vad ut- redningen föreslår (25 & förslaget till datalag).
,._.____.a..a-_.._,-_.__..__...l
SOU 1993:10 355
20 Övergången till ett nytt system
När den nya datalagen träder i kraft, vilket bör kunna ske den 1 januari 1995, kommer det att finnas ett stort antal fall där personupp- gifter behandlas för ett visst ändamål. Utredningen har i det föregående räknat med omkring 35 000 - 40 000 fall av anmälningsskyldighet enligt den nya lagen vid tidpunkten för lagens ikraftträdande. Till detta kommer ett okänt antal fall där personuppgifter vid ikraftträdandet behandlas utan krav på tillstånd enligt äldre bestämmelser och där inte heller någon anmälningsskyldighet kommer att föreligga. De personda- taansvariga bör komma in i det nya systemet så snart som möjligt.
Det skulle vara önskvärt att även de persondataansvariga som har tillstånd enligt nuvarande datalag ger in en anmälan. Datainspektionen skulle därigenom få ett enhetligt underlag för sin tillsyn.
Den nu angivna ordningen medför emellertid också stora nackdelar. Datainspektionen skulle i anslutning till eller under en övergångsperiod efter ikraftträdandet få ta emot och registrera en mycket stor mängd anmälningar. Det är svårt att bedöma hur mycket resurser som skulle gå åt för den uppgiften. Man kan få en viss vägledning för beräk- ningen av en sådan registrering genom att studera inspektionens nuvarande kostnader för hanteringen av licensanmälningar. De är enligt inspektionen sju procent av de medel som står till inspektionens förfogande, dvs. i runda tal 1,4 miljoner kronor för högst 4 000 fall per år. Utgår man från dessa siffror torde kostnaden för registreringen av här aktuella anmälningar komma att uppgå till storleksordningen 17,5 miljoner kronor eller ett 80-tal biträden under ett år. Mot den beräkningen kan sägas att de nämnda sju procenten inkluderar utöver själva registreringen även information m.m. I vilket fall som helst skulle kostnaderna bli så stora att den lösningen inte kan komma ifråga.
Utredningen vill i stället förorda en ordning som innebär att tillståndsbesluten får fungera som en anmälan enligt den nya lagen, i den mån innehavaren av tillståndet också är anmälningsskyldig enligt den nya lagen. Med en sådan övergångsordning slipper Datainspektio- nen ett omfattande registreringsarbete och bör kunna få utrymme för sina viktiga tillsynsuppgifter även under övergångsperioden vid ikraft- trädandet.
De som behandlar personuppgifter före ikraftträdandet måste anpassa sina system till den nya lagen. Vad som kan vålla bekymmer
356 SOU 1993: 10
är framför allt den nya lagens krav på mer preciserade ändamål för behandlingen. I flertalet fall är det sannolikt inte något större problem. Det kan vara fråga om att beskriva ändamålet på ett annat sätt än tidigare. Det kan visserligen vara tidskrävande och fordra en dialog med företrädare för Datainspektionen. I andra fall krävs mer än så. Det kan i sista hand bli fråga om utvecklingsarbete och kanske investeringar innan en del system kan anses uppfylla den nya datala- gens krav. Det behövs därför en övergångsperiod för vissa systern. Vilka dessa system är kan inte närmare anges, men det står klart att de återfinns bland de nu tillståndspliktiga datasamlingarna, framför allt inom den offentliga sektorn. Utredningen förordar därför en generell övergångsregel av innebörd att ändamål som har bestämts i beslut om tillstånd får godtas som ändamål enligt 9 5 i den nya lagen under en övergångsperiod av tre år. Efter remissbehandlingen kan det vara möjligt att i övergångsregeln närmare ange vilka system som det kan vara fråga om. Det kan också visa sig att övergångsperioden bör vara något annorlunda än vad utredningen har utgått från. Vid utgången av övergångsperioden måste de persondataansvariga ha anpassat sig till de regler om ändamålsanknytning som finns i den nya datalagen.
Enligt 20 å i den nya lagen får känsliga personuppgifter behandlas bara om den enskilde samtycker till det eller det följer av särskilda bestämmelser i datalagen eller i annan lag eller författning. Av specialmotiveringen till paragrafen framgår att de särskilda bestämmel— serna om behandlingen av de känsliga uppgifterna måste reglera i vart fall vilken typ av uppgifter som det är fråga om, vilka skyddsbe— stämmelser som skall gälla, vilka som skall ha tillgång till personupp- gifterna och vilka persondataansvariga det gäller. En sådan reglering har gjorts i den föreslagna datalagen i fråga om forskning och statistik samt i fråga om behandling för anställningsändamål. Inget hindrar naturligtvis att specialregleringen av känsliga uppgifter omfattar andra aspekter av personuppgiftsbehandlingen. I den mån den inte gör det, blir de allmänna bestämmelserna i datalagen tillämpliga, i före- kommande fall kompletterade med föreskrifter som Datainspektionen har utfärdat. Vid den nya lagens ikraftträdande kommer det alltså att finnas en ingående reglering av behandlingen av de nu berörda personuppgifterna. Den nya lagen bör därför kunna gälla omedelbart i dessa fall och de gamla tillståndsbesluten upphöra att gälla vid samma tidpunkt. Besluten kommer dock för de anmälningspliktiga datasam- lingarna såtillvida att bestå som de fungerar som en anmälan enligt den nya lagen och som en ändamålsangivelse under en övergångsperiod.
I fråga om känsliga uppgifter sammanfaller anmälningsskyldigheten enligt de nya föreskrifterna med tillståndsplikten enligt nuvarande datalag. Det bör dock erinras om att anmälningsskyldigheten i något hänseende går längre och omfattar uppgifter som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Däremot omfattar inte anmälningsskyldigheten sådan nu tillståndsplik-
SOU 1993: 10 357
tig behandling som avser uppgifter om personer som saknar sådan anknytning till den persondataansvarige som följer av medlemskap, anställning, kundförhållande eller liknande. Vidare föreligger an- mälningsskyldighet bara vid sådana sambearbetningar som innefattar känsliga uppgifter.
För behandlingen av andra än känsliga uppgifter kommer det inte att finnas någon anmälningsskyldighet. Någon tillståndsplikt enligt gällande ordning finns ju inte heller för den allra största delen av denna behandling. Om dessa personuppgifter behandlas redan före ikraftträdandet, bör den nya lagen utan komplikationer kunna tillämpas omedelbart när den träder i kraft. De tillståndsbeslut som finns upphör att gälla. Skulle Datainspektionen med stöd av 185 datalagen ha meddelat något villkor för behandlingen, upphör villkoret att gälla vid ikraftträdandet.
Vissa övergångsfrågor som berör s.k. statsmaktsregister diskuteras i specialmotiveringen.
Ytterligare några frågor bör tas upp. Har ett beslut meddelats av Datainspektionen före den nya lagens ikraftträdande, bör beslutet överklagas enligt äldre bestämmelser, dvs till regeringen. Har en ansökan om tillstånd gjorts men inte slutligt prövats före ikraftträdan- det, bör ansökningen kunna behandlas som en anmälan enligt den nya lagen. I vissa fall av sambearbetning krävs tillstånd enligt nu gällande ordning men inte någon anmälan enligt de nya föreskrifterna. Skulle en sådan tillståndsansökan vara anhängig hos Datainspektionen vid ikraftträdandet, får inspektionen avskriva ärendet från vidare hand— läggning.
Om personuppgifter börjar behandlas först efter ikraftträdandet bör givetvis denna behandling helt falla under den nya lagen. Detta gäller också för behandling av personuppgifter för vilken ansökan om tillstånd dessförinnan har lämnats in till Datainspektionen men där inspektionen inte har avgjort ansökningen före ikraftträdandet. Som tidigare har berörts bör i dessa fall ansökningen betraktas som en anmälan.
Slutligen bör några ord sägas om de frågor som aktualiseras i samband med övergången till ett nytt avgiftssystem. Licensavgifterna betalas enligt nuvarande ordning löpande under kalenderåret, dvs vissa licenspliktiga betalar sin avgift under januari, vissa under februari etc. Tidpunkten för betalning bestäms av den tid då anmälan för licens gjordes. De licensavgifter som erläggs under år 1994 kommer alltså att avse en mindre eller större del av år 1995, då den nya ordningen förutsätts ha trätt i kraft.
En första fråga blir hur man skall göra med dem som betalar licensavgift under år 1994 men som inte skall betala någon årlig avgift enligt den nya ordningen, t.ex. därför att deras datasamlingar bara omfattar mera harmlösa personuppgifter. Att reglera detta i efterhand genom en återbetalning från Datainspektionen skulle innebära en
358 SOU 1993:10
betydande administrativ börda, inte minst med hänsyn till de jämförel- sevis små belopp det rör sig om. Återbetalningen skulle dessutom få ske under en period då myndigheten är fullt upptagen med andra övergångsproblem. Man kan också notera att det enligt nuvarande ordning inte blir någon restitution för den som har betalat in sin licensavgift men kort tid därefter upphör att behandla personuppgifter. Med hänsyn till vad som nu har sagts föreslår utredningen att en betalning av licensavgift under år 1994 inte skall berättiga till någon återbetalning.
En andra fråga är hur man skall se på den under år 1994 inbetalda licensavgiften för dem som har sådana datasamlingar som omfattas av anmälningsplikten enligt den nya ordningen. Den smidigaste över- gången torde man få om den del av licensavgiften som avser år 1995 anses som årlig avgift enligt det nya systemet. En fördel med detta är också att man kan behålla ordningen med att de betalningsskyldiga betalar in sina avgifter successivt under året. Som tidigare har nämnts skall ett tillståndsbeslut betraktas som en anmälan enligt den nya lagen. Den årliga avgiften får tas ut för varje ändamål som anges i de berörda besluten. Betalningen får lämpligen tas ut under samma månad som tidigare licensavgifter. Den årliga avgiften kan komma att ändras när den persondataansvarige måste anpassa sin behandling av personupp- gifter till det nya ändamålsbegreppet.
Mmmm—nm - - 5M4___ _a. ;.— __ _l .:. n... .M. ___..-
SOU 1993: 10 359
21 Ekonomiska konsekvenser av utred— ningens förslag
Utredningens förslag kommer att övergångsvis medföra kostnader vid Datainspektionen och hos dem som har system med personregister i drift vid lagens ikraftträdande.
Om man först ser till den senare gruppen är det klart att samtliga måste gå igenom sin dokumentation av systemen för att se i vad mån ändringar måste vidtas. I vilken mån dessa genomgångar kommer att leda till att systemen måste ändras på någon punkt eller om arbetet kan inskränkas till en tydligare beskrivning än tidigare, är inte möjligt att bedöma. Någon beräkning av kostnadskonsekvenserna av utredningens förslag i dessa fall kan alltså inte göras nu. En kommande remiss kan måhända kasta ett visst ljus över dessa frågor. Utredningen berör dock en särskild fråga om s.k. statsmaktsregister i det följande under avsnitt 21.2. Liknande övergångsproblem skulle kunna bli aktuella även på något annat område, även om utredningen inte har funnit något sådant under utredningsarbetet.
I det följande uppehåller sig utredningen främst vid konsekvenserna för Datainspektionen.
I årets budgetproposition (prop. 1992/93:100 bil 3) beräknas anslaget till Datainspektionens verksamhet för budgetåret 1993/94 till 21 miljoner kronor. Utredningen har vid utformningen av sina förslag utgått från denna anslagsnivå.
21 . 1 Löpande kostnader
1 det föregående har utredningen angett vilket årligt antal anmälningar som den av utredningen föreslagna anmälningsskyldigheten kan komma att leda till. Utredningen har räknat med att detta antal kommer att ligga mellan 5 000 - 10 000 per år. Dessa anmälningar kommer att i stort sett behandlas som licensanmälningar i dagens system. Man kan därför räkna med att i stort sett samma andel som i dag av inspektio- nens anslag kommer att behövas för registreringen av anmälningarna enligt det nya systemet. Det betyder att den avgjort största delen av inspektionens resurser kan sättas in i inspektionens tillsynsverksamhet. Det kan visserligen hävdas att inspektionens verksamhet i denna del
360 SOU 1993: 10
skulle behöva vara större än vad nuvarande resurser medger, eftersom antalet persondataansvariga i samhället sannolikt är mycket stort med nuvarande grad av datorisering och eftersom datoriseringen i samhället tenderar att öka. Utredningen har dock stannat för en omfördelning av nuvarande anslag, eftersom den medger en kraftig satsning på tillsynsverksamhet. Till bilden hör också att våra nordiska grannländer lägger ner betydligt lägre kostnader per invånare på sina motsvarig- heter till inspektionen.
Utredningen utgår från, som har utvecklats i avsnitt 18, att den som gör en anmälan till Datainspektionen skall betala en årlig avgift. Utredningen förutsätter vidare att den skall erläggas samtidigt som anmälan. Avgiften skall alltså vara en förutsättning för registreringen. Därefter skall inspektionen ta ut en årlig avgift. Avgifterna kommer därmed att liksom nu flyta in successivt under året. Utredningen räknar med att en årlig avgift av den storleksordning som nu utgår för licenser kommer att täcka kostnaderna för inspektionens verksamhet.
21.2 Övergångskostnader
Enligt punkten 2 till övergångsbestämmelserna till den föreslagna lagen kommer beslut om tillstånd att inrätta och föra personregister att anses som en anmälan enligt den nya lagen, om anmälningsskyldighet enligt den senare lagen föreligger för en sådan behandling av personuppgifter som avses med beslutet. Datainspektionen har uppgifter om nu aktuella persondataansvariga i sina nuvarande datorstödda rutiner. Det förutsätts att inspektionen när man första gången bestämmer den årliga avgiften kommer att gå tillbaka till de berörda tillståndsbesluten med ledning av sina diarier. Hur stor den insatsen kan tänkas bli kan inte nu beräknas. Det är möjligt att det kommer att föreligga bättre uppgifter om det efter remissbehandlingen av utredningens förslag. Klart är dock att den insats som här behövs är långt mindre än om anmälan skulle ha ställts upp som ett krav även för dem som har tillstånd för sina datasamlingar.
Utredningen har i specialmotiveringen i anslutning till övergångsbe- stämmelserna till den föreslagna datalagen framhållit att en författning om inrättande av personregister med känsliga uppgifter inte i och för sig upphör att gälla på grund av att datalagen upphör. Om däremot inrättandet av statsmaktsregistret har skett på annat sätt, krävs vid den nya lagens ikraftträdande en författningsreglering för att behandlingen av känsliga uppgifter skall få fortsätta. Utredningen har här räknat med att det föreligger anmälningsplikt i bägge fallen redan vid ikraftträdan- det av den nya lagen. Utredningen har inte klart för sig hur många fall det här är fråga om men det är sannolikt inte fråga om tusentals fall. Det är å andra sidan ofta fråga om stora och komplexa system där en
SOU 1993:10 361
anpassning till den nya datalagen redan vid ikraftträdande skulle leda till orimliga kostnader och arbete. Utredningen utgår från att stats- makterna kommer att efter förslag av berörda myndigheter införa övergångsregler i de aktuella författningarna eller de nya författningar som kan behövas. Övergångsregler kan behövas på flera punkter. En övergångsperiod av det slag som utredningen har föreslagit beträffande de datasamlingar för vilka har meddelats beslut om tillstånd kan säkert komma att behövas i många fall. Det är möjligt att övergångstiden i något fall kan behöva göras längre än som följer av de generella regler som utredningen föreslagit för de datasamlingar som har tillstånd enligt nuvarande ordning.
De övergångsfrågor som utredningen har pekat på här leder sannolikt till att inspektionen kommer att få lägga ner något mer arbete på registreringsfrågorna under främst det första året efter ikraftträdan- det av den nya lagen än sedan verksamheten har fått en löpande karaktär. Att nu bedöma hur mycket kostnader som övergångsfrågorna kommer att föra med sig i monetära termer är inte möjligt. Ut- redningen utgår från att anslaget till inspektionens verksamhet kan hållas oförändrat även under övergångstiden, även om tillsynsverk- samheten under denna tid kommer att få en något mindre omfattning än under en löpande verksamhet.
Övergången till den nya lagen kan också kräva att Datainspektionen ser över sitt ADB-stöd. Med de nya regler för investering genom lån som nu införts i statsförvaltningen utgår utredningen från att ränta och andra årliga kostnader för lånet kan rymmas inom nuvarande anslag.
SOU 1993: 10 363
22 Specialmotivering
Utredningens förslag till en ny datalag (avsnitt 22.4) förutsätter följdändringar i en rad andra författningar. Vid en översiktlig genomgång som utredningen har gjort har det visat sig att det behövs ett mycket stort antal sådana ändringar. Utredningen har av tidsskäl inte haft någon möjlighet att gå in i alla dessa lagar och förordningar. I stället har utredningen valt att lägga fram förslag till ändringar av några centrala författningar. Förslagen gäller, förutom regerings- formen, tryckfrihetsförordningen och yttrandefrihetsgrundlagen (avsnitt 22.1 - 3), förvaltningsprocesslagen (19711291), sekretesslagen (1980:100) och arkivlagen (1990:782) (avsnitt 22.5,6 och 8). Vidare föreslås upphävande av lagen (1987:1231) om automatisk databe- handling vid taxeringsrevision, m.m. (avsnitt 22.7).
22.1 Förslaget till lag om ändring i regerings- formen
Utredningen föreslår att ändringar skall göras i 2 kap. 3 och 20 åå samt i 8 kap. 7 å regeringsformen. Ändringarna skall enligt förslaget träda i kraft den 1 januari 1995.
Nuvarande lydelse Föreslagen lydelse
2 kap. 3 %
Anteckning om medborgare i allmänt register får ej utan hans samtycke grundas enbart på hans politiska åskådning.
Varje medborgare skall i den utsträckning som närmare angives i lag skyddas mot att hans personliga integritet krän- kes genom att uppgifter om honom registreras med hjälp av automatisk databehandling.
Varje medborgare skall i den utsträckning som närmare angives i lag skyddas mot att hans personliga integritet kränkes genom att personupp- gifter behandlas.
364 SOU 1993:10
Med personuppgift avses varje uppgi]? som ensam eller tillsammans med andra är hänförlig till en identifierad eller identifierbar enskild person. Som personuppgift anses dock inte en uppgift som presenteras i statistisk form och som endast efter en om- fattande, kostsam eller tids- krävande arbetsinsats kan hänföras till den enskilde.
Med behandling avses varje åtgärd som vidtas med person— uppgifter genom automatisk databehandling. Med behand- ling förstås även insamling av personuppgifter, om ytterligare åtgärder skall vidtas med upp- gifterna genom automatisk databehandling.
Utredningens förslag till ny datalag innebär bl.a. att personregister- begreppet slopas. Lagen innehåller i stället bestämmelser som reglerar behandling av personuppgifter (jfr specialmotiveringen till 1 — 3 åå förslaget till datalag samt avsnitten 6.6 och 8.7 i den allmänna motiveringen).
Andra stycket i förevarande paragraf har ändrats redaktionellt för att stämma överens med den nya terminologin. I paragrafens tredje stycke har tagits in den definition av personuppgift som finns i 2 å förslaget till datalag. I färde stycket återfinns den definition av behandling som tagits in i 3 å förslaget till datalag.
Nuvarande lydelse Föreslagen lydelse
2 kap. 20 å
Utlänning här i riket är likställd med svensk medborgare i fråga om 1. skydd mot tvång att deltaga i sammankomst för opinionsbildning eller i demonstration eller annan meningsyttring eller att tillhöra trossamfund eller annan sammanslutning (2 å andra meningen),
2. skydd för personlig integri- 2. skydd för personlig integri- tet vid automatisk databehand- tet vid behandling av person— ling (3 å andra stycket), uppgifter (3 å andra stycket),
SOU 1993: 10 365
3. skydd mot dödsstraff, kroppsstraff och tortyr samt mot medicinsk påverkan i syfte att framtvinga eller hindra yttranden (4 och 5 åå), 4. rätt till domstolsprövning av frihetsberövande med anledning av brott eller misstanke om brott (9 å första och tredje styckena), 5. skydd mot retroaktiv brottspåföljd och annan retroaktiv rättsverkan av brott samt mot retroaktiv skatt eller statlig avgift (10 å), 6. skydd mot inrättande av domstol i vissa fall (11 å första stycket), 7. skydd mot missgynnande på grund av ras, hudfärg eller etniskt ursprung eller på grund av kön (15 och 16 åå), 8. rätt till fackliga stridsåtgärder (17 å), 9. rätt till ersättning vid expropriation eller annat sådant förfogande (18 &) Om annat icke följer av särskilda föreskrifter i lag, är utlänning här i riket likställd med svensk medborgare även i fråga om 1 . yttrandefrihet, informationsfrihet, mötesfrihet, demonstrationsfrihet, föreningsfrihet och religionsfrihet (l å), 2. skydd mot tvång att giva till känna åskådning (2 å första meningen), 3. skydd mot kroppsligt ingrepp även i annat fall än som avses i 4 och 5 åå, mot kroppsvisitation, husrannsakan och liknande intrång samt mot intrång i förtrolig meddelelse (6 å), 4. skydd mot frihetsberövande (8 å första meningen), 5. rätt till domstolsprövning av frihetsberövande av annan anledning än brott eller misstanke om brott (9 å andra och tredje styckena), 6. offentlighet vid domstolsförhandling (11 å andra stycket), 7. skydd mot ingrepp på grund av åskådning (12 å andra stycket tredje meningen), 8. författares, konstnärers och fotografers rätt till sina verk (19 å). På sådana särskilda föreskrifter som avses i andra stycket tillämpas 12 å tredje stycket, fjärde stycket första meningen samt femte stycket.
I fråga om denna ändring hänvisas till vad som har sagts i anslutning till 2 kap. 3 å.
Nuvarande lydelse Föreslagen lydelse
8 kap. 7 5
Utan hinder av 3 eller 5 å kan regeringen efter bemyndigande i lag genom förordning meddela föreskrifter om annat än skatt, om föreskrifterna avser något av följande ämnen:
1. skydd för liv, personlig säkerhet eller hälsa,
2. utlännings vistelse i riket,
3. in— eller utförsel av varor, av pengar eller av andra tillgångar, tillverkning, kommunikationer, kreditgivning, näringsverksamhet,
366 SOU 1993:10
ransonering eller utformning av byggnader, anläggningar och be-
byggelsemiljö,
4. jakt, fiske, djurskydd eller natur- och miljövård,
5. trafik eller ordningen på allmän plats,
6. undervisning och utbildning,
7. förbud att röja sådant som någon har erfarit i allmän tjänst eller under utövande av tjänsteplikt, 8. skydd för personlig integri- tet vid behandling av person- uppgifter-
Bemyndigande som avses i första stycket medför ej rätt att meddela föreskrifter om annan rättsverkan av brott än böter. Riksdagen kan i lag, som innehåller bemyndigande med stöd av första stycket, föreskriva även annan rättsverkan än böter för överträdelse av föreskrift som regeringen meddelar med stöd av bemyndigandet.
Utredningens förslag till ny datalag förutsätter en möjlighet till regelut- fyllnad på lägre konstitutionell nivå. I 36å förslaget till datalag bemyndigas regeringen eller, efter regeringens bemyndigande, Datainspektionen att i vissa fall meddela närmare föreskrifter om tillämpningen av olika paragrafer i lagen. Ett sådant bemyndigande kan inte tas in i datalagen utan ett tillägg i förevarande paragraf.
Bakgrunden till den här föreslagna ändringen har behandlats i avsnitt 14 i den allmänna motiveringen.
22.2 Förslaget till lag om ändring i tryckfrihets— förordningen
Utredningen föreslår att ändringar skall göras i 2 kap. 3 och 11 åå tryckfrihetsförordningen. Andringarna skall enligt förslaget träda i kraft den 1 januari 1995.
Nuvarande lydelse Föreslagen lydelse
2 kap. 3 &
Med handling förstås framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Handling är allmän, om den förvaras hos myndighet och enligt 6 eller 7 å är att anse som inkommen till eller upprättad hos myndighet.
SOU 1993:10
Nuvarande lydelse
Upptagning som avses i första stycket anses förvarad hos myndighet, om upptag- ningen är tillgänglig för myn— digheten med tekniskt hjälpme- del som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, av- lyssnas eller på annat sätt uppfattas. Detta gäller dock ej upptagning som ingår i person- register, om myndigheten enligt lag eller förordning eller särskilt beslut, som grundar sig på lag, saknar befogenhet att göra överföringen. Med per- sonregister förstås register, förteckning eller andra anteck- ningar som innehålla uppgift som avser enskild person och som kan hänföras till denne.
Föreslagen lydelse
Upptagning som avses i första stycket anses förvarad hos myndighet, om upptag- ningen är tillgänglig för myn- digheten med tekniskt hjälpme- del som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, av- lyssnas eller på annat sätt uppfattas. Detta gäller dock ej upptagning för automatisk databehandling som innehåller personuppgifter, om myndig- heten enligt lag eller förord- ning eller särskilt beslut, som grundar sig på lag, saknar befogenhet att göra överföring- en.
Med personuppgift avses varje uppgift som ensam eller tillsammans med andra är hänförlig till en identifierad eller identifierbar enskild person. Som personuppgift anses dock inte en uppgift som presenteras i statistisk form och som endast efter en om- fattande, kostsam eller tids- krävande arbetsinsats kan hänföras till den enskilde.
Andra stycket i paragrafen har ändrats redaktionellt för att stämma överens med den terminologi som finns i utredningens förslag till ny datalag. Förslaget till datalag innebär att det tidigare personregister- begreppet slopas. Lagen reglerar i stället behandling av personupp— gifter (jfr avsnitt 6.6 och 8.7 i den allmänna motiveringen).
I tredje stycket har tagits in den definition av personuppgift som finns i 2å förslaget till datalag. Jfr specialmotiveringen till den
paragrafen.
368 SOU 1993:10
Nuvarande lydelse Föreslagen lydelse
2kap. 11 å
Som allmän handling anses ej ]. brev, telegram eller annan sådan handling som har inlämnats till eller upprättats hos myndighet endast för befordran av meddelande, 2. meddelande eller annan handling som har inlämnats till eller upprättats hos myndighet endast för offentliggörande i periodisk skrift som utgives genom myndigheten,
3. tryckt skrift, ljud- eller bildupptagning eller annan handling som ingår 1 bibliotek eller som från enskild har tillförts allmänt arkiv uteslutande för förvaring och vård eller forsknings- och studieändamål eller privata brev, skrifter eller upptagningar som eljest ha överlämnats till myndighet uteslutande för ändamål som nu angivits,
4. upptagning av innehållet i handling som avses i 3, om upptagningen förvaras hos myndighet där den ursprungliga handlingen ej skulle vara att anse som allmän.
Det som föreskrivs i första stycket 3 om handling som ingår i bibliotek tillämpas inte på upptagning för automatisk databehandling i sådant regis- ter som myndighet har tillgång till enligt avtal med annan
Det som föreskrivs i första stycket 3 om handling som ingår i bibliotek tillämpas inte på upptagning för automatisk databehandling som myndighet har tillgång till enligt avtal med annan myndighet.
myndighet.
Utredningens förslag till ny datalag innebär att registerbegreppet slopas. Förevarande paragrafs andra stycke har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag. Hänvisningen till register har utgått även på den grunden att i kravet på att databehandlingen skall vara automatisk finns återkopplingen till en viss logisk uppbyggnad av och struktur på uppgifterna.
22.3 Förslaget till lag om ändring i yttrandefri- hetsgrundlagen
Utredningen förslår att en ändring skall göras i 1 kap 9. å yttrandefri— hetsgrundlagen. Andringen skall enligt förslaget träda i kraft den 1 januari 1995.
SOU 1993: 10 369
Nuvarande lydelse Föreslagen lydelse
1 kap. 9 5
Denna grundlags föreskrifter om radioprogram tillämpas också när en redaktion för en tryckt periodisk skrift eller för radioprogram, ett företag för framställning av filmer eller ljudupptagningar eller en ny- hetsbyrå med hjälp av elektro- magnetiska vågor på begäran tillhandahåller allmänheten upplysningar direkt ur ett register med upptagningar för automatisk databehandling. Det gäller dock inte om den motta- gande kan ändra innehållet i
Denna grundlags föreskrifter om radioprogram tillämpas också när en redaktion för en tryckt periodisk skrift eller för radioprogram, ett företag för framställning av filmer eller ljudupptagningar eller en ny- hetsbyrå med hjälp av elektro- magnetiska vågor på begäran tillhandahåller allmänheten upplysningar direkt ur upptag- ningar för automatisk databe- handling. Det gäller dock inte om den mottagande kan ändra innehållet i upptagningen.
registret.
Utredningens förslag till ny datalag innebär att registerbegreppet slopas. Förevarande paragraf har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag. Hänvisningen till register har utgått även på den grunden att i kravet på att databehand- lingen skall vara automatisk finns återkopplingen till en viss logisk uppbyggnad av och struktur på uppgifterna.
22.4 Förslaget till datalag
I betänkandet föreslås en ny datalag. Lagen innefattar i åtskilliga väsentliga hänseenden en ny reglering om man jämför med den nu gällande datalagen. Hur lagförslaget förhåller sig till förslaget till EG- direktiv har behandlats i avsnitt 5 och i övrigt i berörda avsnitt i den allmänna motiveringen och specialmotiveringen.
Den föreslagna lagen tar först upp vissa inledande bestämmelser (1 - 8 åå). Dessa bestämmelser anger lagens tillämpningsområde och innehåller också definitioner av begreppen personuppgift, behandling och persondataansvarig.
Bestämmelserna i 9 — 21 åå innehåller de allmänna materiella reglerna för behandling av personuppgifter. Där regleras - anknytning till ett ändamål
370 SOU 1993: 10
— god datased
- förutsättningar för behandling av personuppgifter - vilka personuppgifter som får behandlas - insamling av personuppgifter från den enskilde - säkerhet och gallring samt - känsliga personuppgifter.
Därefter innehåller lagen ett avsnitt om den persondataansvariges skyldigheter i fråga om insyn, rättelse m.m. (22 - 29 åå) samt särskilda bestämmelser om behandling av känsliga personuppgifter för forsknings- eller statistikändamål resp anställningsändamål (30 — 35 55).
Efter några bestämmelser som avser bemyndigande för regeringen eller Datainspektionen att meddela föreskrifter samt skyldighet för den persondataansvarige att göra anmälan till Datainspektionen om be- handling av personuppgifter (36 - 38 åå) följer ett avsnitt som reglerar inspektionens tillsyn (39 - 44 åå). Lagen avslutas med ett antal övriga bestämmelser (45 - 51 åå). Där finns bl.a. föreskrifter om straff, skadestånd, förverkande och vite.
I 14 å i den gällande datalagen finns en bestämmelse om skyldighet för myndigheter att överföra ADB-upptagningar till läsbar form. Regeln gäller bara upptagningar som används i ett mål eller ett ärende. Bestämmelsen får anses höra mer hemma i sekretesslagen, i det avsnitt i 15 kap. sekretesslagen som tar upp särskilda bestämmelser om upptagningar för automatisk databehandling. Bestämmelsen i 14 å i den nuvarande datalagen har därför förts över till sekretesslagen.
Lagförslaget innehåller inte någon reglering av det statliga person- och adressregistret (SPAR). Aviseringsutredningen (FI 1992:12) skall enligt sina direktiv (Dir. l992z52) överväga om SPAR skall behållas i framtiden. Utredningen måste därvid bedöma vilka effekter som ett avskaffande av SPAR får på efterfrågan av uttag bl.a. enligt offentlig- hetsprincipen från andra datasamlingar samt i vad mån ett avskaffande leder till uppkomsten av nya datasamlingar.
Inledande bestämmelser
1 å Syftet med denna lag är att skydda den enskilde mot att hans personliga integritet kränks genom att person uppgifter behand- las.
I denna inledande paragraf anges målsättningen med lagen; att utgöra ett skydd för den enskilde mot sådant intrång i hans personliga integri- tet som kan ske genom behandling av personuppgifter.
Syftet med den gällande datalagen har varit att skydda den enskilde mot sådant otillbörligt intrång i den personliga integriteten som kan bli
SOU 1993:10 371
följden av dataregistrering av personuppgifter (jfr 3 å i den gällande lagen och prop. 1973:33 s. 90).
I 2 kap 3 å andra stycket regeringsformen (RF) ges medborgarna ett grundlagsskydd för den personliga integriteten vid automatisk data- behandling. Enligt stadgandet, som tillkom genom en lagändring år 1988, skall varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehand- ling. Utländsk medborgare är enligt 2 kap 20 å 2 likställd med svensk medborgare i fråga om skyddet för personlig integritet vid automatisk databehandling. Genom tillägget i 2 kap 3 å andra stycket har integritetsskyddet på dataområdet givits en fastare förankring i RF än vad som följer av målsättningsstadgandet i 1 kap 2 å. Grundlagsbe- stämmelsen i 2 kap 3 å andra stycket har ändrats redaktionellt för att stämma överens med den nya terminologin om behandling av person- uppgifter (se avsnitt 22.1).
Vid utformningen av den grundläggande dataskyddsbestämmelsen i RF diskuterades möjligheterna att direkt i grundlagen ange ett visst mått av integritetsskydd som inte fick underskridas. Det ansågs emel— lertid inte möjligt att staka ut någon sådan gräns för dataskyddet. En avgörande anledning var att det inte bedömdes som möjligt att ge den personliga integriteten en närmare definition som rättsligt begrepp. Den personliga integriteten uppfattades inte som något statiskt utan begreppet kunde ha olika innebörd vid skilda tidpunkter och förhållan- den. Detsamma menade man gällde för det otillbörlighetsrekvisit som användes i datalagen. Vaga begrepp av denna typ ansågs passa mindre väl in i en fri- och rättighetskatalog i RF (prop. 1987/88:57 s. 11).
Genom bestämmelsen i RF slås fast att det skall finnas en datalag- stiftning till skydd för den personliga integriteten, men att den närmare omfattningen av skyddet får regleras i vanlig lag. Grundlagsregeln ansågs få rättslig betydelse genom att lagstiftaren åläggs att vara aktiv genom att stifta och vidmakthålla en datalagstiftning. Grundlagsregeln hindrar inte att regeringen, andra myndigheter och kommuner meddelar dataskyddsbestämmelser.
Europarådskonventionens syfte och ändamål anges i konventionens artikel 1 vara att säkerställa respekten för grundläggande fri— och rättigheter, särskilt rätten till personlig integritet i samband med auto- matisk databehandling av personuppgifter.
] förslaget till EG-direktiv anges i artikel 1.1 att medlemsstaterna skall, i överensstämmelse med direktivet, skydda fysiska personers fri- och rättigheter, särskilt rätten till personlig integritet, i samband med behandlingen av personuppgifter. Medlemsstaterna får enligt artikel 1.2 varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstater med hänvisning till skyddet för enskildas integritet enligt artikel 1.1. Enligt kommentaren är syftet med direktivet att, genom att sörja för en harmonisering av den nationella
372 SOU 1993:10
lagstiftningen, säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. Direktivet försöker således att sammanjämka den inre marknadens behov av ett fritt informationsflöde med kravet på dataskydd.
Utredningen har i avsnitt 8 redogjort för de svårigheter som föreligger när det gäller att definiera det allmänna begreppet otill- börligt intrång i personlig integritet. Utredningen har där dragit slutsatsen att det inte är lämpligt att för framtiden bygga en integritets- lagstiftning på ett så vagt begrepp som otillbörligt intrång i personlig integritet. I stället har utredningen valt att genom en förhållandevis fyllig reglering i lagen försöka att ange hur avvägningen mellan skyddet för den enskildes personliga integritet och andra motstående intressen skall göras. Avsikten har varit att direkt i lagen ange vilken behandling som är tillåten och definiera vilka intressen som skall väga tyngst i olika situationer. Den som utför en behandling i strid mot regleringen i datalagen har kränkt det skydd för den personliga in— tegriteten som den enskilde genom lagen skall vara tillförsäkrad.
Som framgått av det föregående anges i förevarande paragraf också lagens tillämpningsområde. Lagen reglerar alltså behandling av personuppgifter. Skälen till att det nuvarande begreppet personregister har utmönstrats och ersatts med personuppgift har utvecklats i avsnitt 6. Begreppet personuppgift finns definierat i 2 å. Av definitioneni 3 å följer att med behandling åsyftas varje typ av databehandling. Vissa mera harmlösa typer av databehandling faller dock utanför lagens tillämpningsområde på grund av bestämmelserna i 6 å 4 och 5 samt 7 å.
Liksom den gällande datalagen tar utredningens lagförslag endast sikte på skyddet för fysiska personer. Juridiska personer faller helt utanför regleringen. Det är möjligt att även juridiska personer i vissa fall skulle kunna anses ha ett behov av skydd mot automatisk databe- handling. Det framstår dock som tveksamt om ett sådant skydd bör regleras i en lag vars främsta syfte är att värna om den personliga in- tegriteten. Frågan ligger också utanför utredningens direktiv. Kommit— tén för översyn av det allmännas skadeståndsansvar (Ju 1989103) har bl.a. övervägt att införa en generell reglering av det allmännas ansvar för datafel. Enligt vad som under hand inhämtats från kommittén anser emellertid kommittén att det för närvarande inte finns skäl att införa någon speciell reglering av det allmännas skadeståndsansvar för datafel, utöver de särskilda ersättningsregler som redan gäller be- träffande skador till följd av tekniska fel i vissa datasamlingar.
2 å Med personuppgift avses varje uppgift som ensam eller till- sammans med andra är hänförlig till en identifierad eller identifierbar enskild person.
SOU 1993: 10 373
Som personuppgift anses dock inte en uppgift som pre- senteras i statistisk form och som endast efter en omfattande, kostsam eller tidskrävande arbetsinsats kan hänföras till den enskilde.
I paragrafen definieras ett av de grundläggande begrepp som används i lagförslaget.
I den gällande datalagen definieras personuppgift som "upplysning som avser enskild person" (1 å). En redogörelse för bestämningen av begreppet personuppgift enligt gällande lag finns i avsnitt 6.1 i den allmänna motiveringen.
I avsnitt 6.2 finns en redogörelse för Europarådskonventionens definition av begreppet personuppgift. Avsnitt 6.3 innehåller en beskrivning av den definition av personuppgift som finns i förslaget till EG—direktiv.
Med avidentifiering avses att namn eller varje annan beteckning som är direkt hänförlig till den enskilde avlägsnas. Avidentifieringen är således en form av gallring.
Teoretiskt kan det vara möjligt att i vissa fall genom s.k. bak- vägsidentifikation, även efter en företagen avidentifiering, identifiera en viss person. Detta kan ske exempelvis genom att vissa uppgifter av offentlig natur, såsom ålder, kön, församling och årsinkomst är kända och efter en sammanställning gör identifieringen möjlig eller att andra karakteristika såsom en utvald grupps ringa storlek eller en angiven säregen händelse möjliggör att uppgifterna knyts till en viss enskild person. I samband med införandet av tillståndssystemet i datalagen år 1973 ansågs också register, där alla identifikationsmöjligheter helt och hållet eliminerats, böra falla utanför kravet på tillstånd, även om man av en ren tillfällighet skulle kunna identifiera en viss person med hjälp av andra registrerade uppgifter (se prop. 1973:33 s. 118). Datainspek- tionen har i sin praxis ställt höga krav på att bakvägsidentifikation inte skall vara möjlig för att avidentifiering skall anses föreligga.
Den av utredningen föreslagna definitionen av begreppet personupp- gift innebär en bättre anpassning till den internationella regleringen. I förhållande till gällande rätt kan definitionen sägas vara något mera vidsträckt. Med den föreslagna definitionen kommer nämligen alla uppgifter som direkt eller indirekt går att härleda till en individ att falla under begreppet personuppgift, oavsett hur stora resurser som krävs för att knyta uppgifterna till en enskild. (Jämför dock undantaget för uppgifter i statistisk form i paragrafens andra stycke.) Det skulle möjligen kunna hävdas att uppgifter som inte utan mycket stora resurser kan härledas till en enskild normalt sett inte utgör något hot mot den personliga integriteten och att de därmed inte omfattas av lagens syfte. Utredningen anser emellertid att en definition som täcker alla de fall då det är tekniskt möjligt att hänföra uppgifter till en individ ger det bästa skyddet för enskilda. En sådan definition stämmer
374 SOU 1993: 10
också överens med vad som gäller enligt förslaget till EG-direktiv. Med utredningens förslag måste sålunda bakvägsidentifikation vara utesluten för att avidentifiering skall anses föreligga.
Definitionen är avsedd att täcka alla upplysningar som direkt eller indirekt kan härledas till en enskild person. Liksom enligt gällande lag faller juridiska personer utanför begreppet.
Som personuppgift räknas i första hand sådana upplysningar som avser namn, identitetsnummer, födelsedatum, utbildning, familjeför- hållanden och anställning. Också uppgifter av mindre personlig natur kan räknas som personuppgifter. Som personuppgift bör exempelvis räknas uppgifter om en persons ekonomi, innehav av fastigheter eller fordon.
Även bilder räknas som personuppgifter under förutsättning att det är möjligt att identifiera den avbildade personen. Likaså röstupptag- ningar, fingeravtryck, genetiska uppgifter och olika uppgifter som kan hänföras till en persons utseende.
Frågan om den föreslagna datalagens tillämpning på bilder m.m. har diskuterats i avsnitt 19.4.
En uppgift anses möjlig att härleda till en viss person även om identitetsuppgiften är utformad på ett sådant sätt att den kan tolkas endast av den invigde. Kryptering medför således inte att uppgifter upphör att vara personuppgifter. Frågor rörande kryptering behandlas närmare i anslutning till 17 och 27 åå. Statistiska uppgifter kan räknas som personuppgifter om det genom beteckningar eller liknande är möjligt att återknyta uppgifterna till en viss individ.
Paragrafens andra stycke innehåller ett undantag från huvudregeln att alla uppgifter som kan härledas till en individ skall anses som personuppgifter. Utanför begreppet personuppgift faller således upp- gifter som presenteras i statistisk form och som i och för sig kan härledas till en enskild, men där detta inte är möjligt utan en om- fattande, kostsam eller tidskrävande arbetsinsats. Undantaget har tillkommit för att underlätta redovisningen av olika resultat inom forskning och statistik. I de fall då det krävs betydande insatser för att anknyta uppgifter till en enskild har utredningen ansett att forskningens intressen får väga tyngre än det eventuella hot mot den personliga integriteten som uppgiftshanteringen kan medföra. Med omfattande, kostsam eller tidskrävande arbetsinsats avses att arbetsinsatsen är så stor att det i praktiken knappast blir aktuellt att hänföra uppgifterna till en viss person. Särskilda bestämmelser för forskning och statistik finns för övrigt i 30 och 31 åå.
Utredningens definition av begreppet personuppgift och undantaget för vissa uppgifter i statistisk form torde stämma överens med förslaget till EG-direktiv.
SOU 1993: 10 375
3 å Med behandling avses varje åtgärd som vidtas med personupp- gifter genom automatisk databehandling. Med behandling förstås även insamling av personuppgifter, om ytterligare åtgärder skall vidtas med uppgifterna genom automatisk databehandling.
I förevarande bestämmelse definieras begreppet behandling. Med behandling avses i lagförslaget alla sådana åtgärder som genom automatisk databehandling utförs med personuppgifter. Begreppet personuppgift har definierats i 2 å i lagförslaget. Enligt bestämmelsens andra stycke betraktas även insamling av uppgifter som behandling, under förutsättning att avsikten är att uppgifterna skall bli föremål för automatisk databehandling.
Enligt den gällande datalagen definieras ett personregister som register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften.
Avsnitt 6.1 i den allmänna motiveringen innehåller en beskrivning av den gällande datalagens grundbegrepp. Europarådskonventionens grundbegrepp finns beskrivna i avsnitt 6.2. Den definition av be- greppet behandling (processing) som finns i förslaget till EG-direktiv redovisas i avsnitt 6.3.
Utredningens överväganden beträffande registerbegreppet, ADB m.m. har redovisats i avsnitt 6.
Utredningen har, som framgått av redovisningen under avsnitt 6, funnit att begreppet automatisk databehandling inte närmare kan eller bör definieras i lagen. Med den datortekniska utveckling som pågår skulle en teknisk definition av detta slag ganska snabbt kunna göra lagen inaktuell. Någon annan definition än att det måste vara frågan om en automatisk bearbetning av uppgifter ges därför inte.
Definitionen av behandling är avsedd att täcka alla former av auto— matisk behandling. Som exempel på sådana åtgärder kan nämnas inmatning av uppgifter, ordnande, lagring, bearbetning, ändring, åter- vinning, sökning, användning, röjande, innehållande, utplånande eller förstörande. Vanlig ordbehandling och enbart sökning omfattas sålunda av definitionen i denna paragraf. Vissa mera harmlösa typer av databehandling faller dock utanför lagens tillämpningsområde på grund av reglerna i 6 å 4 och 5 samt 7 å.
Av skäl som redovisats i avsnitt 5.2 har utredningen ansett att lagen inte bör omfatta även manuellt förda personuppgifter. Uppgifter som hanteras manuellt faller därför generellt sett utanför lagens tillämp- ningsområde. I vissa fall kan dock även manuella personuppgifter omfattas av lagens reglering. Förevarande paragrafs andra stycke anger att begreppet behandling innefattar även insamling av personuppgifter, om avsikten är att uppgifterna skall bli föremål för automatisk databehandling. Även insamlingen faller således in under lagen även
376 SOU 1993:10
om den inte sker med hjälp av automatisk databehandling. I 4 å tas upp några fall av manuell dokumentation som omfattas av lagens regle- ring.
Utredningens definition av begreppet behandling avviker från den definition av behandling (processing) som finns i förslaget till EG- direktiv genom att den inte omfattar manuellt förda uppgifter.
4 å Lagen är även tillämplig på dokumentation av bearbetningar (logg), sökord och index som inte utgör personuppgifter eller som inte behandlas men som hänför sig till personuppgifter som är föremål för behandling.
Bestämmelserna i förevarande paragraf har behandlats i avsnitt 6 i den allmänna motiveringen. Genom bestämmelsen kommer lagen att omfatta även vissa uppgifter som, med de definitioner som ges i 2 och 3 åå, annars skulle falla utanför lagens tillämpningsområde.
En logg innehåller dokumentation av de automatiska bearbetningar som utförts. Den har stor betydelse vid kontroll av efterlevnaden av föreskrifter om säkerhet. En logg består oftast av personuppgifter och förs i regel med hjälp av automatisk databehandling.
Sökord eller index består också ofta av personuppgifter. De kan föras med hjälp av automatisk databehandling eller manuellt.
Oavsett om en logg, ett sökord eller ett index består av personupp- gifter eller inte och oavsett om de förs manuellt eller med hjälp av automatisk databehandling, kommer de genom förevarande bestämmel- se att omfattas av lagen. En förutsättning är dock att det finns ett samband med personuppgifter som är föremål för behandling på det sättet att loggen, sökordet eller indexet hänför sig till de personuppgif- ter som behandlas.
Utredningen ser det som nödvändigt att de uppgifter som regleras i förevarande paragraf omfattas av lagen, eftersom de genom sin starka anknytning till behandlingen av personuppgifter utgör en viktig faktor vid regleringen av integritetsskyddet i samband med automatisk databe- handling.
5 å Ansvarig för behandling av personuppgifter ( persondataansva- rig) är den som bestämmer ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behand- las.
Persondataansvaret har behandlats i avsnitt 12 i den allmänna motive- ringen.
SOU 1993:10 377
Persondataansvaret kan inte delegeras utan åvilar alltid den myndighet eller det privaträttsliga subjekt som bestämmer över ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas. Detta innebär att det straffrättsli- ga ansvaret för brott mot datalagens bestämmelser i princip ligger på den eller de personer som ansvarar för myndighetens eller det privaträttsliga subjektets verksamhet. För kommunala nämnder gäller att det straffrättsliga ansvaret i princip ligger på nämndens ordförande och dess ledamöter. Om beslutanderätten delegeras kan detta innebära att det straffrättsliga ansvaret flyttas. Dessa frågor har berörts i avsnitt 12 och 19.1 i den allmänna motiveringen.
Vid organisatoriska förändringar kan det ofta bli aktuellt med överföringar av persondataansvaret. Eftersom en anmälan är knuten till en viss myndighet eller juridisk eller fysisk person måste den nye persondataansvarige, om behandlingen är anmälningspliktig (jfr 37 få), göra en ny anmälan till Datainspektionen. Behandlingen av de överlämnade personuppgifterna får inte påbörjas förrän anmälan kommit in till Datainspektionen.
Om en persondataansvarig upphör med sin verksamhet skall upp- gifterna i princip gallras. Beträffande personuppgifter som utgör allmän handling gäller dock att, vid sidan av skyddet för den personli- ga integriteten, de intressen som anges i 3 & arkivlagen skall beaktas. Även personuppgifter som inte utgör allmän handling får i viss utsträckning bevaras. Frågor om gallring har behandlats särskilt under avsnitt 15 i den allmänna motiveringen. I 19 å i lagförslaget finns regler om gallring.
I de fall personuppgifter lämnas över till en arkivmyndighet för lagring blir arkivmyndigheten persondataansvarig för de överlämnade uppgifterna. Uppgifterna hos arkivmyndigheten kommer att lagras för att tillgodose de syften som anges i 3 & tredje stycket arkivlagen såvitt gäller personuppgifter som utgör allmänna handlingar och i övrigt för att användas för de syften som anges i 195 tredje stycket i lag— förslaget. För de uppgifter som tagits emot för lagring hos arkiv- myndigheten gäller inte alla datalagens bestämmelser. Vilka be- stämmelser som inte gäller framgår av 8 5 i lagförslaget.
Vid konkurser har Datainspektionens praxis varit att tillåta konkurs— förvaltaren att, utan att ansöka om nytt tillstånd eller göra en ny anmälan för licens, under en övergångsperiod föra konkursboets register. Vid försäljning av konkursboets register har dock tillstånds- plikt ansetts uppkomma om registret varit tillståndspliktigt.
