prop · FW0333 · 1973-12-31 00:00:00 — Jag vill emellertid först helt allmänt framhålla att,liksom i fråga om de föreskrifter som har tagits upp i 5 §, det i många falltorde bli lämpligt eller nödvändigt att ge föreskrifterna en tämligen generellutformning för att inte aUtför mycket låsa den registeransvariges handlingsfrihet. Föreskrifter av det slag som har tagits upp först iparagrafen, dvs, om inhämtande av uppgifter för personregistret och utförandetav den automatiska databehandlingen, kan vara av betydelse för att motverkariskerna för att registrets innehåll från början blir felaktigt eller att innehåUetförvanskas i samband med den tekniska behandlingen. a. bör kunnaföreskrivas huruvida inmatningar skall få ske via terminal eller annandatamaskinen förbindelse. När det därefter gäUer den tekniska utrustningen ärdenna naturligtvis av betydelse för registrets användbarhet och förkontrollmöjligheterna. bör i detta hänseende kunna 1973: 33 129 a. om hur bildskärmar och terminaler får användas och vilka anslutningartill systemet som får ske. bör, som tidigare nämnts, få meddelasäven i fråga om de bearbetningar av personuppgifterna i registret som får görasmed ADB. Av särskUd betydelse är härvid vilka samkörningar med andraADB-register som bör vara tiUåtna. Underrättelse tUl de registrerade om registretsförekomst och om vilka uppgifter som ingår däri kan, som har påpekat, habetydelse för att undanröja oro beroende på ovetskap om registreringen.Datainspektionen kan därför ibland behöva meddela föreskrift om sådanunderrättelse. Bestämmelserna i 10 §, som jag skall återkomma till,torde dock minska behovet av särskild föreskrift att den registeransvarigeskall lämna underrättelse om vilka uppgifter som ingår i ett register. Uppenbarligen är det ofta angeläget frånintegritetssynpunkt att ett tillståndsbeslut innehåller föreskrift om vilkauppgifter ur registret och vilka bearbetningsresultat som får tas ut fastän deinnehåller upplysning om enskUd person. Redan kännedom om en personuppgift hosden som tar fram uppgiften kan innebära otillbörligt integritetsintrång. Ävensättet för uttag av personuppgift kan behöva regleras. Som jag har nämnt (se avsnittet 6.3.2 iden allmänna motiveringen) är frågan hur personuppgifter används av storbetydelse när det gäller att tillgodose intcgritetsskyddsintressena. Det ärdärför uppenbarligen i många fall påkallat att meddela föreskrift omutlämnande och annan användning av personuppgift. Datainspektionen bör härvidkunna begränsa de ändamål för vilka uppgifter får användas i den registeransvarigesverksamhet och att föreskriva skyldighet för honom att ställa villkor i frågaom användningen av uppgift som lämnas ut till annan. Över huvud taget börrätten att lämna ut uppgifter utanför den registeransvariges verksamhet kunnabegränsas. En föreskrift härom kan t. ex. innebära att uppgifter för selektivreklam inte får lämnas ut beträffande personer som har undanbett sig detta.Vidare kan det finnas behov att föreskriva att registrerad skall underrättas,när uppgift om honom lämnas ut. För att förebygga otillbörligt integritetsintrångkan det ibland finnas skäl att föreskriva att vissa uppgifter skall bevaras.Att så sker kan t. ex. vara av betydelse för att någon skall kunna styrka sinrätt i visst avseende. Även föreskrifter om arkivering och utsortering avuppgifter är påkallade. Det är uppenbart att många personuppgiftersnabbt blir föråldrade och att de kan allvarligt skada den enskilde om dedärefter används för bedömning av honom. Ett exempel härpå är resultat av enpersontestning som har gjorts för en anställning. När det slutiigen gäller den sista typen avföreskrifter som har tagits upp i förevarande paragraf, dvs. föreskrifter omkontroll och säkerhet, 9 1973.1 saml Nr 33 kananmärkas att det torde behövas regler om s. k.programdokumentation, dvs. redogörelser för befintliga program, och om s. k.loggning, dvs. föreskrifter om att anteckningar skall föras om vilka uppgiftersom tas ut ur registret, av vem