Utredningens förslag medför en förändring av synen på person— dataansvaret vid konkurser. Efter konkursbeslutet får gäldenären inte råda över egendom som hör till konkursboet (3 kap. 1 & konkursla- gen). Därav följer att gäldenären inte längre har möjlighet att be- stämma över ändamålet med behandlingen av de personuppgifter som finns i företaget/konkursboet. Om konkursförvaltaren väljer att driva
378 SOU 1993:10
ett konkursföretag vidare under en tid, är det troligt att den behandling av personuppgifter som utförs i verksamheten sker för samma ändamål som tidigare bestämts. De uppgifter som enligt konkurslagen åligger konkursförvaltaren kan dock medföra att personuppgifterna behandlas även för andra ändamål. De kan exempelvis behandlas för att förvaltaren skall kunna utröna om det föreligger misstanke om borge- närsbrott. Oavsett om personuppgifter i ett konkursbo behandlas för samma ändamål som före konkursbeslutet eller för ett nytt ändamål blir emellertid, med utredningens synsätt, konkursförvaltaren att anse som persondataansvarig för den behandling av personuppgifter som sker i konkursboet. Detta följer av att gäldenären inte längre har någon rätt att bestämma över behandlingen. I stället är det förvaltaren som har möjlighet att bestämma över ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas.
Vissa komplikationer kan uppkomma när en dataservicebyrå försätts i konkurs. Om en servicebyrå vid konkursbeslutet har ett antal personuppgifter som de behandlar för annans räkning är det viktigt att tillse att uppgifterna inte sprids på ett otillåtet sätt. Det är också angeläget att servicebyråer som för annans räkning behandlar person- uppgifter har sådan programvara som krävs för att det, i exempelvis en konkurssituation, skall vara möjligt att återföra kundernas person- uppgifter.
Hur utredningens förslag förhåller sig till förslaget till EG—direktiv har berörts i den allmänna motiveringen (avsnitt 12).
6 5 Denna lag gäller inte vid behandling av personuppgifter om ändamålet med behandlingen är att behandlingen eller upp- gifterna skall
]. utgöra ett direkt tekniskt hjälpmedel för framställning av tryckta skrifter eller yttranden som avses i yttrandefrihets- grundlagen,
2. utgöra en förteckning över dem som har lämnat med- delande enligt 1 kap. 1 & tryckfrihetsförordningen eller I kap. 2 & yttrandefrihetsgrundlagen,
3. utgöra arkiv för material som har varit publicerat i perio- disk skrift eller som har förekommit i program i ljudradio eller television,
4. ingå i sådana uppgiftssamlingar som lagrade uppslags- verk, ordböcker eller liknande referensmaterial, eller
5. ingå i Iöpande text.
I denna paragraf tas under fem olika punkter upp olika slags be- handling av personuppgifter som inte omfattas av datalagens reglering.
SOU 1993:10 379
Punkt ]
Undantaget i denna punkt avser behandling av sådana personuppgifter som utredningen har kallat för produktionsregister. Utmärkande för dessa datasamlingar är att de står i ett direkt tekniskt samband med själva framställningen, vare sig det rör sig om en framställning i form av en tryckt skrift eller ett yttrande som avses i yttrandefrihetsgrund- lagen (YGL).
Som utredningen närmare har utvecklat i avsnitt 7.3 utnyttjas ADB- tekniken i dag i stor utsträckning vid framställning av yttranden. Tidningar framställs ofta genom att artiklar m.m. förs över till en stordator med vars hjälp materialet redigeras och sättes. ADB-tekniken utnyttjas också inom Sveriges Radio-koncernen vid sammanställningen av olika program. Det nyhetsmaterial, för att ta ett exempel, som för— medlas är ofta lagrat på ADB—medium. Vidare används ADB—tekniken i allt större utsträckning för framställningen av böcker. Enligt utredningens slutsats kan datalagens regelsystem ge upphov till konflikter med föreskrifterna om förbud mot censur och andra hindrande åtgärderi 1 kap 2 ätryckfrihetsförordningen (TF) och 1 kap 3 5 YGL vad gäller produktionsregistren. Framför allt är det Datain- spektionens tillsynsverksamhet som kan leda till normkonflikter. Men även en mindre ingripande bestämmelse i datalagen kan ge upphov till konflikter genom att Datainspektionen, om bestämmelsen inte efterlevs, i princip måste uppställa sådana villkor för den persondataansvarige att efterkomma bestämmelsen som ytterst kan leda till ett förbud. Det är med hänsyn till det nu sagda som produktionsregistren uttryckligen helt har undantagits från datalagens tillämpningsområde.
De flesta produktionsregister borde normalt vara ganska kortlivade. Inte sällan gallras de efter produktionen. Om de bevaras, förlorar de normalt karaktären av produktionsregister. I så fall blir datalagen tillämplig, om inte något annat undantag enligt denna paragraf kan bli tillämplig (jfr punkt 3).
Har t.ex. en bok producerats med hjälp av ADB—teknik, och sparas ADB-upptagningen för att användas för produktionen av nästa upplaga, är det emellertid rimligt att anse att ADB-upptagningen behåller sin karaktär av produktionsregister. Ändamålet med behandlingen av per— sonuppgifterna är ju i detta fall endast produktion. I ett exempel som det nu nämnda kan naturligtvis ett produktionsregister existera under en längre tid.
Undantaget i denna punkt överensstämmer inte helt, som har redovisats i den allmänna motiveringen, med förslaget till EG—direktiv. EG-direktivet är begränsat till pressens, audiovisuella medias och journalisternas journalistiska verksamhet. Direktivet medger således inte undantag för exempelvis förlagsverksamhet.
En typ av produktionsregister är datasamlingar som används för att framställa olika slags spärrlistor. Inom vissa branscher har det blivit
380 SOU 1993:10
vanligt att sprida information om kunder i form av spärrlistor. En spärrlista är en förteckning över personer som anses ha misskött sig i sitt mellanhavande med en uthyrare eller kreditgivare.
Spärrlistor ges i allmänhet ut av en branschorganisation eller ett särskilt företag. Prenumeranter på spärrlistor är vanligtvis företag som bidrar till innehållet genom att lämna uppgifter till utgivaren från sina kundregister.
Syftet med Spärrlistor är att varna företagen för att träffa avtal med dem som finns omnämnda i listan.
Uppgifter som lämnas till ledning för bedömningen av en annan persons kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende innebär kreditupplysning.
Kreditupplysningsverksamheten är reglerad i kreditupplysningslagen (1973:1173). Sådan verksamhet får i princip bedrivas endast efter tillstånd av Datainspektionen. Lagen innehåller straffsanktionerade förbud mot vissa slag av uppgifter, bl.a. om politisk eller religiös upp- fattning, ras eller hudfärg och om straff och andra brottspåföljder (6 å). Personupplysning får inte heller innehålla uppgifter om betalningsförsummelser som inte har lett till rättsliga åtgärder samt om förhållanden som ligger mer än tre år tillbaka i tiden (7 och 8 55). Lagen stadgar vidare ersättningsskyldighet för skada, som till följd av kreditupplysningsverksamhet tillfogas någon genom otillbörligt intrång i hans personliga integritet eller genom att oriktig uppgift lämnas om honom, samt skyldighet för den som bedriver verksamheten att rätta oriktiga eller missvisande uppgifter (21 och 12 åå).
En spärrlista kan framställas på olika sätt. Det vanligaste lär dock fortfarande vara att den ges ut som en tryckt skrift. Frågan om för- hållandet mellan TF och kreditupplysning i tryckt skrift togs med anledning av den förestående lagstiftningen om kreditupplysnings- verksamhet upp redan i regeringens proposition 1973:123 med förslag till ändring i tryckfrihetsförordningen. Propositionen ledde till vissa ändringar av TF genom att det i TF infördes bl.a. det nu gällande stadgandet som innebär att bestämmelser utan hinder av TF får med- delas i lag dels om förbud mot offentliggörande i yrkesmässig kreditupplysningsverksamhet av kreditupplysning, som innebär otillbörligt intrång i enskilds personliga integritet eller som innehåller oriktig eller missvisande uppgift, dels om ersättningsskyldighet för sådant offentliggörande och dels om rättelse av oriktig eller miss- visande uppgift (1 kap. 9 & TF).
Frågan togs därefter upp igen i regeringens proposition om förslag till kreditupplysningslag (prop. 1973:155). Förslaget till kreditupplys- ningslag anpassades i vissa avseenden till TF. Bl.a. framhöll före— dragande statsrådet att det inte bör öppnas någon möjlighet att i en lag som meddelas vid sidan av TF införa bestämmelser om förhands- granskning och tillståndstvång beträffande kreditupplysningsverksamhet som bedrivs genom offentliggörande av kreditupplysning i tryckt skrift.
SOU 1993:10 381
I den nya lagen borde därför enligt föredragande statsrådet föras in en bestämmelse om att det föreskrivna tillståndstvånget inte omfattar sådan verksamhet (prop. 1973:155 s. 130 ff). En bestämmelse med sådant innehåll finns numera i 3 & kreditupplysningslagen.
Som utredningen ovan anfört är ett spärregister, som är avsett att användas som ett direkt tekniskt hjälpmedel före eller vid fram- ställningen av en skrift, att anse som ett produktionsregister. Med utredningens förslag till förtydligande av vad gällande rätt innebär skulle således datalagen inte vara tillämplig på spärregistren.
Kreditupplysningslagen torde enligt utredningens mening ge tillräckliga möjligheter för Datainspektionen att ingripa mot olika integritetskränkningar som kan följa med användningen av spärregister och spärrlistor. Ingripanden mot spärrlistorna kommer nämligen att återverka på spärregistren, som ju direkt används för tryckningen av listorna. Vad som nu har sagts gäller också annat tryckt material än spärrlistor som kan komma till användning i kreditupplysningssamman- hang.
Punkt 2
I denna punkt görs undantag för behandling av sådana personuppgifter som utgör förteckningar över anonymitetsskyddade personer.
I 3 kap TF finns regler om rätt till anonymitet för dem som medverkar vid tillkomsten av tryckta skrifter. Av stor betydelse i detta sammanhang är bestämmelsen i 3 kap 3 & TF. ] denna paragraf finns föreskrifter som ålägger bl.a redaktionell personal vid en tidning eller nyhetsbyrå, hos förlag anställda samt boktryckare, grafiker och annan teknisk personal tystnadsplikt beträffande bl.a. en författare eller meddelare. Enligt 3 kap 4 & TF får vidare en myndighet eller annat allmänt organ i princip inte efterforska den som är författare eller den som har uppträtt som meddelare. Motsvarande bestämmelser som skyddar meddelare finns också i YGL.
Syftet med undantaget i denna punkt är att skydda identiteten på den som har lämnat meddelanden till exempelvis en tidning eller ett radioföretag. Visserligen går Datainspektionens tillsynsverksamhet inte ut på att efterforska en meddelares identitet, men enligt utredningen föreligger det en betydande risk för att skyddade uppgifter oavsiktligt kan komma att röjas då Datainspektionen utövar sin tillsyn.
Undantaget avser endast meddelare. Det gäller dock alla slags meddelanden enligt 1 kap 1 & tredje stycket T F och 1 kap 2 & YGL. Denna punkt är således tillämplig om upplysningar lämnas till ex- empelvis en författare. Som har utvecklats i den allmänna motiveringen innebär undantaget i den delen en avvikelse från förslaget till EG- direktiv.
Ett praktiskt problem kan uppstå om uppgifter om en meddelare, t.ex. uppgifter som rör ersättningen till en tipsare, blandas samman
382 SOU 1993:10
med löneadministrativa personuppgifter hos en tidning. De förstnämn- da uppgifterna omfattas av tystnadspliktsföreskrifterna i TF men inte de övriga uppgifterna i den löneadministrativa datasamlingen.
Detta problem har vissa beröringspunkter med vad som brukar kallas för god offentlighetsstruktur. Med det menar man att myndig- heterna självmant skall beakta den grundlagsfästa principen om allmänna handlingars offentlighet vid all hantering av information. Den alltmer omfattande användningen av ADB hos myndigheterna har emellertid i vissa avseenden lett till ökade problem vid tillämpningen av reglerna om handlingsoffentlighet i 2 kap TF. Under år 1982 infördes därför särskilda bestämmelser om ADB-upptagningar i 15 kap sekretesslagen (1980:100) för att förstärka offentlighetsprincipen i dessa sammanhang. I 15 kap 9 & sekretesslagen finns numera en uttrycklig erinran om att myndigheter som i sin verksamhet använder ADB skall ordna denna med beaktande av offentlighetsintressena. Kravet preciseras på så sätt att myndigheterna särskilt skall beakta att allmänna handlingar bör hållas åtskilda från andra handlingar samt att skyddet av sekretessbelagda uppgifter i ADB-upptagningar som är allmänna handlingar bör vara sådant att insynen enligt TF inte för- svåras.
En tanke bakom den redovisade lagstiftningen är således att hemliga uppgifter bör skiljas från icke hemliga uppgifter. Enligt utredningens mening bör denna princip gälla även tidningarnas löneadministrativa datasamlingar och motsvarande datasamlingar på andra håll. Reglerna i 15 kap 9å sekretesslagen är emellertid inte tillämpliga hos tid- ningarna. Frågan är då om det finns något behov av lagstiftning på området.
Problemet med hemliga och icke hemliga uppgifter i en och samma datasamling hos tidningarna synes inte vara praktiskt stort. Vidare förhåller det sig givetvis så att tidningarna inte kan undanhålla Datain- spektionen de icke hemliga uppgifterna. I ett konkret fall måste alltså tidningarna påta sig det praktiska arbetet med att skilja uppgifterna åt. Utredningen finner mot bakgrund härav övervägande skäl tala för att någon lagstiftning på området inte är erforderlig. Tidningarna kan naturligtvis välja att föra nu aktuella uppgifter manuellt. Kravet på att hemliga och icke hemliga uppgifter på ett rimligt sätt hålles skilda, kan möjligen någon gång innebära att de hemliga uppgifterna bör föras ma- nuellt.
Punkt 3
I denna punkt görs undantag för de datoriserade arkiven hos tid- ningarna och radioföretagen.
Som utredningen närmare har redovisat under avsnitt 7.3 har tid- ningarna alltmer börjat utnyttja ADB-tekniken för att arkivera artiklar
SOU 1993:10 383
som har varit publicerade. Även radioföretagen använder ADB- tekniken som ett hjälpmedel vid arkivering.
Innebörden av denna punkt är att behandlingen av uppgifter i nu nämnda arkiv inte omfattas av datalagens tillämpningsområde. Det spelar ingen roll om arkiven används exempelvis för tidningarnas publicistiska verksamhet eller för annan verksamhet. En tidning bestämmer således själv huruvida uppgifter skall lämnas ut ur dess arkiv till allmänheten eller inte. Det sistnämnda utlämnandet regleras inte av datalagen.
Undantaget är begränsat till tidningarnas och radioföretagens eget material och egna arkiv. Några andra klipp eller andra arkiv omfattas således inte av undantaget. Vidare är det en förutsättning för att undantaget skall vara tillämpligt att personuppgifterna har varit publicerade respektive har förekommit i ett program.
Som utredningen har påpekat i den allmänna motiveringen över- ensstämmer undantaget i denna punkt, såvitt gäller annan behandling än sådan som görs för massmediaföretagens egen verksamhet, inte med förslaget till EG—direktiv.
Punkt 4
I denna punkt görs undantag för det fall att ändamålet med behand- lingen är att uppgifterna skall ingå i lagrade uppslagsverk etc.
Datalagen är tillämplig på personuppgifter som kan göras till- gängliga genom ADB-teknik.
I dag lagras biblioteksinformation, ordböcker, lexikon etc. i stor ut— sträckning i databaser och optiska lagringsmedia, främst CD—ROM. CD-ROM gör det möjligt att lagra stora mängder information, in- klusive personuppgifter. Sökning av information sker med hjälp av sökprogram som temporärt lagras i en dator så länge en viss skiva används. Innehållet på skivan kan naturligtvis också överföras till och lagras direkt i en dator. Informationen på skivan är dock inte möjlig att ändra. En ändring av innehållet kan emellertid ske efter bearbetning i en dator, om det lagras på ett annat minne. Likheten mellan CD- ROM och en databas är stor. CD-ROM har dock fördelar genom sin kapacitet och den snabbhet med vilken informationen kan avläsas. Det är också mer ekonomiskt fördelaktigt att använda sig av informationen på CD—ROM än sökning i en databas som endast kan nås via telenätet och som det är dyrt att ha on-line. CD—ROM har även betydligt längre hållbarhet än disketter och hårddiskar.
Av denna punkt följer att datalagen inte är tillämplig på behandling av sådana personuppgifter som enbart förekommer som biblioteksin— formation eller i form av lexikaliska uppgifter etc. Utredningen har nämligen kommit till slutsatsen att tillgången till personuppgifter av detta slag, även med användningen av avancerad sökteknik, inte innebär någon ur integritetsskyddssynvinkel beaktansvärd risk. Det
384 SOU 1993:10
avgörande är att den enda behandling som är möjlig att utföra är sökningar.
Om de uppgifter som är tillgängliga genom CD-ROM eller en databas integreras i ett system som gör det möjligt antingen att göra sökningar och sammanställningar med andra personuppgifter eller att helt enkelt göra andra bearbetningar än sökningar av tillgängliga uppgifter, är undantaget inte tillämpligt. I de fallen gäller således datalagen.
Den som bestämmer vilket innehåll som skall finnas på en CD- ROM-skiva och en databas kan givetvis göra andra behandlingar än bara sökningar. Sådan behandling, vars syfte är att tillskapa en CD— ROM-skiva eller en databas, är inte undantagen enligt denna punkt. Själva framställningen av en CD—ROM—skriva och en databas torde normalt emellertid vara att anse som ett produktionsregister och därmed vara undantagen från datalagens tilllämpningsområde (jfr punkten l).
Undantaget enligt denna punkt saknar motsvarighet i förslaget till EG-direktiv.
Punkt 5
I denna punkt finns ett undantag för behandling av personuppgifter om ändamålet med behandlingen av dem är att de skall ingå i löpande text. Undantaget tar sikte på sådan behandling som görs i syfte att pro- ducera löpande text. Undantaget avser alltså sedvanlig ordbehandling.
Enligt utredningen kan ordbehandling inte medföra några risker för den personliga integriteten. Det saknas därför anledning att låta sådan behandling omfattas av datalagens tillämpningsområde. Därtill kommer att det knappast är rimligt att låta datalagen vara tillämplig på en ADB- behandling som används av i stort sett alla som producerar löpande text.
Vid tillkomsten av den nuvarande datalagen uttalade föredragande statsrådet i frågan om vilka uppgifter som kunde anses utgöra ett sådant ADB-register som omfattas av datalagen bl.a. att det direkt eller indirekt måste vara fråga om behandling från informationssynpunkt av faktiska uppgifter. Ett ADB-register kan sålunda inte anses upprättat bara genom att löpande text lagras i ett datamedium, exempelvis för att sättning skall kunna ske med hjälp av datateknik. På grund härav faller åtskillig databehandling av olika slags litteratur, främst skönlitte- ratur, utanför datalagens tillståndssystem. Först i den mån databehand— lingen tar sikte på faktiska uppgifter i den litterära framställningen - såsom för upprättande av innehållsregister eller liknande - föreligger ett register i datalagens mening. Den närmare gränsdragningen när det gällde att bestämma registerbegreppets innebörd överlämnades åt praxis (prop. 1973:33 s. 118).
SOU 1993: 10 385
Med framställning av löpande text avses bl. a. produktion av beslut, brev, uppsatser, skrivelser, dokument och liknande handlingar. Även skönlitteratur hör givetvis hit. Undantaget omfattar däremot inte framställningen av ett register i traditionell mening, t.ex. ett namn— register. Inte heller anteckningar om arbetssökande på arbetsförmed— lingar. uppgifter i diarier, journaler och liknande är att betrakta som löpande text.
Produkter av nu aktuellt slag torde normalt inte gallras när de har skrivits ut. När produktionen bevaras, kan det vara tveksamt om det fortfarande är fråga om ordbehandling. Så torde dock vara fallet om man lagrar exempelvis brev för att kunna hålla sig ä jour i någon fråga. Det kan t.ex. röra sig om affärskorrespondens. Däremot är det inte ordbehandling, om man gör olika sökningar och sammanställ- ningar av information som har lagrats.
Det är att märka att undantaget bara är tillämpligt så länge som personuppgifterna är föremål för ordbehandling. Lagras uppgifterna för att t.ex. behandlas för andra syften än ordbehandling, blir datalagen tillämplig. Teoretiskt kan man här tänka sig svåra gränsdragningspro- blem. Enligt utredningen torde det emellertid i praktiken oftast vara klart om behandlingen avser endast ordbehandling.
Undantaget i denna punkt saknar motsvarighet i förslaget till EG- direktiv. Däremot görs det i direktivet i princip ett undantag från skyldigheten att informera datatillsynsmyndigheten när det gäller ordbehandling (art. 19.1). Bakgrunden härtill är att ordbehandling inte kan anses som någon integritetskänslig verksamhet.
7 & Denna lag gäller inte heller behandling av personuppgifter av en enskild som sker uteslutande för personligt bruk.
I likhet med 6 & anger 7 _S vad som undantas från lagens tillämpnings- område. Det undantag som regleras här är sådan behandling av personuppgifter som en enskild utför endast för personligt bruk. I motsats till gällande rätt är undantaget inte partiellt, utan behandling enligt förevarande paragraf undantas helt från lagens tillämpnings— område.
Enligt gällande rätt undantas personregister som en enskild person inrättar eller för uteslutande för personligt bruk från kravet på licens eller tillstånd (2 & tredje stycket i den gällande datalagen). Lagens bestämmelser om den registeransvariges skyldigheter, Datainspektio- nens tillsyn m.m. gäller emellertid även för dessa register. Undantaget tillkom i samband med slopandet av det generella tillståndskravet år 1982. Vid lagens tillkomst anförde föredragande statsrådet följande (prop. 1981/82:189 s. 54- 55).
386 SOU 1993: 10
Avgörande för om undantagsbestämmelsen blir tillämplig är bl.a. om användningen av ett personregister till någon del hänger samman med näringsverksamhet. Med näringsidkare avses varje person som yrkesmässigt driver verksamhet av ekonomisk art. Till näringsidkare räknas t.ex. fria yrkesutövare som advokater, arkitekter, fotografer, journalister m.fl. Aven den som driver verksamhet i något mindre skala anses som näringsidkare, om det yrkesmässiga momentet är uppfyllt. Något vinstsyfte krävs inte.
Om en person helt eller delvis använder ett personregister i sin näringsverksamhet, kan det aldrig vara fråga om att registret an- vänds uteslutande för personligt bruk. Undantagsregeln är då inte tillämplig. Detsamma gäller om någon inrättar eller för ett person- register som till någon del skall användas för hans yrkesverksamhet såsom anställd.
Personregister som används för forskning kan som regel inte anses avsedda uteslutande för personligt bruk. Om ansvaret för ett visst forskningsprojekt åvilar en universitetsinstitution, är det fråga om verksamhet inom den offentliga sektorn. Undantagsbestämmel- sen blir då inte tillämplig. Ofta finansieras forskningsprojekt av näringslivet eller av stiftelser e.d. I sådana fall förväntas i regel någon form av resultat som kan användas för publicering eller på annat sätt. Det är då heller inte fråga om något renodlat personligt bruk. I undantagsfall förekommer det dock att forskning bedrivs mera som hobbyverksamhet och finansieras med egna medel. Ett exempel är släktforskning. I sådana fall kan man tala om an- vändning av ersonuppgifter uteslutande för enskilt bruk. Villkoret för detta är ock att det inte till någon del är fråga om yrkes— eller näringsverksamhet.
I den mån ett register har ändamål som kan hänföras både till personligt bruk och till annat blir undantagsregeln inte tillämplig. Det är då inte fråga om uteslutande personligt bruk. Om exempelvis en affärsidkare eller advokat för register över kunder eller klienter som samtidigt hör till bekantskapskretsen, blir undantagsregeln inte tillämplig.
Enligt förslaget till EG—direktiv skall direktivet inte tillämpas på behandling av personuppgifter som utförs av en fysisk person för en rent privat och personlig verksamhet (art. 3.2). Som exempel på helt privat verksamhet nämns i kommentaren förandet av elektronisk dagbok.
I sina tidigare ställningstaganden ifrågasatte utredningen om det finns någon anledning att bibehålla vissa skyldigheter för register som förs uteslutande för personligt bruk. För dessa register gäller ex- empelvis skyldighet att lämna utdrag enligt 105 i datalagen och skyldighet att vidta rättelse. Utredningen ansåg att det knappast var troligt att Datainspektionen i ett framtida tillsynssystem skulle ha möjlighet att intensifiera sin tillsyn över register förda för personligt bruk. Det framstår heller inte som önskvärt att så sker, eftersom ut- gångspunkten för tillsynen bör vara att bevaka områden där in- tegritetsriskerna typiskt sett är större. Användningen uteslutande för personligt bruk hör inte till dessa områden. Bestämmelser som inte kan kontrolleras bör, menade utredningen, i princip inte införas. Ut—
SOU 1993:10 387
redningen föreslog därför att personuppgifter som används uteslutande för personligt bruk, inte bara bör undantas från en framtida an- mälningsskyldighet utan helt falla utanför datalagens tillämpningsom- råde. Utredningen framhöll att det naturligtvis finns anledning att även framgent kontrollera och pröva om en viss användning är sådan att den anses falla inom området personligt bruk.
Tre remissinstanser har yttrat sig över frågan om undantag för behandling av personuppgifter som används uteslutande för personligt bruk. Hovrätten över Skåne och Blekinge och Medborgarrättsrörelsen Friheten i Sverige menar att undantagsområdet skulle kunna vidgas på så sätt att personuppgifter som används "huvudsakligen" för personligt bruk undantas från lagens tillämpningsområde. Juridiska fakultets- nämnden vid Stockholms universitet anför att undantaget för personda- tabehandling som sker uteslutande för personligt bruk från flera synpunkter kan vara motiverat, men att ordningen från andra syn— punkter kan ifrågasättas. Framförallt anser fakultetsnämnden att det är datakommunikationsmöjligheter i kombination med den tekniska apparaturens pris och prestanda jämfört med tidigare som kan ge anledning till tveksamhet. Också svårigheten att dra gränser mellan rent personlig databehandling och yrkesanknuten databehandling kan påverka bedömningen. Det får givetvis inte bli så att privatzonen blir en fristad för tveksamma verksamheter som innefattar omfattande och avancerad persondatahantering — något som numer i och för sig är ekonomiskt och tekniskt möjligt.
Utredningen anser, av skäl som tidigare har redovisats, att i vart fall personuppgifter som behandlas uteslutande för personligt bruk helt bör falla utanför datalagens tillämpningsområde. Utredningen har också övervägt de propåer som har förts fram av några remissinstanser om att undantagsområdet skall vidgas ytterligare. Som Hovrätten över Skåne och Blekinge framhåller i sitt yttrande är det knappast menings- fullt att databehandling som snart sker i var mans hand omfattas av datalagens kontrollsystem. Emellertid blir det svårare att avgränsa det område som skall tas undan och utvecklingen skulle med en sådan regel kunna gå i den riktning som den tredje remissinstansen befarar. Ett på detta sätt bestämt undantag stämmer inte heller överens med för- slaget till EG-direktiv. Utredningen vidhåller alltså sitt tidigare förslag.
Någon förändring i förhållande till gällande rätt vad gäller avgräns- ningen mot användning i näringsverksamhet är inte avsedd.
I det föregående har berörts hur bestämmelserna i förevarande paragraf förhåller sig till förslaget till ETC-direktiv.
8 & Ifråga om personuppgifter som har tagits emot för lagring av en arkivmyndighet gäller inte bestämmelserna i 22 - 29 samt 36 - 38 55.
388 SOU 1993:10
I paragrafen görs undantag för vissa av lagens bestämmelser vid sådan behandling som består av lagring hos en arkivmyndighet.
Förslaget till datalag omfattar även sådan behandling som består av lagring hos en arkivmyndighet. Utredningen anser emellertid inte att det, för att upprätthålla en godtagbar nivå på skyddet för den personli- ga integriteten, är nödvändigt att alla bestämmelser i lagen tillämpas på uppgifter som lagras hos arkivmyndigheter. De undantag som föreskrivs i denna paragraf gäller den persondataansvariges skyl— digheter (22 - 29 55). Den enskilde kommer således exempelvis inte att kunna begära att felaktiga uppgifter rättas eller begära upplysning om vilka uppgifter om honom som lagras. Vidare undantas den bestämmelse som ger Datainspektionen möjlighet att meddela före- skrifter angående behandlingen (36 5). Oavsett vilka uppgifter som lagras gäller att arkivmyndigheten inte behöver ge in någon anmälan till Datainspektionen (37 5).
Den gällande datalagen gör i princip motsvarande undantag för register som tagits emot för förvaring av en arkivmyndighet. Enligt 2 a 5 andra stycket erfordras det inte något tillstånd för sådana register. Arkivmyndigheter behöver inte ha någon förteckning över de per- sonregister som de förvarar (7 a % femte stycket). Bestämmelserna om rättelseskyldighet m.m. i 8 & gäller inte för nu berörda register. Inte heller rätten att få ett s.k. & 10-utdrag gäller för register som en arkivmyndighet tagit emot för förvaring.
Förslaget till EG-direktiv föreskriver att personuppgifter inte skall behållas i en form som medger identifikation av enskilda under längre tid än vad som är nödvändigt för de ändamål som föreligger (art. 6.1.e). Medlemsstaterna får dock uppställa lämpliga skyddsregler för personuppgifter som lagras för historisk, statistisk eller vetenskaplig användning.
I 19 å i lagförslaget finns bestämmelser om när personuppgifter som inte längre behöver behandlas för det ursprungliga ändamålet, trots detta får lagras för att tillgodose vissa angivna syften.
Genom att de grundläggande bestämmelserna i lagförslaget om behandling av personuppgifter gäller för personuppgifter som tagits emot för lagring av en arkivmyndighet, bör enligt utredningen lämpliga skyddsregler ha ställts upp i enlighet med vad som gäller enligt förslaget till EG-direktiv.
Det bör framhållas att den nu berörda bestämmelsen bara gäller lagring av personuppgifter hos en arkivmyndighet. För en annan myndighet som förvarar personuppgifter i sitt arkiv gäller datalagen fullt ut.
SOU 1993: 10 389
Behandling av personuppgifter
Anknytning till ett ändamål
9 & Personuppgifter får samlas in endast för bestämda och uttryckliga ändamål och i övrigt behandlas endast på ett sätt som är förenligt med dessa ändamål.
Föreskriften i första stycket inskränker inte myndigheternas skyldigheter att lämna ut personuppgifter enligt tryckfrihets- förordningen.
Förevarande paragraf, som föreskriver att personuppgifter får samlas in endast om det sker för bestämda och uttryckliga ändamål och att övrig behandling måste utföras på ett sätt som överensstämmer med dessa ändamål, innehåller den grundläggande regeln för behandling av personuppgifter. I den allmänna motiveringen (avsnitt 6) har utvecklats hur avgränsningen av en viss datasamling skall göras, nämligen genom att personuppgifter får samlas in och i övrigt behandlas endast för ett bestämt och uttryckligt ändamål. Oavsett vilka sammanställningar som är tekniskt möjliga i ett visst fall får alltså de aktuella personuppgifter- na bara behandlas för det ändamål som i det enskilda fallet har bestämts av den som ansvarar för personuppgifterna. I avsnitt 5.4 diskuteras frågan om vilken betydelse bestämmelsen om ändamålsan- knytning har för offentlighetsprincipen. Utredningens lagförslag innehåller även i övrigt åtskilliga bestämmelser där ändamålet med behandlingen av personuppgifter får betydelse. Med den centrala ställning som ändamålsbestämningen har i utredningens förslag är det följaktligen angeläget att ändamålet får en så noggrann precisering som möjligt.
Gällande rätt innehåller en motsvarande bestämmelse om ändamåls- bestämning. Enligt 7 å åligger det den registeransvarige att se till att personregister inrättas och förs så att inte otillbörligt intrång i registre- rads personliga integritet uppkommer. Den registeransvarige skall därvid bl.a. tillse att personregister förs för ett bestämt ändamål (7 5 första stycket 1), att inte andra uppgifter registreras än sådana som står i överensstämmelse med registerändamålet (7 5 första stycket 2), att uppgifter inte samlas in, lämnas ut eller används annat än i över- ensstämmelse med registrets ändamål eller vad som gäller enligt lag eller annan författning eller i enlighet med den registrerades med- givande (7 5 första stycket 4). Bestämmelsen tillkom år 1982 i samband med införandet av licenssystemet. Tidigare meddelade Datainspektionen särskilda villkor för varje register i samband med tillståndsgivningen.
När det gäller tillståndspliktiga register åligger det, enligt 5 & i den gällande datalagen, Datainspektionen att meddela villkor om ändamålet med registret. Om regeringen eller riksdagen inte har meddelat något
390 SOU 1993:10
villkor angående ändamålet vid inrättandet av ett statsmaktsregister är Datainspektionen skyldig att meddela ett sådant villkor om registret i sig är tillståndspliktigt (6 a å).
I Europarådskonventionens artikel 5, som behandlar frågan om datakvalitet, finns bestämmelser om ändamålsanknytning. Där föreskrivs att personuppgifter som undergår automatisk databehandling skall lagras för särskilt angivna och lagliga ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål (art. 5 .b). I kommen- taren till konventionen anges att det sätt på vilket det lagliga ändamålet bestäms kan variera beroende på den nationella lagstiftningen.
Även OECD. s rekommendation innehåller bestämmelser som anknyter till ett ändamål. Rekommendationen har behandlats i avsnitt 4.4.
I förslaget till EG-direktiv (art. 6. 1 .b) understryks betydelsen av en konkret ändamålsangivning. Insamling av uppgifter måste ske för specificerade, uttryckliga och lagliga ändamål och de insamlade uppgifterna får användas endast på sätt som är förenliga med dessa ändamål. I kommentaren till direktivförslaget på denna punkt framhålls att ändamålet måste definieras och anges så snävt som möjligt. En allmän eller vag beskrivning (exempelvis att uppgifterna behövs för "affärsändamål'”) är inte tillräcklig. Ändamålet skall anges innan uppgifterna samlas in. Kravet på laglighet innebär bl.a. att ändamålet skall ligga inom ramen för vad direktivförslaget och den inhemska lagstiftningen tillåter. Ett byte av ändamål anses lagligt endast i den utsträckning det är förenligt med det ursprungligen bestämda ända- målet.
Myndigheters verksamhet regleras i allmänhet relativt noggrant i lagar, förordningar och instruktioner. Syftet med regleringen är att precisera myndighetens ansvarsområde. Därigenom kommer verksam- hetsregleringen att på ett direkt eller indirekt sätt påverka den informationsbehandling som får förekomma hos myndigheten. Motsvarande reglering finns även för privaträttsliga subjekt. Aktie- bolags verksamhet regleras i allmänhet noga i bolagsordningen, handelsbolagens regleras i bolagsavtalet samt föreningars och stiftelsers i stadgarna. Behandling av personuppgifter får i princip inte tjäna något annat ändamål än att vara ett stöd i verksamheten. Verksam- hetsinnehållet är därför den yttersta gränsen för vilka personer och vilka uppgifter om dem som får behandlas.
Ändamålet skall vidare vara bestämt i den meningen att det skall definieras och anges så snävt som möjligt. Ändamålsbestämningar av typen näringsverksamhet, planering eller tillsyn kan således inte accepteras.
För datasamlingar som används för direktreklam skulle en ändamåls- bestämning kunna se ut på följande sätt.
SOU 1993:10 391
Datasamlingen har till ändamål
1. att framställa adressbärare för utsändning av direktadresserat reklammaterial för den persondataansvariges direktreklamkampanj, 2. att framställa listor över telefonnummer till företagares, yrkesut- övares och befattningshavares arbetsplatser för telefonförsäljning eller motsvarande,
3. att följa upp den persondataansvariges direktreklamkampanj genom statistisk bearbetning av svarsfrekvenser.
För en arbetsgivares personalinformationssystem skulle ändamåls- bestämningen kunna anges på följande sätt.
Personalinformationssystemet har till ändamål
1. att administrera löner och annan ersättning,
2. att utgöra underlag för personaladministration, dvs arbetstids- registrering, planering av personalbehov, rekrytering, utbildning, personal— och hälsovård samt planering av arbetstids- och semester utläggning m.m., framställning av intern telefonkatalog och fram- ställning av statistik för personaladministrationen,
3. att framställa meddelanden eller underlag för meddelanden, vilka den persondataansvarige är skyldig att lämna enligt författning eller avtal med de anställda,
4. att utföra budgetering, budgetuppföljning, kostnadsredovisning, revision och annan intern rapportering, distribution av personal- tidning eller annan information till de enskilda.
De ändamål för vilka personuppgifter samlas in måste vara preciserade redan innan uppgifterna samlas in, något som direkt framgår av lag- texten.
Ändamålet skall slutligen vara uttryckligt. Med detta avses att personuppgifter inte får behandlas för dolda ändamål vid sidan av det som skall kunna redovisas utåt.
I den praxis som Datainspektionen har utbildat prövas om den uppgivna arten av uppgifter och mängden uppgifter som skall behandlas stämmer överens med ändamålet. Utöver arten och mängden av uppgifter bör enligt motivuttalanden till den nuvarande datalagen även beaktas sambandet mellan de personer som registreras och ändamålet (prop. 1978/79:109 s. 17). Den prövning som den person- dataansvarige enligt utredningens förslag skall göra för att bedöma vilka personuppgifter som skall behandlas, bör ske på liknande grunder.
Det är den persondataansvarige som bestämmer ändamålet med behandlingen av personuppgifter. Beträffande persondataansvaret hänvisas till framställningen i anslutning till 5 5 och till avsnitt 12 i den allmänna motiveringen. ;
392 SOU 1993: 10
Förevarande bestämmelse reglerar också byten av ändamål. Ett byte av ändamål får ske endast under förutsättning att det nya ändamålet är förenligt med det ursprungligen bestämda ändamålet. Vilka använd- ningsområden som faller inom ramen för ett visst ändamål är en tolkningsfråga.
Några exempel på fall då det nya ändamålet torde vara förenligt med det ursprungliga är följande.
Inom forskningen kan en viss förändring av forskningens inriktning anses förenlig med det ursprungligen bestämda ändamålet. Således torde det exempelvis vara förenligt med det ursprungligen bestämda ändamålet om en forskare, som fått samtycke till en undersökning av sambandet mellan intag av stora mängder karotin och vissa skador på njurarna, väljer att låta forskningen omfatta även skador på levern.
Däremot kan det inte anses förenligt med det ursprungligen bestämda ändamålet om en forskare, som utfört en undersökning vars syfte varit att utreda narkotikamissbrukares allmänna hälsotillstånd, utvidgar ändamålet till att omfatta olika metoder som missbrukama använder sig av för att finansiera sina narkotikainköp.
Från sjukvården kan hämtas ett praktiskt exempel. Behandlingen av patienter, som på grund av oregelbunden hjärtrytm fått en pacemaker inopererad, ansågs av sjukhusets kardiologavdelning i och för sig vara avslutad. Avdelningen ville emellertid fortsätta ADB-behandlingen av patientuppgifterna för att kunna följa upp effekterna av operationerna. En sådan efterföljande ADB-behandling av patientuppgifter måste anses vara förenlig med det ursprungliga vård- och behandlingsändamålet.
I praxis har man ansett att personuppgifter för administrativa ändamål får användas för framställning av statistik för den ifråga- varande verksamheten även om detta inte har angetts uttryckligen vid formuleringen av ändamålet.
När en behandling av personuppgifter inleds kan det många gånger vara svårt att förutse för vilka ändamål uppgifterna i framtiden kan behöva behandlas. Problemet blir särskilt påtagligt vid longitudinella observationsstudier. I de fall det är möjligt att inhämta deltagarnas samtycke finns dock alltid möjligheten att inleda en helt ny behandling med ett nytt ändamål.
I forskningsstudien "Tierpsprojektet" var ändamålet att följa vård- utnyttjandet för invånarna i Tierps kommun. Uppgifter om kontakter med vårdcentralen i Tierp, försäkringskassans uppgifter om andra läkarkontakter, kontakter och vårdtillfällen vid ett annat sjukhus och receptuttag från apoteket i Tierp registrerades. Den information som registrerats har utnyttjats för forskning som haft som ändamål att besvara frågor som exempelvis - om en utbyggd öppenvård medfört minskade krav på sjukhusvård, - hur stort problemet är med bristande patient - läkarkontinuitet och vilka effekter som kan uppnås med en förbättrad organisation,
SOU 1993: 10 393
— de olika ekonomiska konsekvenserna för olika patientgrupper vid ändrade regler för kostnadsfria läkemedel och högkostnadsskydd, - om recept på vissa läkemedel medfört en fortsatt receptförskrivning av samma läkemedel, samt - om det föreligger en ökad tendens att söka läkare för allergiska sjukdomar.
Det ursprungligen bestämda ändamålet i Tierpsprojektet får sägas vara för vitt formulerat för att uppfylla kraven i förevarande paragraf. Utgår man emellertid från det angivna ändamålet torde de forsknings— ändamål som senare tillkommit vara förenliga med det ursprungligen bestämda ändamålet.
Om ett forskningsprojekt har som ursprungligt ändamål att studera hjärt-kärlsjukdomarnas naturalhistoria, d.v.s. hur denna grupp av sjukdomar utvecklas i en från början frisk befolkning, kan inom ramen för detta ändamål svårligen rymmas forskning vars ändamål är att studera exempelvis olycksfallsepidemiologi, öron-näsa-halssjukdomar eller cancerepidemiologi. Det är därför viktigt att den personda- taansvarige innan behandlingen inleds noga överväger vilka olika ändamål som personuppgifterna kan komma att behandlas för. Med deltagarnas samtycke finns det, som tidigare påpekats, alltid möjlighet att påbörja en ny behandling med ett nytt ändamål. När det gäller pågående forskningsprojekt vill utredningen också peka på punkt 2 i förslaget till övergångsbestämmelser som gör det möjligt att låta ändamål som bestämts i ett tillståndsbeslut gälla till utgången av 1998.
Det kan i sammanhanget förtjäna att påpekas att det inte blir fråga om byte av ändamål i de fall en ny persondataansvarig påbörjar en behandling av uppgifter som tidigare behandlats av en annan personda- taansvarig. I dessa fall blir det i stället fråga om en helt ny behandling. Den behandling som exempelvis utförs av myndigheter i samband med granskning eller tillsyn eller av en konkursförvaltare skall således bedömas som en ny behandling. För att den nya behandlingen skall kunna ske krävs att den ursprunglige persondataansvarige på laglig grund (se 11 &) kan eller skall lämna ut uppgifterna till den nye persondataansvarige. Dessutom krävs givetvis att den behandling som företas är laglig i sig, dvs. grundar sig på något av kriterierna i 11 &. Gäller behandlingen känsliga uppgifter krävs, om samtycke inte före- ligger, författningsreglering (se 20 5). En förutsättning är också att personuppgifterna i den nya miljön inte framstår som missvisande. Ett och samma inkomstbegrepp kan t.ex. inte alltid användas för olika ändamål.
Ändamålsbestämningen innebär en begränsning av vilka personupp- gifter som får behandlas. Enligt 13 å i lagförslaget får inte sådana personuppgifter behandlas som inte behövs för att behandling skall kunna ske för ett visst ändamål. Stor betydelse har ändamålsbe- stämningen även för tillämpningen av bl.a. bestämmelserna om när
394 SOU 1993: 10
personuppgifter behöver vara aktuella, när personnummer får behandlas och när gallring skall ske (14, 15 och 19 55). I paragrafens andra stycke har tagits in en erinran om att bestämmelsen i första stycket inte får hindra att myndigheter fullgör sina skyldigheter enligt tryckfrihetsförordningen. Bakgrunden till bestämmelsen har redovisats i avsnitt 5.4.
Förhållandet mellan förevarande paragraf och förslaget till EG- direktiv har delvis redan berörts. Det har inte ansetts nödvändigt att i paragrafen ange att personuppgifter får behandlas endast för lagliga ändamål. Av kommentaren till direktivförslaget framgår att med lagliga ändamål avses de grunder enligt vilka behandling av personuppgifter får ske, t.ex. artikel 7 som har sin motsvarighet i 11 å i utredningens lagförslag. Det är vidare självklart och behöver inte särskilt utsägas att den persondataansvarige inte får behandla personuppgifter på ett sätt som strider mot andra föreskrifter än datalagen.
God datased
10 & Personuppgifter skall behandlas i överensstämmelse med god sed i förhållandet mellan en persondataansvarig och en enskild (god datased).
I anslutning till 75 i den gällande datalagen har begreppet "god registersed" myntats. Med utredningens förslag kommer registerbe- greppet att utmönstras ur datalagen och begreppet god registersed blir därför inte längre relevant. I stället föreslår utredningen i förevarande paragraf att all behandling av personuppgifter skall ske i överensstäm- melse med god datased.
Begreppet " god sed" förekommer inom olika rättsområden. Exempelvis innehåller inkassolagen (1974: 182) en allmän grundregel (4 5) som fastslår att inkassoverksamhet skall bedrivas enligt god inkassosed. Bestämmelsen har kompletterats med en föreskrift om att gäldenären inte får vållas onödig skada eller olägenhet eller utsättas för otillbörlig påtryckning eller annan otillbörlig inkassoåtgärd. Grundprin- cipen att inkassoverksamhet skall bedrivas enligt god inkassosed konkretiseras i inkassolagens 5 — 11 55 samt i Datainspektionens till- ämpningsföreskrifter och praxis. I propositionen till inkassolagen (prop. 1974142 5. 79) angavs att kravet på iakttagande av god inkassosed inte endast innebär att gäldenären skall skyddas mot onödig skada och olägenhet utan också innefattar ett förbud mot sådana inkassoåtgärder som är särskilt integritetskränkande och därmed otill- börliga.
I artikel 6. La i förslaget till EG—direktiv föreskrivs att personuppgif- ter skall behandlas ärligt och lagligt (fairly and lawfully). Enligt kommentaren utesluter bestämmelsen användandet av dold teknisk utrustning som i hemlighet och utan den enskildes vetskap kan samla
SOU 1993:10 395
in uppgifter, såsom sker vid telefonavlyssning och liknande. Be- stämmelsen skall också hindra den persondataansvarige från att utveckla och använda hemliga metoder vid behandling av personupp- gifter.
Utredningen har strävat efter att ge förhållandevis detaljerade regler i datalagen för hur behandlingen av personuppgifter skall gå till. Tanken är också att de allmänna bestämmelserna i datalagen skall kompletteras med föreskrifter av Datainspektionen på skilda områden. För känsliga uppgifter krävs enligt förslaget en särskild författnings- reglering för åtminstone vissa moment i informationsbehandlingen. Trots denna jämförelsevis utförliga reglering kan det naturligtvis inträffa att personuppgifter behandlas på ett sätt som inte formellt strider mot de dataskyddsbestämmelser som finns men som ändå är olämpligt och leder till integritetsskada eller risk för sådana skador. Genom bestämmelserna i förevarande paragraf får Datainspektionen möjlighet att ingripa i sådana fall. Bestämmelsen är motiverad bl.a. av det förhållandet att den oerhört snabba utveckligen på dataområdet gör det svårt att förutse alla de olika situationer som kan bli aktuella.
Bestämmelsen om god datased skall ses mot bakgrund av lag- förslagets allmänna inriktning att skapa ett integritetsskydd för den enskilde. Olika riktlinjer som kan komma att fastställas av olika branschorganisationer får beaktas. Den praxis som redan utbildats på olika områden kan i vissa fall utgöra en vägledning. Det blir Datain- spektionen som får följa utvecklingen och ingripa med de åtgärder som visar sig behövliga.
Kravet på god datased är avsett att motsvara direktivförslagets föreskrift om att personuppgifter skall behandlas "fairly". Att närmare ange i vilka fall som regeln kan leda till ett ingripande från Datain- spektionen är knappast möjligt. Ytterst måste det bli en fråga för rättstillämpningen att närmare definiera begreppets innebörd. Klart är emellertid att bestämmelsen bör användas med försiktighet. Den behandling av personuppgifter som den persondataansvarige ägnar sig åt måste framstå som klart olämplig och vara ägnad att leda till integritetsskador.
Enligt förslaget till E G—direktiv skall personuppgifter även behandlas på ett lagligt sätt. Det har inte ansetts nödvändigt att särskilt ange detta i förevarande paragraf. I denna del kan hänvisas till vad som har sagts i anslutning till 9 % i lagförslaget.
Förutsättningar för behandling av personuppgifter
11 % Personuppgifter får behandlas endast 1. om den enskilde har samtyckt till behandlingen, 2. om behandlingen behövs för att fullgöra ett avtal med den enskilde eller för att på den enskildes begäran vidta förbe- redande åtgärder inför ett avtal,
396 SOU 1993: 10
3. om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning,
4. om behandlingen behövs för att skydda intressen som är av väsentlig betydelse för den enskilde,
5. om behandlingen behövs för att utföra en uppgift i det allmännas intresse eller i myndighetsutövning av den person- dataansvarige eller någon till vilken uppgifterna lämnas ut, eller
6. om behandlingen behövs för att tillgodose ett allmänintresse eller ett intresse hos den persondataansvarige eller någon till vilken uppgifterna lämnas ut, under förutsättning att detta intresse får anses väga tyngre än den enskildes intresse avatt uppgifter om honom inte behandlas.
Personuppgifter får inte lämnas ut, om det finns anledning anta att uppgifterna skall behandlas i strid med denna lag. I fråga om personuppgifter som behandlas av en myndighet tillämpas i stället bestämmelserna i sekretesslagen (1980:100).
Myndigheter får inte utan samtycke av den enskilde försälja personuppgifter som behandlas annat än i enlighet med lag, förordning eller särskilt beslut av regeringen.
I paragrafen anges under vilka förutsättningar en behandling av personuppgifter är laglig. Beträffande behandling av sådana personupp- gifter som innefattar särskilda risker för den personliga integriteten uppställs i 20 och 37 åå särskilda krav för att en behandling skall vara laglig. En behandling som utförs utan att någon av de förutsättningar som anges i paragrafen föreligger är straffsanktionerad i 47 å. Eftersom gällande rätt bygger på ett modifierat tillståndssystem, saknar den nuvarande datalagen en bestämmelse som motsvarar 11 å i utredningens förslag. Även den nuvarande datalagen innehåller emellertid regler som är avsedda att underlätta sådan automatisk databehandling som är nödvändig för att fullgöra åligganden som följer av lag eller annan författning. I 2 a å tredje stycket 2 och 3 i den gällande datalagen görs undantag från tillståndsplikten för bl.a. vissa register som förs av myndigheter inom hälso- och sjukvården samt inom socialtjänsten. I de fall som anges erfordras endast att den registeransvarige anmält sig hos Datainspektionen och erhållit en licens. Jfr första stycket 3 i förevarande paragraf. Den gällande datalagen skiljer också ut registrering av personer som inte står i någon relation till den persondataansvarige. För register som omfattar personer som saknar anknytning till den registeransvarige krävs enligt 3 a å särskilda skäl för att tillstånd att inrätta och föra personregister skall meddelas. Enligt 11 å första stycket 2 i utredningens förslag får behandling av personuppgifter ske om det är behövs för att fullgöra ett avtal med den enskilde eller för att på den enskildes begäran vidta
SOU 1993: 10 397
förberedande åtgärder inför ett avtal. Motsvarigheten till 3 a å i nu gällande datalag torde närmast vara 11 å första stycket 6 i lagförslaget.
I avsnitt 4.3.3 finns en redogörelse för Europarådets rekommen- dation om skydd för personuppgifter som används för direktreklam- ändamål.
I artikel 7 i förslaget till EG-direktiv finns de grundläggande prin- ciperna för behandling av personuppgifter angivna. Enligt artikel 7.a får personuppgifter behandlas endast om den enskilde har lämnat sitt samtycke. Samtycke är emellertid endast en av sex olika omständig- heter som gör en behandling laglig. En behandling får också utföras om den är nödvändig för att fullgöra ett avtal med den enskilde, eller för att på den enskildes begäran företa förberedande åtgärder inför ett avtal (art. 7.b). Även en behandling som är nödvändig för att uppfylla en skyldighet som ålagts genom lag eller annan författning är tillåten (art. 7.c). Vidare är en behandling som är nödvändig för att skydda den enskildes vitala intressen laglig (att. 7.d). I kommentaren till artikel 7.d anges att bestämmelsen tillkommit för att täcka de fall när den enskilde har ett vitalt intresse av att personuppgifter om honom behandlas, men där han - som i exempelvis allvarliga medicinska fall - är förhindrad att ge sitt samtycke. Enligt artikel 7.e är en behandling tillåten om den är nödvändig för att utföra en uppgift i det allmännas intresse (in the public interest) eller genomförs i myndighetsutövning (in the exercise of public authority) av den persondataansvarige eller av en tredje man till vilken personuppgifter lämnas ut. Slutligen är en behandling laglig om den är nödvändig för att tillgodose ett allmän- intresse eller de legitima intressen som finns hos den persondataansva- rige eller hos en tredje person till vilken personuppgifter lämnas ut, utom i de fall då den enskildes intressen väger tyngre (art. 7.f). Enligt kommentaren tar den sistnämnda bestämmelsen hänsyn till det faktum att det kan föreligga andra legitima intressen än de som kan finnas hos den persondataansvarige och hos den enskilde.
Förevarande bestämmelse anger sex olika omständigheter som gör en behandling av personuppgifter laglig. Datainspektionen kan med stöd av 36 å i lagförslaget komma att meddela närmare föreskrifter om tillämpningen av bestämmelsen.
Under punkt 1 anges den första av de omständigheter som gör en behandling av personuppgifter laglig. Om den enskilde samtycker till en behandling skall denna vara tillåten. Bestämmelsen får ses som ett uttryck för principen att den enskilde så långt det är möjligt skall ha rätt att själv bestämma över behandlingen av personuppgifter som avser honom. I 12 å i utredningens förslag regleras hur ett samtycke skall vara utformat och vad som gäller i de fall ett samtycke återkallas.
Enligt punkt 2 är en behandling av personuppgifter tillåten om den behövs för att fullgöra ett avtal eller, under förutsättning att det sker på den enskildes begäran, behandlingen behövs för att genomföra förberedande åtgärder som är avsedda att leda till ett avtal. Behandling
398 SOU 1993: 10
av personuppgifter som sker i samband med ett avtalsförhållande torde i regel ske med i vart fall ett passivt samtycke. I vissa fall har den enskilde också möjlighet att undgå automatisk databehandling genom att välja en annan avtalspart. Om behandlingen avser känsliga uppgifter krävs enligt 20 å att den enskilde lämnar sitt samtycke till behand- lingen eller att behandlingen har stöd i lag eller annan författning.
När det gäller förberedande åtgärder som är avsedda att leda till ett avtal måste, för att behandlingen skall vara tillåten enligt punkt 2, den enskilde ha tagit något initiativ för att inleda en dialog som kan resultera i ett avtalsslut. Hos ett försäkringsbolag skulle personuppgif- ter som erhållits i samband med förfrågan om försäkringsvillkor kunna behandlas med stöd av 11 å första stycket 2. Det kan exempelvis vara fråga om behandling av uppgifter om bostad och inventarier för framräkning av en hemförsäkringspremie. Skall den typ av känsliga uppgifter som anges i 20å i lagförslaget behandlas krävs dock ett skriftligt samtycke. Således är det inte möjligt att enbart med stöd av en förfrågan om en viss försäkring behandla uppgifter om den presumtive försäkringstagarens hälsotillstånd.
Även i samband med kreditgivning kan det bli aktuellt med viss be- handling före avtalsslutet. Med stöd av 11 å första stycket 2 kan exempelvis en bank behandla kreditupplysningar om en enskild i samband med handläggningen av en låneansökan.
Den andra punkten i förevarande bestämmelse får inte ges en alltför vid tolkning. Vid t. ex. ett kontantköp är avtalsrelationen avslutad när varan levererats och betalning skett. Även om en person vid upprepade tillfällen anlitar ett visst företag för leverans av varor eller tjänster innebär inte detta att ett avtalsförhållande i den mening som avses i bestämmelsen föreligger. Av detta följer dock inte att ett företag är förhindrat att i sin egen marknadsföring behandla personuppgifter som härstammar från tidigare kundrelationer. Om den tidigare kunden anmält sitt intresse att få ta del av företagets reklammaterial, får han anses ha samtyckt till den behandling av hans personuppgifter som behövs för detta nya ändamål, allt under förutsättning att samtycket lämnats i enlighet med bestämmelserna i 12 å. Det nya marknads- föringsändamålet får enligt 9 å anses vara förenligt med det gamla ändamålet. Med stöd av ett sådant samtycke bör t.ex. ett postorder- företag kunna sända ut sina årliga kataloger till den enskilde.
Ett företag kan emellertid i sin marknadsföring också använda sig av bestämmelserna i 1 l å första stycket 6. Utredningen återkommer till detta i anslutning till den angivna punkten i förevarande paragraf.
Vad som nu har sagts om marknadsföring i förhållande till tidigare kunder gäller också marknadsföring som avser potentiella kunder.
Om ett anställningsförhållande föreligger kan behandlingen av personuppgifter i princip ske med stöd av punkt 2. För behandling av känsliga personuppgifter i anställningsförhållanden finns också särskilda bestämmelser i 32 - 35 åå.
.SOU 1993: 10 399
En behandling är enligt punkt 3 tillåten om den behövs för att den persondataansvarige skall kunna fullgöra sådana åligganden som följer .av lag eller annan författning.
Det finns många exempel på lagstiftning som ålägger myndigheter och företag en redovisningsskyldighet, kontrollverksamhet eller liknande funktion som förutsätter att personuppgifter behandlas. I sam- manhanget kan det vara värt att påpeka att bestämmelsen i 9 å om anknytningen till ett ändamål gäller även för en behandling som sker med stöd av 11 å första stycket 3. En behandling som blir nödvändig på grund av ålägganden i lag eller annan författning måste således, för att vara laglig, vara förenlig med de ursprungligen bestämda ända- målen, om samma personuppgifter skall behandlas även för det nya ändamålet. Om kravet på förenlighet inte är uppfyllt måste de enskilda som berörs ge sitt samtycke till den behandling som avses med det nya ändamålet. I allmänhet torde dock i de nu berörda fallen det nya ändamålet vara förenligt med det ursprungliga. Vid behandling av känsliga uppgifter krävs enligt 20 å dessutom att den enskilde lämnat sitt samtycke till behandlingen eller att behandlingen har stöd i lag eller annan författning. Det är således inte tillräckligt för att en behandling av känsliga personuppgifter skall vara tillåten, att ett åliggande i lag nödvändiggör en behandling av uppgifterna. Föreligger inte samtycke måste även själva behandlingen av de känsliga upp- gifterna vara författningsreglerad. Som utredningen utvecklat närmare i avsnitt 9 i den allmänna motiveringen förutsätter förslaget till en ny datalag att det tillkommer ett antal författningar som reglerar be- handlingen av känsliga personuppgifter.
I hälso— och sjukvårdslagen (19822763) åläggs landstingskommuner och kommuner som inte ingår i en landstingskommun att erbjuda en god hälso- och sjukvård. Genom taxeringslagen (1990:324) åläggs riksskatteverket att leda och ansvara för taxeringsarbetet i landet. All- männa åligganden av denna typ faller inte in under punkt 3. Det måste röra sig om konkreta skyldigheter i vissa bestämda situationer.
Arbetsgivare åläggs genom olika författningar skyldigheter som nöd- vändiggör en relativt omfattande behandling av personuppgifter. I regel innefattar dessa åligganden en skyldighet att lämna ut olika uppgifter om arbetstagare. Arbetsgivare inom den offentliga sektorn kan vidare vara skyldiga att lämna ut uppgifter enligt 2 kap. tryckfrihetsför- ordningen. Frågor om utlämnande av personuppgifter har behandlats särskilt i avsnitt 5.4 i den allmänna motiveringen. I 32 - 35 åå finns särskilda bestämmelser om behandling av känsliga personuppgifter för anställningsändamål. Enligt de särskilda bestämmelserna kan vissa uppgifter behandlas för anställningsändamål även utan den enskildes samtycke.
Med stöd av punkt 4 kan personuppgifter behandlas om behand- lingen framstår som erforderlig för att skydda intressen som har stor betydelse för den enskilde. I första hand åsyftas situationer då den
400 SOU 1993:10
enskilde av någon anledning är ur stånd att lämna sitt samtycke till behandlingen. Det kan exempelvis vara fråga om behandling av journaluppgifter i de fall då patienten på grund av sjukdom är förhindrad att lämna sitt samtycke. Däremot torde under denna punkt inte rymmas sådan behandling som i och för sig gagnar den enskilde, men där den enskilde på grund av oförstånd, ovilja eller av andra skäl inte lämnar sitt samtycke.
Bestämmelsen i punkt 5 tar närmast sikte på den offentliga sektorn, även om myndighetsutövning i vissa fall kan överlåtas på privat- rättsliga subjekt. Punkt 5 gör en behandling laglig om den behövs för att utföra en uppgift i det allmännas intresse eller i myndighetsutöv- ning. I den allmänna motiveringen, avsnitt 10, har forskning och statistik nämnts som exempel på uppgifter i det allmännas intresse. Kravet att uppgiften skall vara i det allmännas intresse medför att ändamålet med behandlingen måste ha en viss dignitet. Utöver forsk- ning och statistik kan som exempel på uppgifter som ligger i det allmännas intresse nämnas frågor om människors hälsa, miljön, redligheten i handeln, brottsbekämpning och intresset av att det finns en fungerande arbetsmarknad (jfr avsnitt 11). Också behovet av en effektiv förvaltning och en fungerande transportmarknad är frågor som ligger i det allmännas intresse.
Forskningens bidrag till kunskapsutvecklingen inom olika områden i samhället är av stort allmänt intresse. Behandlingen av person- uppgifter för forsknings— eller statistikändamål torde därför vara tillåten såväl på den grund att behandlingen är nödvändig för att utföra en uppgift i det allmännas intresse (5) som på den grund att behandlingen är nödvändig för att tillgodose ett allmänintresse som väger tyngre än den enskildes integritetsskyddsintresse (6).
Punkt 5 medger också behandling av personuppgifter om be- handlingen behövs i myndighetsutövning. Med myndighetsutövning förstås utövning av befogenhet att för enskild bestämma om förmån, rättighet, skyldighet, disciplinpåföljd, avskedande eller annat jäm— förbart förhållande. Utmärkande för myndighetsutövning är att det rör sig om beslut eller andra åtgärder som ytterst är uttryck för samhällets maktbefogenheter i förhållande till medborgarna. Det behöver inte vara fråga om åtgärder som innebär förpliktelser för den enskilde med- borgaren. Även gynnande beslut, såsom exempelvis beviljande av tillstånd och sociala förmåner räknas som myndighetsutövning. Inte bara myndighetsutövning av den persondataansvarige avses i den nu aktuella punkten. Bestämmelsen skall också göra det möjligt för en myndighet att lämna ut sådana uppgifter som behövs för att den mottagande myndigheten skall kunna fullgöra sin myndighetsutövning.
Ofta kan behandling i samband med myndighetsutövning ske med stöd av punkt 3, men i de fall behandlingen inte är en följd av åligganden i lag eller annan författning kan punkt 5 bli tillämplig. För
SOU 1993:10 401
behandling av känsliga personuppgifter för forsknings- eller statistikän- damål finns särskilda bestämmelser i 30 - 31 åå.
Punkt 6 syftar främst på den enskilda sektorn. Enligt punkt 6 är en behandling laglig om den är nödvändig för att tillgodose ett allmänin- tresse eller ett intresse hos den persondataansvarige, under förut- sättning att dessa intressen väger tyngre än den enskildes intresse av att behandling av uppgifter om honom inte äger rum.
Med allmänintresse avses frågor som har betydelse för ett stort antal människor.
Liksom beträffande punkt 5 kan behandling av personuppgifter i samband med forskning och statistik anges som exempel på situationer när det kan anses föreligga ett allmänintresse. I 8 kap. 7 å sekretess- lagen talas om intresset av allmän kännedom om förhållande som rör människors hälsa, miljön eller redligheten i handeln eller ett liknande allmänintresse. Enligt punkt 6 krävs dessutom att den persondataansva- rige gör en intresseavvägning och att denna resulterar i att allmän- intresset eller den persondataansvariges intresse av behandlingen kan anses väga tyngre än den enskildes intresse av att en behandling inte kommer till stånd.
Behandling av personuppgifter i kreditupplysningsverksamhet kan enligt utredningens mening också ske med stöd av punkt 6. Kreditupp- lysningsverksamhet anses utgöra en viktig faktor för effektiviteten i näringslivet. Den enskilde kan av integritetsskyddshänsyn ha ett intresse av att en behandling i samband med kreditupplysnings- verksamhet inte sker, men detta intresse har inte samma tyngd som det motstående intresset. Den enskildes behov av integritet kan f.ö. också vägas mot konsumentskyddsintressen av innebörd att det ligger i samhällets intresse att tillse att konsumenter inte tar på sig en större skuldbörda än de klarar av.
Behandling av personuppgifter för direktreklamändamål bör också kunna ske med stöd av punkt 6. Så länge mottagaren av direktreklamen inte motsätter sig att personuppgifter behandlas får direktreklamen anses tillgodose intressen både hos den persondataansvarige och hos mottagaren. Om mottagaren av reklamen skulle komma att motsätta sig denna, bör detta konstituera ett sådant intresse hos den enskilde som tar över den persondataansvariges intresse och den sistnämnda får då stoppa direktreklamen till den enskilde. En uttrycklig regel om förbud för den persondataansvarige att behandla personuppgifter för direkt— reklamändamål i strid mot den enskildes önskan finns i 28 å i lag- förslaget.
Adresser för direktreklam kan man få på olika sätt. Den domineran- de källan för sådana adresser är SPAR. I viss utsträckning konkurrerar enskilda adresskällor med SPAR genom att efter beställning till— handahålla adressetiketter. Ett företag kan vidare använda sitt eget kundregister för att marknadsföra nya produkter. Uttag med stöd av offentlighetsprincipen kan också användas för direktreklamändamål.
402 SOU 1993:10
Vid sidan av de nu angivna metoderna förekommer det att person- uppgifter behandlas genom att s.k. marknadsföringslistor överlåts. En sådan lista innehåller, förutom namn och adress, någon uppgift om den enskilde som konsument. Något ärende om överlåtelse av en mark- nadsföringslista har inte förekommit hos Datainspektionen, trots att förfarandet i viss utsträckning torde förekomma i Sverige. Utomlands är det däremot vanligt och systemet har på vissa håll missbrukats, särskilt i USA. Enligt utredningens mening bör inte överlåtelse av marknadsföringslistor kunna ske med stöd av 11 å första stycket 6. För sådan behandling av personuppgifter krävs alltså samtycke av de berörda enskilda.
Punkt 6 medger också att behandling av personuppgifter får ske efter en avvägning mellan intresset hos den enskilde och intresset hos den till vilken den persondataansvarige lämnar ut de aktuella upp- gifterna. Även här kan kreditupplysningsverksamheten väljas som exempel, där kreditgivarnas intresse av att få ett underlag för kredit- givningen får anses väga tyngre än den enskildes intresse av att uppgifter om honom inte behandlas i anslutning till kreditupplys- ningsverksamheten.
I bestämmelsens andra stycke anges att den persondataansvarige inte får lämna ut personuppgifter om det finns anledning att anta att uppgifterna efter utlämnandet kommer att behandlas på ett sätt som strider mot datalagen. För myndigheter gäller i stället bestämmelserna i sekretesslagen.
En motsvarighet till bestämmelsens andra stycke finns i 11 å i den gällande datalagen.
Bestämmelsen i tredje stycket motsvarar 7 å första stycket 3 i den gällande datalagen.
När ställning skall tas till om en försäljning skall tillåtas får en bedömning göras om försäljningen ligger i det allmännas intresse (11 å första stycket 5) eller om den innefattar ett sådant allmänintresse som tar över den enskildes integritetsintresse (11 å första stycket 6). Enligt vad som uttalades i förarbetena till den aktuella bestämmelsen i datalagen (prop. 1990/91:60 s. 50) kan en försäljning vara betingad av ett så starkt samhällsintresse att det finns skäl att tillåta den.
Det bör framhållas att myndigheternas användning av personuppgif- ter för försäljning måste stå i överensstämmelse med det ändamål som har bestämts för behandlingen av uppgifterna. Denna fråga har diskuterats i den tidigare angivna propositionen (s. 51).
Utredningen vill avslutningsvis ta upp frågan hur tillåtligheten av olika behandlingar bör bedömas i sambearbetningsfallen.
För att bedöma om en sambearbetning är tillåten får man först ta ställning till om personuppgifter får lämnas ut i och för sambe- arbetningen från den eller de aktuella datasamlingarna. Denna bedömning får göras enligt bestämmelserna i förevarande paragraf. Därefter får man ta ställning till om sambearbetningen som sådan är
SOU 1993: 10 403
tillåten, vilket också får ske med tillämpning av 11 å. De grund— läggande bestämmelserna om datakvalitet är också tillämpliga. Frågan om personuppgifter blir missvisande eller på annat sätt inkorrekta bör särskilt uppmärksammas i det sammanhanget.
Vad som nu har sagts har avsett situationer där sambearbetningen inte omfattar känsliga uppgifter enligt 20 å. Enligt den paragrafen får känsliga personuppgifter bara behandlas om den enskilde har samtyckt till det eller det följer av särskilda bestämmelser i datalagen eller annan författning. Den särskilda författningsregleringen förutsätts ange åtminstone vilka uppgifter som får behandlas, vem som får ha tillgång till uppgifterna och vilka som får vara persondataansvariga. Lämpliga skyddsbestämmelser skall också ställas upp. Det nu sagda innebär, att om känsliga uppgifter förekommer i en sambearbetningssituation, sambearbetningen får förekomma bara i den mån den har stöd i författning, om inte särskilt samtycke föreligger.
Paragrafens första stycke torde överensstämma med artikel 7 i förslaget till EG—direktiv. Enligt ordalydelsen av artikel 7.e skulle dock kravet på nödvändighet bara hänföra sig till första ledet i den bestäm— melsen och alltså inte till myndighetsutövning. Kravet på att be- handlingen skall behövas bör emellertid avse också behandling av personuppgifter i myndighetsutövning, liksom all annan behandling som avses i paragrafen. Enligt vad utredningen har förstått kommer artikel 7.e under det fortsatta beredningsarbetet inför Ministerrådets beslut att formuleras om så att nödvändighetsrekvisitet avser också myndighetsutövning
12 å Den enskildes samtycke enligt 11 å första stycket 1 eller tredje stycket skall lämnas uttryckligen och avse viss behandling. Innan samtycke lämnas skall han ha fått del av tillgänglig in- formation om behandlingens ändamål, vilka personuppgifter eller slag av personuppgifter det gäller, till vem uppgifterna skall lämnas ut samt namn och adress på den persondaansva- rige.
Ett samtycke som har lämnats enligt första stycket kan när som helst återkallas. Återkallelsen är dock utan verkan ifråga om den behandling av personuppgifter som har ägt rum innan den persondataansvarige fick del av återkallelsen.
Paragrafen anger vilka krav som uppställs för att ett samtycke enligt 11 å första stycket 1 eller tredje stycket skall vara giltigt. En hän- visning till 12 å sker också i andra paragrafer, nämligen 20, 21 och 35 åå.
I förslaget till EG-direktiv definieras den enskildes samtycke (the data subject's consent) som varje uttryckligt angivande av en önskan varigenom den enskilde tillkännager sitt samtycke till att person-
404 SOU 1993: 10
uppgifter med anknytning till honom behandlas. En förutsättning är att den enskilde har tillgänglig information om ändamålet med behand- lingen, vilka uppgifter eller slag av uppgifter det gäller, mottagaren av personuppgifterna samt namn och adress på den persondataansvarige. Samtycket måste ges av fri vilja och vara specificerat. Det får när som helst återkallas, dock utan retroaktiv verkan (art. 2. g).
Enligt kommentaren till direktivförslaget kan ett samtycke ges i både muntlig och skriftlig form. Samtycket måste ges av fri vilja i situatio- ner där den enskilde kan tänkas bli utsatt för påtryckningar, såsom i exempelvis förhållandet mellan en anställd och dennes arbetsgivare. Det måste vara fråga om ett informerat samtycke och den person— dataansvarige måste därför förse den enskilde med den information han kan behöva. Samtycket måste vidare vara specificerat (specific), vilket enligt kommentaren innebär att det måste vara hänförligt till en särskild behandling som berör den enskilde och som utförs av en särskild persondataansvarig för ett särskilt ändamål. Anledningen till att en återkallelse av ett samtycke inte får retroaktiv verkan är, att en behandling som var laglig när den utfördes i annat fall skulle kunna bli olaglig i efterhand.
Enligt förevarande bestämmelse måste ett samtycke till en be— handling av personuppgifter lämnas uttryckligen och avse en viss behandling. Samtycket, som kan lämnas antingen muntligt eller skriftligt, måste på ett otvetydigt sätt klargöra att den enskilde samtycker till en viss behandling. Det bör vara möjligt att vid ett tillfälle lämna sitt samtycke till flera olika behandlingar, men varje enskild behandling måste vara specificerad i den mån inte behand- lingarna är av samma slag. Specificeringen kan exempelvis ske genom angivande av vem som skall utföra behandlingen, ändamålet med be- handlingen och till vem uppgifterna skall lämnas ut. Kravet på att samtycket skall vara specificerat innebär att det normalt inte blir möjligt att samtycka till all behandling av personuppgifter som en viss persondataansvarig, exempelvis en arbetsgivare, kan komma att utföra.
Avsikten är att den enskilde skall vara helt införstådd med vilken typ av behandling han samtycker till. Det skall vara ett informerat samtycke. I bestämmelsen uppställs därför kravet att den enskilde skall underrättas om i vart fall behandlingens ändamål, vilka uppgifter eller slag av uppgifter behandlingen avser, till vem uppgifterna skall lämnas ut samt uppgift om den persondataansvariges namn och adress.
Om samtycke är en förutsättning för att behandling av personuppgif- ter skall få ske, måste samtycket inhämtas innan behandlingen startar. Det kan i sammanhanget vara värt att notera att begreppet behandling, enligt den definition som ges i 3 å andra stycket, omfattar även insamling av personuppgifter.
Den enskilde blir inte för all framtid bunden vid ett samtycke. Enligt bestämmelsens andra stycke kan ett samtycke när som helst återkallas. En återkallelse har emellertid ingen retroaktiv verkan.
SOU 1993: 10 405
Anledningen härtill är att en behandling som var laglig när den utfördes i annat fall skulle kunna bli olaglig i efterhand. Detta innebär samtidigt att uppgifterna i en undersökning som utförts med stöd av samtycke inte kan behandlas vidare efter en återkallelse.
En behandling av personuppgifter som sker utan att erforderligt samtycke inhämtats straffsanktioneras i 47 å.
Bestämmelsen överensstämmer med den definition av samtycke som ges i förslaget till EG—direktiv, utom så tillvida att det inte i be- stämmelsen anges att ett samtycke skall avges av fri vilja. Enligt utredningens mening är det inte erforderligt att ange att ett samtycke skall vara frivilligt, eftersom detta får anses följa redan av allmänna rättsgrundsatser.
Vilka personuppgifter får behandlas?
13å Endast sådana personuppgifter som behövs för ett visst ändamål får behandlas.
Bestämmelsen, som anger att endast sådana personuppgifter som behövs för ett visst ändamål får behandlas, syftar till att begränsa de uppgifter som en persondataansvarig samlar in eller i övrigt behandlar.
I förslaget till EG-direktiv föreskrivs att personuppgifter skall vara lämpliga, relevanta och inte överflödiga, allt ställt i relation till det ändamål för vilket de behandlas (art. 6.1.e).
Det går inte att generellt ange vilken typ av personuppgifter som får behandlas. I stället måste man se till det ändamål med behandlingen som den persondataansvarige bestämmer innan han samlar in upp- gifterna. I anslutning till 9 å har givits exempel på olika ändamålsbe- stämningar. Vissa ändamål kräver att en relativt omfattande mängd uppgifter behandlas, medan en behandling för andra ändamål går att utföra med ett fåtal uppgifter. Den persondataansvarige får från fall till fall ta ställning till vilka uppgifter som är relevanta och behövs för att behandlingen skall kunna utföras.
14 å Personuppgifter skall i förhållande till det ändamål för vilket de behandlas vara riktiga, fullständiga och aktuella. De får inte vara missvisande i förhållande till det angivna ändamålet.
I bestämmelsen anges vissa grundläggande krav som ställs på de personuppgifter som behandlas. Uppgifterna skall vara riktiga och fullständiga. Om det behövs på grund av ändamålet skall de vara aktuella. Vid en jämförelse med ändamålet får uppgifterna inte framstå som missvisande.
406 SOU 1993:10
Bestämmelsen motsvarar vad som anses gälla i dag. Utredningen har valt att i en paragraf samla de generella krav som ställs på kvaliten hos de personuppgifter som behandlas. Den gällande datalagens 8 å föreskriver en skyldighet för den registeransvarige att korrigera sådana personuppgifter i register som är oriktiga eller missvisande. I 9å åläggs den registeransvarige en viss skyldighet att vidta komplettering- ar i de fall ett personregister innehåller personuppgift som med hänsyn till registrets ändamål måste anses ofullständig eller om det i ett personregister som utgör förteckning över personer saknas någon som med hänsyn till registrets ändamål måste förväntas ingå däri.
Förslaget till EG-direktiv innehåller vissa grundläggande regler om datakvalitet. Enligt artikel 6. 1 .c och d skall personuppgifter vara lämpliga, relevanta och inte överflödiga i förhållande till de ändamål för vilka de behandlas. Vidare skall personuppgifterna vara riktiga, fullständiga och, om nödvändigt, aktuella.
Förevarande bestämmelse uppställer således till en början kravet att personuppgifter som behandlas skall vara riktiga. Bedömningen av om uppgifterna är korrekta får göras mot bakgrund av det ändamål för vilket behandlingen sker.
Kravet att personuppgifter skall vara fullständiga innebär att alla uppgifter om en person som är relevanta i förhållande till ändamålet med behandlingen och som också behövs för ändamålet skall finnas med. Som exempel på fall då utelämnande av uppgifter kan förorsaka rättsförluster kan nämnas behandling av personuppgifter som innefattar meritförteckningar. Ett utelämnande av uppgift om viss utbildning eller tjänstgöring torde regelmässigt medföra en risk för rättsförlust för den enskilde. Om inte alla relevanta meriter finns med uppfyller person- uppgifterna inte de krav på fullständighet som ställs upp i förevarande paragraf. Kravet på fullständighet innebär också att personuppgifterna måste omfatta alla personer som med hänsyn till ändamålet med behandlingen av uppgifterna rimligen bör omfattas.
Personuppgifter skall också vara aktuella, om ändamålet kräver detta. Personuppgifter som överförts till arkivmyndighet utgör typexemplet på fall när uppgifter inte behöver vara aktuella. Klipparki- ven hos tidningarna är ett annat exempel. Även andra fall där ändamålet inte kräver att personuppgifter till alla delar är aktuella kan tänkas uppkomma. I exempelvis ett forskningsprojekt som sträcker sig över en längre tidsperiod är det kanske inte alltid nödvändigt med hänsyn till forskningsändamålet att personuppgifterna till alla delar är aktuella.
Även vid bedömningen av om personuppgifter är missvisande måste hänsyn tas till ändamålet med behandlingen. Personuppgifter som i ett sammanhang uppfattas som rättvisande kan efter utlämnande och behandling för ett nytt ändamål framstå som missvisande. Särskilt vid sambearbetningar kan det således finnas anledning att noga undersöka om personuppgifterna är rättvisande i sitt nya sammanhang.
SOU 1993: 10 407
Den persondataansvarige är enligt 22 å i lagförslaget skyldig att företa skälig utredning i de fall det framkommer misstanke om att en personuppgift är oriktig, inaktuell eller missvisande. En uppgift som är oriktig, inaktuell eller missvisande skall rättas, ändras eller utplånas. Bestämmelser om skyldighet att komplettera ofullständiga uppgifter finns i 23 å.
Den persondataansvarige har ett strikt ansvar för skada som enskild tillfogas genom att personuppgifter är oriktiga, ofullständiga, inaktuella eller missvisande (49 å). Brott mot 14 å har straffbelagts i 47 å första stycket 1.
Bestämmelserna i förevarande paragraf överensstämmer i sak med förslaget till EG—direktiv.
15 å Personnummer får behandlas endast när det klart är motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller av annat beaktansvärt skäl. Person- nummer får återges på datautskrifter endast när det finns särskilda skäl.
Bestämmelsen motsvarar 7 å andra stycket i den gällande datalagen. De ändringar som vidtagits är redaktionella och hänför sig till den förändring av begreppsbildningen som utredningens lagförslag innebär.
Bestämmelsen om användningen av personnummer har för relativt kort tid sedan införts i den gällande datalagen. Regeringen har nyligen beslutat tillsätta en särskild utredare för att utreda frågan om en begränsning av användningen av personnummer.
Insamling av personuppgifter från den enskilde
16 å När personuppgifter samlas in från en enskild skall denne underrättas om 1. de ändamål som uppgifterna behandlas för, 2. grunden för uppgiftsskyldigheten, om uppgiftsskyldighet föreligger, eller i annat fall att uppgiftslämnandet är frivilligt, 3. följdema för honom om han underlåter att lämna uppgifter, 4. till vem uppgifterna skall lämnas ut, 5. rätten till insyn och rättelse enligt 22, 23 och 25 åå, samt 6. namn och adress på den persondataansvarige.
Bestämmelserna i första stycket gäller dock inte i den mån ett fullgörande av underrättelseskyldigheten skulle försvåra eller hindra en myndighets verksamhet för kontroll eller annan tillsyn.
I bestämmelsen anges vilken information som skall lämnas till den enskilde i samband med att personuppgifter som skall behandlas samlas
408 SOU 1993: 10
in från denne. Syftet med bestämmelsen är att underlätta för den enskilde att utöva de rättigheter som lagförslaget ger honom. I första hand skall han dock genom informationen ges möjlighet att ta ställning till om han vill eller måste lämna från sig uppgifter.
Förslaget till EG-direktiv ålägger den persondataansvarige att tillse att den enskilde, från vilken uppgifter samlas in, underrättas om i vart fall ändamålet med den behandling som uppgifterna är avsedda för, uppgift om huruvida det är obligatoriskt eller frivilligt att svara på de frågor som ställs, vilka konsekvenser det får för den enskilde om han underlåter att svara, mottagarna eller kategorier av mottagare av uppgifterna, rätten till tillgång till och rättelse av uppgifter som hänför sig till den enskilde samt uppgift om den persondataansvariges namn och adress (art. 11. 1 .a - f). Underrättelseskyldigheten gäller dock inte i de fall information till den enskilde skulle försvåra eller förhindra utförandet av övervakande och kontrollerande funktioner hos en myndighet eller upprätthållandet av allmän ordning (art. 11.2).
Vid insamlandet av uppgifter från den enskilde skall denne underrättas om det eller de ändamål som uppgifterna behandlas för (punkt 1). Därmed avses att den enskilde skall underrättas om det ändamål som den persondataansvarige enligt 9 å i lagförslaget skall ha bestämt för insamlingen och den vidare behandlingen av uppgifterna.
I de fall den enskilde är skyldig att lämna de efterfrågade upp- gifterna skall underrättelse lämnas om grunden för uppgiftsskyldigheten (punkt 2). Är uppgiftslämnandet frivilligt skall detta anges. Upp- giftsskyldighet har varit föreskriven vid exempelvis de allmänna folk- och bostadsräkningarna.
Den enskilde skall vidare underrättas om konsekvenserna av att underlåta att lämna uppgifter (punkt 3). Vid lagstadgad uppgiftsskyldig- het finns ofta angivet konsekvenserna av en underlåtenhet att lämna uppgifter. Exempelvis kan den som uppsåtligen eller av grov oaktsam- het underlåter att fullgöra skyldighet att avlämna kontrolluppgift straffas med böter eller fängelse i högst sex månader, 4 kap. 8 å första stycket 2 lagen (1990:325) om självdeklaration och kontrolluppgifter.
Underrättelse skall också lämnas om till vem uppgifterna skall lämnas ut (punkt 4). I många fall torde den persondataansvarige ha en uppfattning om till vem eller till vilka kategorier av personer eller organisationer som uppgifterna skall lämnas ut. I sådant fall skall underrättelse härom lämnas till den enskilde. Det ligger i sakens natur att i de fall uppgifter som lämnas blir allmänna handlingar hos myndigheter, myndigheten inte kan ange vem som kommer att ta del av uppgifterna med stöd av offentlighetsprincipen.
Den enskilde har enligt 22 och 23 åå i lagförslaget bl.a. rätt att få oriktiga, inaktuella, missvisande eller ofullständiga uppgifter rättade, ändrade, kompletterade eller utplånade. Enligt 25 å har den enskilde rätt till underrättelse om innehållet i personuppgift som behandlas. Vid
SOU 1993: 10 409
insamling av uppgifter från den enskilde skall denne underrättas om sina rättigheter enligt 22, 23 och 25 åå (punkt 5).
Slutligen skall den enskilde underrättas om den persondataansvariges namn och adress (punkt 6).
Enligt andra stycket föreligger dock inte skyldighet att lämna under— rättelse enligt första stycket i den mån detta skulle försvåra eller hindra en myndighets kontroll- eller tillsynsverksamhet. Med kontroll— eller tillsynsverksamhet åsyftas även sådan behandling som sker i samband med förundersökning i brottmål. Särskilt uppgift om ändamålet med behandlingen skulle i många fall kunna försvåra en kontroll- eller tillsynsverksamhet. Det bör noteras att underrättelseskyldigheten kan underlåtas bara i den utsträckning som den skulle få en negativ effekt på granskningsverksamheten. Det kan t.ex. förutsättas höra till undantagen att underrättelse enligt punkterna 5 och 6 kan underlåtas med stöd av andra stycket.
Som framgått av redogörelsen torde utredningens förslag stämma överens med förslaget till EG-direktiv, utom såtillvida att undantaget i fråga om verksamhet som innefattar upprätthållande av allmän ordning inte finns med i bestämmelsens andra stycke.
Säkerhet
17å Den persondataansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter som behandlas mot oavsiktlig förstörelse eller förlust, otillåten förstörelse eller annan otillåten behandling eller mot otillåten insyn.
Denna bestämmelse och 18 å behandlar säkerhetsaspekter på be- handlingen av personuppgifter. I förevarande paragraf finns be- stämmelser, som delvis motsvarar 7 å första stycket 5 i den nuvarande datalagen. De nya reglerna har emellertid byggts ut och gäller även skydd av personuppgifter mot oavsiktlig förlust och mot annan otillåten behandling och insyn. Bestämmelsen har även straffsanktionerats i 47 å första stycket 1.
Begreppet datasäkerhet används ofta som ett samlingsbegrepp för skyddet av datasystem. ADB-säkerhet är ett annat sådant begrepp. Under senare är har också begreppet informationssäkerhet kommit till användning. Frågor om driftmässig säkerhet (krav på tillgänglighet till datorer och datasamlingar) förenas med frågor om skydd mot obehörig åtkomst, förändring och förlust av data. Inom den offentliga sektorn ställs särskilda krav på att offentlighetsprincipen skall kunna förenas med ett effektivt skydd mot insyn.
Enligt gällande rätt skall den registeransvarige särskilt iaktta att uppgifterna i ett personregister skyddas mot oavsiktlig eller otillåten förstörelse eller mot otillåten ändring eller spridning (7 å första stycket
410 SOU 1993:10
5). Datainspektionen kan i samband med att tillstånd beviljas för personregister bl.a. ge villkor om kontroll och säkerhet (6 å första stycket 10). I mån av behov kan sådana villkor även meddelas om förandet av personregister har lett till otillbörligt intrång i personlig integritet eller det finns anledning anta att sådant intrång skall uppkomma (18 å). Den som uppsåtligen eller av oaktsamhet bryter mot Datainspektionens beslut om villkor, obehörigen lämnar ut person— uppgift eller inte gallrar registret kan dömas till böter eller fängelse i högst ett år (20å första stycket). Den som olovligen bereder sig tillgång till upptagning för ADB eller olovligen ändrar eller utplånar eller i registret för in sådan upptagning kan dömas för dataintrång till böter eller fängelse i högst två år. Brottet är straffbart även på försöks- och förberedelsestadiet, om det inte är ringa (21 å).
Enligt Europarådskonventionen skall lämpliga säkerhetsåtgärder vidtas för att skydda personuppgifter gentemot oavsiktligt eller otillåtet utplånande, oavsiktlig förlust, otillåten åtkomst, ändring eller spridning (art. 7). I de olika Europarådsrekommendationerna på dataskyddsom- rådet ställs också särskilda krav på datasäkerhetsåtgärder.
En av principerna i OECD:s riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna är att rimliga säkerhetsåtgärder skall vidtas för att skydda personuppgifter mot risker för förlust eller otillåten åtkomst, förstörelse, användning, förändring eller otillåtet röjande (punkt 11). OECD:s råd antog i november 1992 riktlinjer för säkerhet i informationssystem, Guidelines For the Security of Informa- tion Systems. Samtliga 24 medlemsländer har godtagit dessa riktlinjer för säkerhet.
Förslaget till EG-direktiv föreskriver att lämpliga tekniska och organisatoriska åtgärder skall vidtas för att skydda personuppgifter mot oavsiktlig eller olaglig förstörelse eller oavsiktlig förlust och mot otillåten ändring eller röjande eller någon annan otillåten behandling. Sådana åtgärder skall säkerställa en lämplig nivå av säkerhet med hänsyn till arten av de uppgifter som skall skyddas och en värdering av de tänkbara riskerna. Härvid skall beaktas av Kommissionen utfärdade rekommendationer om datasäkerhet och inbördes nät- kompatibilitet (art 17.1). Då personuppgifter sänds i ett nätverk skall åtgärder vidtas som ger en lämplig säkerhetsnivå (art 17.2). Om det finns möjlighet till direktuppkoppling skall datorn och programvaran vara utformad på ett sätt som gör att uppkopplingen kan ske på ett lagligt sätt (art 17.3). Artikel 33 i direktivförslaget ger Kommissionen befogenhet att utfärda bestämmelser om datasäkerhet.
Det finns redan i dag inom EG ett stort antal direktiv som påverkar databehandlingens användning och säkerhet. En stor del av dessa gäller bestämmelser rörande produkternas tekniska detaljer som måste beaktas inom respektive bransch. I vissa fall innefattar dessa normer även krav på viss teknisk datasäkerhet. I mars 1992 fattade EG:s Ministerråd beslut om en handlingsplan för datasäkerhetsarbete,
SOU 1993:10 411
INFOSEC 92. Planen gäller för en period om två är. Syftet är att utveckla en global strategi som skall ge användare av elektroniskt lagrad, bearbetad och överförd information ett skydd av informations- systemen mot olika typer av hot. Avsikten är att det harmoniserade synsätt och de metoder som kommer fram genom INFOSEC också skall påverka övrigt EG-arbete där säkerhetsaspekter är av betydelse.
Under de senaste tio åren har datasäkerhetsaspekter blivit alltmer uppmärksammade i Sverige. Staten har exempelvis under hela 1980- talet i olika former låtit utreda sårbarhets- och säkerhetsfrågor och har efter hand tilldelat vissa centrala myndigheter samordnande uppgifter inom delar av säkerhetsområdet. Under åren 1981 - 1986 arbetade Sårbarhetsberedningen (SÄRB) med frågor rörande säkerhet och sårbarhet på dataområdet. Beredningens arbete ledde till publicerandet av ett stort antal rapporter. En sammanfattning av beredningens olika utredningsresultat samt de slutsatser och rekommendationer som olika projekt gett anledning till återfinns i beredningens slutrapport (SOU 1986:12) Datorer Sårbarhet Säkerhet. En arbetsgrupp i Civildepar— tementet, Samrådsgruppen för samhällets säkerhet inom dataområdet (SAMS), har sedan år 1986 arbetat med frågor avseende ADB och samhällets säkerhet. Våren 1990 lade gruppen fram fem rapporter (Ds 1990:43-47) under den gemensamma titeln ADB och samhällets säkerhet på 90-talet. Det s.k. ADB-säkerhetsrådet har gjort en inventering av säkerhetsprojekt hos myndigheter och organisationer. Resultatet av inventeringen har nyligen publicerats i rapporten "ADB- säkerhet i Sverige: Vad som gjorts och vad som pågår." Bakom rådet stod ursprungligen Överstyrelsen för civil beredskap och Statskontoret. Uppdraget för rådet är att bistå Överstyrelsen för civil beredskap med att praktiskt samordna arbetet med säkerhets— och sårbarhetsfrågor i fred och inför kris och krig. Målsättningen för verksamheten är att minska sårbarheten i samhällsviktiga organ, dvs. system som är nödvändiga för att på acceptabel nivå bedriva verksamhet som bedöms som nödvändig för att uppfylla det civila försvarets huvuduppgifter.
Många myndigheter har gett ut föreskrifter eller råd om ADB- säkerhet. Förutom Datainspektionen (se härom nedan) kan nämnas Riksrevisionsverket, Statskontoret, Bokföringsnämnden, Rikspolis- styrelsen, Överbefälhavaren och Överstyrelsen för civil beredskap. Statistiska Centralbyrån har också gett ut föreskrifter för användningen av persondatorer inom byrån.
Inom den privata sektorn har också åtskilliga åtgärder vidtagits för att öka säkerheten vad gäller ADB. Större företag och organisationer har ofta egna interna föreskrifter om datasäkerhet. Etiska råd avseende datasäkerhet finns också inom olika branscher.
Datainspektionen gav år 1989 ut allmänna råd avseende ADB-säker- het för personregister. Det huvudsakliga syftet med de allmänna råden är att ge inspektionens syn på hur persondata bör skyddas och därmed hjälpa de persondataansvariga att vidta tillräckliga säkerhetsåtgärder.
412 SOU 1993:10
De allmänna råden distribuerades till alla licensinnehavare vilka då uppgick till ca 35 000. Alltjämt sker utskick till alla nytillkomna licensinnehavare. Under våren 1989 anordnade Datainspektionen kon- ferenser där de allmänna råden presenterades. Utöver distribution till alla licensinnehavare har råden getts en omfattande spridning till olika intressenter.
I de allmänna råden har Datainspektionen valt att beskriva kraven på ADB-säkerhet i form av krav på skyddsåtgärder. Vikten av att göra en informationsklassificering framhålls. Datainspektionen rekom- menderar en indelning i tre integritetsklasser. Skyddsåtgärderna motsvarar den nivå av skydd som behövs för de olika integritetsklas- serna. I sina detaljer är kraven på skyddsåtgärder snarast rekom- mendationer eller exempel. Det är den registeransvarige som själv måste välja och utforma skyddsåtgärderna. I de allmänna råden påpekas att det är många faktorer som påverkar behovet av skyddsåt— gärder. Systemutformning eller driftsituation kan göra att helt andra skyddsåtgärder än de angivna ger lika bra eller bättre skydd till lägre kostnad. Riktlinjerna gäller alla kategorier av persondataansvariga. De kan användas av den som har stora system lika väl som av den som bara har en persondator. I första hand beskrivs skyddsåtgärder för större system. I ett särskilt avsnitt beskrivs vilka skyddsåtgärder som krävs för motsvarande säkerhet då man använder persondatorer.
Datainspektionen har använt de allmänna råden i den egna tillstånds- och tillsynsverksamheten. I tillsynsarbetet har de allmänna råden använts som grund för frågelistor rörande säkerhet vid inspektioner. De allmänna råden har också använts vid utbildning och information om ADB-säkerhetskrav vid konferenser och olika framträdanden hos persondataansvariga. Vid meddelande av tillstånd har Datainspektionen som regel i sina överväganden erinrat om de allmänna råden. Detta har skett som ett alternativ till att meddela villkor om ADB-säkerhet. Endast i de fall det har bedömts föreligga uppenbar risk att den an- svarige inte skulle komma att vidta tillräckliga säkerhetsåtgärder till skydd för den aktuella datasamlingen eller då uppgifter i datasamlingen har varit särskilt integritetskänsliga har villkor om datasäkerhet meddelats. I de beslut om tillstånd som Datainspektionen meddelar enligt det förenklade ansökningsförfarandet erinras om de allmänna råden. Några direkta villkor om datasäkerhet ges alltså inte. Om Datainspektionen emellertid, vid granskning av befintliga datasam— lingar, finner att det föreligger risk för obehörigt intrång i personlig integritet kan inspektionen komma att meddela villkor om datasäkerhet. Då läggs de allmänna råden till grund för villkoren.
I syfte att undersöka de ekonomiska och andra konsekvenser som råden kunde ha medfört företog Datainspektionen under år 1990 en enkätundersökning. Svaren visade genomgående på en god kännedom om de allmänna råden. I stort sett samtliga tillfrågade hade kännedom om och hade läst råden. Råden hade också i många fall kommit till
SOU 1993:10 413
användning i deras verksamhet. Vanligast var att de användes vid utbildning. Sådan utbildning hade i vissa fall varit helt inriktad på ADB-säkerhet vid behandling av personuppgifter. Många hade också i annan datasäkerhetsutbildning lagt in avsnitt där råden presenterats. Råden hade också varit ett stöd i utarbetandet av ADB-handböcker och kommit till användning när myndigheter och företag utarbetat egna regler, policies och "lathundar" för datasäkerhet. De hade då haft hjälp av råden med att ange en rimlig omfattning och nivå på säkerheten för olika datasamlingar.
Under 1991/92 företog Datainspektionens tekniska enhet ett antal in- spektioner med syfte att undersöka efterlevnaden av datalagen vad avser datasäkerheten. Speciellt undersöktes i vilken mån de persondata- ansvariga följer de allmänna råden. Ett urval gjordes av tio persondata- ansvariga från olika sektorer i samhället där känslig och omfattande behandling av personuppgifter förekommer. Bl.a. inspekterades polis- myndighet, skattemyndighet, kyrkoråd, advokatbyråer och en vårdcen- tral. De persondataansvariga kände i allmänhet till de allmänna rådens existens. Endast i ett fall hade man dock angett att de använts och då som del i utbildningen i datasäkerhet. Varken ledningen eller den s. k. slutanvändaren av ett datasystem, dvs. den som sitter vid terminalen/- persondatorn och söker i en datasamling, hade kännedom om innehållet i de allmänna råden. Däremot fick man intrycket att systemansvariga och utvecklingsansvariga kände till och hade tagit till sig rådens innehåll. Detta gällde särskilt om dessa personer var kunniga i säkerhetsfrågor. Framför allt verkade det som om indelningen i integritetsklasser hade slagit igenom. Generellt sett nådde de in- spekterade inte upp till den nivå av säkerhet som de allmänna råden kräver. Endast vid tre inspektioner kunde en tillfredsställande datasäkerhet konstateras. Bland de vanligaste bristerna var att skriftliga regler för ADB-ansvariga saknades, att fileserver förvarades oskyddat, att datamedia förvarades oskyddat och att loggningen ofta var bristfällig. Lösenordshanteringen hade i många fall varit slapp. Man kunde vidare konstatera att det ofta var ett stort glapp mellan den information som gavs i tillståndsansökan och den bakomliggande verkligheten när det gäller ADB-system och säkerhetsåtgärder. I de fall villkor givits kunde man konstatera att dessa inte följdes. Det kunde också konstateras att villkor som ges vid ett förenklat ansökningsför- farande inte hade någon verkan i praktiken eftersom de inte uppmärk- sammas. I rapporten konstateras att för att villkor skall efterlevas det troligen krävs någon form av kontroll från Datainspektionens sida. Åtminstone anser man i rapporten att villkoret bör kombineras med en tidsgräns när den skall vara åtgärdad och att den registeransvarige bör anmodas att redovisa när åtgärd vidtagits.