det görs och vilka uppgifter i registret somändras. Dessutom kan det krävas säkerhetsföreskrifter av olika slag, både föratt skydda uppgifter mot obehörigt uttag och förvanskning och för att hindraatt uppgifter förstörs. Här liksom när det gäller andra föreskrifter är detemellertid viktigt att se tUl att det inte uppstår onödigt stora kostnader förden registeransvarige. Föreskrifterna får naturligtvis aldrig gå längre än somär nödvändigt av integritetsskäl. UppenbarUgen kan flera av de nu nämndaföreskrifterna, framför allt de som rör utiämnande av personuppgift, om deriktas tiU myndighet innebära en inskränkning i offentlighetsprincipen. Det ärsjälvklart att en sådan inskränkning inte får ske i vidare mån än som följer avTF och sekretesslagen. I likhet med anser jag emellertid att man förtydlighetens skuU bör ha en bestämmelse härom i datalagen. Bestämmelsen hartagits in som ett andra stycke i förevarande paragraf. Som jag skall återkomma tiU är denregisteransvarige skyldig att, utöver sådana föreskrifter som har meddelats avdatainspektionen, följa vissa bestämmelser som direkt har getts i datalagen.TUl dessa bestämmelser hör, som jag har berört, en regel om förbudmot utiämnande av personuppgift, om det finns anledning anta att uppgiftenskall användas för ADB i strid med datalagen eller i utlandet. En motsvarighettill denna förbudsregel föreslås för myndigheternas del i sekretesslagen.Givetvis är myndigheterna skyldiga att följa även övriga bestämmelser isekretesslagen. Jag har dock ansett det onödigt att föra in en uttryckligerinran härom i datalagen. Paragrafen, som saknar motsvarighet i , innehåller bestämmelser om föreskrifter i fråga om sådantpersonregister som beslutas av Kungl. Som jag har anfört i avsnittet 6.3.3 i den aUmännamotiveringen föreligger det givetvis inte något hinder för Kungl. Maj:t resp.riksdagen att i samband med inrättande av ett personregister meddela de föreskriftersom behövs för att förebygga otillbörligt integritetsintrång. Normalt tordedet också i ett beslut om inrättande få sägas något om registrets ändamål ochvUka slag av personuppgifter som skall få ingå i registret. Det är emeUertidnatarligt att, när det gäller meddelandet av föreskrifter av mer detaljeradkaraktär, denna uppgift läggs på datainspektionen. Som jag tidigare nämnt bördet också åligga datainspektionen att, på samma sätt som i fråga om andrapersonregister, öva till- att ett register som har beslutats av statsmakterna inte används på ettsätt som leder tUl otillbörligt integritetsintrång. I enlighet med det anförda har i förevarandeparagraf föreskrivits att datainspektionen beträffande personregister som harbeslutats av statsmakterna skall meddela föreskrift som avses i 5 § och vidbehov även föreskrift enligt 6 §, i den mån inte Kungl. Maj:t eller riksdagenhar meddelat föreskrift i samma hänseende. Paragrafen, som motsvarar 8 § i OSK:s lagförslag,innehåUer bestämmelser om skyldighet för den registeransvarige att rättaoriktighet i personregister och att lämna meddelande om rättelsen. Enligt vad framhåller kan varjefelaktighet i personuppgift som ingår i ett personregister befaras medföraintegritetsintrång. På grund av de möjUgheter som datatekniken ger att användaen uppgift i många olika sammanhang och att finna den även ärriskema för att en oriktighet skall vålla skada större än i fråga om manueUthanterade uppgifter. Med hänsyn bl. a. härtill föreslår att, om detförekommer anledning tUl misstanke att personuppgift är oriktig,registerföraren skall vara skyldig att utan dröjsmål vidta skäliga åtgärderför att utröna uppgiftens riktighet och, om skäl därtUl föreligger, rätta den.OSK föreslår vidare att, om uppgiften inte kan bestyrkas, den alltid skalluteslutas ur personregistret på begäran av den registrerade. Har felaktig uppgift lämnats ut frånpersonregister, bör enligt OSK:s uppfattning registerföraren på begäran av denregistrerade vara skyldig att meddela var och en som har fått uppgiften attden är oriktig. På samma sätt