Datainspektionen har också utarbetat en teknisk rapport om hoten vid telefaxanvändning. Rapporten publicerades år 1991 under titeln ADB-säkerhet för personuppgifter vid telefaxöverföring.
414 SOU 1993:10
Det ökande antalet datasystem och känsliga datasamlingar har gjort säkerhetsfrågorna allt viktigare. Det finns idag ett stort antal datasam— lingar som innehåller mycket känsliga uppgifter. Många av dessa har en utformning som ökar riskerna för integritetsintrång. Det är exempelvis vanligt att datasamlingar via terminaler används av ett stort antal personer. Hos många persondataansvariga bearbetar man också känsliga personuppgifter på persondatorer. Det gäller inte minst inom sjukvården och i övrigt i statlig och kommunal verksamhet.
Datasäkerheten är särskilt låg vid användning av persondatorer. Ännu större blir problemet när persondatorer kopplas samman i lokala nät. Persondatorerna används i vanlig kontorsmiljö och utan den kontroll och ansvarsfördelning som är vanlig vid centrala datoranlägg- ningar. Ett lokalt nätverk installeras ofta utan att ansvarsfrågan för nätet är klarlagd. Ännu mindre genomtänkt brukar skyddet för den 1n- formation som lagras i persondatorer och s.k. fileservers vara. Det är svårt att åstadkomma en heltäckande säkerhetslösning i ett lokalt nätverk. Säkerhetsaspekterna på sådana nät behandlas bl.a. i Stats- kontorets skrift l990z30 Säkerhet i lokala nät.
[ förevarande paragraf anges att den persondataansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda person- uppgifter som behandlas. Åtgärderna skall till en början ge ett skydd mot oavsiktlig förstörelse eller förlust, vilket i första hand syftar på sådant som kan inträffa inom den persondataansvariges egen organisa— tion. Därefter nämns alla former av otillåten behandling, vilket tar sikte på såväl interna som externa angrepp på personinformationen. Personuppgiftema bör emellertid också skyddas mot otillåten insyn, även om någon otillåten behandling inte skulle förekomma 1 samman- hanget. Detta har tagits upp sist i paragrafen. Även hos den person- dataansvarige själv kan insynen vara begränsad till viss eller vissa befattningshavare.
Vilka säkerhetsåtgärder som bör vidtas beror bl.a. på systemutform- ningen, befintliga skyddsåtgärder och de risker som finns. I 18 å anges att de säkerhetsåtgärder som skall vidtas skall bestämmas med hänsyn till arten av de personuppgifter som skall skyddas och de tänkbara risker som behandlingen innefattar. Datainspektionen kan också med stöd av 36 å ha utfärdat särskilda föreskrifter om datasäkerhet. Även om Datainspektionens föreskrifter inte skulle vara direkt tillämpliga på just den behandling som sker torde de — liksom de nuvarande allmänna råden om ADB-säkerhet - ändå i de allra flesta fall kunna utgöra en utgångspunkt för bedömningen av vilka säkerhetsåtgärder som bör vidtas.
Det är ogörligt att i detta sammanhang i detalj beskriva vilka säker- hetsåtgärder som kan vidtas vid behandlingen av personuppgifter. Vilka dessa åtgärder är beror naturligtvis på samtliga omständigheter i det enskilda fallet. Några av de viktigaste åtgärder som en person- dataansvarig kan vidta för att öka sin datasäkerhet bör dock nämnas.
SOU 1993:10 415
En av grundstenarna för att uppnå en hög nivå av säkerhet är identifiering/verifiering av användaren. Därutöver kan också krävas någon slags behörighetskontroll för att styra vem som får göra vad vid persondatorn och vilken information som får användas. Den lagrade informationen måste skyddas mot att någon obehörig kommer åt den. Datorutrustning och datamedier som innehåller personuppgifter måste skyddas mot stöld, otillåten användning och annan påverkan som kan orsaka integritetsintrång.
Kryptering är ett verkningsfullt skydd särskilt för den information som lagras på disketter. Men informationen kan också behöva skyddas genom kryptering när den lagras i datorn och när den skickas över nätet.
Loggning är en viktig skyddsåtgärd för att kunna göra uppföljning av behandlingen av personuppgifter. Dessutom har loggning en av- skräckande verkan vad avser obehörig åtkomst till uppgifter. Logg— ningen bör utformas så att det är möjligt att i efterhand spåra vilken åtkomst och behandling som har skett med känsliga personuppgifter. Loggen kan alltså ha varierande detaljeringsgrad och tas fram på olika sätt i systemet. Det väsentliga för integritetsskyddet är att det är möjligt att följa upp den känsliga informationen. Att en systematisk granskning av loggen verkligen genomförs är lika viktigt.
Om extern datakommunikation upprättas via uppringd förbindelse är det väsentligt att förhindra att obehöriga kan koppla sig till datorsyste- met. Lika viktigt är att service av datorutrustningen kan ske på sådant sätt att inte personuppgifter blir tillgängliga för obehöriga.
I anslutning till 18 å berörs hur utredningens förslag förhåller sig till förslaget till EG-direktiv.
18 å De säkerhetsåtgärder som skall vidtas enligt 17å skall be- stämmas med hänsyn till arten av de personuppgifter som skall skyddas och de tänkbara risker som behandlingen innefattar.
I demia paragraf anges de utgångspunkter som skall ligga till grund för vilka säkerhetsåtgärder den persondataansvarige skall vidta enligt 17 å. Såvitt angår behandling av vissa slag av personuppgifter av särskilt känslig art, kan Datainspektionen enligt 36 å ha meddelat närmare föreskrifter om vilka slags åtgärder som skall vidtas. Den personda- taansvarige har i sådana fall att vid behandling av sådana uppgifter utforma sina säkerhetsåtgärder på ett sätt som uppfyller Datainspektio- nens krav. Underlåtenhet att göra det kan medföra straffansvar enligt 47 å första stycket 5 i lagförslaget.
Det är den persondataansvarige som är ansvarig för att datasäker— heten är tillräcklig och det är han - om Datainspektionen inte har utfärdat några närmare föreskrifter — som själv måste bedöma vilken nivå av säkerhet som behövs för att skydda de personuppgifter som
416 SOU 1993:10
han behandlar. Den persondataansvarige måste också se till att åtgärderna verkligen vidtas.
Det är många faktorer som påverkar behovet av skyddsåtgärder. Personuppgifternas känslighet, art, mängd och användning har stor betydelse. Men också riskerna för störningar av olika slag, liksom de integritetsintrång som Störningarna kan medföra, har betydelse. Utformningen av de egna systemen och driften och användningen av system påverkar också valet av skyddsåtgärder. Det är vidare viktigt att i förväg bedöma sannolikheten för störningar och för olika typer av skador (integritetsintrång). Det kan vara lämpligt att man gör en sådan bedömning samtidigt som man gör en sårbarhetsanalys av verksam- heten och informationssystemen.
Datainspektionen kan med stöd av 36 å ha utfärdat särskilda före- skrifter om datasäkerhet. Det åligger då den persondataansvarige att följa dessa föreskrifter. Datainspektionens kommande föreskrifter om säkerhet bör innehålla en beskrivning av olika integritetsklasser. Som framgått av kommentaren till 17 å innebär de allmänna råd om ADB- säkerhet som Datainspektionen tagit fram och distribuerat att person- register indelats i olika integritetsklasser. Även för sådan behandling av personuppgifter för vilken Datainspektionens föreskrifter inte är direkt tillämplig torde dessa föreskrifter i de flesta fall kunna utgöra en utgångspunkt för bedömningen av vilka säkerhetsåtgärder som bör vidtas.
Den persondataansvarige bör beakta att säkerheten av andra skäl kan behöva vara högre än vad skyddet av den personliga integriteten kräver. En hög datasäkerhet kan behövas för att skydda mot avbrott i produktionen. Ekonomisk information får inte kunna ändras av misstag eller av obehöriga. Företagshemligheter får inte vara åtkomliga för konkurrenter. Försäkringsbolag kan kräva hög datasäkerhet som villkor för en försäkring. En hög säkerhetsnivå kan också vara nödvändig för att kunna bibehålla kundernas förtroende. Utöver datalagen ställer vissa andra lagar och förordningar krav på säkerhet. Då skilda krav på datasäkerhet ställs på samma system måste det högsta kravet vara vägledande för val av skyddsåtgärder.
I förhållande till vad som gäller om datasäkerhet i förslaget till EG- direktiv torde utredningens förslag gå något längre genom föreskriften att säkerhetsåtgärderna skall ge skydd mot otillåten insyn. Å andra sidan har i utredningens förslag inte tagits upp någon motsvarighet till de bestämmelser av närmast rent teknisk natur som finns i artikel 17.2. och 3. Inte heller har det ansetts nödvändigt med en bestämmelse som ålägger den som behandlar personuppgifter utan att vara persondata- ansvarig samma skyldigheter att vidta tillräckliga säkerhetsåtgärder som gäller för den persondataansvarige.
SOU 1993:10 417
Gallring
19 å Personuppgifter skall gallras när de inte längre behövs för de ändamål för vilka de behandlas.
Vid gallring av personuppgifter som utgör allmän handling skall dock, vid sidan av skyddet för den enskildes personliga integritet, beaktas de intressen som anges i 3 å tredje stycket arkivlagen (1990: 782).
Även personuppgifter som inte utgör allmän handling får lagras längre än som följer av första stycket, om uppgifterna kan anses ha historiskt intresse eller lagras för att användas för forskning och dessa intressen får anses väga tyngre än den enskildes intresse av att uppgifterna om honom gallras.
I förevarande paragraf finns den allmänna regeln om gallring av personuppgifter som behandlas. Bestämmelsen har diskuterats i avsnitt 15.1 i den allmänna motiveringen.
Föreskriften i första stycket ger uttryck för den grundläggande principen att personuppgifter skall gallras när de inte längre behövs för de ändamål för vilka de behandlas. Frågan när personuppgifter inte längre behöver behandlas för sitt ändamål har berörts i avsnitt 15.1.5. Gallring kan ske genom att personuppgifterna utplånas, dvs. förstörs. Gallring kan också komma till stånd genom avidentifiering, vilket innebär att uppgifterna inte längre kan hänföras till en enskild person. Det bör observeras att enligt 2 å första stycket förslaget till datalag avidentifiering förutsätter att varje möjlighet att kunna identifiera en enskild person skall vara utesluten.
I andra stycket tas upp ett undantag från huvudregeln i första stycket. Undantaget avser personuppgifter som utgör allmän handling. Vilka handlingar som är allmänna handlingar och när de blir allmänna regleras i 2 kap tryckfrihetsförordningen.
Föreskriften i andra stycket utgör en sådan särbestämmelse som tar över grundreglerna om gallring av allmänna handlingar i 10 å första och andra styckena arkivlagen. Utformningen av bestämmelsen ger vid handen att utgångspunkten är att de intressen som här står mot varandra, integritetsintresset resp. de intressen som anges i 3 å tredje stycket arkivlagen, skall tillmätas samma betydelse. Vad som i det särskilda fallet får fälla utslaget är betydelsen av integritetsintresset resp. bevarandeintressets tyngd. Frågan har berörts i den allmänna motiveringen.
Personuppgifter som bevaras som arkiv med stöd av andra stycket i 19 å får inte bli föremål för annan behandling än lagring. Detta framgår vid en jämförelse med innehållet i tredje stycket i paragrafen. Finns personuppgifterna hos en arkivmyndighet gäller 8 å förslaget till datalag. Skall uppgifterna sedermera disponeras av t.ex. en forskare
418 SOU 1993:10
och behandlas för forskningsändamål, blir givetvis datalagen i sin helhet tillämplig.
Genom tredje stycket öppnas en möjlighet att bevara även person- uppgifter som inte utgör allmän handling. I motsats till vad som gäller enligt andra stycket är utgångspunkten här att uppgifterna skall gallras när de inte längre behövs för de ändamål för vilka de behandlas. Endast i ett par särskilt angivna fall finns det möjlighet att bevara uppgifter, nämligen om de kan anses ha historiskt intresse eller är av intresse för den framtida forskningen. I båda fallen krävs dessutom att en intresseavvägning utfaller till förmån för bevarandeintresset.
Frågan hur de föreslagna bestämmelserna förhåller sig till förslaget till EG—direktiv har berörts i den allmänna motiveringen.
Känsliga personuppgifter
20 å Endast om den enskilde skriftligen lämnar sitt samtycke på sätt som anges i 12 å eller det följer av särskilda bestämmelser i denna lag eller annan författning får sådana personuppgifter behandlas som avser 1. ras, etniskt ursprung, politisk uppfattning, religiös eller filosofisk övertygelse, sjukdom, hälsotillstånd eller sexualliv, 2. uppgift om att någon misstänks eller har dömts för brott eller har avtjänat straff eller undergått annan påföljd för brott eller har varit föremål för tvångsingripande enligt lagen (1990.-52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991 :1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1967:940) angående omsorger om vissa psykiskt utvecklingsstörda eller utlänningslagen (1989 :529) eller att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlännings- lagen, eller 3. uppgift som utgör omdöme eller annan värderande upplys- ning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde.
Förevarande paragraf innehåller speciella restriktioner när det gäller behandling av personuppgifter av särskilt känslig natur. Sådana personuppgifter får enligt de föreslagna bestämmelserna endast behandlas om den enskilde skriftligen samtyckt på sätt närmare anges i 12 å förslaget till datalag eller om det följer av särskilda bestämmel- ser i denna lag eller annan författning. Paragrafen motsvarar i princip 4å och 6å andra stycket i nuvarande datalag samt artikel 6 i Europarådets konvention om dataskydd och artikel 8 i förslaget till EG-direktiv.
SOU 1993:10 419
Till skillnad från de föreslagna bestämmelserna i 12 å förslaget till datalag skall samtycket enligt förevarande paragraf lämnas skriftligen. I övrigt gäller de villkor för samtycke som framgår av 12 å. Enligt artikel 8.2.a förslaget till EG-direktiv är ett samtycke inte en tillräcklig grund för att man skall få behandla känsliga personuppgifter, om de nationella rättsordningarna inte godtar detta. De situationer som avses torde bl.a. vara sådana då enskildas sjukdom, trångmål, oförstånd, lättsinne, beroendeställning eller liknande utnyttjas, dvs. den typ av situationer som kan göra rättshandlingar ogiltiga (jfr 3 kap. avtalslagen 1915z218). Med hänsyn till att det får antas följa av allmänna rättsgrundsatser att ett samtycke inte kan godtas om man utnyttjar någons sjukdom, trångmål osv. anser utredningen att en uttrycklig bestämmelse motsvarande den nu nämnda i direktivförslaget inte erfordras i förevarande paragraf.
De särskilda bestämmelser "i denna lag" som det hänvisas till i förevarande paragraf, om samtycke inte lämnats, är bestämmelserna i 30 å om när personuppgifter för forsknings- eller statistikändamål får behandlas och 33 å om när personuppgifter för anställningsändamål får behandlas.
Med hänvisningen till annan författning i förevarande paragraf avses bl.a. dels registerlagar, t.ex. skatteregisterlagen (1980:343) och utsökningsregisterlagen (1986z617) dels registerförordningar, t.ex. förordningen (1986:104) om registerföring vid allmänna domstolar med hjälp av automatisk databehandling.
Enligt förslaget till EG-direktiv kan, om samtycke inte föreligger, ett alternativ till reglering i lag eller annan författning vara att dataskyddsmyndigheten genom beslut får medge att behandling av känsliga personuppgifter får äga rum (jfr artikel 8.3). En ordning med en möjlighet för Datainspektionen att medge att känsliga uppgifter får behandlas skulle i princip motsvara nuvarande tillståndsförfarande. Av skäl som utredningen utförligt utvecklat ovan i den allmänna motive- ringen under avsnitt 13 är fördelarna med att överge nuvarande tillståndsförfarande till förmån för ett system med tillsyn så betydande att utredningen anser att någon möjlighet för Datainspektionen att meddela beslut om behandling av känsliga uppgifter inte bör finnas. Möjligheterna att behandla känsliga uppgifter bör i stället enligt utredningens mening regleras i datalagen. Som framgår av 38å förslaget till datalag skall dock alltid en anmälan till Datainspektionen innehålla bl.a. uppgift om vilken typ av uppgifter som enligt förevar- ande paragraf skall behandlas.
Uppräkningen i punkt 1 i förevarande paragraf motsvarar i princip den typ av känsliga uppgifter som anges i 4å andra och tredje styckena i nuvarande datalag (prop. 1973:33 s. 122 f, prop. 1981/82 :189 s. 58) och artikel 6 i Europarådets konvention om dataskydd. I förevarande punkt har lagts till uppgift om etniskt ursprung. Skälet till att utredningen utökat uppräkningen med denna uppgift är att uppgiften
420 SOU 1993: 10
har tagits upp som känslig uppgift i artikel 8.1. förslaget till EG- direktiv. Däremot har inte uppgift om facklig tillhörighet (se art. 8.1) tagits med i uppräkningen i punkt 1, eftersom denna uppgift efter svenska förhållanden inte framstår som särskilt känslig. Uttrycket "religiös eller filosofisk övertygelse" är mera vidsträckt än motsvaran- de uttryck i gällande lag, "religiös tro eller övertygelse i övrigt", och täcker in skilda etiska övertygelser och livsåskådningar.
Den typ av känsliga uppgifter som anges i punkt 2 i förevarande paragraf motsvarar i huvudsak den typ av uppgifter som återfinns i 4 å första stycket datalagen med tillägg av vissa uppgifter som anges i 4 å andra stycket datalagen, nämligen uppgifter om att någon fått ekono- misk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen. I artikel 6 i Europarådets konvention om dataskydd och i artikel 8.4 förslaget till EG-direktiv anges som känsliga uppgifter endast sådana personuppgifter som hänför sig till att någon dömts för brott. Enligt utredningens mening är uppgift om att någon misstänks för brott eller avtjänat straff eller undergått annan påföljd för brott eller uppgift om att någon varit föremål för tvångsing- ripande enligt lagen med särskilda bestämmelser om vård av unga, lagen om vård av missbrukare i vissa fall, lagen om psykiatrisk tvångsvård, lagen om rättspsykiatrisk vård, lagen angående omsorger om vissa psykiskt utvecklingsstörda eller utlänningslagen minst lika känsliga som uppgifter att någon dömts för brott. Utredningen anser därför, i likhet med vad som gäller enligt nuvarande datalag, att samma bestämmelser bör gälla för denna typ av uppgifter som för uppgifter om att någon dömts för brott. Enligt utredningens mening bör vidare i enlighet med nuvarande datalag uppgifter om att någon fått ekonomisk hjälp eller vård enligt socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen betraktas som känsliga uppgifter.
Punkt 3 i förevarande paragraf motsvarar 6 å andra stycket datalagen (prop. 1978/79:109 s. 21 f, 34). Tillägg har dock gjorts för uppgifter som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Bestämmelsen, som saknar motsvarighet i artikel 6 i Europarådets konvention om dataskydd och artikel 8 i förslaget till EG-direktiv, tar sikte på personuppgifter av det slag som brukar kallas mjukdata eller uppgifter som utgör underlag för mjukdata. Till mjukdata brukar man räkna betyg, värderingar och andra subjektiva omdömen eller åsikter om en annan person eller över huvud taget värderande omdömen om människors familjeförhållanden. uppförande, samhällsanpassning, psykiska status, studieintensitet, prestationer i arbetslivet etc. När det gäller prestationer i arbetslivet och uppgifter som rör anställningsändamål har i enlighet med förevarande paragraf meddelats särskilda bestämmelser om behandling av känsliga personuppgifter för anställningsändamål i 32 - 35 åå förslaget till datalag. För det fall uppgifter som avser omdömen och värderande upplysningar behandlas inom forsknings- eller statistikom-
SOU 1993:10 421
rådet hänvisas vidare till de särskilda bestämmelser om behandling av känsliga personuppgifter för forsknings- eller statistikändamål som finns i 30 och 31 åå förslaget till datalag.
Som framgått ovan görs vissa avvikelser i förevarande paragraf i förhållande till artikel 8 i förslaget till EG-direktiv. Det gäller främst uppräkningen av vilka typer av uppgifter som skall anses vara särskilt känsliga. Till den del katalogen över sådana uppgifter enligt förevaran- de paragraf är mer omfattande än den som finns i artikel 8 ligger en sådan utvidgning dock helt i linje med bestämmelserna i artikel 18.4 och 5. Detta har närmare utvecklats i avsnitt 9 i den allmänna motiveringen.
21 å Utan hinder av 20 å får
1. en ideell förening av politisk, filosofisk eller religiös natur behandla sådana personuppgifter om medlemmarna som utgör grunden för medlemskapet i föreningen, under förutsättning att uppgifterna inte lämnas ut utan att den enskilde har samtyckt på sätt som anges i 12 å,
2. personuppgifter behandlas om behandlingen utförs under sådana omständigheter att det är uppenbart att inga kränk- ningar av personlig integritet äger rum.
Punkt I i förevarande paragraf motsvarar bestämmelsen i 2 a å tredje stycket 1 i datalagen (prop. 1981/82:189, KU 33) om att samman— slutningar utan tillstånd får inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska uppfattning, religiösa tro eller övertygelse i övrigt som utgör grunden för med- lemskapet i sammanslutningen. Punkt l överensstämmer också i allt väsentligt med artikel 8.2.b i förslaget till EG—direktiv. Fackliga organisationer har dock inte tagits med i uppräkningen av ideella föreningar (jfr 20 å i lagförslaget).
Enligt punkt 1 i förevarande paragraf får således ideella föreningar av politisk, filosofisk eller religiös natur utan hinder av bestämmelser- na i 20 å förslaget till datalag behandla sådana personuppgifter om medlemmarna som utgör grunden för medlemskapet i föreningen. En förutsättning är emellertid att uppgifterna inte lämnas ut utan den enskildes samtycke. Samtycke skall lämnas på det sätt som anges i 12 å förslaget till datalag. Betydelsen av uttrycket filosofisk över- tygelse har berörts i anslutning till 20 å.
Bestämmelsen i punkt 2 i förevarande paragraf kan tillämpas endast i extrema undantagsfall. För att det skall vara uppenbart att inga kränkningar kommer till stånd krävs i princip att det är självklart att de berörda skulle lämna sitt samtycke till behandlingen om de tillfrågades. Som exempel på denna typ av behandling kan nämnas
422 SOU 1993: 10
sammanställningar av uppgifter av politisk natur beträffande offentliga företrädare eller av religiös natur beträffande kyrkliga företrädare.
Bestämmelsen i förevarande punkt motsvarar artikel 8.2.c i förslaget till EG-direktiv.
Den persondataansvariges skyldigheter
22 å Om det finns anledning misstänka att en personuppgift som behandlas är oriktig, inaktuell eller missvisande, skall den persondataansvarige utan dröjsmål företa skälig utredning. En oriktig, inaktuell eller missvisande uppgift skall så snart det kan ske rättas, ändras eller utplånas.
Om en uppgift som rättas, ändras eller utplånas har lämnats ut till någon annan än den som uppgiften avser, skall den persondataansvarige underrätta mottagaren om rättelsen, ändringen eller utplånandet.
En enskild som har anmält en misstanke om att en person- uppgift är oriktig, inaktuell eller missvisande skall underrättas om vilken åtgärd som anmälan föranleder.
Bestämmelsen motsvarar i huvudsak 8 å första - tredje styckena i den gällande datalagen.
Förslaget till EG-direktiv anger att den enskilde skall ha rätt att i förekommande fall få till stånd rättelse, utplånande eller innehållande av oriktiga eller ofullständiga uppgifter, om uppgifterna har behandlats i strid med direktivet (art. 13.3). En tredje man till vilken oriktiga eller ofullständiga uppgifter har lämnats ut skall underrättas om rättelsen, utplånandet eller innehållandet för att han i sin tur skall kunna rätta, utplåna eller innehålla (art. 13.4).
Enligt direktivförslaget skall vidare personuppgifter vara riktiga och, när det är nödvändigt, aktuella. Varje åtgärd måste vidtas för att se till att uppgifter som är oriktiga eller ofullständiga i förhållande till det ändamål som de samlats in för utplånas eller rättas (art. 6.1.d).
I förhållande till gällande rätt har den ändringen företagits att paragrafen uttryckligen har angetts omfatta även inaktuella uppgifter. Vidare skall enligt utredningens förslag åtgärder för att komma till rätta med inkorrekta uppgifter vidtas så snart det kan ske. Rättelseskyl- digheten har i förevarande paragraf också utformats på ett mer absolut sätt. Tidigare knöts skyldigheten att vidta rättelse till den eventuella risk för otillbörligt intrång i personlig integritet som förelåg. Någon sådan avvägning skall inte längre göras. Möjligheterna för Datainspek- tionen att befria en persondataansvarig från de skyldigheter som stadgas i paragrafen har också slopats.
Av 8 å i lagförslaget följer att bestämmelsen inte gäller i fråga om personuppgifter som har tagits emot för förvaring av en arkivmyndig- het.
SOU 1993:10 423
I fråga om förhållandet mellan bestämmelserna i förevarande paragraf och förslaget till EG—direktiv har i paragrafen inte tagits upp någon motsvarighet till den möjlighet som direktivförslaget ger den persondataansvarige att enbart innehålla (block) oriktiga, inaktuella eller missvisande personuppgifter. Om personuppgifter skall innehållas, får den persondataansvarige visserligen fortfarande lagra dem men han får inte behandla dem på annat sätt, i synnerhet inte lämna ut dem till tredje man. Enligt utredningens mening finns det knappast något behov av en ordning som innebär att oriktiga, inaktuella eller missvisande uppgifter får innehållas. Sådana uppgifter bör som hittills rättas, ändras eller utplånas.
Den möjlighet som direktivförslaget ger den enskilde att få personuppgifter som behandlas i strid med direktivet utplånade eller innehållna, har viss motsvarighet i 41 å förslaget till datalag. Enligt den paragrafen får Datainspektionen, om personuppgifter behandlas i strid med vad som gäller för behandlingen och rättelse inte kan uppnås på något annat sätt, förbjuda fortsatt behandling av uppgifterna, vilket innebär att uppgifterna måste utplånas eller avidentifieras. Datainspek— tionen kan också interimistiskt förbjuda annan behandling än lagring.
23 å Om en personuppgift som behandlas måste anses ofullständig med hänsyn till ändamålet med behandlingen eller om person- uppgifter inte omfattar någon enskild som med hänsyn till ändamålet med behandlingen av uppgifterna rimligen borde ha omfattats, skall den persondataansvarige vidta den komplet- tering som behövs eller utplåna uppgifterna.
Om en uppgift som kompletteras eller utplånas har lämnats ut till någon annan än den som uppgiften avser, skall den persondataansvarige underrätta mottagaren om komplette- ringen eller utplånandet.
En enskild som har anmält en misstanke om att en person- uppgift är ofullständig skall underrättas om vilken åtgärd som anmälan föranleder.
Bestämmelsens första stycke har sin motsvarighet i 9 å i den gällande datalagen. Enligt gällande lag bör den registeransvarige vidta komplet— tering. Om det föreligger risk för otillbörligt intrång i personlig integritet eller fara för rättsförlust skall komplettering alltid göras.
Utredningens förslag innebär en mera absolut skyldighet att vidta den komplettering som behövs. I de fall den persondataansvarige inte kan vidta erforderlig komplettering, måste uppgifterna utplånas (första stycket). Det kan därvid någon gång bli fråga om utplånande av hela den datasamling som framstår som ofullständig.
För att förhindra vidare spridning av ofullständiga uppgifter åläggs i bestämmelsens andra stycke den persondataansvarige att, i de fall en
424 SOU 1993: 10
uppgift som lämnats ut har kompletterats eller utplånats, underrätta mottagaren om åtgärden.
Den persondataansvarige skall enligt tredje stycket underrätta den enskilde om vilken åtgärd som blivit följden av en anmälan om misstanke att en personuppgift är ofullständig.
Av 8 5 i lagförslaget följer att bestämmelsen inte gäller i fråga om personuppgifter som har tagits emot för förvaring av en arkivmyndig- het.
I anslutning till 22 5 har redogjorts för relevanta bestämmelser i förslaget till EG-direktiv. Utredningens förslag överensstämmer i sak med direktivförslaget.
24 5 Den persondataansvarige skall utse en eller flera personer som skall bistå de enskilda vid misstanke om oriktig, ofullständig, inaktuell eller missvisande personuppgift. Uppgift om vem som har utsetts skall hållas tillgänglig för allmänheten.
Den som utan att vara persondataansvarig behandlar personuppgifter skall på begäran upplysa en enskild om vem som är persondataansvarig och vem som hos den persondata- ansvarige bistår enskilda vid misstanke om oriktig, ofullstän- dig, inaktuell eller missvisande uppgift.
Paragrafens första stycke har sin motsvarighet i 8 & fjärde stycket i den gällande datalagen. Biståndsskyldigheten har i utredningens förslag utvidgats till att avse även fall av misstanke om ofullständiga eller inaktuella uppgifter. Det har inte ansetts påkallat att, som i gällande rätt, särskilt föreskriva att den eller de utsedda personerna också skall underrätta den enskilde om vilka åtgärder som en anmälan om att en personuppgift kan vara inkorrekt har föranlett. Det torde liggai sakens natur att sådan underrättelse lämnas av den eller de utsedda personer— na.
I paragrafens andra stycke läggs vissa skyldigheter på den som, utan att vara persondataansvarig, behandlar personuppgifter. Han skall på särskild begäran underrätta den enskilde om vem som är personda— taansvarig för de personuppgifter som behandlas. En sådan under- rättelse kan lämpligen innefatta uppgift om den persondataansvariges namn och adress (jfr 16 5 första stycket 6 i lagförslaget). Uppgift skall också lämnas om vem hos den persondataansvarige som bistår den enskilde vid misstanke om en inkorrekt personuppgift.
Bestämmelsen i andra stycket har tillkommit för att motverka de nackdelar för den enskilde som det av utredningen förslagna mera centralistiska persondataansvaret kan innebära. l fleranvändarsystem med endast en persondataansvarig torde bestämmelsen underlätta för den enskilde att ta till vara sina rättigheter enligt datalagen. Be-
SOU 1993: 10 425
träffande persondataansvaret hänvisas till avsnitt 12 i den allmänna motiveringen.
Bestämmelserna i förevarande paragraf har ingen motsvarighet i förslaget till EG-direktiv. De har dock tillkommit för att underlätta för den enskilde att ta tillvara sådana rättigheter som skyddas av före- skrifterna i direktivet.
25 å Den persondataansvarige skall på begäran av en enskild underrätta denne antingen om innehållet i personuppgift som behandlas och innefattar upplysning om honom eller om att en sådan uppgift inte behandlas. En underrättelse om innehållet i personuppgift skall också ange varifrån uppgiften inhämtas och innehålla en allmän beskrivning av dess användning.
Första stycket gäller inte personuppgifter som enligt lag eller annan författning eller enligt myndighets beslut som meddelats med stöd av författning inte får lämnas ut till den enskilde. Om med stöd av vad som nu har sagts någon underrättelse inte lämnas till den enskilde, skall på dennes begäran Datain- spektionen granska att behandlingen sker i överensstämmelse med vad som gäller för sådan behandling.
Första stycket gäller inte heller om det ifråga om visst slag av personuppgifter är uppenbart att underrättelse kan under- låtas på grund av att det inte föreligger någon risk för kränkningar av personlig integritet. Underrättelse får dock underlåtas endast efter medgivande från Datainspektionen.
Här återfinns den viktiga rätt till insyn som regleras i 10 å i den gällande datalagen, rätten till s.k. QIO-utdrag.
Enligt förslaget till EG-direktiv har den enskilde rätt att på begäran med rimliga mellanrum och utan överdrivet dröjsmål eller kostnad få bekräftat förekomsten av personuppgifter som hänför sig till honom och få till sig utlämnat sådana uppgifter i begriplig form samt uppgift om deras källa och allmän information om deras användning (art. 13.1). Denna rätt får dock begränsas på vissa grunder. Vilka dessa grunder är anges i sju punkter i artikel 14.1. Enligt artikel 14.2 skall dataskyddsmyndigheten ges befogenhet att på den enskildes begäran utföra nödvändiga kontroller av sådan behandling som med stöd av 14.1 undantagits från den enskildes insynsrätt. Myndighetens gransk- ning skall innefatta en kontroll av om behandlingen följer bestämmel- serna i direktivet. I sammanhanget bör tilläggas att de grunder på vilka rätten till insyn kan inskränkas enligt artikel 14 i direktivförslaget torde motsvaras av sekretessgrunderna i 2 kap 2 & tryckfrihetsförordningen såvitt gäller personuppgifter.
En motsvarighet till paragrafens första stycke finns i 10 % första stycket första meningen i den gällande datalagen. Underrättelsen skall
426 SOU 1993: 10
emellertid enligt utredningens förslag, som överensstämmer med förslaget till EG-direktiv i denna del, också ange varifrån personupp- gifterna inhämtas och innehålla en allmän beskrivning av deras användning. Sistnämnda krav bör i allmänhet kunna tillgodoses genom en hänvisning till det eller de ändamål som uppgifterna behandlas för.
I andra stycket första meningen finns en erinran om att hinder kan möta på grund av bestämmelser i lag eller annan författning eller på grund av myndighets beslut som har meddelats med stöd av för- fattning, mot att den enskilde ges en sådan rätt till insyn som stadgas i första stycket. En motsvarande erinran återfinns i 10 & tredje stycket i den gällande datalagen.
I andra stycket andra meningen ges den enskilde en möjlighet att genom Datainspektionen få granskat även behandling av sådana uppgifter som på grund av lag eller annan författning eller myndighets beslut inte får lämnas ut till den enskilde. Datainspektionen är skyldig att utföra en granskning i det fall den enskilde begär detta. Gransk- ningen innebär en kontroll av att personuppgifterna behandlas i enlighet med de bestämmelser som gäller för den aktuella behand- lingen. Eftersom den enskilde inte själv har möjlighet att kontrollera uppgifterna, kan det i vissa fall vara svårt för inspektionen att avgöra om uppgifterna är korrekta.
I tredje stycket har tagits in en motsvarighet till 10 & fjärde stycket i den gällande datalagen. Enligt den bestämmelsen är det möjligt för den registeransvarige att - efter medgivande från Datainspektionen - underlåta att lämna underrättelse i fråga om visst slag av personuppgif- ter, om det är uppenbart att det inte föreligger någon risk för otill- börligt intrång i registrerads personliga integritet. Regeln bör enligt motiven (prop. 1978/79:109 s. 25, 34 f) kunna tillämpas i fråga om mycket kortvariga register som förs antingen i samband med tester för inrättande av personregister eller för vetenskaplig forskning och statistikproduktion. Vidare bör regeln kunna tillämpas i fråga om vissa delar av personregister, såsom exempelvis loggar och back-up-register. Enligt motiven bör regeln tillämpas mycket restriktivt. Frågan om regelns tillämplighet prövas från fall till fall av Datainspektionen på begäran av den registeransvarige.
Den nu berörda dispensregeln går alltså något länge än som följer av artikel 14.3 i direktivförslaget. Den artikeln ger medlemsstaterna möjlighet att begränsa den enskildes rätt till insyn beträffande uppgifter som bevaras under kort tid i individuell form och som är ämnade att tjäna statistiska syften av sådant slag att de berörda personerna inte längre rimligen kan bli identifierade.
Liksom enligt gällande rätt (10 & tredje stycket) undantas personupp- gifter som tagits emot för förvaring av en arkivmyndighet från bestämmelsen om den enskildes rätt till insyn. Detta framgår av 8 & i lagförslaget.
SOU 1993: 10 427
I 10 5 första stycket första meningen i den nuvarande datalagen föreskrivs att utdrag skall lämnas så snart det kan ske. Någon motsvarande bestämmelse finns inte i utredningens lagförslag i förevarande paragraf. I stället har i 27 & angetts bestämda tider inom vilka den persondataansvarige skall lämna underrättelserna till de enskilda.
Hur utredningens förslag förhåller sig till förslaget till EG—direktiv har delvis redan berörts. Enligt direktivförslaget skall underrättelserna till de enskilda lämnas ibegriplig form (in an intelligible form). Någon uttrycklig föreskrift om att utdragen skall kunna förstås av de enskilda torde dock inte behövas. Inte heller har det ansetts nödvändigt att i utredningens lagförslag ta med en motsvarighet till föreskriften i artikel 13.2 som ger den enskilde rätt att vägra att uppfylla en begäran från tredje man att utnyttja insynsrätten för att lämna ut personuppgifter till denne eller någon annan tredje man, om inte tredje mans krav grundas på lag eller annan författning.
26 & En begäran enligt 25 & första stycket skall framställas skrift- ligen och vara egenhändigt undertecknad av den enskilde. Har en underrättelse lämnats, behöver ny underrättelse inte lämnas till samme enskilde förrän tolv månader därefter. I de fall myndigheten har rätt att sälja personuppgiftema skall under- rättelsen innehålla upplysning om att försäljning sker med de enskildas medgivande eller om det stöd i författning eller särskilt beslut av regeringen som finns för sådan försäljning.
En underrättelse skall lämnas utan kostnad för den enskilde. Om det föreligger särskilda skäl, får dock Datainspektionen i fråga om visst slag av personuppgifter eller i fråga om underrättelse om att personuppgift om en enskild inte behand- las medge att avgift tas ut.
I paragrafen finns bestämmelser som hänför sig till den enskildes insynsrätt. Motsvarande bestämmelser finns i 10 5 första och andra styckena i den gällande datalagen.
27 & En underrättelse enligt 25 5 första stycket skall lämnas inom en månad från det att en begäran därom kom in till den persondataansvarige. Om personuppgifter har krypterats på ett sätt som godtagits av Datainspektionen behöver underrättelse dock lämnas endast vid tre över året jämnt fördelade tillfällen.
I förevarande bestämmelse föreskrivs att underrättelse om innehållet i personuppgift enligt 25 & (f.n. benämnt ålO-utdrag) skall lämnas
428 SOU 1993: 10
inom en månad från det en begäran om underrättelse kommit in till den persondataansvarige.
Datainspektionen har i sin författningssamling (DIFS 1982:2) utfärdat närmare föreskrifter om vilka skyldigheter den registeransvari- ge har att underrätta den enskilde registrerade. Av dessa föreskrifter framgår bl.a. att den registeransvarige är skyldig att besvara en sådan förfrågan snarast. Om inte besked kan lämnas inom 30 dagar efter det att förfrågan erhållits måste den registeransvarige inom den tiden lämna besked om orsaken till dröjsmålet.
Utredningens förslag till delegationsbestämmelse (36 5) ger inte någon rätt för regeringen eller Datainspektionen att meddela närmare föreskrifter om tillämpningen av de bestämmelser som behandlar den persondataansvariges skyldigheter. Det har också ansetts lämpligt att direkt i datalagen ange den tid inom vilken utdrag enligt 25 5 skall lämnas. Den föreslagna tidsfristen, en månad, får anses vara till— räcklig.
I andra meningen i paragrafen finns för personuppgifter som har krypterats en särskild bestämmelse om den tid inom vilken under- rättelse enligt 25 5 skall lämnas.
Med kryptering förstås att en avidentifiering inte är avsedd att vara oåterkallelig, utan personanknytningen skall kunna återskapas av den eller dem som förfogar över personuppgifterna. Kryptering har som metod kommit att utvecklas av framför allt Statistiska Centralbyrån och har därmed kommit att förknippas med statistikregister men metoden har tillämpning också på forskningsregister i allmänhet.
Vanligen sker kryptering genom att ett igenkänningstecken som exempelvis personnummer ersätts med ett tal vars innebörd endast kan klargöras med hjälp av en annan sifferkombination, en s.k. krypte- ringsnyckel. Synonymt med kryptering används också begreppet chiffrering. Utan tillgång till krypteringsnyckeln kan det krypterade identitetsnumret inte återskapas.
Statistiska Centralbyrån har utvecklat olika tekniska förfaringssätt för kryptering. Syftet är att säkra uppgiftsskyddet och att begränsa tillgången till krypteringsnyckeln men göra det möjligt att för legitima ändamål återskapa identitetssambandet.
Kryptering innebär inte som vid avidentifiering att uppgifters karaktär av personuppgifter går förlorad. Även om kretsen av personer som kan identifiera de med uppgifterna avsedda personerna påtagligt begränsas, finns den nödvändiga kopplingen kvar mellan en uppgift och en identifierbar individ, som är en förutsättning för att personupp- gifter skall föreligga.
Skälet till den föreslagna specialregeln vid kryptering är att man inte kan bortse från att kryptering innebär en beaktansvärd förstärkning av integritetsskyddet. För krypterade personuppgifter har därför gjorts ett undantag från huvudregeln i första meningen om när underrättelse enligt 25 & skall lämnas. Om krypteringsmetoden har godtagits av
SOU 1993: 10 429
Datainspektionen behöver underrättelseskyldigheten inte fullgöras mer än tre gånger per år, då underrättelserna avseende flera enskilda kan lämnas samtidigt. Undantaget för krypterade uppgifter påverkar emellertid inte tillämpningen av tolvmånadersregeln i 26 &, dvs. att en ny underrättelse inte behöver lämnas till samma enskilda förrän tolv månader efter den förra underrättelsen.
Bestämmelserna i förevarande paragraf torde tillgodose kravet i artikel 13.1 i förslaget till EG-direktiv om att underrättelserna till de enskilda skall lämnas "without excessive delay". Innehållet i direktiv— förslaget i denna del har redovisats i anslutning till 25 &.
28 & Har en enskild anmält till den persondataansvarige att han inte önskar att personuppgifter som hänför sig till honom behandlas för adresserad direktreklam, får uppgiftema inte behandlas för sådant ändamål.
Föreskriften i första stycket inskränker inte myndigheternas skyldigheter att lämna ut personuppgifter enligt tryckfrihetsför- ordningen.
I bestämmelsen ges den enskilde en uttrycklig rätt att motsätta sig att hans personuppgifter behandlas för direktreklamändamål.
En redogörelse för Europarådets rekommendation om skydd för personuppgifter som används för direktreklamändamål finns i avsnitt 4.3.3.
Förslaget till EG-direktiv innehåller en bestämmelse som ger den enskilde vissa rättigheter i samband med behandling för direktreklam- ändamål. Enligt artikel 15.3 skall den persondataansvarige se till att den enskilde uttryckligen erbjuds möjlighet att få sina uppgifter utplånade utan kostnad innan personuppgifter lämnas ut till tredje man eller används för dennes räkning för direktreklamändamål. Enligt kommentaren syftar bestämmelsen endast på postbefordrade skrifter.
Redan i dag har den enskilde möjlighet att få uppgifter undantagna från behandling för direktreklamändamål. Regleringen av SPAR (jfr 27 & datalagen och 4 & första stycket förordningen (l98lz4) om det statliga person- och adressregistret) ger den enskilde möjlighet att få en reklamspärr införd. Samma möjligheter finns också hos bl.a. postverket i adressregistret PARAD (jfr 2 bä tredje stycket för- ordningen (1988z79) med instruktion för postverket).
SPAR har hittills utgjort den dominerande källan för direktreklam— adresser (jfr 28 5 första stycket i nuvarande datalag) och en reklam- spärr i SPAR har därmed kunnat få stor genomslagskraft. l utlandet har försök gjorts att upprätta särskilda spärregister, s.k. Robinson- listor. Avsikten är att avsändaren, innan utskick sker, skall använda spärrlistan för att föra bort personer med reklamspärr från sin egen adresslista. Erfarenheterna av systemet med sådana spärrlistor har
f.,.
430 SOU 1993:10
emellertid inte varit särskilt goda. Ett system med få adresskällor gör det självfallet enklare för den enskilde att genom reklamspärr undgå oönskad reklam.
I de fall samtycke inte föreligger kan behandling av personuppgifter för direktreklamändamål ske med stöd av 11 & första stycket 6 i lagförslaget. Detta gäller så länge mottagaren inte motsätter sig behandlingen. Så snart mottagaren meddelar den persondataansvarige att han motsätter sig behandlingen kan denna inte längre ske med stöd av 11 &. Redan av bestämmelserna i 11 & följer således att den enskilde har möjlighet att stoppa en behandling för direktreklamända- mål. Genom förevarande bestämmelse har utredningen emellertid velat uttryckligen peka på den rättighet att motsätta sig direktreklam som den enskilde har.
I det föregående har berörts (specialmotiveringen till 11 &) att sådan behandling av personuppgifter för direktreklamändamål som består i överlåtelse av marknadsföringslistor inte faller in under bestämmelsen i 11 5 första stycket 6.
Under begreppet direktreklam faller både adresserad reklam och oadresserad utburen reklam. Även reklam som vidarebefordras per telefon eller med andra medel omfattas av begreppet. Som framgår av den föreslagna lagtexten reglerar förevarande paragraf endast den direktadresserade reklamen. Detta innebär att adressaten måste vara en namngiven fysisk person eller en person som på annat sätt är möjlig att identifiera.
Paragrafen blir tillämplig om den persondataansvarige behandlar personuppgifterna. Utsändning av direktreklam som sker med hjälp av adressetiketter som köpts av en adresskälla faller således utanför bestämmelsen om avsändaren inte behandlar uppgifterna.
Den enskilde får givetvis själv svara för de kostnader, närmast portokostnader. som kan vara förenade med en anmälan. Däremot behöver han inte betala vad det kan kosta att föra in en spärr i den aktuella datasamlingen.
Om i ett visst fall personuppgifter behandlas enbart för direktre- klam, leder den enskildes anmälan enligt denna paragraf till att de uppgifter som hänför sig till den enskilde måste utplånas. Om det däremot vid sidan av direktreklamändamålet finns en annan grund för behandlingen, får uppgifterna behandlas för detta senare ändamål även i fortsättningen.
I bestämmelsens andra stycke har tagits in en erinran om att regleringen i första stycket inte får inskränka en myndighets skyldig- heter enligt tryckfrihetsförordningen. Enligt tryckfrihetsförordningen är en myndighet skyldig att lämna ut uppgifter som är tillgängliga för myndigheten för överföring i läsbar form, om inte sekretesslagstift- ningen hindrar det. En ADB-upptagning som utgör allmän handling skall på begäran utan avgift och i läsbar form tillhandahållas den som önskar ta del av handlingen. Den sökande har också rätt att mot
SOU 1993:10 43]
fastställd avgift få en utskrift av ADB-upptagningen. Tryckfrihetsför- ordningen innebär emellertid inte att sökanden har rätt att få ut uppgifter på maskinläsbart medium eller få en terminal ansluten till myndighetens dator och få ut uppgifter genom denna utrustning. Inte heller grundar tryckfrihetsförordningen någon rätt att få ut uppgifter från ett ADB-medium i viss form, exempelvis i form av adressetiket- ter.
Eftersom personuppgifter med stöd av offentlighetsprincipen kan inhämtas från myndigheter för att användas för direktreklam är det inte möjligt att i alla sammanhang ålägga den persondataansvarige som lämnar ut uppgifter för direktreklamändamål att erbjuda den enskilde att få sina uppgifter utplånade. Inte heller i de fall den persondata- ansvarige innehar den enskildes personuppgifter även för andra ändamål än direktreklam, exempelvis för fakturering, torde det vara möjligt att tillämpa en bestämmelse av den innebörd som anges i artikel 15.3 i förslaget till EG—direktiv. Artikeln framstår som något svårtolkad och den har också kritiserats av olika branschorganisationer. Den av utredningen föreslagna bestämmelsen får anses utgöra en rimlig kompromiss mellan den enskildes rätt att slippa direktreklam som han inte vill ha och näringslivets intresse att kunna marknadsföra sina produkter och tjänster på ett effektivt sätt.
29 % När en persondataansvarig sänder en handling som innehåller personuppgifter som behandlas till den enskilde, skall upp— lysning samtidigt lämnas om vem som är avsändare.
Bestämmelsen motsvarar 7 a & fjärde stycket i den gällande datalagen. Vissa redaktionella ändringar har företagits. Dessa är betingade av utredningens nya terminologi och förslaget om slopande av tillstånds— och licenssystemet.
Särskilda bestämmelser om behandling av känsliga personuppgifter för forsknings- eller statistikändamål.
Under förevarande rubrik finns särskilda bestämmelser om behandling av känsliga personuppgifter för forsknings- eller statistikändamål. Bestämmelserna kan ses som en särskild registerlag för sådan behandling. I de ämnen som inte omfattas av de särskilda bestämmel- serna gäller också övriga bestämmelser i förslaget till datalag.
30 & Personuppgifter som avses i20 & får behandlas för forsknings- eller statistikändamål utan den enskildes medgivande 1. om det skulle vara synnerligen kostsamt eller tidsödande att inhämta samtycke,
432 SOU 1993:10
2. om den enskildes hälsotillstånd eller forsknings- eller statistikändamålet är sådant att en begäran om samtycke kan antas skada den enskilde, eller
3. om en kontakt med den enskilde skulle förrycka under- sökningens resultat.
En ytterligare förutsättning för behandlingen är att särskilda skäl föreligger med hänsyn till forsknings- eller statistikpro- jektets vikt, behovet av personuppgifter, säkerheten vid behandlingen av uppgifterna och den tid som uppgifterna skall behandlas.
Föreskriften i andra stycket inskränker inte myndigheternas skyldigheter att lämna ut personuppgifter enligt tryckfrihetsför- ordningen.
Förevarande paragraf hänvisar till 205 som innehåller speciella restriktioner när det gäller behandling av personuppgifter av särskilt känslig natur. Av 20 & följer att endast om den enskilde skriftligen lämnar sitt samtycke på sätt som anges i 12 5 eller det följer av särskilda bestämmelser i denna lag eller annan författning får sådana känsliga personuppgifter behandlas. Samtliga uppgifter som nämns i 20 5 kan bli aktuella i forsknings- eller statistiksammanhang.
De särskilda bestämmelser "i denna lag" som det hänvisas till i 20 5, om samtycke inte lämnats, är bestämmelserna i den paragraf som nu diskuteras.
Förevarande paragraf reglerar alltså de fall där känsliga uppgifter får behandlas utan den enskildes medgivande. Fallen har utförligt behandlats i den allmänna motiveringen under avsnitt 10.6. Det hänvisas därför till det avsnittet. Där har också redovisats hur utredningens förslag förhåller sig till förslaget till EG-direktiv.
31 & Ifall som avses i 30 5 första stycket 1 - 2 får uppgifterna inte behandlas förrän information i de hänseenden som anges i 16 & första stycket 1 och 4 - 6 lämnats i tidning med ett sprid- ningsområde som omfattar dem som berörs av forsknings- eller statistikprojektet eller på annat liknande sätt.
När insamling av personuppgifter har skett ifall som avses i 30 5 första stycket 3 skall, innan fortsatt behandling får äga rum, den enskilde erhålla information i de hänseenden som anges i 16 & första stycket 1 och 4 - 6.
Av informationen enligt första och andra styckena skall också framgå att den enskilde har rätt att anmäla att han inte önskar delta i projektet. Anmäler en enskild att han inte önskar delta i projektet _får de uppgifter som hänför sig till honom inte behandlas. Är uppgifterna föremålför behandling skall de utplånas.
SOU 1993: 10 433
Första stycket i förevarande paragraf ålägger en persondataansvarig som avser att behandla personuppgifter med stöd av bestämmelsen i 30 5 första stycket 1 - 2 att före behandlingen informera om forsk- nings- eller statistikprojektet antingen genom annons i tidning med ett spridningsområde som omfattar dem som berörs av projektet eller på annat liknande sätt. Med annat liknande sätt avses t.ex. information genom anslag eller utlagda broschyrer på vårdinrättningar vars patienter är föremål för ett forskningsprojekt. Informationen skall i princip ha samma innehåll som när personuppgifter samlas in direkt från enskilda. Genom kravet på information enligt förevarande paragraf ges de berörda en möjlighet att få vetskap om behandlingen och därigenom utnyttja sin rätt till insyn enligt 25 & förslaget till datalag.
Bestämmelserna i andra stycket tar sikte på de fall där personuppgif- ter samlas in utan samtycke på grund av att en kontakt med den enskilde skulle förrycka undersökningens resultat. Den persondataan— svarige åläggs i dessa fall att efter insamlingen informera den enskilde på i princip samma sätt som om uppgifterna skulle ha samlats in direkt från den enskilde. Det rör sig alltså här om individuell information, i motsats till vad som gäller enligt första stycket.
I Datainspektionens praxis finns exempel på beslut för forsknings- eller statistikregister där inspektionen ansett att kravet på samtycke från den enskilde kunnat efterges eftersom ett krav på samtycke skulle kunna förrycka undersökningens resultat. Så var fallet i ett tillstånds- beslut för ett av Brottsförebyggande rådet fört register, det s.k. sam- hällstjänstregistret (beslut 1990-08-17, Dnr 2005-90). Brottsföre- byggande rådet hade fått regeringens uppdrag att utvärdera en för- söksverksamhet där skyddstillsyn i kombination med samhällstjänst ådömts i stället för fängelsestraff. Utvärderingen skulle belysa på vilket sätt de personer som gör samhällstjänst skiljer sig från dem som ådömts kortare fängelsestraff med avseende på bl.a. typ av brott, tidigare brottslighet, missbruk och sociala bakgrundsfaktorer. Datain- spektionen delade sökandens uppfattning att ett krav på informerat samtycke sannolikt skulle medföra ett så stort bortfall att en rättvisande utvärdering skulle försvåras eller omöjliggöras och att kravet på samtycke därför kunde efterges. Inspektionen vägde vid sin bedömning riskerna för otillbörligt integritetsintrång mot det starka samhällsintres- se som förelåg av att en utvärdering av samhällstjänsten kunde komma till stånd. En förutsättning för att samtycke skulle kunna efterges ansågs vara att den registeransvarige underrättade dem som kunde komma att registreras om registrets ändamål och innehåll, vilka uppgifter som skulle bearbetas med hjälp av automatisk databehandling och varifrån de hämtats, hur länge registret får föras, innebörd och omfattning av sekretesskyddet samt den registrerades rätt till s.k. & 10- utdrag. I andra beslut om tillstånd som inneburit att kravet på samtycke på samma grund eftergivits har inspektionen angett i vilken form in-
434 SOU 1993:10
formationen till de enskilda skall lämnas. I ett beslut om tillstånd för Brottsförebyggande rådet att föra personregistret "Droger och trafiksäkerhet" anförde inspektionen att annonsering i rikstäckande dagspress torde vara ett lämpligt sätt att informera om registret eftersom de registrerade kunde finnas spridda över hela landet (beslut 1990-10-16, Dnr 2336-90). Inspektionen menade också att den undersökning som skulle genomföras torde ha ett sådant allmänt intresse att det borde vara möjligt att genom ett pressmeddelande få dagspressen att i artikelform redogöra för undersökningen och den registrering som avsågs komma tillstånd. Under förutsättning att så skedde fick, menade inspektionen, kravet på information anses vara uppfyllt.
Som framgår av andra stycket i förevarande paragraf skall enligt ut— redningens förslag information till den enskilde alltid lämnas.
Av informationen enligt första och andra styckena skall också enligt tredje stycket framgå att den enskilde har rätt att avstå från att delta i forsknings- eller statistikprojektet. Anmäler den enskilde att han inte vill delta i det aktuella projektet skall de uppgifter som hänför sig till honom utplånas.
Har en anmälan gjorts innan personuppgifterna har börjat samlas in, får någon behandling överhuvud taget inte ske. En sådan situation kan bli aktuell i de fall som avses i första stycket i paragrafen.
Särskilda bestämmelser om behandling av känsliga personuppgifter för anställningsändamål
Under förevarande rubrik finns särskilda bestämmelser om behandling av känsliga personuppgifter för anställningsändamål. Bestämmelserna kan ses som en särskild registerlag för sådan behandling. I de ämnen som inte omfattas av de särskilda bestämmelserna, gäller också övriga bestämmelser i förslaget till datalag. I avsnitt 11.6 i den allmänna motiveringen har redovisats hur utredningens förslag förhåller sig till förslaget till EG—direktiv.
32 & Bestämmelserna i 33 - 35 åå gäller behandling för anställ- ningsändamål av uppgifter om sjukdom eller hälsotillstånd samt uppgifter som utgör omdöme eller annan värderande upplysning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Med anställningsändamål avses förhållandet mellan arbetsgivare och arbetstagare eller arbetssökande.
Förevarande paragraf anger att 33 - 35 åå gäller behandling av uppgifter om sjukdom eller hälsotillstånd samt uppgifter som utgör
SOU 1993: 10 435
omdöme eller annan värderande upplysning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upp- lysning om den enskilde. Paragrafen skall läsas mot 205 som innehåller speciella restriktioner när det gäller behandling av denna typ av uppgifter. Av 20 & följer att endast om den enskilde skriftligen lämnar sitt samtycke på sätt som anges i 12 å eller det följer av särskilda bestämmelser i denna lag eller annan författning får denna typ av känsliga personuppgifter behandlas.
De särskilda bestämmelser "i denna lag" som det hänvisas till i 20 &, om samtycke inte lämnats, är bestämmelserna i följande paragraf.
33 & Personuppgifter som avses i 32 & får behandlas för anställ- ningsändamål utan den enskildes medgivande 1. om uppgifterna rör lämplighet för arbetet samt behand- lingen behövs i förfarande för anställning och normalt förekommer i sådant förfarande, 2. om uppgifterna rör den anställdes sjukdom eller hälsotill- stånd och behandlingen behövs inom företagshälsovården eller i övrigt för sådan rehabiliteringsverksamhet som föreskrivs i lag, 3. om uppgifterna rör den anställdes arbetsinsatser och be- handlingen oundgängligen och uteslutande behövs för be- räkning av lön eller annan ersättning eller för kontroll, uppföljning eller utveckling av arbetsgivarens produkter eller tjänster, eller 4. om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning.
Förevarande paragraf reglerar de fall där aktuell typ av känsliga uppgifter får behandlas utan den enskildes medgivande. Fallen har utförligt behandlats i den allmänna motiveringen under avsnitt 11.6. Det hänvisas därför till det avsnittet. Det bör påpekas att i princip all behandling som sker med stöd av förevarande paragraf omfattas av den föreslagna anmälningsplikten till Datainspektionen.
34 5 Innan arbetsgivaren samlar in personuppgifter med stöd av 33 ä 1 - 3 skall den som personuppgifterna avser underrättas om åtgärden. Hans facklige företrädare skall också under- rättas innan insamling sker med stöd av 33 5 2 och 3.
Förevarande paragraf ålägger en arbetsgivare att innan han samlar in personuppgifter med stöd av 33 5 1 - 3 underrätta den som personupp- gifterna avser. Genom kravet på underrättelse ges de berörda en
436 SOU 1993: 10
möjlighet att få vetskap om behandlingen och därigenom utnyttja sin rätt till insyn enligt 25 & förslaget till datalag. Även den enskildes facklige företrädare skall underrättas, i de fall insamling sker med stöd av 33 5 2 och 3. En sådan underrättelseskyldighet får anses ligga inom ramen för vad som är vedertaget på den svenska arbetsmarknaden. Bestämmelsen i denna del strider dock mot de principer som ligger bakom förslaget till EG—direktiv.
35 & Personuppgifter som rör arbetssökande och behandlas med stöd av 33 ä 1 skall gallras när ansökan om anställning har avslagits. Kan den arbetssökande komma i fråga för annan anställning hos arbetsgivaren får gallring ske vid senare tidpunkt, om den arbetssökande lämnar sitt samtycke på sätt som anges i 12 5.
Vid gallring av personuppgifter som utgör allmän handling gäller vad som sägs i 19 å andra stycket.
Förevarande paragraf innehåller särskilda bestämmelser om gallring. I övrigt gäller bestämmelserna om gallring i 19 & förslaget till datalag.
Av 19 & förslaget till datalag följer att personuppgifter skall gallras då uppgifterna inte längre behövs med hänsyn till de ändamål för vilka de behandlas. Ändamålet utgör således utgångspunkten för bedöm- ningen av när uppgifter skall bevaras eller gallras. lntegritetsintressen talar generellt för att uppgifter bör gallras så snart som möjligt. Vissa typer av personuppgifter blir snabbt inaktuella och den anställde har alltid rätt att bli bedömd utifrån så fullständiga och aktuella uppgifter som möjligt.
Första stycket i förevarande paragraf innehåller bestämmelser om gallring när det gäller behandling av en arbetssökandes personuppgif— ter. Enligt bestämmelserna skall sådana personuppgifter gallras när ansökan om anställning avslagits. Om sökanden är intressant i samband med en annan anställning hos arbetsgivaren får dock uppgifterna bevaras om den arbetssökande samtycker på visst angivet sätt. I och för sig torde redan följa av 19 & förslaget till datalag att personuppgif- ter skall gallras i nu angiven situation. För tydlighetens skull finns dock behov av en särbestämmelse.
När det gäller andra stycket i förevarande paragraf hänvisas till specialmotiveringen till 19 å andra stycket förslaget till datalag.
Bemyndigande att meddela föreskrifter
365 Regeringen eller, efter regeringens bemyndigande, Datain- spektionen får ifråga om sådan behandling av personuppgifter som avses i 20å och som ofta förekommer inom ett visst område för ett visst ändamål, meddela närmare föreskrifter om
SIOU 1993: 10 437
tillämpningen av 9 - 16 samt 30 - 35 åå. Närmare föreskrifter om tillämpningen av bestämmelserna om säkerhet i 17 och 18 åå får meddelas i fråga om sådan behandling av person- uppgifter som avses i 20 å.
I förevarande paragraf ges en möjlighet för regeringen eller, efter regeringens bemyndigande, Datainspektionen att i vissa fall meddela närmare föreskrifter i fråga om behandlingen av personuppgifter. Bakgrunden till bestämmelsen har redovisats i den allmänna motive- ringen (avsnitt 14).
En förutsättning för delegation är att det är fråga om behandling av känsliga personuppgifter (se 20 å). En annan förutsättning är att det rör sig om personuppgifter som ofta behandlas inom ett visst område för ett visst ändamål.
Möjligheten att meddela föreskrifter har begränsats till vissa angivna områden. Således kan föreskrifter meddelas beträffande tillämpningen av bestämmelsen om anknytning till ett ändamål (9 å), god datased (10 å), förutsättningarna för behandling av personuppgifter (11 å), samtycke enligt 12 å, vilka personuppgifter som får behandlas (13 - 15 åå) samt insamling av personuppgifter från den enskilde (16 å). Föreskrifter kan vidare meddelas beträffande tillämpningen av de särskilda bestämmelserna om behandling av känsliga personuppgifter för forsknings- eller statistikändamål och för anställningsändamål (30 - 35 åå). Möjligheten att meddela kompletterande föreskrifter har alltså begränsats till att avse själva behandlingen av personuppgifterna. Däremot omfattar inte delegationsmöjligheten bestämmelserna om den persondataansvariges skyldigheter (22 - 29 åå). Datainspektionen har heller inte behörighet, av skäl som har utvecklats i avsnitt 15, att meddela föreskrifter om gallring (19 å).
Även såvitt avser bestämmelserna om säkerhet (17 och 18 åå) finns en delegationsmöjlighet. Den enda förutsättningen för delegation i detta avseende är att det gäller behandling av känsliga personuppgifter (se 20 å). Något krav på att det skall gälla personuppgifter som ofta behandlas för ett visst ändamål uppställs inte. Anledningen till att delegationsmöjligheterna gjorts vidare inom säkerhetsområdet är att vissa regler om säkerhet torde kunna bli lika för alla typer av datasamlingar som innefattar känsliga uppgifter.
Som exempel på datasamlingar som faller under delegationsområdet har tidigare nämnts sjukhusens patientregister och olika forsknings- register.
Utöver den möjlighet att meddela kompletterande föreskrifter som följer av 36 å i lagförslaget kan regeringen eller, efter bemyndigande, Datainspektionen med stöd av 8 kap. 13 å första stycket 2 regerings- formen (den s.k. restkompetensen) meddela föreskrifter om be- handlingen av personuppgifter inom den statliga förvaltningsorganisa- tionen. Denna föreskriftsrätt är inte begränsad till känsliga personupp-
438 SOU 1993:10
gifter eller uppgifter som ofta behandlas inom ett visst område för ett visst ändamål.
En viss begränsning av Datainspektionens möjligheter att efter delegation besluta om föreskrifter följer av bestämmelserna i be- gränsningsförordningen (1987: 1347). Genom förordningen föreskrivs att en myndighet, innan beslut fattas om en regel, skall göra en konsekvensutredning. I konsekvensutredningen skall regelns kost- nadsmässiga konsekvenser och andra konsekvenser utredas. Dessutom skall företrädare för dem vars verksamhet kostnadsmässigt berörs av den tänkta regeln beredas tillfälle att yttra sig. Skulle regeln antas leda till inte oväsentligt ökade kostnader för staten, kommuner eller landstingskommuner eller för näringslivet, organisationer eller andra enskilda måste myndigheten i princip inhämta regeringens medgivande innan regeln beslutas.
Anmälan
37 å Innan personuppgifter får behandlas för ett visst ändamål skall en skriftlig anmälan ha kommit in till Datainspektionen, om behandlingen avser sådana uppgifter som nämns i 20 å.
En anmälan behöver dock inte göras av 1. föreningar som behandlar personuppgifter med stöd av 21 å 1) 2. myndigheter inom hälso- och sjukvården som för vård- eller behandlingsändamål behandlar uppgifter om någons sjukdom eller hälsotillstånd i övrigt, 3. myndigheter inom socialtjänsten som behandlar uppgifter om att någon fått ekonomisk hjälp eller vård inom social- tjänsten, 4. läkare och tandläkare som behandlar sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har erfarit i sin yrkesverksamhet, 5. arbetsgivare som behandlar sådana uppgifter om arbets- tagares sjukdom som avser tid för sjukfrånvaro, om upp- gifterna används för Iöneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 å andra stycket lagen (1962:381) om allmän försäkring.
Frågan om anmälningsskyldighet har diskuterats utförligt i den allmänna motiveringen (avsnitt 14).
Anmälningsplikt föreslås gälla för behandling av den typ av känsliga uppgifter som anges i 20 å. Anmälningsskyldigheten omfattar datasamlingar både inom den offentliga och den privata sektorn och även datasamlingar som har tillkommit genom statsmaktsbeslut. Av utformningen av förevarande paragraf framgår att en anmälan måste
SOU 1993: 10 439
göras för varje ändamål för vilket personuppgifter behandlas. Inget hindrar att en anmälan görs genom telefax.
Arkivmyndigheter som mottagit personuppgifter för förvaring undantas genom bestämmelsen i 8 å i lagförslaget från anmälnings- plikten.
Vilka uppgifter en anmälan skall innehålla framgår av 38 å. Av 10 å förvaltningslagen (1986z223) framgår att en handling anses komma in till en myndighet den dag då handlingen, eller en avi om en betald postförsändelse som innehåller handlingen, anländer till myndigheten eller kommer en behörig tjänsteman till handa. Får myndigheten en särskild underrättelse om att ett telegram till myndig- heten finns hos televerket, anses telegrammet komma in redan när underrättelsen når en behörig tjänsteman. Om det kan antas, sägs det vidare i den berörda paragrafen i förvaltningslagen, att handlingen eller en avi om denna en viss dag har lämnats i myndighetens lokal eller avskilts för myndigheten på en postanstalt, anses den ha kommit in den dagen, om den kommer en behörig tjänsteman till handa närmast följande arbetsdag.
I den allmänna motiveringen har utredningen tagit avstånd från en ordning som innebär att anmälningarna kombineras med någon form av tidsfrist, räknad från anmälningsdagen, inom vilken behandlingen av personuppgifter inte fick påbörjas. Under den fristen skulle inspektionen ges möjlighet att överväga behovet av ingripande. Skälet till utredningens ställningstagande var att ett system med tidsfrister skulle kunna utvecklas till ett slags tillståndsförfarande. En anmälan enligt utredningens förslag skall inte betraktas som någonting annat än en vägledning till de känsliga datasamlingarna, för Datainspektionen men också för den enskilde.
I den aktuella bestämmelsen föreskrivs i stället att en anmälan skall ha kommit in till Datainspektionen, innan behandlingen av personupp- gifterna får inledas. Därigenom får inspektionen i princip möjlighet att ta del av en anmälan innan behandlingen av personuppgifterna börjar. Det får ankomma på den persondataansvarige att förvissa sig om att hans anmälan har kommit in till inspektionen.
De undantag från anmälningsskyldigheten som tas upp i andra stycket motsvaras av de undantag från tillståndsplikten som anges i 2 a å tredje stycket i den nuvarande datalagen.
I den allmänna motiveringen (avsnitt 5.3) har berörts hur an- mälningsskyldigheten förhåller sig till anmälningsplikten enligt för— slaget till EG-direktiv.
38 å En anmälan till Datainspektionen skall innehålla uppgift om 1. den persondataansvariges namn, postadress och telefon- nummer,
2. ändamålet med behandlingen av personuppgifterna,
440 SOU 1993: 10
3. det stöd i lag eller annan författning som finns för behand- lingen av personuppgiftema, 4. vilken typ av personuppgifter som skall behandlas, 5. vilka personuppgifter som skall lämnas ut och till vem, 6. vilka säkerhetsåtgärder som skall vidtas, samt 7. när gallring skall ske.
Om en ändring sker av de förhållanden som har redovisats i en anmälan enligt första stycket, skall Datainspektionen skriftligen underrättas om förändringen.
Bestämmelsen innehåller en fullständig uppräkning av de uppgifter som en anmälan till Datainspektionen måste innehålla.
Enligt gällande rätt skall en anmälan för licens innehålla följande uppgifter (2 å dataförordningen):
1. Den registeransvariges namn, postadress och personnummer eller organisationsnummer.
2. Namnet på den person hos den registeransvarige som datainspek- tionen i första hand bör vända sig till i frågor som rör personregister samt dennes telefonnummer.
Datainspektionen har möjlighet att medge undantag från ett eller flera av de krav som ställs på en anmälan. Inspektionen tillhandahåller blanketter för licensanmälan. Av blanketterna framgår tydligt vilka uppgifter som skall lämnas och däri lämnas också allmänna upp- lysningar om licensskyldighet enligt datalagen.
En tillståndsansökan enligt gällande ordning skall innehålla betydligt fler uppgifter än en anmälan. I 8 å dataförordningen uppställs följande krav på innehållet i en ansökan om tillstånd:
1. Den regiseransvariges namn, postadress, telefonnummer och person- nummer eller organisationsnummer.
2. Namnet på och telefonnumret till den person som datainspektionen i första hand bör vända sig till med frågor i ärendet.
3. Numret på den registeransvariges licens hos inspektionen.
4. Personregistrets benämning.
5. Andamålet med registret.
6. En fullständig förteckning över de uppgifter som skall ingå i den automatiska databehandlingen och en redogörelse för varifrån och på vad sätt uppgifterna skall inhämtas.
7. Vilken bearbetning som skall utföras med automatisk databehandling och förfarandet vid denna behandling.
8. En fullständig förteckning över de uppgifter som skall göras tillgängliga och en redogörelse för till vem och på vad sätt de skall lämnas ut.
9. En beskrivning av den tekniska utrustning som huvudsakligen skall användas och uppgift om var denna finns uppställd. 10. På vad sätt en registrerad skall kunna få del av de uppgifter som innefattar upplysning om honom eller underrättas om att någon sådan uppgift inte förekommer i registret samt huruvida en sådan upplysning eller underrättelse skall vara avgiftsbelagd. 11. Hur och när rättelse av en felaktig uppgift i registret skall ske.
SOU 1993:10 441
12. Hur upptagningar för automatisk databehandling skall bevaras och när gallring skall ske. 13. Hur upptagningar för automatisk databehandling skall förvaras. 14. Hur uppgifter skall kunna ersättas om en upptagning för automatisk databehandling förstörs. 15. På vad sätt användningen av datamaskiner och datamedier skall registreras. 16. Vilka säkerhetsåtgärder som skall vidtas i övrigt. 17. Vilka bestämmelser om sekretess som kan vara tillämpliga på uppgifter i registret. 18. Huruvida och på vad sätt de registrerade skall informeras om att personregistret förs.
Datainspektionen har möjlighet att medge undantag från ett eller flera av de krav som uppställs på en ansökan.
Även för tillståndsansökningar tillhandahåller inspektionen blanket- ter.
Om en ansökan eller anmälan är ofullständig skall Datainspektionen förelägga sökanden att komplettera handlingarna (9 å dataförord— ningen). I föreläggandet skall inspektionen upplysa om att ärendet kan komma att avgöras i befintligt skick om komplettering inte sker.
Genom det förenklade ansökningsförfarandet (se avsnitt 13.2) har ansökningsförfarandet hos inspektionen rationaliserats. Inom de områden där föreskrifter utfärdats görs ansökningarna på särskilda blanketter. En särskild blankett har utarbetats i anslutning till varje föreskrift (DIFS) om förenklat ansökningsförfarande. Eftersom föreskrifterna i regel innehåller relativt detaljerade bestämmelser om vad registret får innehålla, under vilka förutsättningar uppgifter får lämnas ut, hur gallring skall ske m.m. är det ett minimum av uppgifter som lämnas i de förenklade ansökningarna.
Förslaget till EG-direktiv föreskriver att en anmälan till tillsynsmyn- digheten skall innehålla den persondataansvariges namn och adress, ändamålet eller ändamålen med behandlingen, de kategorier av enskilda som berörs, en beskrivning av vilka uppgifter eller kategorier av uppgifter som behandlingen avser, till vilka utomstående eller kategorier av utomstående som uppgifter kan komma att lämnas ut, tilltänkta överföringar av uppgifter till annat land samt en beskrivning av vilka åtgärder som vidtagits i datasäkerhetshänseende (art 18.2). De krav som direktivet uppställer är minimikrav och det finns således ingenting som hindrar att medlemsländerna uppställer ytterligare krav på vad en anmälan skall innehålla.
Anmälningarna till Datainspektionen är i första hand avsedda att ligga till grund för inspektionens tillsynsverksamhet. Det är mot den bakgrunden utredningens förslag om vad en anmälan skall innehålla bör ses.
Eftersom lagförslaget innehåller åtskilliga bestämmelser som anknyter till ändamålet med behandlingen av personuppgifter (punkt 2) är det väsentligt att ändamålet med behandlingen anges i anmälan.
442 SOU 1993: 10
Enligt den grundläggande bestämmelsen i 9å får personuppgifter samlas in endast för bestämda och uttryckliga ändamål och i övrigt behandlas endast på ett sätt som är förenligt med dessa ändamål. Enligt 13 å får endast sådan personuppgifter som behövs för ett visst ändamål behandlas. Ändamålsangivelsen måste vara förhållandevis preciserad. Beträffande preciseringen av ändamålet hänvisas för övrigt till specialmotiveringen till 9 å.
Anmälningsskyldigheten omfattar bara behandling av sådana känsliga personuppgifter som anges i 20 å i lagförslaget. Enligt den paragrafen krävs det för att behandling skall få ske antingen samtycke eller författningsstöd. För att Datainspektionen skall kunna kontrollera lagligheten av den behandling som avser känsliga uppgifter framstår det som nödvändigt att det författningsstöd som finns för behandlingen av uppgifterna (punkt 3) anges i anmälan. Hänvisning får alltså göras till den författning som ger stöd för behandlingen av de känsliga uppgifterna, t.ex. 30 å i lagförslaget om uppgifterna skall behandlas för forskningsändamål. Sker behandlingen med de berörda enskildas samtycke får hänvisas till 20 å i lagförslaget.
Upplysningar om vilka känsliga uppgifter som behandlas (punkt 4) bör normalt kunna lämnas genom en hänvisning till de bestämmelser i författning som reglerar behandlingen. I den mån behandlingen grundar sig på samtycke får dock alltid närmare anges vilken typ av uppgifter som det rör sig om.
Uppgift om vilka personuppgifter som skall lämnas ut och till vem skall också anges (punkt 5). Om den persondataansvarige är en myndighet får myndigheten uppge att alla inte sekretessbelagda personuppgifter som utgör allmän handling kan komma att lämnas ut till den som begär att få ta del av uppgifterna.
Hur säkerhetsåtgärderna skall redovisas i en anmälan och hur tidpunkten för gallring kan anges (punkterna 6 och 7) har diskuterats i anslutning till 17 — 19 åå och i avsnitt 15.1 i den allmänna motive- ringen.
Om en ändring sker av de förhållanden som har redovisats i en anmälan, skall enligt andra stycket Datainspektionen skriftligen underrättas om förändringen. Med en ändring avses naturligtvis också att den persondataansvarige upphör att behandla personuppgifterna. Syftet med bestämmelsen är att det hos Datainspektionen alltid skall finnas en aktuell sammanställning över den behandling av känslig information som förekommer här i landet.
Den föreslagna bestämmelsen om innehållet i en anmälan innefattar vissa avvikelser i förhållande till förslaget till EG—direktiv. Eftersom anmälningsskyldigheten enligt 37 å bara omfattar känsliga uppgifter, kommer behandlingen av andra personuppgifter inte att redovisas till dataskyddsmyndigheten. Inte heller kan till dataskyddsmyndigheten redovisas utlämnande av sådana personuppgifter som utgör allmän handling.
SOU 1993: 10 443
Datainspektionens tillsyn m.m.
39 å Datainspektionen utövar tillsyn över efterlevnaden av denna lag, föreskrifter meddelade med stöd av 36 å i lagen eller annat beslut av riksdagen eller regeringen om behandling av
personuppgifter.
I denna paragraf och de närmast följande behandlas Datainspektionens uppgifter och befogenheter i det nya tillsynssystemet. Enligt ut- redningens förslag blir inspektionens framtida huvuduppgift att utöva tillsyn över efterlevnaden av gällande bestämmelser inom dataskydds— området.
I avsnitten 14 och 17 i den allmänna motiveringen har utredningen närmare utvecklat sin syn på inriktningen och omfattningen av tillsynen i det nya systemet. Tillsynsverksamheten enligt den nya datalagen kommer i viss män att få en annan inriktning än den nuvarande. Inspektionens uppgift blir nu att kontrollera efterlevnaden av en lagstiftning som förhållandevis utförligt reglerar hanteringen av person- uppgifter.
Inspektionens tillsynsverksamhet har hittills varit begränsad till ett ganska litet antal inspektioner per år. Inspektionerna har emellertid visat att efterlevnaden av datalagen inte alltid är särskilt god och att integritetsskyddet till följd härav i vissa avseenden är bristfälligt. Målet är därför att inspektionens tillsynsverksamhet skall öka och att andelen arbetstid som avsätts för tillsyn inte skall understiga 60 procent av den totala arbetstiden.
Tanken är att tillsynen i första hand skall inriktas på de känsliga, an- mälningspliktiga datasamlingarna, men att den inte skall vara be- gränsad till behandlingen av dessa personuppgifter. Även övrig behandling skall kunna kontrolleras Stickprovsvis. Utredningen räknar med att en utökad tillsyn kommer att få vissa allmänpreventiva effekter.
I paragrafen anges också översiktligt de bestämmelser som reglerar behandling av personuppgifter.
I 2 kap. 3 å andra stycket regeringsformen finns grundregeln om skyddet för den enskildes personliga integritet. Enligt bestämmelsen skall varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom behandlas. I anslutning till 1 å i lagförslaget finns en redogörelse för bakgrunden till stadgandet.
Den allmänt formulerade regeln i regeringsformen fylls ut med en mera detaljerad reglering i bl.a. datalagen. Med stöd av 36 å i lagförslaget ges vidare regeringen eller, efter regeringens bemyndigan- de, Datainspektionen behörighet att under vissa förutsättningar meddela närmare föreskrifter om tillämpningen av vissa bestämmelser i
444 SOU 1993: 10
lagförslaget. En behandling som strider mot sådana föreskrifter är inte tillåten.
Andra regler om behandling av personuppgifter kan tillkomma genom att statsmakterna fattar beslut om s.k. statsmaktsregister. Det kan vara fråga om t.ex. registerlagar. Regeringen eller, efter be- myndigande, Datainspektionen kan även med stöd av 8 kap. 13 å första stycket 2 regeringsformen meddela föreskrifter om behandlingen av personuppgifter inom den statliga förvaltningen. En behandling av personuppgifter får inte heller strida mot dessa beslut. Frågan om statsmaktsregister har behandlats närmare i avsnitt 9 i den allmänna motiveringen.
Enligt artikel 30 i förslaget till EG-direktiv skall en självständig myndighet utöva tillsyn över skyddet av personuppgifter. Myndigheten skall övervaka tillämpningen av de nationella föreskrifter som har antagits till följd av direktivet och utöva alla de funktioner som den har tilldelats genom direktivet. I enlighet med detta gäller enligt förevaran- de paragraf att Datainspektionen skall utöva tillsyn över efterlevnaden av de bestämmelser som reglerar integritetsskyddet. De svenska förvaltningsmyndigheternas självständighet i enskilda tillämpningsfall samt möjligheten att överklaga inspektionens beslut till förvaltnings- domstol (51 å), torde innebära att kravet i direktivet på en oberoende myndighet är uppfyllt.
Enligt artikel 15 i direktivförslaget skall den enskilde ha rätt att när som helst på lagliga grunder göra invändning mot behandling av personuppgifter som hänför sig till honom. Är invändningen be- rättigad, skall den persondataansvarige stoppa behandlingen av personuppgifterna. Dataskyddsmyndigheten skall, enligt artikel 30.3, handlägga klagomål från enskilda som rör skyddet av enskilda vid behandling av personuppgifter och underrätta vederbörande om utgången i ärendet. Någon motsvarighet till dessa föreskrifter finns inte i utredningens förslag. Enskilda kan i Sverige vända sig till den persondataansvarige eller Datainspektionen utan stöd av särskilda bestämmelser därom i datalagen.
40 å Om personuppgifter behandlas eller det framgår av en anmälan att personuppgifter avses bli behandlade i strid med vad som gäller för behandlingen, får Datainspektionen för att åstadkomma rättelse meddela villkor för denna.
I fråga om behandling av andra personuppgifter än som avses i 20å och som utgör allmän handling får dock in- spektionen meddela villkor om gallring endast om synnerliga skäl föreligger.
Villkor som rör utlämnande av personuppgift får inte in- skränka en myndighets skyldigheter enligt tryckfrihetsförord- ningen.
SOU 1993: 10 445
I paragrafen ges Datainspektionen en rätt att meddela särskilda villkor för att åstadkomma rättelse i de fall personuppgifter behandlas på ett otillåtet sätt. De villkor inspektionen kan meddela har sin motsvarighet i de föreskrifter som i dag meddelas med stöd av 5 och 6 åå i den gällande datalagen.
Ett ingripande från Datainspektionen blir normalt aktuellt när man genom en anmälan, en inspektion eller på annat sätt upptäcker att en otillåten personuppgiftshantering pågår. I vissa fall kan dock villkor meddelas redan innan behandlingen har påbörjats. Läget kan nämligen vara det att en persondataansvarig av någon anledning dröjer med att påbörja behandlingen av uppgifterna sedan han gett in en anmälan. Ett ingripande får då ske redan när det av anmälan framgår att personupp- gifterna avses bli behandlade på ett otillåtet sätt.
I fråga om karaktären av de villkor som meddelas finns en skillnad i förhållande till gällande rätt. De föreskrifter som Datainspektionen i dag meddelar får ses som en materiell utfyllnad av en mera generellt utformad datalag. Med utredningens förslag, som innebär en för— hållandevis detaljerad reglering av behandlingen av personuppgifter, är syftet inte att Datainspektionens villkor skall bli en utfyllnad av datalagens materiella reglering. Syftet med de villkor som kan meddelas med stöd av förevarande paragraf är endast att åstadkomma rättelse.
I motsats till gällande rätt innehåller utredningens förslag inte någon detaljerad reglering av i vilka avseenden villkor kan meddelas. Utredningen har övervägt att göra en sådan detaljerad uppräkning i lagtexten men stannat för att den avgränsning som görs, att villkoren skall gå ut på att åstadkomma rättelse, bör vara tillräcklig. Utgångs- punkten är de materiella regler som finns för en viss personupp- giftshantering och villkoren får inte innebära annat än att bringa en viss behandling i överensstämmelse med de materiella reglerna. Om t.ex. Datainspektionen anser att ett uppgivet ändamål för behandlingen inte är tillräckligt preciserat, kommer villkoret att innebära att behandlingen skall ske för ett mera preciserat ändamål (jfr 9 å). Anser Datainspektionen att vissa personuppgifter inte behövs för ett visst ändamål, blir villkoret att dessa personuppgifter inte får behandlas (jfr 13 å).
De villkor som meddelas får givetvis inte strida mot bestämmelser i datalagen eller andra författningar. Villkoren får t.ex. inte innebära att offentlighetsprincipen begränsas. En erinran om det sistnämnda har gjorts i tredje stycket av paragrafen.
Om det visar sig att en persondataansvarig inte ställer sig till efter- rättelse ett villkor från Datainspektionen har inspektionen möjlighet att med stöd av 41 å förbjuda fortsatt behandling av de berörda upp- gifterna. En persondataansvarig som bryter mot ett villkor kan också dömas till straff (47 å).
446 SOU 1993: 10
Bestämmelserna i första stycket innefattar också en rätt för Datainspektionen att meddela villkor om gallring. I enlighet med vad som har sagts i den allmänna motiveringen (avsnitt 15.2.6) gäller första stycket dels gallring av alla personuppgifter som behandlas av enskilda, dels gallring av de mer integritetskänsliga datasamlingarna som utgör allmän handling. Den allmänna gallringsnormen för personuppgifter finns i 19 å. Registerförfattningarna kan innehålla särskilda materiella gallringsregler.
I paragrafens andra stycke regleras Datainspektionens möjligheter att meddela villkor om gallring i fråga om de datasamlingar som utgör allmän handling och som inte innehåller känsliga uppgifter enligt 20 å i lagförslaget. Datainspektionen har, i likhet med vad som gäller enligt 18 å i den nuvarande datalagen, getts en möjlighet att i undantagsfall meddela villkor för gallringen. Genom kravet på synnerliga skäl har utredningen velat betona att möjligheten att meddela villkor skall användas restriktivt och endast i de fall det framstår som nödvändigt med hänsyn till risken för integritetsintrång.
Enligt altikel 30.2 i förslaget till EG-direktiv skall dataskyddsmyn- digheten ha möjligheter att undersöka och effektivt ingripa mot behandling av personuppgifter. För att kunna fullfölja sina uppgifter skall myndigheten ha rätt till tillgång till uppgifter vars behandling täcks av direktivet och behörighet att samla in all information som är nödvändig för att dess övervakande funktion skall kunna fullgöras. Dataskyddsmyndighetens möjligheter till ingripande skall innefatta rätt att besluta om innehållande eller utplånande av personuppgifter, tillfälligt eller definitivt förbud att behandla personuppgifter, för— störelse av datamaterial eller om varning till den persondataansvarige. Dataskyddsmyndigheten skall vidare ha möjlighet att väcka talan vid domstol vid överträdelse av dataskyddsbestämmelserna.
Förevarande och följande paragrafer ger enligt utredningens mening Datainspektionen de befogenheter som behövs för en effektiv tillsyn. Utredningens förslag ger dock inte inspektionen möjlighet att besluta om innehållande av personuppgifter, förstörelse av datamedium (jfr dock vad som sägs i anslutning till 41 å i lagförslaget) eller om varning till den persondataansvarige. Av skäl som har utvecklats i avsnitt 17.4 har Datainspektionen inte heller getts befogenhet att väcka talan vid domstol.
41 å Kan rättelse inte åstadkommas på annat sätt, får Datainspekti- onen vid vite förbjuda den persondataansvarige att i fortsätt- ningen behandla personuppgifterna.
Om det är sannolikt att en enskild tillfogas betydande skada vid en fortsatt behandling, får Datainspektionen vid vite förbjuda annan behandling än lagring att gälla för tiden intill dess frågan om fortsatt behandling slutligt har avgjorts eller
SOU 1993: 10 447
annat har förordnats. Innan ett sådant beslut meddelas skall den persondataansvarige ha fått tillfälle att yttra sig, om det inte är fara i dröjsmål.
Bestämmelserna i första och andra styckena gäller inte sådan behandling av personuppgifter som riksdagen eller regeringen har beslutat om.
Trots den möjlighet som Datainspektionen har att med stöd av 40 å första stycket i förslaget meddela villkor för att åstadkomma rättelse vid en otillåten behandling av personuppgifter, kan det tänkas uppkomma fall där det inte går att åstadkomma rättelse genom att meddela villkor. Om t.ex. någon av förutsättningarna enligt 11 å för behandling av personuppgifter inte föreligger i ett visst fall, måste ingripandet från Datainspektionen få formen av ett förbud att behandla uppgifterna. Det kan också finnas fall där den persondataansvarige vägrar att följa de villkor som inspektionen meddelat. Vid sidan av möjligheten att meddela villkor har Datainspektionen därför i förevar- ande paragraf givits möjlighet att vid vite förbjuda den persondata— ansvarige att fortsättningsvis behandla personuppgifter.
Även enligt gällande rätt har inspektionen befogenhet att förbjuda fortsatt förande av personregister (18å andra stycket datalagen). Någon möjlighet att förena ett sådan förbud med vite ger dock inte den nuvarande datalagen. Det nya förslaget är avsett att ge inspektionen större möjligheter att komma tillrätta med behandling av personuppgif- ter som strider mot vad som gäller för behandlingen. Fördelen med ett vitesförbud i förhållande till enbart straffsanktion eller möjlighet att kräva skadestånd är att varken uppsåt eller oaktsamhet behöver styrkas. Det räcker med att en otillåten personuppgiftshantering kan konstateras objektivt sett och att rättelse inte kan åstadkommas genom villkor.
Med den definition av behandling som finns i 3 å i utredningens förslag innebär ett förbud i enlighet med första stycket i denna paragraf att de personuppgifter som finns måste utplånas. En persondataansvarig kan dock ställa sig till efterrättelse ett förbud även på det sättet att personuppgifterna avidentifieras. Vad som avses med avidentifiering har berörts i anslutning till 2 å. Däremot är det inte tillräckligt att personuppgifterna krypteras. I vissa fall torde ett förbud föra med sig att ett datamedium måste förstöras, t.ex. en CD-ROM-skiva.
Enligt en allmän princip som kommit till uttryck bl.a. i NJA 1982 s. 633 kan vite inte föreläggas när straff är utsatt, om inte undantag från principen följer av en särskild föreskrift. Samma gärning får inte heller föranleda både vite och straff. Eftersom en överträdelse av ett förbud som Datainspektionen meddelat med stöd av förevarande paragraf har straffsanktionerats i 47 å första stycket 6, har i 47 å tredje stycket tagits in en erinran om att den som överträtt ett
448 SOU 1993: 10
vitesförbud meddelat med stöd av 41 å inte får dömas till straff för överträdelse som omfattas av förbudet.
Ett vitesföreläggande kan riktas både till fysiska och juridiska personer. Någon högsta gräns för vitesbeloppets storlek finns inte föreskrivet. Vitesbeloppet skall därför enligt vad som följer av 3 å lagen (19851206) om viten bestämmas till ett belopp som med hänsyn till vad som är känt om adressatens ekonomiska förhållanden och till omständigheterna i övrigt kan antas förmå honom att följa det föreläggande som är förenat med vitet.
Frågan om utdömande av vitet prövas av länsrätten på ansökan av Datainspektionen.
I andra stycket ges Datainspektionen en möjlighet att förbjuda annan fortsatt behandling än lagring i de fall det framstår som sannolikt att en fortsatt behandling förorsakar en eller flera personer betydande skada. Även här förutsätts att det är fråga om otillåten behandling av personuppgifter och att rättelse inte kommer till stånd på något annat sätt. Eftersom det är frågan om ett interimistiskt förbud med därmed följande lägre beviskrav i fråga om den skadliga effekten, har det ansetts rimligt att personuppgifterna får lagras till dess frågan om den fortsatta behandlingen slutligt har avgjorts. Personuppgiftema behöver således inte, till skillnad från vad som gäller vid ett förbud enligt första stycket, utplånas eller avidentifieras. Beslutet om ett vitesförbud enligt andra stycket skall i princip föregås av ett kontradiktoriskt förfarande. Om det föreligger fara i dröjsmål kan emellertid inspektionen underlåta att höra den persondataansvarige innan beslutet fattas.
Möjligheterna att förbjuda viss behandling gäller enligt tredje stycket inte sådan behandling av personuppgifter som beslutats av riksdagen eller regeringen. Ett sådant förbud skulle kunna få karaktären av en överprövning av statsmakternas beslut. Finner Datainspektionen att en föreskrift som meddelats av riksdagen eller regeringen bör ändras, eller att ett s.k. statsmaktsregister inte bör få föras, åligger det i stället inspektionen att göra en framställning härom (jfr prop. 1973:33 s 144).
42 å Datainspektionen skall utöva tillsynen så att den inte vållar större kostnad eller olägenhet än som är nödvändig.
I förhållande till gällande rätt har paragrafen endast ändrats redaktio- nellt. Den motsvaras av 15 å andra stycket i den gällande datalagen.
SOU 1993: 10 449
43 å Datainspektionen har rätt att för tillsynen få tillträde till lokal där automatisk databehandling utförs eller där datamaskin eller utrustning eller upptagning för automatisk databehand- ling förvaras. Inspektionen har vidare rätt att få tillgång till handling som rör automatisk databehandling samt föranstalta om uttag, sökningar eller sammanställningar genom auto- matisk databehandling.
Paragrafen har sin motsvarighet i 16 å i den gällande datalagen. Inga sakliga ändringar har företagits. Den möjlighet som i dag finns för inspektionen att med stöd av 24 å i den gällande datalagen förelägga vite i de fall en registeransvarig underlåter att lämna tillträde till lokal eller tillgång till handling som rör behandling har i utredningens förslag tagits upp i 50 å.
Inspektionen har i dag inga möjligheter att för sin tillsyn tvångsvis bereda sig tillträde till lokal där man misstänker att det förekommer automatisk databehandling eller att det finns viss datorutrustning. Ut- redningen har övervägt att ge inspektionen möjlighet till handräckning för att bereda sig tillträde till lokal i de fall inspektionen kan göra sannolikt att så är förhållandet. Datainspektionen menar, att det på goda grunder kan misstänkas att ett antal företag lämnar oriktiga uppgifter i samband med inspektionens licenskampanjer. Ett antal företag, som är av en sådan storlek att de uppenbarligen måste använda ADB i sin verksamhet, svarar på inspektionens förfrågningar att de inte har någon datorutrustning. I dessa fall har inspektionen ingen möjlighet att tvångsvis bereda sig tillträde till lokalerna för att kontrollera riktigheten av uppgifterna. Problemen för Datainspektionen i detta avseende synes emellertid inte ha varit så stora att de påkallar några omedelbara åtgärder och utredningen har därför avstått från att lämna något förslag om handräckning. Skulle det visa sig att inspektio- nen i sin nya tillsynsorienterade verksamhet får svårigheter att bereda sig tillträde till lokaler för att utöva tillsyn, kan detta givetvis utgöra skäl att på nytt ta upp frågan om inspektionens behov av tvångsmedel.
44å Den persondataansvarige skall lämna Datainspektionen de uppgifter om den automatiska databehandlingen som in- spektionen begär för sin tillsyn. En sådan uppgiftsskyldighet har även den som för den persondataansvariges räkning behandlar personuppgifter.
Bestämmelsen överensstämmer i sak med 17 å i den gällande data- lagen. Om den persondataansvarige eller den som för den persondata- ansvariges räkning behandlar personuppgifter underlåter att lämna information enligt 44 å får Datainspektionen förelägga vite enligt 50 å
450 SOU 1993: 10
i förslaget. Den som uppsåtligen eller av oaktsamhet lämnar osann uppgifti fall som avses i 44 å kan straffas enligt 47 å första stycket 4.
Övriga bestämmelser Överföring till utlandet
45 å Om det finns anledning anta att personuppgifter skall behand- las i utlandet, får uppgifterna lämnas ut endast efter med- givande av Datainspektionen. Sådant medgivande får lämnas endast om det kan antas att i motsvarande fall personupp- gifterna hade fått behandlas här i landet. Något medgivande behövs dock inte, om personuppgifter skall behandlas enbart i en stat som har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av person- uppgifter eller i en stat som har ett motsvarande skydd. Regeringen får föreskriva vilka stater som skall anses ha ett skydd motsvarande det som anges i konventionen.
I det allmännas verksamhet tillämpas i stället bestäm- melserna i sekretesslagen (1980:100).
1 paragrafen regleras möjligheterna att lämna ut personuppgifter för behandling utanför Sverige.
Den gällande datalagen (11 å) innehåller en regel om särskilt med- givande från Datainspektionen för att lämna ut personuppgifter i enskild verksamhet för ADB i utlandet. Bestämmelsen är tillämplig på personuppgifter vare sig uppgifterna ingår i personregister i datalagens mening eller inte. Datainspektionens medgivande behövs oavsett om uppgifterna lämnas på ADB-medium, skriftligen eller på annat sätt. För det allmännas verksamhet finns motsvarande bestämmelser i 7 kap 16 å sekretesslagen. Undantag från kravet på medgivande gäller om uppgifter skall lämnas ut för ADB enbart i en stat som anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Konventionen bygger, liksom förslaget till EG-direktiv, på att gränskontroll av dataflöde inte behövs för länder som har en gemensam nivå på integritetsskyddet. Det önskvärda i att underlätta gränsöverskridande informationsflöden ligger också bakom direktivförslagets krav på ett fullgott integritetsskydd.
Datainspektionens möjlighet att ge dispens från förbudet mot utläm- nande kan lämnas såväl i ett särskilt fall som mera generellt, t.ex. beträffande ett visst register (prop. 1973:33 s. 140).
Enligt OECD:s riktlinjer på området skall medlemsländerna vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall medlemsländer- na avhålla sig från att göra inskränkningar i fråga om flödet av personuppgifter från det egna landet till andra medlemsländer. Sådana
SOU 1993:10 451
inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om personuppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integritetslagstiftning därigenom kringgås. Ett medlemsland får också göra inskränkningar i fråga om personuppgifter för vilka den inhemska integritetslagstiftningen innehåller särskilda skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlandet.
I förslaget till EG-direktiv åläggs medlemsstaterna att föreskriva att överföring av personuppgifter till ett icke-medlemsland endast får före— komma om det landet har en tillfredsställande skyddsnivå (an adequate level of protection, art. 26.1). Bestämmelsen är emellertid inte utan undantag. Överföring till ett icke-medlemsland som inte tillförsäkrar en tillfredsställande skyddsnivå får bl.a. ske om den enskilde samtyckt till överföringen i syfte att företa vissa förberedande åtgärder för att ingå ett avtal eller om överföringen är nödvändig för viktiga allmänna intressen. Det är medlemsstaten som kan godkänna överföringen till ett land som inte har en tillfredsställande skyddsnivå (art. 27.1). Med- lemsstaten skall i god tid underrätta Kommissionen och övriga medlemsstater om att den planerar att tillåta en överföring (art. 27.2). Om en annan medlemsstat eller Kommissionen protesterar mot tillåtandet av överföringen, skall Kommissionen vidta lämpliga åtgärder. Enligt kommentaren kan Kommissionen bl.a. ställa upp ytterligare villkor eller förbjuda överföringen (art. 27.3).
Bedömningen av om ett icke-medlemsland upprätthåller en till- fredsställande skyddsnivå (the adequacy of the level of protection) skall ske i ljuset av alla omständigheter kring en överföring. Särskilt skall beaktas vilket slag av uppgifter överföringen gäller, ändamålet med behandlingen, behandlingens varaktighet samt den lagliga reglering och de yrkesetiska regler som finns i icke-medlemslandet (art. 26.2).