bör underrättelse lämnas om att uppgift harutgått ur registret. OSK:s förslag om rättelse ipersonregister godtas av de flesta remissinstanserna. Från vissa håll påpekasemellertid att registerföraren inte alltid har formell befogenhet att rätta enpersonuppgift, även om det finns anledning anta att den är oriktig. Sålundaanför RSV samt länsstyrelserna i och att innehållet ilänsstyrelsernas ADB-register normalt bestäms genom avisering från andramyndigheter och att länsstyrelserna i sådana fall inte kan svara för att deregistrerade sakförhållandena är riktiga utan endast för att de har blivitkortekt återgivna från grundhandlingen. Rättelse i dessa register kan i regelske endast på begäran av den myndighet som har meddelat den felaktigauppgiften. I fråga om statistikproduktionen framhållersocialstyrelsen och SCB att det där inte är nödvändigt att ställa sammakvalitetskrav på de in- dividuellauppgifterna som i en individadministrativ databas. Enligt DAFA:s uppfattningvore det lämpUgt att införa en preskriptionsregel när det gäller tiUägg tUl ochändringar i register. En sådan regel kunde lämpligen innebära att denregistrerade ålades att påpeka felaktigheter inom en viss bestämd tid efter detatt han har fått underrättelse om innehållet i personuppgiften. Vadgäller förslaget om uteslutning av personuppgift sätter ifråga om det inte bör föreligga en högre grad av sannolikhet för att en uppgiftär oriktig innan registerföraren åläggs att utesluta den. En Uknandeuppfattning förs fram av RSV. anser attuteslutning bör ske endast om ett bibehållande av uppgiften skulle medföraotiUbörligt integritetsintrång. om skyldighet att lämna meddelande om rättelse kritiseras frånåtskUliga håll. Sålunda anser bl. a. sjukhuset, bilregisternämnden,RSV, i . och att en sådan bestämmelse kan få orimliga konsekvenser förregisterföraren. Enligt RSV bör underrättelseskyldighet föreligga endast närdet är fråga om en uppgift av betydelse. En liknande uppfattning förs fram avSPRI och . föreslårför sin del att datainspektionen skall kunna befria registerföraren frånundertättelseskyldigheten. Flera remissinstanser, däribland rikspolisstyrelsenoch statskontoret, framhåller vikten av att registerföraren tar kontakt med denregistrerade när det föreligger anledning att vidta rättelse. Uppenbarligen är det av storbetydelse från integritetsskyddssynpunkt att de personuppgifter som finns i ettpersonregister är riktiga. När datainspektionen enligt det tidigare anfördameddelar föreskrifter har inspektionen också att beakta behovet av attförebygga att felaktigheter uppkommer. Därutöver bör emellertid, som harföreslagit, datalagen innehålla en särskild föreskrift om rättelse av oriktigpersonuppgift. Föreskriften bör utformas i huvudsaklig överensstämmelse medOSK:s förslag. Vad gäUer förslaget att uppgift som inte kanbestyrkas aUtid skall uteslutas ur registret, om den registrerade begär det,anser jag liksom vissa remissinstanser att en sådan bestämmelse är aUtförlångtgående. I stället bör liksom i fråga om rättelse föreskrivas attuteslutning skall ske, om skäl därtill föreligger. Avgörande för bedömningenbör i fråga Om såväl rättelse som uteslutning vara bl. a. den ifrågavarandeuppgiftens betydelse från integritetsskyddssynpunkt. Saknar uppgiften sädanbetydelse, bör rättelse resp. uteslutning kunna underlåtas, även om det finnsanledning misstänka att uppgiften är oriktig. Det bör också vara avviss betydelse om den registrerade uttryckligen har begärt att uppgiften skallrättas eller uteslutas. Båda typema av åtgärder bör emellertid vidtasoberoende av om sådan begäran har framställts, om det i övrigt föreligger skälför åtgärden. I överensstämmelse med vad jag nu har anfört har iförsta stycket av förevarande paragraf tagits in en bestämmelse om skyldighetför registeransvarig att rätta och utesluta personuppgift. Som vissa remissinstanser påpekat har denregisteransvarige inte alltid formell befogenhet att på egen hand besluta omrättelse i ett personregister. Detta gäller