Om en medlemsstat anser att ett icke-medlemsland inte upprätthåller en tillfredsställande skyddsnivå skall EG-kommissionen underrättas härom. Det blir sedan Kommissionens uppgift att ingå förhandlingar med tredje land för att försöka avhjälpa situationen (art. 26.3 och 4). Direktivförslaget ger också Kommissionen möjlighet att besluta att ett icke-medlemsland har en tillfredsställande skyddsnivå, detta på grundval av dess inhemska lag eller internationella åtaganden (art 26.5). De åtgärder som vidtas till följd av artikel 26 i direktivförslaget skall enligt artikel 26.6 stå i överensstämmelse med de skyldigheter som åligger gemenskapen på grund av internationella överenskom— melser.
En konflikt kan uppstå på grund av skillnader mellan bestämmelser- na i ett framtida EG-direktiv och Europarådets dataskyddskonvention. Kan exempelvis Frankrike med stöd av EG-direktivet vägra utläm- nande till Sverige, trots att Frankrike ratificerat dataskyddskon- ventionen och därmed accepterat ett fritt dataflöde i förhållande till
452 SOU 1993: 10
bl.a. Sverige? Förslaget till EG-direktiv reglerar inte frågan om förhållandet till Europarådskonventionen.
Under sitt tidigare utredningsarbete noterade utredningen att det i praktiken inte synes vara så vanligt att medgivande enligt datalagen inhämtas. Utredningen menade att det på goda grunder kunde antas att överföring av uppgifter äger rum i strid med bestämmelserna även till länder som inte är konventionsanslutna. Liknande erfarenheter har gjorts i utlandet, bl.a. i Storbritannien.
Frågan om utlandsöverföring bör i första hand ses mot bakgrund av den pågående lagharmoniseringen på dataskyddsområdet som i sig skulle onödiggöra särskilda skyddsbestämmelser vid gränsöverskridan- de kommunikation. Det får förutsättas att ett likartat skydd inom en inte alltför avlägsen framtid antagits, inte bara för Europas del, utan för hela OECD—området. Syftet med gränskontroll av personuppgifter är naturligtvis att uppgifterna inte används utanför Sverige på ett sätt som innebär integritetskränkning eller i länder där integritetsskyddet är svagare. I avvaktan på att den nödvändiga internationella harmonise- ringen genomförts bör därför en viss kontroll behållas.
När det gäller personuppgifter som faller inom de områden där ut- redningen föreslagit att någon anmälan inte behövs, övervägde utredningen att låta informationsöverföringen ske helt fritt. Uppgifter som i Sverige skulle föranleda anmälan, dvs. främst uppgifter av känsligt slag och uppgifter som utgör omdöme om den enskilde, skulle Datainspektionen däremot först pröva innan det medgavs att de fördes utomlands. En nackdel med en sådan uppdelning i "privilegierade " och " icke-privilegierade" uppgifter är att sambearbetningsmöjligheter utomlands inte kan beaktas. Uppgifter som i Sverige endast är av mindre känsligt slag skulle likväl efter bearbetning kunna vara känsliga och integritetskränkande. Motsvarande gäller enstaka uppgifters karaktär. Uppgifter som endast tagna för sig i Sverige hänförs till kategorin icke-känsliga kan i ett annat land anses vara känsliga.
Mot denna bakgrund valde utredningen att föreslå att all informati— onsöverföring som sker till länder som inte omfattas av konventionen på området skulle omfattas av kontrollen och kräva medgivande av Datainspektionen. En sådan lösning synes också ligga i linje med direktivförslagets krav när det gäller överföring till tredje land. Om länder, som inte är konventionsanslutna, likväl bedöms ha en till- fredsställande skyddsnivå på sin lagstiftning, bör överföring mera allmänt kunna tillåtas också till dessa länder. Regeringen bör i en förordning kunna ange vilka länder som kan komma i fråga.
Nästan alla remissinstanser som tagit upp frågan i sina yttranden har ställt sig positiva till utredningens förslag angående utlandsöverföring- ar. Till dessa remissinstanser hör Kammarrätten i Stockholm, Datain- spektionen, Svenska kommunförbundet och Landstingsförbundet. Hovrätten över Skåne och Blekinge delar också i huvudsak utred- ningens uppfattning att utlämnande av personuppgift för automatisk
SOU 1993: 10 453
databehandling i stat som inte anslutit sig till Europarådets konvention eller har motsvarande skyddsnivå skall få ske endast efter tillstånd. Hovrätten menar emellertid att de effekter utredningens förslag kan få för möjligheten att utnyttja den moderna kommunikationstekniken bör analyseras noggrannare.
Sveriges Industriförbund och Svenska Arbetsgivareföreningen finner det otillfredsställande att utredningen förslagit att Datainspektionens medgivande även i fortsättningen måste inhämtas vid informations- överföring till länder som inte anslutit sig till Europarådets dataskydds- konvention. Man påpekar att förslaget innebär att företag, verksamma i Sverige (men inte nödvändigtvis svenskägda) som ingår i koncerner med moder- och dotterbolag i andra länder, i vissa fall inte - utan att begå lagbrott - kan överföra uppgifter från personal- och olika ekonomiadministrativa system till utlandsföretagen utan att ansöka om medgivande och avvakta beslut härom från den svenska tillstånds- och tillsynsmyndigheten. Det föreslås att utredningen överväger möjlig- heterna att verka för att överföringar till den krets av länder som tillhör OECD och följer organisationens riktlinjer på området undantas från kravet på tillstånd från Datainspektionen.
I sina fortsatta överväganden har utredningen på nytt tagit upp frågan om informationsflödet över gränserna och konstaterat att det har visat sig vara svårt att genom lagstiftning reglera frågan. Den tekniska utvecklingen gör det, som en remissinstans påpekat, svårt att avgöra var en personuppgift under transport blir föremål för automatisk databehandling. Efterlevnaden av bestämmelserna är också svår att kontrollera. Vissa problem med informationsflödet inom internationella koncerner har också förts fram under remissbehandlingen. Enligt utredningens mening kan man komma till rätta med de nu angivna svårigheterna endast genom att fler länder efter hand undantas från tillståndskravet. Behovet av reglering av det internationella informati— onsutbytet torde också komma att minska i takt med att alltfler länder inför en lagreglering som innebär ett acceptabelt integritetsskydd.
De länder som f.n. har anslutit sig till Europarådskonventionen är, förutom Sverige, Frankrike, Spanien, Norge, Tyskland, Storbritannien, Luxemburg, Österrike, Danmark, Finland, Irland och Island. De länder som skulle kunna bli aktuella i en förordning om stater som skall anses ha ett skydd motsvarande det som anges i Europarådets konvention är t.ex. Nederländerna, Belgien, Portugal och Schweiz.
I sak torde utredningens förslag om överföring till utlandet inte innebära någon skillnad i förhållande till gällande rätt. Enligt den nuvarande datalagen får Datainspektionen lämna medgivande till utlämnande endast om det kan antas att utlämnandet inte kommer att medföra otillbörligt intrång i någons personliga integritet. Eftersom utredningen valt att utmönstra begreppet otillbörligt intrång i personlig integritet ur lagen, krävs i stället att det kan antas att behandlingen i motsvarande fall hade kunnat äga rum här. Vid sin prövning har
454 SOU 1993:10
således Datainspektionen att utgå från de kriterier som gäller för personuppgifter som behandlas inom landet. De skyddsregler som finns i den främmande staten kan givetvis ha en annan utformning, men det skydd som lämnas skall i huvudsak motsvara integritetsskyddet i Sverige.
Liksom för närvarande bör gälla att Datainspektionen får lämna medgivande till utlämnande såväl i ett särskilt fall som mera generellt.
Den som uppsåtligen eller av oaktsamhet lämnar ut personuppgift i strid mot 45 å kan dömas till böter eller fängelse (47 å första stycket 2).
I andra stycket hänvisas till sekretesslagens bestämmelser. För myndigheter gäller enligt 7 kap. 16 å andra stycket sekretesslagen att personuppgift i personregister som avses i datalagen är sekretessbelagd om det kan antas att ett utlämnande skulle medföra att uppgiften används för automatisk databehandling i utlandet och att detta medför otillbörligt intrång i personlig integritet. Även för myndigheter är det Datainspektionen som prövar frågor om utlämnande. Sekretess gäller dock inte om uppgiften skall användas för automatisk databehandling enbart i en stat som har anslutit sig till Europarådets dataskyddskon- vention. Eftersom förbudet för myndigheter att i vissa fall lämna ut uppgifter är att anse som en inskränkning i offentlighetsprincipen har bestämmelsen tagits in i sekretesslagen, där det anses att sådana inskränkningar bör samlas.
Bestämmelsen i 7 kap 16 å andra stycket sekretesslagen har ändrats så att den i sak överensstämmer med 45 å i förslaget till datalag (se avsnitt 22.6).
Tystnadsplikt
46 å En persondataansvarig eller annan som deltagit vid behandling av personuppgifter får inte obehörigen röja vad han till följd därav fått veta om en enskilds personliga förhållanden. I det allmännas verksamhet tillämpas i stället för vad som nu har sagts bestämmelserna i sekretesslagen (1980:100).
Paragrafen har sin motsvarighet i 13 å första stycket i den gällande datalagen. Någon saklig förändring är inte avsedd.
Bestämmelser om påföljd för brott mot tystnadsplikten finns i 20 kap 3 å brottsbalken.
Förslaget till EG-direktiv föreskriver att personer som i sitt arbete har tillgång till personuppgifter inte får lämna ut uppgifter till utomstående utan den persondataansvariges tillstånld, såvitt inte det krävs enligt lag eller annan författning (art. 17.5).
SOU 1993: 10 455
Straff och skadestånd m.m.
47 å Till böter eller fängelse i högst två år döms den som uppsåt-
ligen eller av oaktsamhet 1. bryter mot bestämmelserna i 9, 11, 13 - 20 eller 30 - 35 åå om behandling av personuppgifter, 2. lämnar ut personuppgift i strid mot 45 å, 3. lämnar osann uppgift vid fullgörande av skyldighet att lämna underrättelse enligt 25 å, 4. lämnar osann uppgift i fall som avses i 44 å, 5. bryter mot bestämmelser som regeringen eller Datainspektio- nen med stöd av 36 å i denna lag har meddelat om tillämp- ningen av 9, 11, 13 - 20 och 30 - 35 åå, 6. bryter mot villkor eller förbud som meddelats enligt 40 eller 41 å, eller 7. underlåter att göra anmälan enligt 37 å när sådan skyldig- het föreligger.
Till böter döms den som uppsåtligen eller av oaktsamhet bryter mot 29 å.
Den som har överträtt ett vitesförbud enligt 41 å får inte dömas till straff för sådan behandling av personuppgifter som omfattas av förbudet.
Frågor om straffbestämmelser m.m. har behandlats i avsnitt 19.1 i den allmänna motiveringen.
Straffbestämmelserna har införts i förevarande paragraf. Både uppsåtliga gärningar och oaktsamhet har straffbelagts.
Straffhöjningen motiveras, som tidigare utvecklats, av både en strävan att ge det föreslagna tillsynssystemet önskad effekt och en förändrad syn på straffvärdet av brott som innebär risker för in- tegritetsintrång.
I första stycket punkt I straffsanktioneras brott mot reglerna om behandling av personuppgifter. Det är exempelvis straffbart att behandla personuppgifter för något annat ändamål än det som bestämts av den persondataansvarige. Regler om anknytning till ett ändamål finns i 9 å. Straffaelagd är också sådan behandling som sker utan att någon av de grundläggande förutsättningarna för behandling som anges i 11 å föreligger. Om behandlingen sker med stöd av 11 å första stycket 1 måste samtycke ha lämnats i enlighet med vad som stadgas i 12 å för att behandlingen skall vara laglig. Även en behandling av uppgifter som inte behövs för ett visst ändamål (13 å) eller av oriktiga personuppgifter är straffsanktionerad. Av 14 å följer att personuppgif— ter som behandlas skall vara riktiga, fullständiga och aktuella. Personnummer får enligt 15 å inte behandlas om det inte är klart motiverat med hinsyn till ändamålet eller, om det behövs för att säkerställa en identifiering eller av andra beaktansvärda skäl. Före-
456 SOU 1993:10
ligger inte något av dessa fall är en behandling av personnummer straffbar. I 16 å anges vilka uppgifter som skall lämnas till den enskilde i samband med insamling av personuppgifter från denne. En insamling av personuppgifter från den enskilde som sker utan att den enskilde lämnas underrättelse enligt 16 å har straffsanktionerats.
I 17 och 18 åå finns bestämmelser om vilka säkerhetsåtgärder som den persondataansvarige är skyldig att vidta. Säkerhetsbestämmelserna är av avgörande betydelse när det gäller att skapa ett gott integritets- skydd. Brott mot Säkerhetsbestämmelserna har därför straffsanktione— rats. Den tekniska utvecklingen kan förutsättas skapa ett behov av en kontinuerlig revidering av säkerhetsbestämmelser. Det har därför varit nödvändigt att ge datalagens bestämmelser om säkerhet en över- gripande, generell utformning. Avsikten är att Datainspektionen med stöd av 36 å skall utforma mera detaljerade bestämmelser om säkerhet för sådan behandling som avser känsliga personuppgifter. Brott mot bestämmelser om tillämpningen av Säkerhetsbestämmelserna i 17 och 18 åå som Datainspektionen kan komma att meddela straffsanktioneras i första stycket 5 i förevarande paragraf.
Regler om gallring finns i 19 å i lagförslaget. En underlåtenhet att gallra personuppgifter när detta skall ske har straffbelagts. Straffsank- tioneringen motiveras med att gallringsregeln riktar sig till alla persondataansvariga och inte endast myndigheter och vissa andra organ som fallet är med arkivlagen. Ur integritetsskyddssynpunkt är det också angeläget att personuppgifter inte bevaras under längre tid än vad behandlingens ändamål kräver eller vad som är motiverat med hänsyn till de motstående intressen som anges i 19 å. Beträffande kompetensfördelningen inom gallringsområdet och förhållandet till arkivlagen hänvisas till avsnitt 15 i den allmänna motiveringen.
Den typ av känsliga uppgifter som anges i 20 å i lagförslaget får inte behandlas om inte den enskilde lämnat sitt samtycke eller om be- handlingen har stöd i lag eller annan författning. De uppgifter som anges i 20 å har bedömts som särskilt känsliga ut integritetssynpunkt och en behandling i strid mot 20 å har därför straffsanktionerats. Som tidigare diskuterats förutsätter utredningens förslag att ett antal nya registerförfattningar tillkommer.
Brott mot bestämmelserna i "miniregisterlagarna", d.v.s. 30 - 35 åå har straffsanktionerats. I ett forskningsprojekt är det exempelvis straffbart att behandla känsliga personuppgifter utan att ha inhämtat den enskildes samtycke om inte någon av förutsättningarna i 30 å första stycket 1 — 3 föreligger.
I paragrafens första stycke punkt 2 straffsanktioneras utlämnande av uppgifter till utlandet som sker utan att erforderligt medgivande inhämtats från Datainspektionen. Något medgivande från inspektionen erfordras inte när uppgifter lämnas ut till en stat som har anslutit sig till Europarådets dataskyddskonvention eller till en stat som har ett motsvarande skydd. Tanken är att regeringen i en särskild förordning
SOU 1993: 10 457
skall ange till vilka stater som står utanför konventionen uppgifter kan lämnas utan inspektionens tillstånd.
Den enskildes rätt att ta del av de uppgifter om honom som behandlas, s.k. 10 å - utdrag enligt nuvarande terminologi, utgör i många fall en förutsättning för att den enskilde skall kunna utöva de rättigheter som förslaget till datalag ger honom. Motsvarigheten till 10 å i den gällande datalagen finns i 25 å i lagförslaget. Liksom enligt gällande rätt är det straffbart att lämna osann uppgift i samband med fullgörandet av sin uppgiftsskyldighet (första stycket punkt 3).
Liksom enligt gällande rätt är det straffbart att lämna osann uppgift till Datainspektionen, när inspektionen begär att få uppgifter för sin tillsyn (första stycket punkt 4).
I första stycket punkt 5 straffbeläggs brott mot bestämmelser som regeringen eller Datainspektionen med stöd av 36 å kan komma att meddela om tillämpningen av 9, 11, 13 - 20 och 30 - 35 åå. Som närmare utvecklats i avsnitt 14.4 i den allmänna motiveringen förutsätter utredningens förslag till datalag en regelutfyllnad på lägre konstitutionell nivå. De bestämmelser som straffsanktioneras i punkt 5 korresponderar med straffbestämmelsen i punkt 1.
Enligt 40 å i lagförslaget får Datainspektionen, om personuppgifter behandlas eller avses bli behandlade i strid mot gällande bestämmelser, meddela villkor för att åstadkomma rättelse. Brott mot sådana villkor har straffbelagts i första stycket punkt 6. I samma punkt straffsanktio- neras också behandling som sker i strid mot vitesförbud som Datain- spektionen meddelat med stöd av 41 å. Vite och straff får dock inte kumuleras. En erinran om detta har tagits in i paragrafens tredje stycke.
Av 37 å framgår att vissa känsliga personuppgifter inte får behandlas förrän en anmälan kommit in till Datainspektionen. En underlåtenhet att göra anmälan enligt 37 å har belagts med straff i första stycket punkt 7.
I andra stycket stadgas böter som sanktion för underlåtenhet att i samband med utsändande av handling med personuppgifter till den enskilde, ange vem som är avsändare (29 å).
I paragrafens tredje stycke har tagits in en erinran om att de som överträtt ett vitesförbud som Datainspektionen meddelat med stöd av 41 å inte får dömas till straff för överträdelse som omfattas av vitesförbudet.
48 å Om personuppgifter har behandlats innan en anmälan enligt denna lag har kommit in till Datainspektionen, när anmäl- ningsskyldighet föreligger, skall personuppgifterna förklaras förverkade, om det inte är uppenbart obilligt.
458 SOU 1993:10
Bestämmelsen har sin motsvarighet i 22 å första meningen i den gällande datalagen.
Enligt 37 å i lagförslaget skall i fråga om känsliga uppgifter en anmälan ha kommit in till Datainspektionen, innan den persondata- ansvarige får börja att behandla uppgifterna. Det är, som har berörts i anslutning till 37 å, den persondataansvariges sak att förvissa sig om att hans anmälan har kommit in till inspektionen. Påbörjas behand- lingen av personuppgifterna dessförinnan, kan straff följa enligt 47 å första stycket 7. Av förevarande paragraf följer att de aktuella personuppgifterna dessutom kan förverkas. Bestämmelsen tar sikte på två fall, nämligen dels att en anmälan visserligen görs men efter det att behandlingen av personuppgifterna har inletts, dels att någon anmälan inte görs alls.
Vad som enligt paragrafen kan förverkas är personuppgifterna, dvs. informationen som sådan. Däremot kan inte förverkandet avse det datamedium på vilket personuppgifterna finns. I vissa fall torde dock inte personuppgifterna kunna förverkas utan att datamediet förstörs, t.ex. en CD-ROM-skiva. Förverkande kan ske även om personuppgif- terna för den persondataansvariges räkning behandlas av en service— byrå och servicebyrån därvid använder sin egen utrustning. Innebörden av ett förverkande av personuppgifter är att uppgifterna utplånas, dvs. datamediet avmagnetiseras i berörda delar. Ett beslut om förverkande bör också kunna verkställas genom en avidentifiering. Om uppgifterna har något värde även efter en avidentifiering skulle detta kunna vara en möjlighet.
Förverkande kan underlåtas om detta skulle vara uppenbart obilligt. Frågan om ett förverkande är att bedöma som uppenbart obilligt eller inte får avgöras på grundval av omständigheterna i det enskilda ärendet. Utrymmet för att underlåta förverkande när anmälnings- skyldigheten åsidosätts helt och hållet bör vara begränsat, detta med tanke på den grundläggande betydelse som anmälningsskyldigheten har i det nya systemet. En mindre restriktiv bedömning bör däremot kunna ske i de fall en anmälan kommer in först efter det att personuppgifter- na börjat behandlas. En faktor av betydelse är om den påbörjade behandlingen har lett till någon integritetsskada eller risk för sådan skada.
De allmänna bestämmelserna om förverkande i 36 kap. brottsbalken är tillämpliga även på förverkande som föreskrivs i annan författning än balken.
Enligt 22 å andra meningen i den gällande datalagen kan för- verkande också ske när personregister har förts i strid med ett förbud som har meddelats av Datainspektionen. I motsats till vad som gäller i dag skall ett förbud att behandla personuppgifter enligt utredningens förslag (41 å) förenas med vite. Det torde inte vara nödvändigt att vid sidan av vitessanktionen ha en möjlighet att förverka de berörda personuppgifterna.
SOU 1993:10 459
Bland dataskyddsmyndighetens befogenheter finns enligt artikel 30 i förslaget till EG—direktiv även möjligheten att besluta att datamaterial skall förstöras (the destruction of data material). Som har framgått finns bara i undantagsfall en motsvarande möjlighet enligt utredningens förslag.
49 å Om en enskild tillfogas skada genom att personuppgift som behandlas är oriktig, ofullständig, inaktuell eller missvisande, skall den persondataansvarige ersätta skadan.
Om någon tillfogas skada genom brott som avses i 47å första stycket, skall den som har gjort sig skyldig till brottet ersätta skadan.
Vid bedömandet om och i vad mån skada enligt första eller andra stycket har uppstått skall hänsyn även tas till lidande och andra omständigheter av annan än rent ekonomisk betydelse.
Frågor om skadestånd har behandlats i avsnitt 19.2 i den allmänna motiveringen.
50å Om en persondataansvarig eller den som för den person- dataansvariges räkning behandlar personuppgifter underlåter att lämna tillträde till lokal eller tillgång till handling i fall som avses i 43å eller att lämna uppgift enligt 44 å, får Datainspektionen förelägga vite. Detsamma gäller om en persondataansvarig inte fullgör vad som åligger honom enligt 22 eller 23 å, 24 å första stycket, 25, 26 eller 27 å.
Paragrafen har sin motsvarighet i 24 å i den gällande datalagen. Överklagande
51 å Datainspektionens beslut som avser annan persondataansvarig än Högsta domstolen, Regeringsrätten och en kammarrätt får överklagas hos kammarrätten. Beslut som avser Högsta domstolen eller Regeringsrätten överprövas av domstolen själv. Avser Datainspektionens beslut en kammarrätt, får beslutet överklagas hos Regeringsrätten. Justitiekanslern får överklaga inspektionens beslut för att tillvarata allmänna intressen.
Datainspektionens beslut om föreskrifter som avses i 8 kap. regeringsformen och som har meddelats med stöd av be- myndigande i 36 å får inte överklagas.
Om en myndighet som är persondataansvarig avslår en begäran om underrättelse enligt 25 å, överklagas beslutet på
460 SOU 1993: 10
samma sätt som gäller ett beslut av myndigheten att avslå en begäran om utlämnande av allmän handling. Med myndighet jämställs därvid ett annat organ i den utsträckning som anges
i 1 kap. 8 å sekretesslagen (1980:100).
Frågor om överklagande enligt första och andra styckena har behand- lats i avsnitt 19.3 i den allmänna motiveringen.
De beslut som kan överklagas med stöd av förevarande paragraf är beslut som rör - villkor enligt 40 å i lagförslaget, - vitessanktionerade förbud enligt 41 å i lagförslaget, - överföring av personuppgifter till utlandet enligt 45 å i lagförslaget och - vitesföreläggande enligt 50 å i lagförslaget.
De beslut som avser Högsta domstolen eller Regeringsrätten skall enligt utredningens förslag (första stycket andra meningen) prövas av respektive domstol. Beslutet torde regelmässigt gälla domstolens administrativa avdelning. Vid en överprövning får målet tas upp på en av de dömande avdelningarna. Detta förutsätter en ändring i dom- stolarnas instruktion.
När Datainspektionens beslut avser en kammarrätt, överklagas enligt första stycket tredje meningen beslutet hos Regeringsrätten. I en sådan situation behövs inget prövningstillstånd. Reglerna om prövningstill— stånd bör vidare inte tillämpas i fråga om talan som Justitiekanslern för enligt första stycket fjärde meningen. Utredningen föreslår att en bestämmelse om detta tas in i 35 å förvaltningsprocesslagen (1971 2291).
Den föreslagna klagorätten medför inte att det, lika lite som för närvarande, finns något hinder mot att väcka talan vid allmän domstol. Med tanke på de kostnader som är förenade med ett domstolsför- farande och de svårigheter det innebär för en enskild att ensam föra sin talan, framstår det emellertid som mest praktiskt för den enskilde att vända sig till Datainspektionen med eventuella klagomål.
Bestämmelsen i tredje stycket i paragrafen motsvarar 25 å andra stycket i den nuvarande datalagen.
Övergångsbestämmelser
1. Denna lag träder i kraft den 1 januari 1995 då datalagen (1973:289) upphör att gälla.
2. Beslut om tillstånd att inrätta och föra personregister skall dock anses som en anmälan enligt den nya lagen, om enligt den nya lagen anmälningsskyldighet föreligger för sådan be- handling av personuppgifter som avses med beslutet. Ändamål som har bestämts i beslutet far fram till den 31 december 1998 anses som ändamål enligt 9 å i den nya lagen.
SOU 1993: 10 461
3. Har ansökan om tillstånd att inrätta och föra personregister gjorts men inte slutligt prövats före ikraftträdandet, skall ansökningen anses som en anmälan enligt den nya lagen.
Enligt punkt 1 i övergångsbestämmelserna träder den nya lagen i kraft den 1 januari 1995, då den nuvarande lagen upphör att gälla. Det innebär att gamla tillstånd och gamla beslut av Datainspektionen som rör statsmaktsregister i princip upphör (se dock punkt 2). Motsvarande gäller separata beslut om villkor i tillståndsärenden och beslut om villkor enligt 18 å i den nuvarande datalagen. Däremot torde gamla beslut om tillstånd att lämna ut personuppgifter för behandling utanför Sverige vara giltiga även efter ikraftträdandet.
Den nya lagens bestämmelser kommer att genast vid ikraftträdandet gälla för all behandling av personuppgifter som faller inom till- lämpningsområdet för lagen. Från denna huvudregel görs undantag endast i några hänseenden, se punkterna 2 och 3. Som har berörts i bl.a. avsnitt 14.4 torde det i allmänhet inte bli några svårigheter för de persondataansvariga att avgöra var enligt lagen gränserna går för olika slags behandling av personuppgifter. De nya strängare reglerna om ändamålsangivning kan dock leda till vissa problem. Detta har föranlett den särskilda övergångsregeln i punkt 2 andra meningen.
Övergångsfrågor som avser den årliga avgiften har tagits upp i avsnitt 20. De regler som behövs får tas in i en ny avgiftsförordning.
Enligt punkt 2 första meningen i övergångsbestämmelserna skall tillståndsbeslut anses som en anmälan enligt den nya lagen, dock bara i sådana fall då tillståndsplikten och anmälningsskyldigheten samman- faller. Som har utvecklats i avsnitt 20 i den allmänna motiveringen är denna bestämmelse föranledd främst av kostnadsskäl och för att ge Datainspektionen möjlighet att genast vid ikraftträdandet komma i gång med den viktiga tillsynen. De berörda besluten har inga andra rättsverkningar efter ikraftträdandet än att fungera som en anmälan och, enligt andra meningen i punkt 2, som en ändamålsangivelse under en övergångsperiod. I övrigt upphör besluten att gälla enligt huvud- regeln i punkt 1. Om inte samtycke till behandlingen föreligger från de enskilda, måste det enligt 20 å i lagförslaget finnas ett särskilt stöd i författning för den anmälningspliktiga behandlingen. Vid sidan av den särskilda författningsregleringen gäller datalagens allmänna be- stämmelser.
Det bör i sammanhanget framhållas att tillståndsplikten enligt äldre bestämmelser och anmälningsskyldigheten enligt den nya lagen inte sammanfaller till alla delar. Anmälningsskyldigheten riktar sig mot betydligt färre persondataansvariga än tillståndsplikten. De tillstånds- beslut som inte har någon motsvarighet i anmälningsskyldigheten i den nya lagen upphör enligt huvudregeln i punkt 1 helt att gälla.
För statsmaktsregister behövs inte tillstånd av Datainspektionen. Ett statsmaktsregister skall dock enligt 7 å dataförordningen anmälas till
462 SOU 1993: 10
inspektionen av den myndighet som är registeransvarig. Normalt torde i ett beslut av statsmakterna bestämmas vad som skall vara registrets ändamål. Om så inte sker är det Datainspektionens sak att bestämma ändamålet. Även i övrigt får Datainspektionen ställa upp villkor för registret, i den män inte regeringen eller riksdagen har meddelat något villkor i samma hänseende (6 a å i den gällande datalagen).
Om statsmakternas beslut om inrättande av personregister har skett genom en författningsreglering upphör i och för sig inte författningen att gälla på grund av att datalagen upphör. Om däremot inrättandet har skett på annat sätt, krävs vid den nya lagens ikraftträdande en författningsreglering för att behandlingen, om den innefattar känsliga uppgifter, skall få fortsätta (20 å i lagförslaget).
Enligt andra meningen i punkt 2 får ändamål som har bestämts i tillståndsbeslut under en övergångsperiod godtas som ändamål enligt den nya lagen. Det anstånd som därmed ges den persondataansvarige bör givetvis inte utnyttjas längre än som behövs. I den allmänna motiveringen har berörts (avsnitt 20) att denna övergångsregel om möjligt bör preciseras efter remissbehandlingen. Även i fråga om statsmaktsregister som grundar sig på författning bör ambitionen vara att så snart som möjligt anpassa dem till den regel om ändamål som finns i den nya datalagen.
I punkt 3 regleras vissa övergångsfrågor av processuell natur. Bestämmelsen anger hur man skall förfara med tillståndsansökningar som getts in men inte slutligt prövats före ikraftträdandet. Enligt föreskriften skall ansökningen betraktas som en anmälan enligt den nya lagen.
Om en ansökan om tillstånd avser en behandling av personuppgifter som är anmälningspliktig enligt den nya lagen, får handlingen på vanligt sätt läggas till grund för Datainspektionens tillsyn. Om ansökningen avser en behandling som inte är förenad med anmälnings- skyldighet, har inspektionen att avskriva ärendet från vidare hand- läggning.
Om ett beslut i ett tillståndsärende har överklagats till regeringen före ikraftträdandet får ärendet lämnas tillbaka till Datainspektionen.
22.5 Förslaget till lag om ändring i förvaltnings— processlagen (1971:291)
Utredningen föreslår att en ändring skall göras i 35 å förvaltningspro- cesslagen (197lz29l). Andringen skall enligt förslaget träda i kraft den 1 januari 1995.
SOU 1993: 10 463
Nuvarande lydelse Föreslagen lydelse 35 å
Besvär över kammarrättens beslut i ett mål som har anhängiggjorts hos kammarrätten genom överklagande eller underställning prövas av regeringsrätten endast om regeringsrätten har meddelat prövningstill- stånd.
Meddelas ej prövningstillstånd, står kammarrättens beslut fast. Erinran därom skall intagas i regeringsrättens beslut.
Vad som sägs i första stycket gäller ej
1. talan i mål om utlämnande av allmän handling,
2. talan som riksdagens ombudsmän eller justitiekanslern för i mål om disciplinansvar eller om återkallelse eller begränsning av behörig- het att utöva yrke inom hälso- och sjukvården, tandvården eller detaljhandeln med läkemedel eller om återkallelse av behörighet att utöva veterinäryrket,
3. talan som justitiekanslern 3. talan som justitiekanslern för i mål enligt lagen (1990 för i mål enligt lagen (1990 :484) om övervakningskameror :484) om övervakningskameror m.m. m.m. eller enligt datalagen
(] 994.000) .
Som framgår av 51 å förslaget till ny datalag får Justitiekanslern överklaga Datainspektionens beslut för att tillvarata allmänna intressen. Något prövningstillstånd bör enligt utredningens mening inte krävas när Justitiekanslern för talan i Regeringsrätten. En ändring av denna innebörd har gjorts i förevarande paragraf.
22.6 Förslaget till lag om ändring i sekretess- lagen (1980:100)
Utredningen föreslår dels att ändringar skall göras i sekretesslagens 7 kap. 16 å, 9 kap. 7 å, 14 kap. 3 åsamt 15 kap. 11 och 13 åå, dels att det i lagen skall införas en ny paragraf, 15 kap 14 å. Ändringarna skall enligt förslaget träda i kraft den 1 januari 1995.
464 SOU 1993:10
Nuvarande lydelse Föreslagen lydelse
7 kap. 16 å
Sekretess gäller för personupp- gift i personregister som avses i datalagen (1973:289), om det kan antas att utlämnande skulle medföra att uppgiften används för automatisk databehandling i strid med datalagen.
Sekretess för uppgift som anges i första stycket gäller också, om det kan antas att utlämnande skulle medföra att uppgiften används för auto- matisk databehandling i ut- landet och att detta medför otillbörligt intrång i personlig integritet. Vid tillämpning av denna bestämmelse ankommer det på datainspektionen att pröva fråga om utlämnande. Sekretess enligt detta stycke gäller dock ej, om uppgiften skall användas för automatisk databehandling enbart i en stat som har anslutit sig till Euro— parådets konvention om skydd för enskilda vid automatisk databehandling av personupp- gifter.
Sekretess gäller för personupp— gift som behandlas enligt data- lagen (I994.'000), om det kan antas att utlämnande skulle medföra att uppgiften behand- las i strid med datalagen.
Sekretess för uppgift som anges i första stycket gäller också, om det kan antas att utlämnande skulle medföra att uppgiften behandlas i utlandet och att i motsvarande fall uppgiften inte hade fått be- handlas här i landet. Vid tillämpning av denna bestäm- melse ankommer det på da- tainspektionen att pröva frågor om utlämnande. Sekretess enligt detta stycke gäller dock ej, om uppgiften skall behand- las enbart i en stat som har anslutit sig till Europarådets konvention om skydd för en- skilda vid automatisk databe- handling av personuppgifter eller i en stat som har ett mot- svarande skydd. Regeringen får föreskriva vilka stater som skall anses ha ett skydd mot- svarande det som anges i kan- ventionen.
Utredningens förslag till ny datalag innebär att personregisterbegreppet slopas. Lagen reglerar i stället behandling av personuppgifter (jfr avsnitt 6.6 och 8.7 i den allmänna motiveringen).
Förevarande paragrafs första stycke har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag.
Andra stycket har ändrats för att stämma överens med den reglering av utlandsöverföringar som föreslås i 45 å förslaget till ny datalag.
SOU 1993: 10 465
Nuvarande lydelse Föreslagen lydelse
9 kap. 7 &
Sekretess gäller i myndighets verksamhet för enbart teknisk bearbetning eller teknisk lag- ring för annans räkning av personregister som avses i datalagen (1973:289), för uppgift om enskilds personliga
Sekretess gäller i myndighets verksamhet för enbart teknisk bearbetning eller teknisk lag- ring för annans räkning av personuppgifter som behandlas enligt datalagen (I994:000), för uppgift om enskilds person-
eller ekonomiska förhållanden. liga eller ekonomiska förhål-
landen.
Paragrafen har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag.
Nuvarande lydelse Föreslagen lydelse
14 kap. 3 &
Utöver vad som följer av 1 och 2 åå får sekretessbelagd uppgift lämnas till myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen skall skydda.
Första stycket gäller inte i fråga om sekretess enligt 7 kap. 1 - 6 och 33 åå, 8 kap. 8 å första stycket och 9 och 15 åå samt 9 kap. 4 och 7 åå, 8 å första och andra styckena och 9 å. Inte heller gäller första stycket, om utlämnandet strider mot lag eller förordning eller, såvitt angår uppgift i personregister enligt datalagen (1973:289), föreskrift som har meddelats med stöd av datala- gen.
Första stycket gäller inte i fråga om sekretess enligt 7 kap. 1 - 6 och 33 åå, 8 kap. 8 å första stycket och 9 och 15 åå samt 9 kap. 4 och 7 åå, 8 å första och andra styckena och 9 å. Inte heller gäller första stycket, om utlämnandet strider mot lag eller förordning eller, såvitt angår personupp- gift som behandlas enligt data- lagen (I994:000), villkor som har meddelats med stöd av datalagen.
Paragrafen har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag.
466 SOU 1993: 10
Nuvarande lydelse Föreslagen lydelse
15 kap. 11 å
Varje myndighet skall för all- mänheten hålla tillgänglig be— skrivning av de register, för- teckningar eller andra anteck- ningar hos myndigheten som förs med hjälp av automatisk databehandling (ADB-register). Sådan skyldighet föreligger dock inte i fråga om ADB- register som inte till någon del anses som allmän handling hos myndigheten. Myndigheten är inte heller skyldig att tillhanda- hålla beskrivning som upp- enbarligen skulle vara av ringa betydelse för enskildas rätt att ta del av allmänna handlingar hos myndigheten.
Beskrivning som avses i första stycket skall ge upp— lysning om 1. ADB-registrets benämning, 2. ADB-registrets ändamål,
3. vilka typer av uppgifter i ADB-registret som myndig- heten har tillgång till och på vilket sätt dessa uppgifter normalt inhämtas,
4. hos vilka andra myndigheter ADB-registret är tillgängligt för överföring till läsbar form, 5. vilka terminaler eller andra tekniska hjälpmedel som en- skild själv kan få utnyttja hos myndigheten,
6. vilka bestämmelser om sek- retess som myndigheten van- ligen skall tillämpa på upp- gifter i ADB—registret,
7. vem som hos myndigheten kan lämna närmare upplys-
Varje myndighet skall för all- mänheten hålla tillgänglig be— skrivning av det slag av upp- gifter hos myndigheten som förs med hjälp av automatisk databehandling (ADB-samling ) . Sådan skyldighet föreligger dock inte i fråga om ADB- samlingar som inte till någon del anses som allmän handling hos myndigheten. Myndigheten är inte heller skyldig att till— handahålla beskrivning som uppenbarligen skulle vara av ringa betydelse för enskildas rätt att ta del av allmänna handlingar hos myndigheten.
Beskrivning som avses i första stycket skall ge upplys- ning om 1. ADB-samlingens ändamål och, i förekommande fall, be- nämning,
2. vilka typer av uppgifter i ADB—samlingen som myndig- heten har tillgång till och på vilket sätt dessa uppgifter normalt inhämtas,
3. hos vilka andra myndigheter ADB-samlingen är tillgänglig för överföring till läsbar form, 4. vilka terminaler eller andra tekniska hjälpmedel som en- skild själv kan få utnyttja hos myndigheten,
5. vilka bestämmelser om sek- retess som myndigheten van- ligen skall tillämpa på upp- gifter i ADB-samlingen,
SOU 1993: 10 467
ningar om ADB-registret och dess användning i myndig- hetens verksamhet, 8. rätt till försäljning av per- sonuppgifter i personregister verksamhet, som avses i datalagen (1973 7. rätt till försäljning av per- :289). sonuppgifter som behandlas enligt datalagen (1994:000).
1 beskrivningen skall dock uppgift enligt andra stycket utelämnas, om det behövs för att beskrivningen i övriga delar skall kunna företes för allmänheten.
6. vem som hos myndigheten kan lämna närmare upplysning- ar om ADB-samlingen och dess användning i myndighetens
Ändringen i första stycket är betingad av utredningens förslag till ny datalag som innebär att registerbegreppet slopas. Hänvisningen till register m.m. har utgått även på den grunden att i kravet på att databehandlingen skall vara automatisk finns återkopplingen till en viss logisk uppbyggnad av och struktur på uppgifterna.
Även i andra stycket har ändringar gjorts i fråga om registerbegrep- pet. I förslaget till ny datalag finns ingen motsvarighet till kravet att en ADB—samling skall ha en särskilt benämning. Till följd härav anges i punkt 1 att en beskrivning enligt första stycket skall innehålla upplysning om ADB—samlingens ändamål och, i förekommande fall, benämning.
Nuvarande lydelse Föreslagen lydelse
15 kap. 13 å
Om upptagning för automatisk databehandling förs in i ett ADB-register som är tillgäng- ligt för flera myndigheter för överföring i läsbar form, är endast den myndighet som gör införingen registreringsskyldig enligt 1 å.
Om upptagning för automatisk databehandling förs in i en ADB-samling som är tillgänglig för flera myndigheter för över- föring i läsbar form, är endast den myndighet som gör in- föringen registreringsskyldig enligt 1 å.
Ändringen är betingad av utredningens förslag till ny datalag som innebär ett slopande av det nuvarande registerbegreppet.
468 SOU 1993: 10
Nuvarande lydelse Föreslagen lydelse
15 kap. 14 å
Om myndighet för handlägg- ning av mål eller ärende an- vänder sig av upptagning för automatisk databehandling, skall upptagningen tillföras handlingarna i målet eller ärendet i läsbar form, om ej särskilda skäl föranleder an- nat.
Bestämmelsen motsvarar 14 å i den gällande datalagen. Eftersom be- stämmelsen får anses höra mer hemma i sekretesslagen än i datalagen har den förts över till sekretesslagen.
22.7 Förslaget till lag om upphävande av lagen (1987: 1231) om automatisk databehandling vid taxeringsrevision, m.m.
Utredningen föreslår att lagen (1987: 1231) om automatisk databehand- ling vid taxeringsrevision, m.m. skall upphöra vid utgången av år 1994. Bakgrunden till förslaget om upphävande av lagen har redovisats i avsnitt 12.6 i den allmänna motiveringen.
22.8 Förslaget till lag om ändring i arkivlagen (1990:782)
Utredningen föreslår att en ändring skall göras i 10 å arkivlagen (1990:782). Andringen skall enligt förslaget träda i kraft den 1 januari 1995.
SOU 1993:10
Nuvarande lydelse
Allmänna handlingar får gallras.
469
105
Föreslagen lydelse
Vid gallring skall dock alltid beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår skall kunna tillgodose de ändamål som anges i 3 & tredje stycket.
Om det finns avvikande be- stämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser, dock med undantag för be- stämmelserna i 12 å datalagen (] 973.289) .
Om det finns avvikande be- stämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser.
I förevarande paragrafs tredje stycke har den ändringen skett att hän- visningen till datalagen tagits bort. Den föreslagna bestämmelsen om gallring av personuppgifter som utgör allmän handling som finns i 19 å andra stycket förslaget till datalag är en sådan särbestämmelse som tar över de gallringsregler som finns i arkivlagen. Den nu berörda frågan har behandlats i avsnitt 15 i den allmänna motiveringen.
SOU 1993: 10 471 Reservation
Reservation
av ledamöterna Helge Hagberg (5), Eva Johansson (s), Kurt Ove Johansson (5), Bengt Kindbom (c) och Arne Mellqvist (s)
6 & 3 datalagen
Vi har en annan uppfattning än utredningens majoritet när det gäller i vilken utsträckning datalagen skall vara tillämplig på de s.k. klipparkiven.
Utredningen har föreslagit att datalagen inte skall gälla vid be- handling av personuppgifter om ändamålet är att behandlingen eller uppgifterna skall utgöra arkiv för material som har varit publicerat i periodisk skrift eller som har förekommit i program i ljudradio eller television. Vi har inga invändningar mot att klipparkiven undantas från datalagen i den del de används för tidningarnas och programföretagens journalistiska verksamhet. Däremot anser vi att förslaget går för långt när det också undantar klipparkiven från datalagen när de används för andra ändamål. Vad frågan närmast gäller är om utomstående skall kunna ha en obegränsad tillgång till arkiven. Det avgörande skälet för utredningens ställningstagande är att datasamlingarna endast innehåller ett återgivande av tryckta skrifter, som allmänheten rimligen bör ha rätt att ta del av.
Utredningen har till uppgift att lägga fram förslag till lagstiftning som skall skydda varje medborgare mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Enligt vår mening låter emellertid utredningen integritetsskyddsintressena träda tillbaka genom förslaget om att utomstående skall kunna ha en obegränsad tillgång till klipp- arkiven.
Som utredningen anför kommer arkiven med tiden att bestå av en stor mängd personuppgifter, varav inte så få av känslig natur. De kommer att bevaras under en lång tid. Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas med stor lätthet. Genom att olika uppgifter använts som sökbegrepp kan oönskade och oförutsedda följder uppstå. Även om en uppgift i sig kan vara harmlös, kan urval och sammanställningar av flera sådana uppgifter framstå som in- tegritetskränkande. Och om det i en sådan sammanställning ingår någon eller några uppgifter av mera känslig natur, kan samman- ställningen komma att upplevas som mycket integritetskränkande. Utredningen anför själv som exempel en sammanställning av artiklar som rör en persons brottsliga förehavanden och finner att den kan jämställas med ett kriminalregisterutdrag. Som utredningen anför är
Reservation 472 SOU 1993: 10
sammanställningen betydligt känsligare bl.a. därför att kriminalregistret gallras.
Vi anser att integritetsskyddsintressena inte kan eftersättas på ett sätt som utredningen föreslär. Enligt vår mening bör datalagen således liksom hittills vara tillämplig på klipparkiven när de används för andra ändamål än tidningarnas och programföretagens journalistiska verksamhet. Integritetsskyddet bör därvid utformas i huvudsak enligt den praxis som regeringen har utbildat och som utredningen redovisar i avsnitt 7.
SOU 1993: 10 473 Reservation
Reservation
av Chris Heister (m), Ulrika Landergren (fp), Ingela Mårtensson (fp) och Inger René (m)
Kap. 7
Förhållandet mellan datalagen samt tryckfrihetsförordningen och yttrandefrihetsgrundlagen
Vi ställer oss bakom utredningens allmänna överväganden i avsnitt 7 när det gäller förhållandet mellan tryckfrihetsförordningen samt yttrandefrihetsgrundlagen och datalagen. Vi anser emellertid att dessa överväganden på en väsentlig punkt inte kommer till uttryck i det förslag till undantag från datalagens tillämpningsområde som ut— redningen lägger fram (6 ©). Bestämmelsen om undantag är nämligen för snävt utformad. Den omfattar inte sådant material som samlas in för att det skall ingå i eller ligga till grund för innehållet i tryckt skrift eller för yttranden som skyddas av yttrandefrihetsgrundlagen.
Innebörden av utredningens förslag är att datalagen blir tillämplig på material som en journalist samlar in som underlag för en planerad artikel. Bestämmelserna om insyn och rättelse i 22, 23 och 25 åå samt om Datainspektionens tillsyn i 39 - 44 55 gäller därmed i fråga om journalistens behandling av de personuppgifter som finns i materialet. En sådan ordning kan medföra en inblandning i den redaktionella verksamheten och riskera att skyddet för nyhetskällorna utsätts för påfrestningar.
I sina motiv till förslaget om undantagsreglering i denna del använder sig utredningen av begreppen produktionsregister och källregister. Vad som skall innefattas i begreppet källregister är inte helt klart. Utredningens ställningstagande förefaller främst vara grundat på svårigheterna att tolka detta begrepp. Att utredningens egen begreppsbildning leder till att regleringen får den angivna innebörden väger dock enligt vår uppfattning inte särskilt tungt. Vi vill dessutom peka på att utredningen föreslår att personregisterbegreppet skall slopas i den nya datalagen och att uttrycken produktionsregister och käll- register således inte förekommer i utredningens lagförslag.
Enligt vår mening måste den redaktionella verksamheten hos tidningar och programföretag få vara fria från inblandning från utomstående. Särskilt viktigt är att nyhetskällorna garanteras sin rätt till anonymitet. Utredningen föreslår visserligen att personuppgifter som utgör förteckningar över anonymitetsskyddade personer skall undantas från datalagens tillämpningsområde. Enligt vår mening kan man emellertid inte utesluta möjligheten att uppgifter som kan röja
Reservation 474 SOU 1993: 10
nyhetskällor också kan finnas i journalistiskt material som inte utgörs av sådana förteckningar. Detta gäller också författare som på mot- svarande sätt samlar in och bearbetar material.
Av dessa skäl anser vi att från datalagens tillämpningsområde även bör undantas material som samlas in för att det skall ingå i eller ligga till grund för innehållet i tryckt skrift eller för yttranden som skyddas av yttrandefrihetsgrundlagen. Vi föreslår därför att 6 & 1 förslaget till datalag får följande lydelse:
"Denna lag gäller inte vid behandling av personuppgifter, om ändamålet med behandlingen är att behandlingen eller uppgifterna 1. skall användas för framställning av tryckta skrifter eller yttranden som avses i yttrandefrihetsgrundlagen. "
Tidningarnas klipparkiv är i utredningens förslag undantagna från datalagen. Det är däremot inte entydigt klarlagt hur sådant material, som de facto utgör publicistisk verksamhet men publicerats i annan form än i periodisk skrift, skall bedömas.
Det är vår mening att datalagen inte bör förhindra sådana databaser, som TT—nyhetsbanken utgör eller som kan tillkomma t.ex. genom att Nyhetsbyrån Direkts publicistiska material lagras för att kunna återsökas också av externa kunder. Dessa publicistiska databaser bör därför jämställas med klipparkiv.
Kap. 11 Behandling av känsliga personuppgifter för anställningsändamål
Utredningen föreslår att innan arbetsgivaren samlar in personuppgifter med stöd av 33 5 2 — 3 även den enskildes facklige företrädare skall underrättas om åtgärden.
Till stöd för detta förslag hänvisas bl.a. till att en sådan under- rättelseskyldighet får anses ligga inom ramen för vad som är veder- taget på den svenska arbetsmarknaden.
Datalagens syfte är att skydda den enskildes integritet mot kränk— ningar. I lagen bör därför, som utredningen föreslår, föreskrivas en skyldighet att informera den som uppgifterna avser om insamlingen. Däremot bör av principiella skäl inte i datalagen stadgas att den enskildes fackliga företrädare, utan dennes samtycke, informeras om insamlingen.
Som skäl för att informera den facklige företrädaren har bl.a. anförts att den fackliga organisationen har ett intresse av att få information om t.ex hur många av de anställda som på en viss arbetsplats är föremål för rehabilitering. Sådan information anses nödvändig för att kunna ta tillvara medlemmarnas intressen i arbets- miljöfrågor.