bl. a. länsstyrelsema, varspersonregister normalt grundar sig på uppgifter från andra myndigheter,exempelvis pastorsämbetena. Det bör i sådant fall åligga länsstyrelsema att, omdet fmns anledning anta att en viss personuppgift är oriktig, vända sig tUl denmyndighet varifrån uppgiften härrör och begära att myndigheten undersöker omuppgiften är riktig och vid behov rättar den. Om det inte kan klargörashuravida en uppgift som har mottagit från annan är riktig, kandetta utgöra skäl för att utesluta uppgiften. För att den registeransvarige skall kunna utröna omen viss personuppgift är riktig är det naturligtvis ofta nödvändigt att hantar kontakt med den registrerade. Jag anser dock inte att det behövs enuttrycklig bestämmelse härom. Liksom anser jag det befogat med en regel omskyldighet för den registeransvarige att på begäran av den registreradeunderrätta dem som har mottagit felaktig uppgift att uppgiften har rättatsresp. Jag delar dock vissa remissinstansers uppfattning att regelninte bör göras så oviUkorlig som har föreslagit. Det skulle i så fall kunnauppstå en orimlig situation för de registerförare som mottar ett mycket stortantal förfrågningar om innehåUet i sitt register. Jag anser därför attdatainspektionen bör kunna befria den registeransvarige frånunderrättelseskyldigheten, om det föreligger särskilda skäl. Ett sådantsärskilt skäl bör kunna anses föreligga, om en underrättelse får antas saknaeller vara av ringa betydelse från integritetsskyddssynpunkt. Dispens frånunderrättelseskyldigheten bör kunna meddelas såväl från fall till fall som meragenerellt, t. ex. i fråga om ett visst register. Den nu förordade bestämmelsen omunderrättelseskyldighet har tagits upp som ett andra stycke i förevarandeparagraf. Som nämnts bör den nu berördaunderrättelseskyldigheten vara beroende av att den registrerade begär attunderrättelse skall ske. En föratsättning för att han skall kunna framställasådan begäran är naturligtvis att han känner tUl att det har förekommit enfelaktig uppgift som har rättats eller uteslutits. Detta talar för att maninför en bestämmelse om skyldighet för den registeransvarige att underrättaden registreradeom vidtagen rättelse eller uteslutning av personuppgift. Mot en sådanskyldighet talar emellertid i första hand det förhållandet att, som jag senareskall återkomma till, det inte föreskrivs någon generell skyldighet för denregisteransvarige att upplysa den registrerade om att han över huvud tagetförekommer i registret. Vidare kan anföras att rättelserna i många fall tordebli av sådan natur att en särskild underrättelse om åtgärden ter sigopåkallad. I de fall då rättelsen rör en omständighet som är av betydelse frånintegritetssynpunkt får det förutsättas att den registeransvarige självmantlänmar underrättelse till den registrerade, så att denne bUr i tiUfälle attbegära att mottagare av den felaktiga uppgiften skall underrättas. Som jag nysshar anfört torde det också i många fall vara nödvändigt att denregisteransvarige tar kontakt med den registrerade för att rättelse över huvudtaget skall kunna ske. Med hänsyn till det anförda anser jag inte att iförevarande paragraf bör föras in någon bestämmelse om underrättelse till denregistrerade om vidtagen rättelse eller uteslutning av personuppgift. Avslutningsvis vill jag framhålla att, när detgäller de skyldigheter för den registeransvarige som har tagits upp i denna ochföljande paragrafer, det inte föreligger något hinder att denregisteransvarige ger annan i uppdrag att rent faktiskt vidta de åtgärder somdet är fråga om. En sådan delegering är särskilt naturlig, när det är fråga omett register som används av ett flertal registeransvariga och där det praktiskahandhavandet av registret åvilar ett särskUt organ. Även om den registeransvarigehar delegerat vissa uppgifter till annan, är det emellertid han själv somytterst är ansvarig för att uppgifterna vidtas. Som framgår av 24 § kan vissa av de uppgifter somåligger den registeransvarige framtvingas genom