SOU 1993: 10 475 Reservation
Av 22 kap. 3 5 femte stycket lagen (1962z362) om allmän för- säkring framgår klart att det är den försäkrade som beslutar om han eller hon vill att en rehabiliteringsutredning skall genomföras i samråd med sin arbetstagarorganisation. Något behov av den föreslagna skyldigheten att informera fackliga företrädare föreligger därför inte i dessa fall.
Den svenska arbetsmiljölagstiftningen har till ändamål att säkerställa en god arbetsmiljö och att främja att arbetsgivare och arbetstagare samverkar för att åstadkomma en god arbetsmiljö. I lagstiftningen regleras ingående förhållandet mellan arbetsgivare och arbetstagar- organisationerna vad avser rättigheter, skyldigheter och ansvar. Som stöd för sitt ställningstagande i denna del hänvisar utredningen till arbetsrättskommitténs direktiv. Vi anser att detta ytterligare visar på att frågan om en informationsskyldighet som motiveras av arbets- miljöskäl bör prövas inom ramen för nämnda kommittés arbete. Om det föreligger behov av att informera den registrerades facklige före- trädare, bör detta således enligt vår mening regleras i den arbets- rättsliga lagstiftningen.
Vi förslår att 34 & får följande lydelse:
"Innan arbetsgivaren samlar in personuppgifter med stöd av 33 5 2 - 3 skall den som personuppgifterna avser underrättas om åtgärden".
Med tanke på de känsliga personuppgifter som regleras inom detta område anser vi att man bör överväga en särskild registerlag.
SOU 1993: 10 477 Reservation
Reservation
av ledamöterna Ulrika Landergren och Ingela Mårtensson (båda fp)
Manuella uppgifter (3 5)
Utredningen föreslår att den nya datalagen ska reglera "behandling av personuppgifter genom automatisk databehandling". Vi anser att lagen bör vara konstruerad så att den är oberoende av teknik. Lagen bör inriktas på personlig integritet och inte på huruvida personuppgifter är ADB-baserade.
Utredningen har dessutom funnit att begreppet automatisk data— behandling varken kan eller bör definieras i lagen med hänsyn till den tekniska utvecklingen. Det talar också för att lagen bör vara teknik— oberoende.
Datatekniken utvecklas för närvarande lika snabbt som under det gångna decenniet. Med all sannolikhet kommer nya behandlings— metoder att användas, som alltmer underlättar såväl inmatning av data som bearbetning och distribution av resultat. Det faktum att in- matningen utvecklas kan få betydelse för dataskyddet. Det blir inom kort lika lätt att läsa bokstavstext som handstil automatiskt. Det kan skilja i metodik och i kostnader, men i princip bör vi kunna utgå från att inmatning av handskrivna data snart kommer att vara vanlig.
Därmed uppstår frågan om lämpligheten att avgränsa datalagen till att gälla automatisk databehandling. Bearbetning av data från kartotek, pärmar, m.m. kommer att kunna vara nära nog lika möjlig som bearbetning av data från disketter eller magnetband. Avgränsningen av lagens giltighet till konventionella datamedier kan komma att bli en suboptimering.
Det är inte olämpligt bruk av personuppgifter som lagrats på datamedium som bör regleras utan olämpligt bruk av personuppgifter överhuvud taget. Därför anser vi att även manuell databehandling bör omfattas av lagen.
Vi är medvetna om att en utökning av lagens giltighetsområde kan medföra en ökad belastning för Datainspektionen. Å andra sidan är en alltmer omfattande del av uppgifter registrerade genom automatisk databehandling. En närmare uppskattning av merarbetet är därför svår att göra speciellt som utredningen inte haft möjlighet att studera dessa eventuella effekter. Vi kan dock erinra om att Finland har en sådan lagstiftning.
Förslaget till EG—direktiv omfattar även manuell behandling av personuppgifter. Enligt vår mening bör starka skäl till för att undvika att i detta sammanhang skapa en lag som inte överensstämmer med
Reservation 478 SOU 1993: 10
EG-direktiv eftersom det kan innebära att vi senare tvingas ändra lagen.
Det kan hävdas att EG—direktivet ännu inte är fastställt. Det faktum att förslaget emellertid omfattar även manuell behandling vittnar dock om att det finns många institutioner på den europeiska arenan som hävdar det medieoberoende som vi här förordar.
Vi anser således att lagen bör vara generell och inte bunden till en viss teknisk utvecklingsnivå, en nivå som sannolikt kommer att förändras över den kommande tiden.
Vårt ställningstagande får konsekvenser i så väl den föreslagna datalagen som förslag till författningsändringar.
God datased (10 &)
Utredningen föreslår att det i lagen ska finnas en paragraf om att all behandling av personuppgifter skall ske i överensstämmelse med god datased.
Vi ställer oss tveksamma till att det i lagen ska införas en general- klausul av detta slag. Utredningen finner det inte ens möjligt att ange i vilka fall som regeln ska kunna leda till ingripande utan Överlämnar till rättstillämpningen att definiera begreppets innebörd.
Bestämmelsen motiveras av den snabba utvecklingen på dataområdet som gör det svårt att förutse alla de olika situationer som kan bli aktuella.
Det är viktigt att de som ska följa lagen också kan utläsa vad som är lagligt och vad som inte är det. Därför bör god datased inte regleras i lagtext. Om det uppstår situationer som borde regleras bör det ge upphov till justering av lagen.
Enligt vår mening bör således 10 & utgå.
Känsliga uppgifter (20 5)
Vi anser att även personnummer är en känslig uppgift framför allt eftersom det används som identifiering i en mängd känsliga register. Risken för samkörning är också stor när samma identifiering gäller för många register. En del människor upplever detta nummer så känsligt att de vägrar att lämna ut det i vissa sammanhang.
Vidare kan man ur personnumret utläsa om en person har utländsk härkomst vilket är en känslig uppgift. Numera har dock tilldelningen av personnummer på denna punkt ändrats, men det hindrar inte att man fortfarande kan utläsa uppgift om utländskt medborgarskap.
Vi inser svårigheterna att kräva att alla databaser som nu är uppbyggda på personnummer enbart av denna orsak ska klassificeras som känsliga och därmed behäftas med anmälningsplikt. Gamla register bör således få dispens under en övergångsperiod men på sikt bör personnummer i alla sammanhang hanteras som känslig uppgift.
SOU 1993: 10 479 Reservation
Det skulle i sig kunna leda till att personnummer används i minskad omfattning, vilket vore en positiv effekt enligt vår mening. Vi föreslår således att personnummer ingår i 20 &.
Personuppgifter för anställningsändamål (32 - 34 åå)
Utredningen föreslår särskilda bestämmelser vad gäller behandling för anställningsändamål av uppgifter om sjukdom eller hälsotillstånd samt uppgifter som utgör omdöme eller annan värderande upplysning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde.
Frågan gäller om denna typ av uppgifter ska kunna registreras genom automatisk databehandling eller ej. Eftersom vi tagit ställning för att lagen ska vara oberoende av teknik så behövs enligt vår mening inte dessa bestämmelser. Arbetsgivarens möjligheter att samla in och behandla personuppgifter bör följa de generella regler som finns i datalagen.
I de fall datalagen i sin utformning kommer att bli teknikberoende så hänvisar vi till vårt ställningstagande i annan reservation, vad gäller information till facklig företrädare och behov av registerlag.
SOU 1993: 10 481 Reservation
Reservation
av ledamoten Stig Sandström (v)
Särskilda bestämmelser om behandling av känsliga personuppgifter för anställningsändamål (32-35 åå).
Avsnittet kan ses som en liten lag i lagen. Enligt min mening skiljer detta sig från en i övrigt balanserad och stringent datalag till skydd för den enskildes personliga integritet.
Det är framförallt 33 5 3 som öppnar möjlighet till icke önskvärda integritetskränkningar och utnyttjande av datateknikens effektiva kontrollmöjligheter. ] förlängningen kan man föreställa sig att mindre nogräknade arbetsgivare kan tänkas utnyttja den öppning som denna punkt i paragrafen ger, till att sortera och klassificera de anställda med olika öppna eller dolda mätmetoder som finns inbyggda i moderna datasystem. De flesta moderna materialplaneringssystem (MPS) ger sådana möjligheter.
Att paragrafen är förenad med anmälningsplikt och att 34 & kräver att facklig företrädare underrättas torde vara ett bräckligt skydd mot överträdelser. Inte heller torde skrivningen i allmänna motiveringen att "Behandlingen får alltså inte t.ex. syfta till en kontroll av de enskilda arbetstagarna" utgöra någon större hinder för den som vill göra en kartläggning av de enskildas prestationer.
Ty om det står i klartext i lagen att personuppgifter får behandlas för anställningsändamål utan den enskildes medgivande "om upp- gifterna rör den anställdes arbetsuppgifter och behandlingen ound- gängligen behövs för — - - kontroll, uppföljning eller utveckling av arbetsgivarens produkter eller tjänster" kommer det säkert att tolkas på många håll som att nu är det fritt fram att registrera och kontrol— lera.
Datalagens skrivning kommer säkert att uppfattas som tyngre vägande än en formulering i allmänna motiveringen. Och vilka data och vilken information kan avfärdas som obehövlig eller ointressant när det gäller ovanstående ändamål? Dessutom kommer många persondataansvariga, vid ev. överträdelser, att med gott skäl, kunna åberopa att man handlat i god tro om ovanstående är inskrivet i datalagen.
Min mening är alltså att ovanstående avsnitt strykes i 33 ä 3. Ett annat skäl som nämnts för att ta med ovanstående avsnitt har sagts vara att datalagen inte i onödan ska blockera en effektivisering av produktionen. Jag delar helt den uppfattningen men menar att ovanstående ändamål leder fel. En effektivisering av produktionen åstadkommes knappast genom utökade kontrollåtgärder bakom ryggen
Reservation 482 SOU 1993: 10
på den anställde. Tvärtemot, och det gäller även avsnittet om rehabili- tering, så uppnås de bästa resultaten genom de anställdas aktiva medverkan och inflytande. Det finns gott om exempel där en ökad demokratisering och ökat inflytande för de anställda haft positiva effekter på produktionen. Och lika många exempel på motsatsen. Att hård regim och utökad kontroll är dålig ekonomi.
Därför bör skälen för att göra avvikelser från informerat samtycke vara synnerligen välmotiverade för att tillåtas.
& 34 har i huvudsak tillkommit för att balansera det avsnitt som undertecknad vill stryka från lagtexten. Om mitt önskemål i denna del bifalles så blir till stor del 5 34 obehövlig, annars inte, eftersom fackets insyn i övrigt kan hävdas med stöd av de lagar som berör de frågor som i övrigt avhandlas i 5 33. Vid en strykning av & 34 undanröjs också risken för korporativism.
Med de föreslagna förändringarna vinner datalagen i stringens och får en bättre balans. Dessutom undviks många missförstånd och framtida tolkningstvister.
SOU 1993: 10 483 Särskilt yttrande
Särskilt yttrande
av experten Erik Göransson
Jag delar inte utredningens uppfattning att Datainspektionens beslut skall överklagas till kammarrätt som första instans. Dessa beslut bör i första instans prövas av länsrätt.
Den grundläggande principen bör vara att tyngdpunkten i rätts- skipningen skall ligga i den första domstolsinstansen. Det bör krävas mycket starka skäl för att frångå denna princip.
Datalagsmålen kommer att utgöra en ny måltyp för förvaltnings— domstolarna och målen kan också i vissa fall bli komplicerade. Man kan dock knappast påstå att datalagsmålen kommer att gälla mer komplicerade frågor än andra mål som handläggs i länsrätt. Som exempel kan nämnas skattelagstiftningen, som är betydligt mer komplicerad och omfattande än datalagstiftningen. Jag vill också peka på att Domstolsutredningen i sitt betänkande (SOU 1991:106) Domstolarna inför 2000-talet (5. 407 ff) föreslagit att sekretessmålen skall avgöras i länsrätt som första domstolsinstans. Domstolsutred- ningen har därvid gjort den bedömningen att sekretessmålen i första domstolsinstans inte längre kräver juristkollegial sammansättning. Sekretessmålen kan vara nog så omfattande och komplicerade som datalagsmålen. Enligt min mening finns det därför inte anledning att göra andra bedömningar beträffande datalagsmålen än vad som blir resultatet av de överväganden om instansordningen som kommer att göras i anledning av Domstolsutredningens förslag.
Enligt forumreglerna kommer samtliga datalagsmål som prövas av länsrätt att prövas av Länsrätten i Stockholms län. Domstolen kommer därför snart få den erfarenhet och det kunnande som behövs för att hantera målen.
] övrigt vill jag hänvisa till de uttalanden som gjordes om in- stansordningen i de allmänna förvaltningsdomstolarna i prop. 1992/931100, Bil. 3, avsnitt 4.1.
SOU 1993: 10 485 Särskiltyttrande
Särskilt yttrande
av ledamöterna Chris Heister (m), Inger René (m) och Jerker Sjögren (kds)
Personnummer
Personnumret har för många kommit att bli symbolen för ett data— samhälle där den enskilde anonymiseras och blir till ett nummer utan namn, ständigt utsatt för myndigheternas kontroll och insyn. Före- komsten av denna känsla behöver inte överdrivas. Den är ändå ett skäl till försiktighet med personnummeranvändningen.
Personnumret är i sig inte en känslig uppgift, men kan i kombi- nation med personuppgifter av känslig natur som möjliggör en insyn, kontroll och spårning av enskilda personer få oacceptabla konsekvenser med hänsyn till den personliga integriteten.
Enligt vår mening är det viktigt att man ser över användningen av personnummer för att begränsa användningen av dessa. Vad ut— redningen erfarit så avser regeringen också att inom kort tillsätta en utredning med detta syfte.
Personnummer skall användas när säker identifikation är nödvändig. Denna uppfattning ger utredningen uttryck för i förslaget till datalag 15 &.
SOU 1993: 10 487 Särskilt yttrande
Särskilt yttrande
av ledamöterna Eva Johansson (s) och Jerker Sjögren (kds)
Anmälningsplikten
Vi delar i hög grad de synpunkter experten Bertil Persson för fram i sitt särskilda yttrande när det gäller anmälningsplikten. Vår för- hoppning är att remissbehandlingen ger ytterligare underlag för de fortsatta övervägandena i denna del.
SOU 1993: 10 489 Särskilt yttrande
Särskilt yttrande
av experten Bertil Persson
Anmälningsplikten
Den nuvarande licens- och tillståndsplikten bör som utredningen föreslår avskaffas. Jag anser dock inte att denna bör ersättas av en anmälningsskyldighet. Skälen är de följande.
Byråkrati
En minskad byråkrati hos Datainspektionen är ett absolut krav för att inspektionen på ett tillfredsställande sätt skall kunna fullgöra sin tillsynsskyldighet enligt utredningens förslag till ny datalag. För att minska byråkratin krävs bl.a. stor restriktivitet när det gäller att belasta Datainspektionen med blankettadministration, ärendebehandling, avgiftsdebitering o.d. Utredningens förslag att slopa tillståndsprocessen till förmån för ett begränsat anmälningsförfarande är därför ett steg i rätt riktning. Enligt min mening utgör dock även en sådan anmälnings- skyldighet en onödig byråkratisk omgång som inte innebär någon förstärkning av integritetsskyddet. Visserligen kräver inte anmälningar beslut på samma sätt som tillståndsansökningar, men ett anmälnings- förfarande kräver arbete från Datainspektionens sida och därmed resurser som i stället skulle kunna användas i dess tillsynsverksamhet.
Om någon anmälningsskyldighet inte införs innebär det även minskad byråkrati för de persondataansvariga. De måste naturligtvis ha den dokumentation som krävs för att visa att deras användning av ADB sker enligt reglerna i den nya datalagen. En sådan dokumentation måste de kunna förete om Datainspektionen företar en inspektion hos dem som ett led i sin tillsynsverksamhet. Dokumentationen behöver dock inte omformas till en anmälan till Datainspektionen och några åtgärder behöver inte heller vidtas för en registrering hos inspektionen.
Information och insyn
Utredningen har särskilt pekat på två syften med ett anmälningsför- farande. Det ena är att Datainspektionen därigenom får information om vilka integritetskänsliga datasamlingar som finns i landet och kan använda sig av denna information i sin tillsynsverksamhet. Det andra är att en anmälningsskyldighet underlättar för den enskilde att få den insyn som han eller hon har rätt till. En aktuell sammanställning över den behandling av känslig information som förekommer här i landet bör enligt utredningen finnas hos Datainspektionen.
Särskilt yttrande 490 SOU 1993: 10
Datainspektionen får anses vara den myndighet som i dag har den bästa överblicken över den behandling av personuppgifter som sker med hjälp av ADB i Sverige. Även utan ett anmälningsförfarande har Datainspektionen möjlighet att behålla denna överblick. I dag kommer ju trots allt endast en bråkdel av de existerande persondatasamlingarna till inspektionens kännedom genom tillstånds- och licensansökningar.
Praktiskt taget alla delar av det svenska samhället använder i dag datorer eller kommer att göra det i en nära framtid. Inspektionens tillsyn måste därför bygga på en allmän kunskap om informations- teknologins utveckling och möjligheter samt dess användning av enskilda, myndigheter, företag, föreningar och andra organisationer i samhället. Anmälningar från dem som kan tänkas följa reglerna i en ny datalag skulle ge ett alltför begränsat underlag. Genom bl.a. sina hittillsvarande erfarenheter, en intensifierad tillsynsverksamhet och sina kontakter med enskilda, myndigheter och näringsliv samt en kvali— ficerad teknisk enhet borde Datainspektionen rimligen kunna erhålla den kunskap som är nödvändig för att kunna bedriva en effektiv tillsyn. Något behov av en anmälningsskyldighet för en effektiv tillsyn finns därför inte.
Datainspektionen skall på lämpligt sätt sprida kunskap om den behandling av personuppgifter som äger rum i landet. Detta kan ske bl.a. genom att inspektionen ger ut informationsskrifter som beskriver behandlingen. Inspektionen bör särskilt informera om var de data- samlingar finns som innefattar särskilda risker för integriteten och hur man kan få insyn i dem. Genom sådan information kan den enskilde på ett enkelt sätt erhålla de uppgifter han eller hon behöver för att kunna utnyttja sina rättigheter. Ett centralt fört register över gjorda an- mälningar skulle knappast fylla ett sådant syfte. Erfarenheter från utlandet (bl.a. Storbritannien och Kanada) visar att ett sådant register, förutom att vara svåröverskådligt, till stor del skulle komma att innehålla inaktuella uppgifter och sakna vissa datasamlingar som borde finnas i det. Administrationen av registret och den därmed samman- hängande informationsskyldigheten till allmänheten skulle med all sannolikhet ta i anspråk en stor andel av Datainspektionens resurser. Detta utan att på något väsentligt sätt stärka skyddet för den personliga integriteten.
Övergångsproblem
Det finns en avsevärd risk för att Datainspektionen under en viss övergångsperiod måste ägna onödigt mycket tid åt att informera om skillnaden mellan det tidigare systemet och det nya anmälnings- systemet. Om inte tillräcklig information ges finns nämligen en risk för förväxling med det nuvarande tillståndsförfarandet. Vidare kan man inte helt bortse från att en del persondataansvariga kommer att behöva hjälp med att avgöra om en viss datasamling skall anmälas till
SOU 1993: 10 491 Särskiltyttrande
Datainspektionen eller inte. Härtill kommer problemet med de persondataansvariga som har gällande tillstånd vid lagens ikraft— trädande.
Datainspektionens initiala informationsbörda innebär att dess möjlig— heter att direkt i samband med lagens ikraftträdande påbörja sin tillsynsverksamhet minskar väsentligt. Detta är beklagligt eftersom en kraftfull start från inspektionens sida onekligen skulle ha positiva effekter för den framtida tillämpningen av lagen.
Finansiering
Finansiella aspekter kommer naturligtvis med i bilden då man avgör om en anmälningsskyldighet bör ersätta den nuvarande tillstånds- plikten. Datainspektionens verksamhet är i dag helt självfinansierad och med ett anmälningssystem skulle dess finansiering kunna lösas. Utredningen förordar också att med anmälningssystemet bör följa en årlig avgift till inspektionen.
Utformningen av integritetsskyddet bör dock inte som utgångspunkt ha frågan hur Datainspektionen skall finansiera sin verksamhet. Den frågan skall ställas först sedan man avgjort hur skyddet för den enskildes integritet lämpligen bör vara utformat. Min principiella inställning är att Datainspektionen med sin för medborgarna viktiga uppgift, inte bör ägna sin tid åt att inkassera obetalda räkningar, driva processer mot ovilliga betalare etc.
En alternativt sätt att finansiera inspektionens verksamhet skulle vara att införa en skatt eller en annan generell avgift som tas ut av myndigheter, företag och andra organisationer. En sådan lösning skulle emellertid medföra en administration som inte är försvarbar. En finansiering över statsbudgeten är en bättre och billigare väg. Enligt utredningens beräkningar kommer en årlig avgift att ge en intäkt om ca 20 miljoner kronor per år. Vill man täcka inkomstbortfallet på detta belopp kan det ske genom en s.k. omfördelning. Den bör i så fall lämpligen beröra alla departement med myndigheter som har stora ADB-system. Även om omfördelningen skulle göras enbart inom andra huvudtiteln (justitiedepartementets område) är det fråga om ett litet ingrepp. Summan av anslagen under andra huvudtiteln för budgetåret 1993/94 - enligt 1993 års budgetproposition - är drygt 19 miljarder kronor. En omfördelning av 20 miljoner kronor skulle innebära att övriga anslag under den andra huvudtiteln skulle behöva räknas ned med en promille.
Organisation Utredningen har i avsnitt 17.4 pekat på behovet av en översyn av
Datainspektionens verksamhet i samband med införandet av den föreslagna datalagen. Jag delar till fullo denna uppfattning. För det fall
Särskilt yttrande 492 SOU 1993: 10
någon anmälningsskyldighet inte skulle komma att ersätta tillstånds- och licenssystemet, finns desto större anledning att företa en sådan översyn. Eftersom dataskyddsmyndigheten då blir en ren tillsyns- myndighet bör den erhålla den form som utredningen skisserat, nämligen en dataombudsman med kansli.
Några ord om utländsk rätt och EG
Sverige var den första stat som införde en nationell dataskyddslag. Det var år 1973. De länder, t.ex. Danmark, Frankrike, Norge, Storbritan- nien och Österrike, som senare under 1970-talet följde Sveriges exempel och införde dataskyddslagar hade i de flesta fall den svenska datalagen som sin förebild. Detta innebar att även dessa länders lagar kom att innehålla krav på allmän registrering (tillstånd) av person- register. Utvecklingen visade emellertid att det var omöjligt att upprätthålla en sådan allmän registreringsskyldighet och de länder som införde dataskyddslagar under 1980-talet (den andra generationen dataskyddslagar), t.ex. Finland, Irland och Nederländerna, valde därför att införa endast en begränsad registreringsskyldighet. I Sverige ändrades också datalagen år 1982 då tillståndsplikten uppluckrades och en licensplikt infördes. Den tekniska utvecklingen har emellertid inte avstannat och snart nog används kraftfulla datorer på de flesta arbetsplatser och i varje hem. I början av 1970-talet ansåg man sig genom registrering kunna kontrollera datoranvändningen och på så sätt skydda den enskilde mot övergrepp. Denna inställning var mot bakgrund av dåvarande förhållanden förståelig. Om man i dag skulle följa samma linje innebär det endast att man slösar bort resurser utan att på något väsentligt sätt stärka den enskildes integritet. Alla erfarenheter visar på detta.
EG-kommissionens förslag till direktiv på dataskyddsområdet in— nehåller som framgår av bl.a. redovisningen i avsnitt 4.5 krav på en omfattande anmälningsskyldighet. Förslaget har i denna del inte någon som helst förankring i verkligheten och de föreslagna bestämmelserna är omöjliga att tillämpa i praktiken. Kraftig kritik har också riktats mot förslaget i denna del och det är svårt att tro att EGs ministerråd accepterar de nu aktuella bestämmelserna. Ett effektivt skydd för den enskildes integritet kan inte, såsom EG-kommissionen tycks anse, bygga på tankar på hur det ideala skyddet bö_r vara uppbyggt utan måste utgå från de reella förhållandena i samhället och hittillsvarande erfarenheter av dataskyddslagstiftningen. För mig framstår då ett skydd byggt på en - om än begränsad - anmälningsskyldighet som helt otidsenligt och i stort sett meningslöst. Sverige bör därför helt göra sig av med registreringsoket och därmed visa vägen för en tredje genera— tion av dataskyddslagar som utgör ett verkligt skydd för den enskildes integritet.
SOU 1993: 10 493 Särskilt yttrande
Information om direktreklam m.m.
I specialmotiveringen till 11 5 har utredningen nämnt behandling för direktadresserad reklam som ett exempel på sådan behandling som kan ske med stöd av bestämmelsen i paragrafens sjätte punkt. Det gäller enligt utredningen dock endast då den kundinformation som behandlas hämtas från egna kundregister, SPAR eller med stöd av offentlighets- principen. Inhämtande av kundinformation från s.k. marknads- föringslistor blir enligt utredningens mening endast möjlig om den sker med den enskildes uttryckliga samtycke. Några direkta skäl för sitt ställningstagande — förutom en hänvisning till amerikanska förhållanden - ger inte utredningen.
Jag delar inte utredningens åsikt på denna punkt. Införande av en plikt för den persondataansvarige att informera den enskilde innan överlåtelse av marknadsföringslistor sker är enligt min mening ett sätt som bättre tar tillvara både den enskildes och näringslivets berättigade intressen. En sådan lösning står också i överensstämmelse med den internationella utvecklingen.
Europarådets rekommendation om direktreklam (se avsnitt 4.3.3) godtar uttryckligen att överlåtelse av s.k. marknadsföringslistor (marketing lists) äger rum. En förutsättning är dock att den som förekommer på en sådan lista informeras om att överlåtelse kan komma att ske och att han eller hon inte motsätter sig sådan överlåtelse (art 3.1). EG-kommissionens reviderade förslag till dataskyddsdirektiv (se avsnitt 4.5) innehåller också en möjlighet att överlåta marknads- föringslistor under förutsättning att den enskilde underrättas om ett sådant utlämnande (art 15.3).
Utanför Sveriges gränser grundas största delen av direktreklam- utskicken förutom på egna kundregister på dessa s.k. marknads- föringslistor. I avsaknad av SPAR och offentlighetsprincip har det växt upp en industri av s.k. listförmedlare (list brokers). Många av de namn, adresser och övriga uppgifter som återfinns på deras listor är felaktiga och inaktuella. De personer som finns med på listorna har svårigheter att få rättelser till stånd och det är svårt att veta vart man skall vända sig för att spärra vidare reklamutskick. I Sverige har förekomsten av SPAR inneburit att behovet av dylika marknads— föringslistor inte varit särskilt stort. I dag krävs tillstånd att uppta andra än egna kunder i register som skall användas för direktreklam- ändamål. Sådana tillstånd begränsas regelmässigt till tre månader. Personuppgifter till dessa direktreklamregister hämtas i de flesta fall från SPAR. Något egentligt behov av eller ens möjlighet att försälja personuppgifter ur ADB-baserade ma rknadsföringslistor har hittills inte funnits. I viss utsträckning har emellertid utlämnande skett från andras kundregister till sådana tillståndspliktiga register. För det fall SPAR skulle komma att försvinna som en källa för direktreklam kan man
Särskilt yttrande 494 SOU 1993: 10
dock förutse en explosionsartad utveckling av andra direktreklamkällor och olika slags listförmedlare, vissa av mindre seriöst slag.
Utredningens krav på uttryckligt samtycke i varje enskilt fall går för långt och kommer förmodligen inte att leda till någon större efter— rättelse. Troligen kommer marknadsföringslistor att fortsätta att cirkulera eftersom en stor mängd av dem som finns på sådana listor är presumtiva kunder. Möjlighet finns också att förlägga ADB-hantering- en till utlandet där något motsvarande krav på samtycke inte ställs. Direktreklamutskick från utlandet skulle därför komma att öka i omfattning. Under alla förhållanden skulle den enskildes möjligheter att undanbe sig direktreklam bli mycket sämre.
Enligt min mening borde istället för krav på samtycke i varje enskilt fall, den kommande datalagen kompletteras med en bestämmelse som innebär en skyldighet för den persondataansvarige att informera den enskilde om han avser att utge personuppgifter till någon för att användas av denne i reklamsyfte. En sådan bestämmelse skulle dock inte behöva omfatta myndigheternas utlämnande enligt offentlig— hetsprincipen eller det redan lagreglerade SPAR.
Den enskilde som erhåller information om utlämnande för direkt- reklamändamål kan med stöd av 28 å i förslaget till ny datalag motsätta sig utlämnande och därigenom förhindra behandlingen. Sådan information, naturligtvis väl synlig, skulle kunna lämnas på ett smidigt och enkelt sätt, t.ex. på en beställningssedel, ett inbetalningskort eller i en försäljningskatalog. En sådan ordning skulle med största sannolik— het leda till efterrättelse och innebära en ökad möjlighet för dem som så önskar att förhindra att de erhåller direktadresserad reklam.
Genom att anmäla att man önskar reklamspärr i SPAR finns det i dag ett enkelt och effektivt sätt för den enskilde att hindra oönskad direktadresserad reklam. Ett sätt som skulle ge den enskilde en ökad möjlighet att förhindra all slags direktadresserad reklam vore att införa en skyldighet för den persondataansvarige att innan behandling av personuppgifter för direktreklamändamål sker kontrollera om det finns en reklamspärr avseende någon registrerad person i SPAR, dvs "tvätta" uppgifterna mot SPAR. Reklamspärren i SPAR skulle alltså kunna användas på samma sätt som s.k. "Robinson-listor" (se härom specialmotiveringen till 28 5). Den enskilde skulle alltså bara behöva anmäla reklamspärr på ett ställe. I samband med en flyttningsanmälan skulle man t.ex. kunna beredas möjligheten att spärra för direktreklam i SPAR. Redan i dag kan man i annan ordning sätta reklamspärr hos folkbokföringen vilken vidarebefordras till SPAR.
Underrättelseskyldighet till facklig företrädare
Vad angår den underrättelse som enligt 34 å i lagförslaget skall ske till den enskildes facklige företrädare ansluter jag mig till vad som sägs i
SOU 1993: 10 495 Särskilt yttrande
den av Chris Heister, Inger René, Ulrika Landergren och Ingela Mårtensson gjorda reservationen.
SOU 1993: 10 497 Särskilt yttrande
Särskilt yttrande
av experten Gert Persson
Den framtida datalagens tillämpningsområde och vissa organisatoriska frågor
1 Inledning och sammanfattning
Datalagsutredningen har på ett förtjänstfullt sätt genomfört sitt svåra uppdrag att utarbeta ett förslag till en ny datalag enligt de förändrade förutsättningar som inträffat sedan den nuvarande tillkom för ca 20 år sedan. Föreliggande slutbetänkande är ett stort och viktigt framsteg. Jag delar i allt väsentligt de överväganden och slutsatser utredningen kommit fram till, men anser att utredningen inte "nått riktigt ända fram" i vissa avseenden.
Den nya lagen bör göras oberoende av ADB. Helst bör ADB— begreppet helt utmönstras ur lagen. Därigenom blir den en generell personregisterlag som omfattar all persondatabehandling oavsett vilka metoder som används, dvs. i princip även manuella. Den kommer då också att kunna tillämpas under en längre tidsperiod utan ständiga anpassningar till den tekniska utvecklingen. En sådan lag över- ensstämmer även bättre med nu aktuellt EG-direktiv.
En "datalag" med denna inriktning får tydligare den karaktär av "integritetsskyddslag" (en alternativ benämning kan vara "dataskydds- lag") som överensstämmer med lagstiftningens anda.
Den nuvarande licensplikten och tillståndsprövningen bör, som utredningen föreslår, upphöra och ersättas av ett renodlat tillsyns- system. Datainspektionens inriktning och verksamhet kommer bl.a. därav att förändras radikalt i förhållande till vad som varit förhanden under de ca 20 år som inspektionen funnits. Därtill kommer att den tekniska utvecklingen har gått mycket snabbt under denna tidsperiod. De system och databehandlingsmiljöer som var utgångspunkten för Datainspektionen då den bildades har förändrats drastiskt. Datainspek— tionens kompetens och organisation står idag inte i överensstämmelse med "state—of-the-art" i användningen av informationsteknologi och är helt inadekvat för det integritetsskydd som föreslås av datalagsutred- ningen och som föreslås gälla inom den europeiska gemenskapen.
De nya arbetsformer och den nya "myndighetskultur" som ut- redningen förutsätter (explicit uttalat i avsnitt 17.4) kan, enligt min mening, inte komma till stånd utan att en helt ny myndighet skapas. Även utredningen är inne på dessa tankar, men jag finner skäl att förstärka dess uttalanden på denna punkt.
Särskilt yttrande 498 SOU 1993: 10
Datainspektionen bör, enligt min mening, läggas ned och en ny tillsynsmyndighet skapas. Denna förändring bör genomföras av en särskild utredare.
2 Den framtida datalagens tillämpningsområde
2. 1 Allmänt
En datalags yttersta uppgift måste vara att förhindra att otillbörligt intrång görs i enskild persons integritet vid registrering och behandling av data/uppgifter/information om denne. Det är innehållet i och betydelsen av uppgifterna som konstituerar riskerna för intrång, och inte främst de metoder som används vid databehandlingen. Ostridigt är dock att informationsbehandling med hjälp av modern ADB kan på ett effektivare sätt förorsaka olägenheter och skador hos registrerade än vad som normalt kan ske med andra, mindre automatiserade, informationsbehandlingstekniker.
Den nuvarande datalagen har genom sin starka knytning till ADB, som är endast en av flera möjliga behandlingstekniker, mera fått karaktären att vara en "ADB-lag" än att vara en "datalag". Detta har medfört onödigt arbete och diskussioner om "vad som är ADB". Oklarheter uppstår vid tolkning av lagens tillämpning i fall då flera behandlingstekniker används i mer komplicerade behandlingssituation- er.
Utredningen har konstaterat att det inte torde vara möjligt att närmare definiera begreppet ADB. Jag delar denna uppfattning. Utredningen anser dock att detta inte bör föranleda några nämnvärda olägenheter. Jag anser däremot att en fortsatt stark anknytning till ADB är olämplig.
2.2 En teknikoberoende datalag behövs
I komplicerade databehandlingsmiljöer, t.ex. uppbyggda med distribu- erade databaser eller nätverksbaserade systemstrukturer baserade på integration av telematik och ADB är den nuvarande datalagen svår att tillämpa.
Även vid förhållandevis enkla databehandlingssituationer kan svårig- heter uppstå då moderna hjälpmedel används, med integritetsintrång som följd. Integritetsintrång kan ske utan hinder av datalagen bara man undviker att använda verktyg som kan definieras som en "dator". Exempelvis kan det vara brott mot datalagen att skicka personuppgifter med en modern telefax därför att dagens telefaxar kan lagra data i sitt interna minne, medan det är helt lagligt att skicka samma uppgifter med en något äldre telefax som saknar minneskapacitet.
SOU 1993: 10 499 Särskilt yttrande
Det är också fullt lagligt att göra i stort sett vilka som helst integri- tetskränkningar om man använder lagrings— och databehandlande metoder som kan betraktas som helt "manuella".
I betänkandet beskrivs informationshanteringens framtidsperspektiv på ett bra sätt. Den förutses bli baserad på multi-mediala tekniker där information i olika former, såsom data, text, bild och ljud, integreras. Den snabba utvecklingen inom det informationsteknologiska området gör att begreppet ADB, i den mening som det utgör en grund för datalagen, är alltför begränsat. Samtidigt är en avgränsning av ADB mot annan hantering av information närmast omöjlig genom teknikens utveckling och genom att digitala tekniker används inom allt fler områden där personinformation behandlas.
Det är, enligt min mening, självklart att en lag som skyddar den personliga integriteten vid behandling av personuppgifter måste vara oberoende av den teknik som används. Begreppet ADB måste således tas bort ur datalagen om denna skall kunna bli "hållbar" under några år kännetecknade av en snabb teknisk utveckling.
En logisk följd av att lagen görs oberoende av ADB-begreppet blir att även persondatabehandling som förs med annan teknik än "ADB" och som hanterar integritetskänsliga personuppgifter skulle omfattas av lagen. Detta medför automatiskt en höjning av integritetsskyddet.
En sådan lag skulle då få karaktären av en generell persondatalag som inte begränsas till ADB-tillämpningar och blir mindre känslig för den tekniska utvecklingen. Svårigheterna att definiera begreppet ADB och därmed sammanhängande tolknings— och gränsdragningsproblem bortfaller även helt.
De här aktualiserade problemställningarna är även relevanta i samband med sekretesslagens 15 kap 9-13 åå, som en gång tillkommit som en följd av dåtida skarpa gränser mellan automatisk och annan databehandling. Denna fråga ligger dock utanför datalagsutredningens område att behandla.
2.3 Manuellt behandlade personuppgifter
Förslaget till ny datalag utgår från förutsättningen att lagen inte bör omfatta även manuellt förda personuppgifter. Uppgifter som hanteras manuellt kommer därför generellt sett att falla utanför lagens till- lämpningsområde. I vissa fall kan dock även manuellt hanterade personuppgifter komma att omfattas av lagen. Dessa fall regleras främst i lagförslagets 3 5 och 4 &. Vissa mer harmlösa typer av databehandling faller utanför lagens tillämpningsområde på grund av de föreslagna reglerna i 6 & 4-5 p samt 7 &.
Utredningen avviker från föreliggande utformning av EG—direktivet vad avser personuppgifter som samlas i manuellt förda "person- register".
Särskilt yttrande 500 SOU 1993: 10
Med "personregister" avses i förslaget till EG-direktiv varje strukturerad mängd av persondata, vare sig den är centraliserad eller geografiskt spridd, som är tillgänglig enligt speciella kriterier och vars ändamål eller effekt är att underlätta sökning av personuppgifter. I EG-direktivförslaget inbegriper begreppet behandling av person— uppgifter (Processing of Personal Data) alla åtgärder som kan vidtagas med persondata; från insamling till radering - med eller utan auto- matiska hjälpmedel. Direktivförslaget är således tillämpligt på såväl automatisk behandling av personuppgifter som på sådan manuell behandling av personuppgifter som ingår i "personregister" som uppfyller dessa kriterier. Undantag ges för behandling som faller utanför gemenskapsrätten (t.ex. för säkerhetstjänster) och för rent privat behandling.
Enligt min mening bör en framtida svensk datalag ha samma principiella uppbyggnad som förslaget till EG-direktiv; i första hand helt utan basala utgångspunkter i ADB-begreppet.
I diskussionen om "manuella register" har befarats att Datainspek- tionen skulle komma att få en orimlig mängd anmälningar och ärenden att behandla om även en motsvarighet till manuellt förda "person- register" av direktivförslagets karaktär skulle tillföras dess tillsyns- område. Dessa argument har då bl.a. utgått ifrån den nuvarande situationen då inspektionen kanske inte har registrerade uppgifter om mer än 5-10 % av den uppskattade mängden datoriserade person- register.
Jag hävdar att den omständigheten att hantering av information om personer till största delen nu och i framtiden sker med digitalteknik (obs; ej enbart ADB i nuvarande datalagens mening) i sig icke gör att antalet tillkommande register som kräver Datainspektionens aktiva tillsyn skulle bli "oändligt" om även integritetskänsliga "manuella register" fördes dit. Den mängd som kräver aktiva insatser från inspektionen kan begränsas. Datainspektionen kan nämligen i sitt tillsynsarbete, t.ex. vid inspektioner, koncentrera sig på vilka in- tegritetshot som finns i olika konstellationer av de registrerade uppgifterna och ägna mindre tid åt gränsdragningstekniska frågor. Den manuella persondatabehandling som är harmlös kan givetvis helt avföras från datalagens tillämpningsområde och inspektionens insatser på likartat sätt som harmlös ADB sker enligt 6 & och 7 5.
Ett (f n okänt) antal manuella register med integritetskänsligt innehåll tillkommer dock sannolikt, vilket får anses stå i överens- stämmelse med en datalags anda, om integritetsskyddet därigenom förbättras.
SOU 1993: 10 501 Särskilt yttrande
3. Vissa organisatoriska frågor 3.1 Bakgrunden till nuvarande datalag och Datainspektion
Offentlighets- och sekretesslagstiftningskommittén (OSK) avlämnade i juni 1972 delbetänkandet (SOU 1972:47) Data och integritet, innehållande förslag till datalag och ändringar i bl.a. tryckfrihets- förordningen (TF). I prop 1973:33 föreslogs inrättandet av Datainspek- tionen samt arbetsuppgifter och organisation för denna nya för- valtningsmyndighet på datateknikens område.
Av förarbetena till datalagen och Datainspektionen framgår att man föreställde sig att alla integritetshotande data skulle finnas i stora, avgränsningsbara s.k. register, och skulle behandlas av stora, centralt placerade datorer. Så var naturligtvis förhållandena till betydande del vid dekadskiftet 1960-70; främst inom de offentliga myndigheterna där, då såväl som nu, de mest integritetskänsliga persondata finns. Fantasi och teknologiska kunskaper räckte dock inte till för att förstå att detta var enbart en ögonblicksbild av ett snabbt föränderligt utvecklingsförlopp. Trots att det fanns remissvar som påtalade detta så gick man den enklaste av vägar - man stiftade en lag som reglerade sättet att använda den teknik som då fanns, men som undvek kärn- frågorna.
Datalagen blev en tekniklag, helt relaterad till begreppet ADB och formad efter hur ADB såg ut för 20 år sedan. Intrång i den personliga integriteten blev, och är fortfarande, tillåtna bara man undviker att använda verktyg som kan uppfattas som en "dator" eller en data- behandlingsteknik som är "automatisk". Det är således fullt lagligt att göra i stort sett vilka som helst integritetskränkningar om man använder lagrings -och/eller databehandlande metoder som kan betraktas som "manuella".
Datainspektionens utformning präglades även av detta synsätt. När det gällde t.ex. dess styrelsemedlemmars kvalifikationer anförde före- dragahde statsrådet i prop 1973:33 att han delade "den från flera håll framförda uppfattningen att ordföranden bör vara lagfaren ". Vidare anfördes i propositionen: "Vad betrajfar övriga styrelsemedlemmar är det, som OSK framhållit, angeläget att flertalet av dem har nära kontakt med den allmänna opinionen genom arbete i riksdagen eller i någon större organisation. Vidare är det lämpligt att styrelsen innehåller en ledamot med särskild sakkunskap i datateknik och informationsbehandling samt att även personer med erfarenhet av offentlig förvaltning resp. enskild näringsverksamhet är företrädda i styrelsen.
Kraven på ordförandens lagfarenhet och vissa ledamöters anknytning till riksdag, offentlig verksamhet och den allmänna opinionen har noga beaktats under Datainspektionens tillvaro, medan kravet på särskild sakkunskap i datateknik och informationsbehandling har åsidosatts.
Särskilt yttrande 502 SOU 1993:10
Detta har medverkat till att Datainspektionen i allt högre grad har fjärmats från den verklighet där man skall verka och som man har ansvaret att utöva tillsyn över.
3.2 En kommande datalag och en ny Datainspektion
Den lag som nu föreslås bör kunna fungera åtminstone 1900-talet ut. Utvecklingen inom det informationsteknologiska området går förvisso inte långsammare 1992-2000 än den har gjort 1972-1993. Den nya lagen och den framtida teknologiska miljön ställer helt nya krav på tillsynsmyndigheten.
Datainspektionen måste arbeta helt annorlunda. Dess huvud- inriktning blir tillsyn och inte det tillståndsarbete som hittills känne- tecknat Datainspektionen. Detta kräver att man har sådan sakkunnighet och kompetens om teknologin att man känner igen ett integritetshot/- —intrång när man kommer på det, och inte bara konstaterar en ev. avvikelse från ett (i framtiden obefintligt) tillstånd eller från ett angivet ändamål. Dessutom måste man skapa förutsättningar för att på ett aktivt sätt söka upptäcka de integritetshot och —intrång som före- kommer. Man måste - med andra ord - ut på fältet och umgås på lika villkor med dem som arbetar professionellt med databehandling; automatisk och/eller "manuell". Dessa förutsättningar skapas delvis genom en adekvat prioritering: man behöver inte ägna stor tid åt sådant som inte är eller kan bli särskilt integritetskänsligt, medan man måste ägna betydande omsorg åt utåtriktad information och påverkan på omvärlden. Man måste ägna sig åt inspektioner, med vissa inslag i arbetet som har karaktären av "svarta gänget är ute och sniffar efter integritetsintrång ".
Det finns en viss paradox i detta resonemang: för att kunna "avteknifiera" datalagen krävs en teknologiskt högkompetent data- inspektion. Å andra sidan är detta ju inte ovanligt; motsvarande problemställning finns hos andra tillsynsmyndigheter såsom kärnkrafts- inspektionen, trafiksäkerhetsverket, kemikalieinspektionen, luft- fartsinspektionen, statens elektriska inspektion, Svensk Bilprovning (bolag med myndighetsroll), m. fl. Deras huvudkompetens finns inom deras resp sakområden - inte inom juridiken. Juridiken är ett verktyg för att stödja deras arbete inom sakområdet.
Datainspektionens framtida inriktning kräver sålunda en helt annan sakkompetens om informationsteknologiområdet än den som nu finns. Det kan ifrågasättas om inte den informationsteknologiska kompetensen är viktigare i framtiden än lagkunskapen, beaktat att den juridiska materian inom området är osedvanligt komplicerad, vad gäller inspektionens resursmässiga tyngdpunkt.
Datainspektionens framtida verksamhet kräver även en helt annan organisation än den som nu finns.
SOU 1993: 10 503 Särskiltyttrande
3.3 Uppgifter och organisation
Datainspektionens framtida uppgifter och verksamhet kan förenklat sammanfattas i följande punkter:
A. Normgivning
B. Dataombudsmannafunktioner
C. Inspektioner och övrig tillsyn
D. Omvärlds— och teknikbevakning
E. Information
F. Anmälningshantering och annan administration
Utredningen har berört dessa områden och jag finner ingen anledning att upprepa eller i detalj fördjupa vad utredningen framfört. Utred- ningen har även i kap 17.4 berört de problem som kan finnas för en myndighet med personal som är van att utföra sitt arbete i vissa former att ställa om sig till en ny inriktning, samt hur den nuvarande Datainspektionen skulle kunna omvandlas till sin nya roll och uppgifter.
Jag delar utredningens uppfattning att en genomgripande översyn av Datainspektionen bör göras. Redan i utredningsdirektiven förutses att "En omläggning av datainspektionens verksamhet mot ökad tillsyn kan ge anledning till en översyn av inspektionens organisation. " Ut- redningen har dock, främst av tidsskäl, inte kunnat behandla dessa frågor annat än ytligt och konstaterar att den berörda översynen inte omfattas av utredningens direktiv.
Enligt min mening talar all erfarenhet för att en så omfattande förändring, även om Datainspektionens resursmängd och organisation är av tämligen blygsam omfattning, inte kan ske utan att man lägger ner den nuvarande myndigheten och skapar en ny. Erfarenheter talar även mycket starkt för att detta arbete bör utföras av ett särskilt tillskapat översyns-/organisationsprojekt som behandlar och resurs- mässigt prioriterar samtliga verksamhetsområden. Projektet bör ledas av en särskilt utsedd utredningsman.
Särskild omsorg bör vid översynsarbetet ges åt ombudsmannarollen (som diskuterats i riksdagen vid flera olika tillfällen sedan 1973), åt informationsverksamheten samt åt administrativa rutiner för att förenkla, uppsnabba och rationalisera anmälningsförfarandet.
satir...-me'" |||; allla"— få
-=-' ' " '»;auaaeqtuaaomaatn-w ut
-.'T_..|. ;n;_d'|,1[- ;t|;' |;- . ;L in;
.Lfsl'n'ih'iä 'na? 'i .:lrl'ieu'iåil' flac un'iaqqu gummi monumenten! 15311:ch alma (163 |' dumma—ama
'."t't' 7"' ": l". .:7: m:; (| Jil; Dl-L'k! :; . |' ;. '|'—"" . r r :mf ' " l . -v_'; -' ?— ' H—v ; Migl'.'l*?i3?1=j'lV:IF r""|"'-f-1-..'.'" '.; ;; ,,, ; .::—nr.:», ;: ;] ..| ,,1 rl- ” MmHuä'thhmuzrmmdgmM _|:
"(J '-'!' ..": ' " ;;
: ' | ' innanlår»... kamma... "| |_Lufn * * |: Tfn" '-
r'V ' 1 || ' J | ...."'.' i. '. ' ämm—smulas: ':; -|,t>|_:m=u';f1 u'._|1 . IE :; L ; ; ';;; : _u. ;_ : _ : |: .. |;.Z.:|'n-..;.-;; ; ;. . ; - , .;
k _ , . , , ! ; _ f' .,; Whhlffdållhé lägg ] ;.._' ;|.u.' ' ;.l tm ;' ; .;. ;;.1 ; :*:C'l P;. ;. ._ |;. ;» ram '.J., Låg—$# uar. l' ,IP '; ;— %; ». . .,"
' 5) Hål i!) Y - 'i'. :| J.,, urtr- ' ';..t'u,|. ,man”! t."; åla i'lhgtrl
ägt-å rånn'ihio'iiaäriinljomäer 'IÄ'Å'HI—l'läluu %&wfl
', T$U .hplmåfl' it,;grrrzii'mm qall of '&';be ;: will, . ria, 2561" Han? og hålrum ';36 lierad Å. !” ll) "law ändå
1— dnm, i.:F'tf | 513981” rttö'lm .:a' it?”?- all.?" mtrl; 'han! lät.-"_", ;
shaman 5'."'l 1åtal, gun.; llumlfml ||| in? 'llll'r' ååå? .J'ät'g. "frn l_|" " h, i . HI, ' 'i' ' ].
trap"; | (| a. ll-J är b:;larzfi ,;wi: c-"— 3"|!||.';f"a"L millii: .t' " "t'” åli'
;;" ägg? M; :;;":F lil-|| ;:l;: l'. .;åf|i|;ll;j;; :: mlgwlnulllttbu lies " *ME*-fi en Shwamrla—ZW || [ Nämä-& Fi". är»? and itll-filma ' Änqwänucw mm tårta—Mirai; rhamnmnmnmb-m gullig,;ialm .fi?
l—nl LLM
Cl l-If'n mutant där": ut ln'YhTrL'lll m uge-mn?) n': llt gni' :%:|lxm sg
BR, 'i; plåtm'lad JIIWI'W' <-',, ldaeållrr'c't eråjlzlå..1|_ä'i;zri någiu A*.- |
W&W" Wii" w" ": WW?” %% :||: lnnb'r' .. då?» än": nu
%QW ;;; "ut. ;:a' ;d], 14143:lele 'wE'L åååh, ',utnl [23%
.:. mqa. av det; allmänna; elai'nunzile :...»