vitesföreläggande, om enanmaning inte efterkoms frivUligt. Paragrafen, som motsvarar 9 § i OSK:s lagförslag,innehåller bestämmelser om komplettering av personregister. Bestämmelsernaöverensstämmer i huvudsak med de regler som har föreslagit och som i stortsett har lämnats utan erinran av remissinstanserna. Liksom i OSK:s förslagföreskrivs sålunda att komplettering alltid skall göras, om den ifrågavarandeofullständigheten kan antas medföra otUlbörligt integritetsintrång eller faraför rättsförlust. I departementsförslaget har tillagts att komplettering ävenannars normalt bör ske, om ett register visar sig vara ofullständigt i något avde angivna hänseendena. I paragrafen har tagits upp en bestämmelse omskyldighet för den registeransvarige att underrätta den registrerade ompersonuppgift som rör honom. Paragrafen motsvarar 10 § i OSK:s lagförslag. Den oro som har förekommit rörandeADB-registrering av personer beror enligt OSK:s uppfattning tUl stor del påovetskap huruvida man är registrerad och vilka uppgifter som registreras. Ettsätt att motverka denna oro är att ålägga registerföraren att på begäran avregistrerad meddela denne vilka uppgifter om honom som ingår i registret.Härigenom sätts också den registrerade i stånd att kräva rättelse av uppgiftsom är felaktig. För att undvika att en föreskrift om underrättelseskyldighetanvänds i trakasseringssyfte bör en begäran om underrättelse inte kunnaframställas mer än en gång för varje tolvmånaders-period. Givetvis bör det dockinte finnas något hinder för registerföraren att friviUigt lämna besked isådana fall där skyldighet inte föreUgger. Det kan enligt OSK:s uppfattning förefalla rimligtatt registerföraren får ta ut en avgift som motsvarar hans kostnader, när hanskall lämna meddelande om innehållet i registret. Detta kan emellertidföranleda registerföraren att ordna registret så att kostnaderna för att fåkännedom om vad som är registrerat blir alltför stora för flertalet människor.Om å andra sidan en bestämd avgift föreskrivs, kan denna bli så liten att densaknar betydelse i sammanhanget. föreslår därför att uppgifts-lämnandetskall ske avgiftsfritt. diskuterar vidare om den nu berördaunderrättelseskyldigheten bör gälla, även om den registrerade inte harframställt begäran om underrättelse. avvisar emellertid denna tanke underhänvisning tUl att ett så omfattande undertättelsesystem skulle bli orimligtbetungande för registerförarna. Om det i undantagsfall anses erforderligt attde registrerade rutinmässigt underrättas om vissa uppgifter i ett register, hardatainspektionen möjlighet att ge föreskrift härom. anser slutligen att regeln omunderrättelseskyldighet måste förses med ett undantag för det fall att det ärfråga om uppgift som enligt lag eller annan författning eller enligt myndighetsbeslut inte får lämnas ut till den registrerade. Det nu berörda förslaget omunderrättelseskyldighet godtas av flertalet remissinstanser. Från flera hållbetonas förslagets stora betydelse för den enskilde. Några remissinstanseranser att man bör gå längre än har föreslagit, när det gäller att tillgodoseden enskildes intressen. Sålunda anser , sektionen för tekniskfysik vid tekniska högskolan i och juridiska fakulteten vid Lundsuniversitet att det bör övervägas att införa en generell skyldighet förregisterföraren att meddela registrerad att personuppgift förekommer om honom iregistret. Enligt JK:s mening bör den registrerade regelmässigt underrättas omatt registret förs med ADB. Några remissinstanser framhåller attunderrättelseskyldigheten kan bli mycket betungande för registerförarna. Föratt missbruk skall före- 1973: 33 136 byggasanser och attmeddelanden om innehållet i register bör avgiftsbeläggas. Enligt postverkelsuppfattning bör avgift kunna tas ut när det är fråga om uppgifter ur mycketomfattande register. TCO föreslår för sin del att bidrag skall kunna utgå avallmänna medel till registerförare, om särskUda skäl föreligger, medan anser att en begränsning bör åstadkommas genomatt uppgiftsskyldigheten avser endast uppgifter som kan tas fram med en rimliginsats av personella och maskinella resurser. , CFD och bankinspektionen framhåller att regelnom underrättelseskyldighet inte får utnyttjas för att från offentliga registergratis erhåUa bevis eller andra uppgifter som normalt betingar lösen ellerannan avgift. På samma sätt bör enligt bankinspektionens uppfattning enskildaföretag och institutioner, exempelvis banker, kunna ta ut expeditionsavgifter,om det rör sig om uppgifter som normalt beläggs med sådana avgifter, CFD anserför sin del att rätten att erhålla uppgifter ur offentliga register börbegränsas till en rätt att via terminal erhålla ifrågavarande information,vilken i princip bör begränsas till att avse rena persondata. Såväl som och säger sig utgå frånatt regeln om underrättelse högst en gång inte skall tolkas så, attunderrättelse skulle behöva sändas ut en gång utan ny begäran för varjegång. En sådan tolkning skulle enligt de nämnda instanserna medföra betydandekostnader. Enligt stålens invandrarverk skulle registerföraren behöva meddelaendast att någon förändring av register-innehållet för ifrågavarande personinte har gjorts sedan utdrag senast begärdes. finner det böra klarläggas på vilket sätt denberörda uppgiftsskyldigheten skall fullgöras. Enligt DON:s mening bör det varatillräckligt att registerföraren skickar meddelande med posten i vanligt brevoch att kopia sparas. Flera remissinstanser tar upp förhållandet mellanden berörda bestämmelsen om underrättelseskyldighet och TF. Sålunda påpekasatt regeln om underrättelse högst en gång kan stå i strid medoffentlighetsreglerna i TF, som inte ger myndighetema möjlighet att inskränkautlämning av aUmänt material till en gång . Vad slutligen gäller det föreslagna undantaget frånunderrättelseskyldigheten för det fall att uppgiften är sekretessbelagdframhåller att försäkringsbolagen inte ärunderkastade några lagbestämmelser om tystnadsplikt angående försäkringstagarnaoch deras ekonomiska eller personliga förhållanden. Försäkringsbolagen haremellertid alltid ålagt sig en långtgående diskretion. Enligt riksförbundetkan bestämmelsen om underrättelseskyldig- hetinte rimligen medföra att försäkringsbolagen skulle vara skyldiga att lämna utuppgifter i vidare mån än som är förenUgt med sekretessen angående kundemasförhållanden. Det sagda gäller inte minst sjukdomsuppgifter. Ävenförsäkringsinspekiionen anser att försäkringsbolag inte alltid bör varaskyldigt att lämna ut uppgift från läkare. Enligt mui mening är det avstor betydelse från integritetsskyddssynpunkt att den enskilde har rätt tillinsyn i register såvitt gäller uppgifter om honom själv. I Ukhet med ochså gott som samtliga remissinstanser anser jag därför att i datalagen börinföras en bestämmelse om skyldighet för registeransvarig att underrättaregistrerad om innehållet i personuppgift som rör honom. Närdet gäller den närmare utformningen av underrättelseskyldigheten kan det tUlen början diskuteras om uppgiftslämnandet bör ske avgiftsfritt. Som framhållitsav flera remissinstanser kan den föreslagna bestämmelsen i vissa fall medföraavsevärda kostnader för de register-ansvariga, särskilt när det är fråga om attta fram uppgifter ur omfattande register. Skulle den registeransvarige ha engenerell rätt att ta ut ersättning för dessa kostnader, kan det emellertidförutses att den registrerade i många fall avstår från att ta del av uppgiften.Hans möjligheter till insyn skulle på detta sätt i praktiken bli avsevärtinskränkta. Enligt min mening kan en sådan inskränkning i rätten till insyninte accepteras. I likhet med anser jag därför att uppgiftslämnandet iprincip bör ske utan kostnad för den registrerade. Som jag strax skallåterkomma till bör emellertid i vissa fall undantag kunna göras från dennahuvudregel. När det gäller frågan hur stora kostnader somuppstår för den registeransvarige är det naturligtvis av största betydelse omuppgiftslämnandet skall äga rum självmant eller endast på begäran av denregistrerade.