E" här? jtl. ;;;th prag HKJ :.lnL .!;| måttliga”? ri: sälg! %!?!le "|:?! '.'ä n'. ålagd?" vn, 31'1 regular flm- aaadgmuwh hälfilh 'ful; lbir
lllgl dag!!?” |:: må? :u' ,;öu aliadm, I'll'gla & lll” ?! l'i'åk' 'håiå'rlt'f run/li
'När—!!, lift»,- 15&%f'dlrdiilfqugilE-då'mnvu en nu ;,F; i;;qfäauu
IL!
"?"! [god 2115an ni:.gå'tfat 'Muna |_rig||1||=.|',ä"'|uiiiuw u.; |:; _|)":
!
” n-Jnv sidijtfrå'åu li,—thai ||, Willem .
np!-”251420 f.- n:, 353; auclmmmöw hiv .::F;||nu'uu å(&&f ' 1.33?! n:: 592 ||: ;ltisll'lft tällä EHF J:r-t u-;ub-In : andfådd? Mt??? " :||:, 'rr-l finlir: smb. Mmmm. 'n'ra rwårlanuaillemnbtlum ||: f'. '” " bwwdm'lrgmnhnlw |; '"'iil' ”gulligt—"16190 lvldemqqu,,.,btnmat
'åJ—- .H—JJF' !_J;'!'_li |,g-ri-.l .;
SOU 1993: 10 505 Särskilt yttrande
Särskilt yttrande
av ledamoten Stig Sandström (v)
Vad som är bra och styrkan i föreliggande förslag till datalag är att den utgår från vår egen svenska verklighet och våra egna rättstradition- er. Den slår vakt om offentlighetsprincip, tryckfrihet, meddelarfrihet och forskningens möjlighet att fungera. Samtidigt försöker den undanröja vissa byråkratiska begränsningar och tillåta en smidig användning av de nya tekniska möjligheterna utan att den personliga integriteten får kränkas. Frihet under ansvar kan sägas vara rättesnöret.
Som framgår av motiveringarna så har utredningen, trots ambitiösa försök, på punkt efter punkt misslyckats med att förena sig med utkastet till EG-direktiv. Enligt min mening är detta ett friskhetstecken. Ett brott mot den alltför överdrivna och kravlösa EG—anpassningen som pågått under de senaste åren. Ty det kan ju inte vara rimligt att Sverige med världens längsta traditioner på datalagstiftningens område ska anpassa sig till och underordna sig ett EG-direktiv som syftar till att lyfta och ge de länder inom EG som i dagsläget saknar lagstiftning på dataområdet ett fungerande regelverk.
Detta innebär dock inte att föreliggande förslag är utan komplika- tioner och löser alla problem på ett helt tillfredsställande sätt.
Experten Bertil Persson pekar t.ex. på att den snabba utvecklingen på dataområdet borde motivera att vi går ett steg längre och även slopar anmälningsplikten. Experten Sten Wahlqvist pekar på komplika— tionerna med klipparkiven. Ytterligare ett problem i tiden är att annan lagstiftning, som sanktionerar integritetskränkningar, ex.vis in- kassolagen, kan komma att överutnyttjas på ett för samhället skadligt sätt i ekonomiska kristider.
En annan tendens som enligt min mening bör uppmärksammas är att utvecklingen från industrisamhälle till informations- och tjänste- samhälle innebär att arbetskraften värderas på ett annat sätt. Mjukdata ersätter hårddata. Formell kompetens i form av betyg och andra mätbara kvalifikationer mister i betydelse och i stället värdesätts andra egenskaper som är mer svårmätbara t.ex. personkemi, trevlighet, vinnande sätt osv. Detta innebär i sin tur att det blir viktigare med omdömen, värderingar och referenser vid anställningsförfaranden. l sig innebär det en ökad integritetskänslighet som kan vara svår att hantera på ett rättvist sätt. En dålig referens, kanske byggd på felaktiga grunder eller illvilja, kan ex.vis skada en människa för livet.
Några av ovanstående problem skulle eventuellt kunna lösas med en generell integritetslag. Då skulle också en speciell datalag bli över— flödig. Egentligen är det ju något absurt med en lag som i sitt utgångsläge försöker tygla en teknik. (Vi har ju ingen speciell
Särskilt yttrande 506 SOU 1993:10
skrivmaskinslag eller mobiltelefonlag). Jag inser dock att en sådan lag inte är helt lätt att ta fram eftersom integritetskränkningar uppfattas väldigt subjektivt. Troligen skulle det behövas en hel del forskning för att reda ut vad som uppfattas som integritetskränkningar. Att få fram en minsta gemensam nämnare som kan accepteras i en lagtext. Sedan gäller det också att göra reda för sig när integritetskränkningar ska tillåtas och av vem?
I kommande lagstiftning på integritetsområdet skulle det därför enligt min mening vara önskvärt att man tog ett bredare grepp på hela frågan om personlig integritet och även initierar forskning kring detta. Och även undersöker möjligheten att skapa en generell integritetslag.
SOU 1993: 10 507 Särskilt yttrande
Särskilt yttrande
av experten Sten Wahlqvist
Sammanfattning
Inga undantag bör göras i en ny datalag för massmediernas klipparkiv. Genomförs utredningens förslag att undanta klipparkiven helt från datalagens tillämpningsområde, kan det enligt min mening t.o.m. bli svårt att hävda behovet av integritetsskyddsregler på andra områden i samhället, t.ex. inom forskningsområdet.
Arbetsgivares möjligheter att utan samtycke behandla personupp- gifter om anställda som rör sjukdom eller hälsotillstånd eller utgör omdömen eller värderande upplysning bör omgärdas med utförliga och restriktiva regler, grundade på en noggrann avvägning mellan arbetsgivares behov och arbetstagares rätt till integritetsskydd i arbetslivet. Den av utredningen förslagna regleringen uppfyller inte det kravet. Enligt min mening talar starka skäl för att reglera arbetsgivares behandling av personuppgifter om anställda, som behövs inom företagshälsovården eller i övrigt för rehabiliteringsverksamhet, i en särskild registerlag. Behov kan föreligga av en samordning med den planerade registerlagstiftningen på socialförsäkringsområdet.
En klar brist med utredningens förslag är att Datainspektionen inte ges behörighet att meddela generella föreskrifter om gallring. Från integritetssynpunkt är en befogenhet att meddela sådana föreskrifter av central betydelse. Genom att inte medges denna möjlighet kan Datainspektionen inte på ett effektivt sätt reglera gallringsfrågan för en hel bransch eller ett helt område. En stor del av vinsten med en bransch- eller sektorsreglering går därigenom förlorad.
För att klargöra att en begränsning genom en ändamålsbestämning som en myndighet själv beslutat om skall utgöra också en motsvarande begränsning för vad som utgör allmän handling bör enligt min mening 2 kap. 3 5 andra stycket tryckfrihetsförordningen ändras. Genom en sådan ändring kan man i en specialmotivering behandla denna inte minst av rättspolitiska skäl viktiga fråga. Myndigheterna kommer ju enligt utredningens förslag i fortsättningen att i princip själva be- stämma omfattningen av offentlighetsprincipen.
I det nya förslaget till EG-direktiv har i den artikel, som behandlar känsliga uppgifter, tagits in en regel om att medlemsstaterna skall bestämma de villkor under vilka personnummer får användas. Detta väcker frågan om regleringen i 15 & förslaget till datalag är tillräckligt konkret. Det är naturligt att den förutskickade personnummerutred- ningen överväger denna fråga.
Särskilt yttrande 508 SOU 1993: 10
För att begränsa en fortsatt spridning av felaktiga eller ofullständiga personuppgifter bör en persondataansvarig, som rättat, ändrat, kompletterat eller utplånat en felaktig eller ofullständig uppgift, åläggas att underrätta den som eventuellt har lämnat ut uppgiften till honom från en datasamling. Utredningen föreslår ingen sådan skyldighet.
Massmediemas klipparkiv TWC/(frihetsförordningen m.m. och datalagstiftningen
Bland de grundlagsskyddade fri- och rättigheterna i 2 kap. regerings— formen (RF) intar yttrandefriheten en central ställning. Tryckfriheten är en del av yttrandefriheten. Tryckfrihetens betydelse för en fri samhällsdebatt och ett fritt samhällsskick kan inte nog understrykas. Tryckfriheten skyddas därför mot ingrepp från det allmänna genom detaljerade bestämmelser i tryckfrihetsförordningen (TF). Beträffande tryckfriheten hänvisar 2 kap. 1 & RF därför till TF. Genom att TF är en grundlag ger den utförliga regleringen där ett gott skydd för det tryckta ordet.
Samtidigt står det klart att den enskildes personliga integritet måste skyddas i ett demokratiskt samhälle. RF slår därför vakt om in- tegriteten. Den grundläggande bestämmelsen finns i 1 kap. 2 & tredje stycket RF. Där sägs att det allmänna skall värna den enskildes privatliv och familjeliv. Av förarbetena framgår att integritetsskyddet vid dataregistrering stod i blickpunkten vid bestämmelsens tillkomst. En motsvarande bestämmelse finns i artikel 8 i europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. I den praxis som utvecklat sig vid tillämpningen av konventionen har slagits fast att det skydd för privatlivet som denna artikel ger omfattar även dataskydd.
Den 1 januari 1989 infördes i RFS fri- och rättighetskatalog en grundregel om skydd för den enskildes personliga integritet vid dataregistrering (2 kap. 3 5). Regeln innebär att varje medborgare i den utsträckning som närmare anges i lag skall skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling (ADB). Genom grundregeln åläggs lagstiftaren att vara aktiv genom att stifta och vidmakthålla en datalagstiftning. Regeln kräver alltså att det skall finnas en datalag som skyddar varje medborgare mot integritetskränkningar.
Av det anförda framgår att både tryckfriheten och den enskildes personliga integritet har stora skyddsvärden och därför är omgärdade med starkt rättsligt skydd. Föreligger motstående intressen mellan tryckfriheten och integriteten, ankommer det på lagstiftaren att ta ställning till hur konflikten bör lösas.
Massmedierna samlar in uppgifter om människor och sprider in- formation om människor. Uppgifter sparas också för framtida behov.
SOU 1993: 10 509 Särskilt yttrande
Det ligger i sakens natur att sådana uppgifter inte alltid är korrekta. Många gånger kan det också vara fråga om känsliga uppgifter t.ex. omdömen om människor samt uppgifter om brott och sjukdomar.
Sådana uppgifter har i den nuvarande datalagen bedömts vara av så integritetskänsligt slag att särskilda skäl och i vissa fall synnerliga skäl måste föreligga för att tillstånd skall få meddelas att registrera dem. Uppgifterna kan också många gånger vara sekretesskyddade enligt sekretesslagen. Till bilden hör också att den omfattande användningen av personnummer i vårt samhälle i förening med TFs offentlighets- princip i hög grad underlättar insamlingen av uppgifter om enskilda.
Av det nu anförda framgår att personregister som förs inom massmediaområdet kan vara mycket integritetskänsliga. Det bör även framhållas att datalagen utgår från att redan registreringen av uppgifter kan medföra risk för otillbörligt integritetsintrång. Det skydd som utredningen anser att de pressetiska reglerna ger mot spridning genom publicering av ömtåliga uppgifter motsvarar således bara en del av skyddet för den enskildes personliga integritet. Till detta kommer att vikten av att värna den enskildes personliga integritet ökar i ett allt mer informationsintensivt samhälle där massmedierna redan nu spelar en framträdande roll.
Mot denna bakgrund anser jag att det är ett samhällsintresse av största vikt att det görs en rimlig avvägning mellan tryckfriheten och människors rätt till en fredad sektor. Det är också ett vitalt intresse att den enskilde medborgaren kan förlita sig på att samhället har förmåga att upprätthålla skyddet för hans personliga integritet på alla samhälls- områden.
Mina överväganden
Vad först gäller produktionsregistren, dvs. i normalfallet kortlivade register som står i direkt tekniskt samband med sättnings- och tryckningsprocessen, delar jag utredningens uppfattning att en reglering med möjlighet till ingripanden från Datainspektionens sida - som i sista hand kan innebära ett förbud att behandla personuppgifter - med stor sannolikhet skulle komma i konflikt med 1 kap. 2 & TF och 1 kap. 3 & yttrandefrihetsgrundlagen (YGL). Med hänsyn till att registren är kortlivade är jag också tveksam till värdet av en begränsad tillämpning av datalagen på sådana register. Jag kan därför ställa mig bakom utredningens förslag att produktionsregistren skall undantas helt från en ny datalags tillämpningsområde. Stor vikt har jag härvid fäst vid förslaget till EG -direktiv som ålägger medlemsstaterna att göra undantag för pressen, audiovisuella massmedia och journalister som behandlar personuppgifter för journalistiska ändamål (art. 9). Artikeln syftar till en avvägning mellan tryckfriheten och integritetsskydds- regler.
Särskilt yttrande 510 SOU 1993: 10
Jag kan också ställa mig bakom utredningens förslag att undanta sådana källregister som utgör renodlade register över anonymitets— skyddade personer från en ny datalags tillämpningsområde, även om mycket talar för att t.ex. reglerna om insynsrätt och rättelse också bör gälla för anonymitetsskyddade personer. Mitt ställningstagande grundar sig på det starka anonymitetsskydd som finns i TF och YGL samt på bestämmelserna i att. 9 förslaget till EG-direktiv. Det är viktigt att påpeka att det skall vara fråga om renodlade register över anonymitets- skyddade personer.
Jag instämmer vidare till fullo i utredningens ställningstagande att inga undantag skall göras i en ny datalag för källregister i övrigt ( "Bra- att-ha—register"). Frågan om hur den nya datalagen förhåller sig till föreskrifterna i TF och YGL får som hittills lösas av praxis.
För att undanta klipparkiven måste det däremot kunna anföras tungt vägande skäl.
Om massmediernas klipparkiv undantas från datalagstiftningen medför detta att enskilda berövas sin rätt till insyn och fråntas sina möjligheter och sin rätt att få rättelse av oriktiga eller missvisande uppgifter samt skadestånd när sådana uppgifter har medfört skada för honom. Även om det inte går att få rättelse av oriktiga eller miss- visande uppgifter i redan publicerat material kan massmedierna idag åläggas att göra markeringar när materialets riktighet har ifrågasatts. Därigenom undviker man att felaktigheter publiceras ånyo. Om klipparkiven undantas kommer reglerna om gallring av känsliga uppgifter - som utgör en viktig del av integritetsskyddet — inte heller att gälla. Krav kommer inte att kunna ställas på ADB—säkerhet i syfte att hindra obehörig åtkomst till eller spridning av uppgifter från massmediernas klipparkiv.
Jag motsätter mig därför bestämt att klipparkiven undantas från en ny datalags tillämpningsområde. Det är särskilt svårt att förstå logiken bakom utredningens förslag att undanta klipparkiv från en framtida datalag även för andra ändamål än att tjäna massmediernas journalist- iska verksamhet. Detta strider också mot förslaget till EG-direktiv. Klipparkiven har inte med den direkta produktionen av en skrift att göra. Konflikter med föreskrifterna i TF om censurförbud och andra hindrande åtgärder torde därför bli sällsynta. Anledning att frånta Datainspektionen möjligheter att meddela föreskrifter, villkor eller utöva tillsyn synes således ej föreligga. Givetvis har Datainspektionen att beakta eventuella konflikter med TF vid utfärdandet av föreskrifter eller villkor.
Ett särskilt problem uppstår med utredningens förslag. Hur skall man skilja ut seriös tidningsproduktion från oseriös sådan, dvs. när tidningsutgivning används som täckmantel av mindre nogräknade personer för att kringgå en ny datalag?
Sammanfattningsvis anser jag således att inga undantag skall göras i en ny datalag för klipparkiven. Genomförs utredningens förslag blir
SOU 1993: 10 51 l Särskilt yttrande
det svårt att hävda behovet av integritetsskyddsregler på också andra områden i samhället, t.ex. inom forskningsområdet.
Arbetsgivares behandling av känsliga personuppgifter om anställda inom företagshälsovården eller i övrigt för rehabiliteringsverk— samhet
Bakgrund
Genom ändringar i lagen (1962:381) om allmän försäkring och arbetsmiljölagen (1977: 1160) har arbetsgivaren fått ett ökat ansvar för arbetsmiljön och de anställdas rehabilitering. Arbetsgivaren skall bl.a. svara för att behovet av rehabiliteringsåtgärder utreds när den anställde på grund av sjukdom har varit borta från arbetet under viss angiven tid. Rehabiliteringsutredningen skall tillställas försäkringskassan. Arbetsgivaren skall vidare svara för att sådana arbetslivsinriktade rehabiliteringsåtgärder vidtas som kan genomföras inom eller i anslutning till den egna verksamheten. Under rehabiliteringen kan den anställde få rehabiliteringsersättning från försäkringskassan.
Försäkringskassan har ett övergripande samordningsansvar för rehabiliteringsverksamheten, innefattande ansvar för regionalt och lokalt samarbete mellan olika myndigheter och organ med uppgifter på rehabiliteringsområdet. Gentemot den försäkrades arbetsgivare har försäkringskassan ett tillsynsansvar för att denne fullgör sina rehabili- teringsuppgifter.
Sedan flera år tillbaka har riksförsäkringsverket i samarbete med försäkringskassorna bedrivit ett utrednings- och utvecklingsarbete samt praktiska försök för att få underlag för ett ställningstagande till frågan hur ADB-verksamheten skall utformas för att stödja den pågående verksamhetsutvecklingen (FAS 90). Mot bakgrund av att den planerade förändringen av socialförsäkringsorganens verksamhet och den därmed sammanhängande utvecklingen av ADB-stödet aktualiserade en rad frågor av central betydelse för integritetsskyddet i samhället tillsattes en utredning med uppdrag att lägga fram ett förslag till en registerlag för socialförsäkringsorganens personregister. Utredningen har hittills lagt fram ett förslag till registerlag för lokala sjukförsäkringsregister (SOU 1991 :9). Som grund för förslaget har utredningen bl.a. lagt viss underhandsinformation om det propositionsarbete som ledde fram till de ovannämnda ändringarna i lagen om allmän försäkring och arbetsmiljölagen. Förslaget, som varit föremål för en omfattande debatt (FAS 90 - debatten), bereds för närvarande i regeringskansliet.
Mina överväganden
Inte minst av humanitära skäl är det viktigt att man, på sätt som skett genom ändringarna i lagen om allmän försäkring och arbetsmiljölagen,
Särskilt yttrande 512 SOU 1993:10
på olika vägar dels söker komma till rätta med bristfälliga arbets— miljöer för att förhindra att arbetsskada eller arbetssjukdom drabbar de anställda, dels effektiviserar rehabiliteringsverksamheten för dem som drabbas av sjukdom. Men samtidigt måste skyddet för de anställdas personliga integritet beaktas i detta sammanhang. Att detta skydd kan garanteras är en faktor som har stor betydelse inte minst för den psykiska arbetsmiljön.
Datalagsutredningen föreslår att personuppgifter, som avser sjukdom eller hälsotillstånd eller utgör omdöme eller annan värderande upplysning om den anställde, skall få behandlas för anställnings- ändamål av arbetsgivaren utan den anställdes medgivande bl.a. om uppgifterna rör den anställdes sjukdom eller hälsotillstånd och behandlingen behövs inom företagshälsovården eller 1 övrigt för sådan rehabiliteringsverksamhet som föreskrivs i lag (33 ä 2). Även om bestämmelserna i förslaget till datalag i övrigt gäller för arbetsgivares behandling av sådana personuppgifter, anser jag att regleringen är alltför bristfällig. Enligt min mening är risken uppenbar att anställdas personliga integritet kan komma att kränkas om man inte omgärdar arbetsgivarens möjligheter att utan samtycke behandla personuppgifter om anställda som rör sjukdom eller hälsotillstånd eller utgör omdömen eller värderande upplysning med utförliga och restriktiva regler. Nu föreslagen reglering hindrar inte arbetsgivare att utan samtycke t.ex. behandla diagnosuppgifter om anställda eller uppgifter som utgör egna omdömen om varför en anställd är sjuk. Inte heller finns någon begränsning varifrån uppgifter, som skall läggas till grund för ett omdöme om en anställd, får hämtas. En sådan ordning är inte acceptabel från integritetsskyddssynpunkt. Jag motsätter mig därför bestämt förslaget i denna del.
Enligt min mening talar starka skäl för att bryta ut ifrågavarande förslag (33 5 2) från förslaget till datalag och reglera arbetsgivares behandling av personuppgifter om anställda, som behövs inom företagshälsovården eller i övrigt för rehabiliteringsverksamhet, i en särskild registerlag. Det är naturligt att arbetsgivares behandling av känsliga personuppgifter för rehabiliteringsverksamhet blir lika noggrant reglerad som avsikten är att försäkringskassornas verksamhet skall bli. Lagen bör på sedvanligt sätt innehålla konkreta föreskrifter bl.a. om varifrån uppgifter får inhämtas, vilka uppgifter som får behandlas, de bearbetningar som får göras, den information som skall lämnas till berörda, utlämnande, bevarande och gallring.
Det kan också finnas behov av att samordna ett arbete med att ta fram en registerlag för arbetsgivarnas behandling av rehabiliterings- uppgifter med den planerade registerlagstiftningen på socialförsäkrings- området. Den rehabiliteringssamverkan mellan försäkringskassorna och arbetsgivarna som beslutats genom ändringarna i lagen om allmän försäkring torde för övrigt innebära att gränsdragningen mellan vad
SOU 1993:10 513 Särskilt yttrande
som kan anses vara socialförsäkringsändamål och anställningsändamål kan bli flytande.
Gallring av personuppgifter Inledning
Förslaget till ny datalag innehåller fylligare och mer precisa be- stämmelser än nuvarande datalag. Trots detta är lagen en s.k. ramlag. I 36 & förslaget till datalag har därför tagits in ett bemyndigande för regeringen eller, efter regeringens bemyndigande, Datainspektionen att i vissa fall meddela närmare föreskrifter i fråga om behandlingen av personuppgifter. Förutsättningar för delegation är att det är fråga om behandling av känsliga personuppgifter och att det rör sig om personuppgifter som ofta behandlas inom ett visst område för ett visst ändamål. Genom bemyndigandet kan olika branscher och sektorer specialregleras.
Att specialreglera olika branscher och sektorer ligger i linje med Europarådets arbete att ta fram rekommendationer inom olika områden och Datainspektionens arbete att utfärda författningar om förenklade ansökningsförfaranden såsom skett inom t.ex. det kommunala och landstingskommunala området. Den bärande tanken bakom Datainspek- tionens inriktning att arbeta fram förenklade ansökningsförfaranden är att integritetsskyddet främjas bäst genom att reglerna för person- registrering anpassas till de specifika förhållanden som råder inom olika branscher eller områden i samhället. Därigenom skapas också förutsättningar för att fördelarna med tekniken kan tas till vara utan att integritetsskyddet åsidosätts. Genom att engagera bransch- och områdesföreträdare i utvecklingen av normer för personregistreringen på olika områden i samhället sprids en fördjupad kunskap om och en större förståelse för integritetsfrågorna. Erfarenheterna ger också vid handen att det i ett sådant utvecklingsarbete går att locka fram ett påtagligt intresse för de etiska aspekterna på personregistrering i den egna verksamheten.
Enligt 36 & förslaget till datalag har möjligheten att meddela före- skrifter begränsats till vissa angivna områden. Föreskrifter kan meddelas beträffande bl.a. tillämpningen av bestämmelsen om anknytning till ett ändamål (9 €), god datased (10 å), förutsättningarna för behandling av personuppgifter (11 å), samtycke enligt 12 5, vilka personuppgifter som får behandlas (13 — 15 55) samt insamling av personuppgifter från den enskilde (16 å). Däremot ges Datainspek— tionen ingen möjlighet att meddela föreskrifter om gallring. Ut- redningen har motiverat detta med att känsliga personuppgifter i princip inte får behandlas om inte behandlingen åtminstone i vissa hänseenden har reglerats genom särskilda bestämmelser i lag eller annan författning. Skulle behov finnas av en särskild gallringsbe-
Särskilt yttrande 514 SOU 1993: 10
stämmelse på ett visst område förefaller det, framhåller utredningen, naturligt att denna gallringsbestämmelse tas in i den författning som ändå måste beslutas. I fråga om de känsliga personuppgifterna finns det därför, enligt utredningen, knappast någon anledning att ge Datainspektionen befogenhet att meddela generella föreskrifter om gallring.
Mina överväganden
Enligt min mening är det en klar brist att inte Datainspektionen ges behörighet att meddela föreskrifter om gallring. Från integritets- synpunkt är en befogenhet att meddela sådana föreskrifter av central betydelse. Genom att inte medges denna möjlighet kan Datainspek— tionen inte på ett effektivt sätt reglera gallringsfrågan för en hel bransch eller ett helt område. En stor del av vinsten med en bransch- eller sektorsreglering går därigenom förlorad. Den möjlighet som står till buds är att Datainspektionen kan meddela villkor om gallring i de enskilda fallen. En sådan ordning är resurskrävande och står i strid med utredningens målsättning att Datainspektionen i största möjliga utsträckning skall ägna sin kraft åt tillsyn. Utredningens motivering att inte ge Datainspektionen befogenhet att meddela gallringsföreskrifter är inte heller hållbar. Som framgått ovan kan enligt förslaget Data- inspektionen efter bemyndigande meddela föreskrifter beträffande bl.a. tillämpningen av bestämmelsen om anknytning till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka uppgifter som får behandlas samt insamling av personuppgifter från den enskilde. Skulle behov finnas av särskilda föreskrifter av nu nämnt slag inom ett visst område, förefaller det minst lika naturligt som be— träffande en särskild gallringsföreskrift att sådana föreskrifter tas in i den författning som ändå måste beslutas. Mot bakgrund av det anförda anser jag att Datainspektionen skall ges behörighet att även meddela föreskrifter om gallring.
Offentlighetsprincipen
Begreppet handling avser - förutom framställningar i skrift eller bild av vanligt slag — också s.k. tekniska upptagningar dit ADB-upptag- ningar räknas. En handling är allmän om den förvaras hos en myndighet och enligt särskilda regler anses inkommen dit eller upprättad där.
En ADB-upptagning anses enligt 2 kap. 3 & tryckfrihetsförordningen förvarad hos en myndighet, om upptagningen är tillgänglig för myndigheten i sådan form att man där kan läsa den, avlyssna den eller på annat sätt uppfatta den. Innebörden av begreppet "tillgänglig" är att varje sammanställning av sakligt sammanhängande uppgifter som en myndighet kan göra med hjälp av tillgängliga program är att anse som
SOU 1993: 10 515 Särskilt yttrande
en handling som förvaras hos myndigheten. Förutsättningen är endast att sammanställningen skall kunna göras med rutinbetonade åtgärder. Förvarsrekvisitet är således uppfyllt oberoende av om myndigheten själv har haft eller anser sig ha behov av att söka efter eller samman- ställa informationen i fråga.
Det räcker dock inte alltid med att en myndighet har en sådan faktisk tillgång till en ADB-upptagning som nu beskrivits för att upptagningen skall anses förvarad hos myndigheten. Är det fråga om en upptagning som ingår i ett personregister enligt datalagen krävs också att myndigheten har rättslig befogenhet att göra en överföring av upptagningen till läsbar form. Har riksdagen, regeringen eller Datainspektionen meddelat föreskrifter som förbjuder en myndighet att överföra en ADB-upptagning till läsbar form för eget bruk, har allmänheten nämligen inte heller rätt att ta del av upptagningen hos myndigheten. I 2 kap. 3 5 andra stycket tryckfrihetsförordningen uttrycks kravet på så sätt att någon överföring inte får göras, "om myndigheten enligt lag eller förordning eller särskilt beslut, som grundar sig på lag, saknar befogenhet att göra överföringen".
Eftersom tillståndsförfarandet slopas enligt utredningens förslag, kommer Datainspektionen inte i fortsättningen att bestämma ändamålet för behandlingen av personuppgifter. Det ankommer i stället i första hand på den myndighet som ansvarar för personuppgifterna att göra detta. Ändamålsbeskrivningen är av avgörande betydelse för vilka bearbetningar som myndigheten får göra. Fråga uppkommer om ett på visst sätt bestämt ändamål genom beslut av en myndighet själv också medför en sådan begränsning i myndighetens befogenhet att göra överföringar, vilka avviker från ändamålet, som avses i 2 kap. 3 & andra stycket tryckfrihetsförordningen. Utredningen har kommit fram till att så är fallet. Enligt min mening är denna tolkning tveksam. Utredningens tolkning har inte heller stöd i förarbetena i vilka man med "särskilt beslut" närmast har åsyftat beslut meddelade av Datainspektionen.
För att klargöra att en begränsning genom en ändamålsbestämning som en myndighet själv beslutat om skall utgöra också en motsvarande begränsning för vad som utgör allmän handling bör enligt min mening 2 kap. 3 & andra stycket tryckfrihetsförordningen ändras på så sätt att någon överföring inte får göras "om myndigheten enligt lag eller förordning eller enligt beslut, som grundar sig på särskild lag, saknar befogenhet att göra överföringen". De beslut som åsyftas enligt mitt förslag till skrivning är dels sådana som myndigheten själv fattar om ändamålet, dels sådana som Datainspektionen med stöd av 36 5 eller 40 & förslaget till datalag kan komma att fatta. Genom en ändring i lagtexten vinner man också det att man i en specialmotivering kan behandla denna inte minst av rättspolitiska skäl viktiga fråga. Myndig- heterna kommer ju enligt utredningens förslag att i princip själva
Särskilt yttrande 5 16 SOU 1993: 10
bestämma omfattningen av offentlighetsprincipen när det gäller ADB-upptagningar.
Personnummer
Användningen av personnummer innebär både fördelar och nackdelar. Den största fördelen består i att personnumret är ett enhetligt och för varje person unikt identifikationsbegrepp. Personnumret är alltså ett hjälpmedel när det gäller att förebygga förväxlingar mellan personer, vilket är av betydelse från bl.a. rättssäkerhetssynpunkt. I den meningen kan personnumret vara ett skydd för den personliga integriteten. Men användningen av personnummer innebär också vissa nackdelar. Det är ett faktum att många människor i dag är kritiska mot den utbredda användningen av personnummer. En del är oroliga för att person- numret kan utnyttjas så att det medför otillbörligt intrång i den personliga integriteten, t.ex. genom att personnumret på ett enkelt sätt kan användas som kopplingsnyckel i ADB-stödda datasamlingar för samkörning med andra datasamlingar, vilket skapar ökade möjligheter till kontroll av den enskilde individen i olika hänseenden. Andra reagerar mot vad de upplever som onödig användning av person- nummer, t.ex. att man måste uppge personnummer för att få låna en bok från ett bibliotek. Personnumret kan inbjuda till övertro på dess tillförlitlighet som enda identifikationsbegrepp.
I 15 & förslaget till datalag har tagits in en bestämmelse om person- nummer. Bestämmelsen motsvarar den som finns i 7 5 andra stycket i nuvarande datalag, vilken bestämmelse trädde i kraft så sent som den 1 januari 1992. Mot bakgrund av att riksdagen så nyligen beslutat om regleringen av personnummer har det varit naturligt för utredningen att inte föreslå några ändringar.
I detta sammanhang finns dock anledning att framhålla att person- nummer bör betraktas som en känslig uppgift och särbehandlas med hänsyn till att många människor rent faktiskt känner oro för an- vändningen av personnummer. Därmed är inte sagt att en sådan uppgift skall regleras på samma sätt som sådana känsliga uppgifter som avses i 20 & förslaget till datalag. Att man bör särbehandla person- nummer vinner också stöd i det nya förslaget till EG-direktiv. I artikel 8, som behandlar känsliga personuppgifter, finns numera en regel om att medlemsstaterna skall bestämma de villkor under vilka person— nummer får användas. Detta väcker frågan om regleringen i 15 & förslaget till datalag är tillräckligt konkret. Det är naturligt att den förutskickade personnummerutredningen överväger denna fråga.
Rättelse m.m.
Enligt 22 och 23 åå förslaget till datalag skall, om en uppgift som rättas, ändras, kompletteras eller utplånas har lämnats ut till någon
SOU 1993: 10 517 Särskilt yttrande
annan än den uppgiften avser, den persondataansvarige underrätta mottagaren om rättelsen, ändringen, kompletteringen eller utplånandet. Enligt min mening bör en persondataansvarig också åläggas att underrätta den som ev. lämnat ut en felaktig eller ofullständig uppgift till honom från en datasamling. Härigenom begränsar man en fortsatt spridning av felaktiga eller ofullständiga uppgifter.
.. '1*" '*|-""' : .,
" båda. . ERN'J 'Till '11_,*,1.1*' *tl'hl'wl m,, 1,5-U'. _'1 FF'T'F,' " 1.*1|'11.11 '_il'ta,.t*ll1.__ 'J' [%,ij 'n" .Htålt'l .*".__,""..*'*113"3"=""Å'"""%'1"..'-*'*"""3"'*'
"" å""*-'å1t-il 113 '1111'11 ;"... .1 ml Hu
* ' ' '- mm,?- ""**11l,_'äpthf-i**,,*,_*_ _»l, '1**-_. .— '.""*'"f""""' ""*1.'.'*" _Z'IIWYW '*L'.l.*':' _ '. å'l'; 'å'-"' ' """ -'" - u:." " " |. _6'
" '. " 'in'." ' "|_| . .H
'.".i."'l—- .. ** .%*..'1'-'*'*.-'. -',**__'_,,'.'('-__'*",j,' ..***i:'.' ,—u _ .. - %.,ul _, '".'|_,_'__..-,,..: :,_______._._,;,1_,___________ __,le .. l.l_m_:,1.lll'._l,__.,___ f:.'*' __ ____ ._ ";__._ '1' 31.1 1,""'**'*'"','..'.'.',l .1"uF-"**|""'|' "' " "'.':zi. . " ..
| . 1- . _ .. __':"E_"'n _ ,_____._,,,.'11-f".1| -_.__, ... ,'_..*.*,)_,. ' ___',*,"*_'_._i_. ,; ,l_ '. _ ,. , ___:_-1. 1.991" ky,” . .,'-,**u',l | ,
r..'.*.1;..***"1,,."__.11,'å ' "" 'l""'*. L'.'."""1",r11
.. 'i'-'.h'”
* .*1 ' .. .15 .l . . nu,.*_*_ltj»,,, ,. _,'_,,, _..,,.._ ' ',:__ ,__| vill. ' ,' _,':"' _... _
, .,,1_._.',,-a-,'.11.|1, , *1'1 j..
. ,j?,'1"-1.1,.,_,*i_,,"11_ ,
11,1'
..'.'1il':-, .. .
_'.. ,,*-*-.ll":,__"-"1_u',,;_.",: EH. _ ,. _|:___.1,*_'- ,, , 11”. "i" ._.>.'-*"11'** ii..” "". " '|'-_1_.' 'i'. . ._._,
.* '. Q' . —'-"' * . 1 _.-l;.-*Q_1,*,,,.,-,,
| I ,_1._.u,; ,.__,,c ..
SOU 1993: 10 519 Summary
Summary
The Commission on Data Protection was appointed in 1989 and its task has been to fully revise the Data Protection Act of 1973. When the Swedish Data Protection Act was passed by Parliament in 1973, it was the first national Act of its kind in the world. Twenty years, a long time considering the developments of information technology, have passed since 1973 without any major amendments to the basic structure of the Act. Today the Act is fairly out of date.
This summary will first present the main features of the Act of 1973 and then discuss the draft for the new Act.
The Act of 1973 regulates the use of personal data files. "Personal data files" are such files, lists and other notes, in which automatic data processing (ADP) is used and which contain personal data on an identifiable physical person. Manual files are not covered by the Act.
The present Act stipulates that there has to be a controller respon- sible for every automated personal data file. The controller of the file is the natural person, agency or legal person who decides about the in- formation in the file and can, when need be, modify the file or transform the contents of the file into a readable form.
According to the provisions of the Data Protection Act of 1973, anyone who wishes to create an automated personal data file is obliged to notify the Swedish Data Protection Agency (Datainspektionen) and obtain a license. Such a license gives the controller of the file the right to create and operate an unlimited amount of files relating to the specific license obtained.
Apart from the license requirement the Act of 1973 contains provisions regarding certain sensitive personal data files, for which special permission of the Agency is needed. Among the special categories of personal data, for which particular safeguards are provided, are data relating to criminal convictions or detentions based on administrative decisions, data concerning health or sexual life or revealing racial origin, political opinions, religion or other beliefs. Permission is also needed to maintain files containing qualifying statements on persons. Files containing information on persons without a specific connection to the controller also require a permission. If there is a specific connection between the controller of the file and the person registered, the files are exempt from this permission require- ment. Examples of such privileged files are files with information on
Summary 520 SOU 1993:10
clients, customers, members of organisations etc., or employees. "Cross-matching" of files, i.e. transfer of data from one file to another and joint processing of several personal data files also require a permission of the Agency.
The Data Protection Agency can grant a permission only if there is no reason to believe that the automatic data processing of the personal data file should unduly infringe the registered person's right to privacy.
The transfer of a file to another country also needs a permission by the Agency, unless the transfer takes place to a country which has signed the Council of Europe Convention of 1981 for the Protection of Individuals with regard to Automatic Processing of Personal Data. The permission can be granted only if the Agency can expect that such a transfer will not infringe the registered person”s right to privacy.
There are also certain general provisions regarding the storage of personal data files in archives.
The Data Protection Agency supervises the controllers of the files and the general application of the Act.
If ADP of personal data has infringed or could be expected to unduly infringe the right to privacy, the Agency can set specific conditions for the ADP or, if it is not possible to revise the contents of the file in any other way, prohibit the controller from processing the file or withdraw a permission once granted.
Decisions of the Data Protection Agency are subject to review by the Government.
The Commission 's proposal of 1993 brings no change to the scope of application of the Data Protection Act. The proposal will apply to such information only as is provided by means of ADP; mere manual data processing will not be covered. As the Act of 1973, the new Act will cover both the private and public sector. Otherwise the proposal contains many important changes to the present legal situation. The main new features of the Commission”s draft of a new Data Protection Act are the following:
(> Instead of "personal data files", the Act will regulate the pro- cessing of "personal data". Processing will include any ADP measure that is taken with personal data. There are certain exceptions to this main rule. For example, word processing and processing for exclusively personal use are exempt from the law.
(> In systems with many users, it will be easier to determine who the controller of the file is. The controller will be the natural person, agency or the legal person who decides the purpose of the processing, the type of the personal data that will be processed and the way that the data will be processed.
SOU 1993: 10 521 Summary
(> The system of licenses and permissions will be abolished. Even if different attempts have been made to try to simplify the procedure and limit the number of applications for permissions, this has not led to any decrease in the workload of the Swedish Data Protection Agency. The immense work brought about by such applications prohibits the Agency from making the necessary inspections out in the field. The small number of inspections made leads to a lack of respect for the Data Protection Act. Today the Agency has registered about 50 000 licencees, while according to the calculations of the Commission, the figure ought to have been between 500 000 and one million.
(> The resources made available by the abolishment of the system of licenses and permissions will be used for an intensified super— vision, especially inspections. The Commission's view is that this is the best way to protect the privacy of the individual.
(> In order to adopt a system based on supervision only, it is necessary to provide the Data Protection Act with as specific provisions as possible. It has never been possible to define the legal term "undue infringement of the right to privacy", which exists in the Act of 1973. This term is abolished and replaced in the new Act by provisions which regulate different measures in the processing of personal data. There will be provisions concer— ning, among other things, purpose specification, the requirements for processing personal data, the type of personal data that can be processed, the form of consent from the individual to be registe- red, data security and archive storage.
(> The provisions in the new Data Protection Act will be supple- mented by regulations given by the Data Inspection Agency, which concern different fields of business, and state and local government.
(> A system of notification will be introduced. It means that the Data Protection Agency has to be notified when certain sensitive information will be processed by means of ADP. The notifica— tions should be used by the Agency as a basis for its supervisory work. The system of notification will be much simpler and it will have to be used by considerably fewer controllers than the 1973 system of licenses and permissions.
(> Automatic data processing of personal data will be allowed for specific purposes only. This is already so according to the Act of 1973, but in the future the purposes must be more precise. There
Summary 522 SOU 1993: 10
will be more restricted possibilities to use personal data for other purposes than those they were collected for.
(> According to the draft Act, the personal data can be processed if one of the six requirements listed is fulfilled. One of these requirements is the consent of the persons about whom informa- tion will be processed.
(> The consent of a person must be expressed explicitly. Implicit or passive consent will not be accepted.
(> There will be specific regulations concerning sensitive personal data, e.g. information on political views, health or different kinds of opinions. According to these provisions sensitive data can be processed by means of ADP only when the person concerned has given his or her consent or if it is permitted by the law to do so. It will be necessary to pass many new laws, especially such as will apply to the public sector.
(> There are some provisions in the draft Act which give the necessary legal grounds for processing sensitive data for research and employment purposes. The necessary requirements for processing sensitive data for such purposes, without the consent of the persons concerned, are given in these provisions.
(> An explicit provision in the new Act prohibits the controller from processing personal data for direct marketing purposes, if this were against the wishes of the person concerned.
(> The new Act contains provisions which clarify how the interests, which follow from the Freedom of the Press and the Freedom of Expression Acts, should be balanced against the privacy interests.
(> When a public agency decides whether a public document should be preserved or not, a conflict could emerge between the interests to store the data for future use (e.g. for scientific purposes) and the interests of a private person. A provision in the new Act states how a balance between these interests should be reached.
(> The provisions in the Act of 1973 on transfer of data abroad have been described above. The Commission proposes that no permis- sion should be necessary for transferring data to countries, which are not parties in the Council of Europe Convention of 1981 but which have data protection equivalent to the protection given by the Convention. Such a change ought to have quite a great practical importance.
SOU 1993: 10 523 Summary
(> In the future, appeals against decisions of the Data Protection Agency should be made to a court of law, and not to the Govern- ment.
In September 1990 the Commission of the European Communities presented a proposal for a Council Directive on the protection of individuals with regard to the processing of personal data and on the free transfer of such data. After the proposal had been discussed at the Council of Ministers and the European Parliament, the Commission presented an amended proposal to the Council of Ministers in October 1992. According to the present timetable, the Council will reach a final decision during 1993.
When the European Commission released its first draft for a Council Directive and when the proposal was being discussed in the European Parliament, there was quite a debate about the nature of the data protection rules to be made. As far as the Commission can under- stand, there is still no agreement on the contents of a future Directive. This has, among other things, led to a delay in the planned timetable. According to representatives of the European Commission, the Council of Ministers will probably not be able to reach the final decision about the proposed Directive until the summer of 1994. In the debate carried out since the European Commission presented its revised proposal in October 1992, reference has been made, among other things, to the principle of subsidiarity. It can also be mentioned that the European Council at its meeting in Edinburgh on 11 - 12 December 1992 declared its intention to revise a number of proposals to make them less detailed. As all member states of the European Communities will soon have national data protection laws and will have ratified the Council of Europe convention on data protection, a question has also been raised about the necessity of adopting an EC proposal at all.
The following account is based on the EC proposal of October 1992.
The member states of the European Communities are bound by the Council Directives to introduce legislation, but can themselves choose the form and method of this legislation.
The EC proposal takes into account the ongoing developments in the field of data protection and is based on such data protection legislation and international agreements as have developed in recent years. Compared to the Swedish Data Protection Act of 1973 the EC proposal points to a desirable strengthening of privacy protection. Because of this and other reasons, especially the intensified coopera- tion in Europe, the Commission on Data Protection has aimed at a situation in which, as far as possible, the same data protection principles will apply in Sweden as in the EC area. Consequently, in the Commission”s proposal the basic data protection rules come close to those presented in the EC proposal. This is for instance the case
Summary 524 SOU 1993: 10
with the provisions concerning the original and the possible subsequent purposes of the data processing, the requirements for processing personal data, the conditions under which consent can be given, the types of data that can be processed, data security, archive storage of data, and sensitive data.
However, there are certain differences compared to the EC proposal. As mentioned above, the future Swedish Data Protection Act will apply only to automated data processing and not to manual data. The Commission has not found the amount or the content of manually handled data to be of any important significance or to imply any significant threat to privacy.
Some articles in the EC proposal are in conflict with the Swedish principle of open access to public documents. Articles in the EC proposal regulating disclosure to a third party and defining the purpose of the ADP will not allow such access to information as is allowed according to the Swedish principle. The EC proposal also conflicts with an article in the Swedish Freedom of the Press Act, which allows a person using his right of access to public documents to remain anonymous. Nor is there a provision in the EC proposal which makes it possible to store personal data for future public access. To preserve access to public documents, the new Data Protection Act contains derogations from the related articles presented in the EC proposal.
There are also dissimilarities between the new Act and the EC proposal concerning provisions on the information to be given to the data subject and notification to the data protection agency.
The data subject has an extensive right to be informed. The EC proposal states that the data subject is entitled, on request, to know of the existence of a processing operation and also obtain other in- formation on this operation. The controller also has to inform the data subject when any disclosure of personal data takes place. The idea is that the data subject should be informed that data about him is being processed and that he could use his legal rights. An implementation of these provisions on information would, however, bring about a heavy burden to the controllers, and a rather awesome bureaucracy.
The Commission has come to the conclusion that the privacy reasons are not strong enough to motivate the bureaucracy that such a system of information would create. When reaching this conclusion the Commission has also taken into account the other provisions in the proposed Data Protection Act and the Secrecy Act that give the data subject rights to obtain information. A person will be able to find out whether any personal data concerning him is processed by automatic means and, if this is the case, to control that the data is correct, complete and accurate. Information on sensitive personal data can be found at the Data Protection Agency, as the controller has to notify the Agency about automated processing of such data. The Secrecy Act contains certain provisions which state that an agency has to keep a
SOU 1993: 10 525 Summary
public register of its data collections. The purpose of these provisions is to make it possible for the public to find out what kind of ADP material is maintained by the agency.
As regards the system of notification, the starting point of the proposed EC rules is that all automatic processing of personal data shall be notified. Processing, which does not affect the privacy of the data subject negatively, can be exempted from notification.
The Commission thinks that even if many exemptions are made from the main rule on notification, the Data Protection Agency runs the risk of being inundated with notifications of data collections owing to, among other things, the increased pace of computerisation in the country. The number of notifications might become so great that the Data Protection Agency might lose its capacity to survey the use of sensitive ADP. Making exemptions from the duty to notify will also cause considerable extra work for the Agency. The conclusion of the Commission is that the EC proposals's provisions on the limitations to the obligation of notifying, and the procedure to make such exemptions from the obligation would cause a good deal of unnecessary problems. This is why the Swedish law should not include similar provisions. Instead, the proposed Swedish Data Protection Act stipulates explicitly what kind of ADP must be notified to the Data Protection Agency. The obligation to notify has been limited to such ADP as concerns sensitive personal data.
There are also some other dissimilarities in the proposed Act compared to the EC proposal.
The new Swedish Data Protection Act is planned to come into effect on 1 January 1995.
Statens offentliga utredningar 1993
Kronologisk förteckning
l. Styrnings- och samarbetsformer i biståndet. UD
2. Kursplaner för grundskolan. U.
3. Ersättning för kvalitet och effektivitet. — Utformning av ett nytt resurstilldelningssystem för grundläggande högskoleutbildning. U.
4. Statligt stöd till rehabilitering av tortyrskadade flyktingar m. fl. S. 5 . Bensodiazepiner — beroendeframkallande psykofar— maka. S.
6. Livsmedelshygien och småskalig livsmedelsproduk- tion. Jo.
7. Löneskillnader och lönediskriminering. Om kvinnor och män på arbetsmarknaden. Ku.
8. Löneskillnader och lönediskriminering. Om kvinnor och män på arbetsmarknaden. Bilagedel. Ku.
9. Postlag. K. lO.En ny datalag. Ju.
Statens offentliga utredningar 1993
Systematisk förteckning
J ustitiedepartementet En ny datalag. [10]
Utrikesdepartementet
Styrnings- och samarbetsformer i biståndet. [l]
Socialdepartementet
Statligt stöd till rehabilitering av tortyrskadade flyktingar m. fl. [4] Bensodiazepiner — beroendeframkallande psykofarmaka. [5]
Kommunikationsdepartementet Postlag. [9]
Utbildningsdepartementet
Kursplaner för grundskolan. [2] Ersättning för kvalitet och effektivitet.
— Utformning av ett nytt resurstilldelningssystem för grundläggande högskoleutbildning. [3]
Jordbruksdepartementet
Livsmedelshygien och småskalig livsmedelsproduktion. l61
Kulturdepartementet
Löneskillnader och lönediskriminering. Om kvinnor och män på arbetsmarknaden. [7] Löneskillnader och lönediskriminering. Om kvinnor och män på arbetsmarknaden. Bilagedel. [8]
. .::;L. L 1995-054 5 e'rocenutotir
......u.._.u.u.: an.—.m-u—hww-m. -.u—r, "__—WL