prop · FW0333 · 1973-12-31 00:00:00 — Som har påpekats under remissbehandlingenförekommer det inte sällan att ett visst datasystem inrättas och förs för fleramyndigheters eller organisationers räkning, I sådant fall blir varje myndigheteller organisation att anse som registeransvarig, under förutsättning att myndigheteneller organisationen kan bestämma över registerinnehållet eller någon del avdetta, I en sådan situation åligger det var och en av myndigheterna ellerorganisationema att ansöka om tillstånd beträffande registret. Uppenbarligenföreligger emellertid inte något hinder att ge in en gemensam ansökan eller attlåta ett särskilt organ ansöka om tillstånd för de registeransvarigas räkning.Om tillstånd tUl ett visst register Prop.1973: 33 120 har beviljats, bör kretsen av registeransvariga normaltinte kunna utökas utan särskilt tUlstånd. Det ligger dock i sakens natur atttillståndsprövningen i sådant fall blir tämligen summarisk. I överensstämmelse med vad jag nuhar anfört har i förevarande paragraf tagits upp definitioner av begreppenpersonuppgift, personregister, registrerad och registeransvarig. I paragrafens första stycke, sommotsvarar 2 § i OSK:s lagförslag, har tagits in huvudregeln om attpersonregister inte får inrättas eUer föras utan tillstånd av datainspektionen.Under begreppet inrättande av personregister bör falla bl, a, hopsamlandet avpersonuppgifter, om avsikten är att de skall ingå i ett personregister. Hurtillståndsprövningen närmare skall gå tUl ämnar jag diskutera i kommentarentill 5 i?. Som jag har anfört i avsnittet6,3.3 i den allmänna motiveringen anser jag att personregister vars inrättandebeslutas av Kungl. Maj:t och eller av någon av statsmakterna ensambör undantas från datainspektionens tillståndsprövning. En regel med dettainnehåll har tagits in i andra stycket av förevarande paragraf. I enlighet medvad jag anfört i den allmänna motiveringen har vidare föreskrivits alt yttrandealltid skaU inhämtas från datainspektionen, innan Kungl. Maj:t resp. riksdagenbeslutar om inrättande av personregister. Givetvis är det angeläget attfrågan huruvida ett personregister kan medföra otillbörligt integritetsintrångbedöms efter likartade grunder, oavsett om registret inrättas efter tillståndav datainspektionen eller efter beslut av statsmakterna. Datainspektionen bördärför, när den skall yttra sig över ett tilltänkt register, så långt möjligtanlägga samma synpunkter som vid en tillståndsprövning. Även den formellahandläggningen av ett yttrande bör i princip ske på samma sätt som när det ärfråga om ett tillståndsärende. Jag ämnar föreslå Kungl, Maj:t att ta införeskrifter härom i instruktionen för datainspektionen. I paragrafens första stycke, sommotsvarar 3 § i OSK:s lagförslag, har tagits upp den allmännagrundförutsättningen för att datainspektionen skall meddela tillstånd tillinrättande och förande av personregister. Härtill har i andra stycket fogatsen bestämmelse om vad som särskilt skall beaktas vid tillståndsprövningen.Hithörande frågor har behandlats i avsnittet 6,3,2 i den allmänna motiveringen. Som har framhållit torde det imånga fall vara omöjligt att i samband med prövningen av en tillståndsansökansäkert avgöra huruvida ett personregister skall komma att medföra otillbörligtintegritetsintrång eller inte. Om det emellertid saknas anledning anta att,med hänsyn till de föreliggande omständigheterna och med iakttagande av de Prop.1973: 33 121 särskUda föreskrifter som meddelas, otillbörligt intrångskall uppstå, bör sökanden ha rätt att få tillstånd. Den allmänna regeln omtUlståndsprövningen har utformats i enUghet härmed. Skulle det i efterhandvisa sig att datainspektionen har gjort en felbedömning, har inspektionenmöjlighet att ingripa med stöd av 18 §. I sista hand kan ett meddelat tillståndåterkallas. I paragrafen har, i enlighet medvad jag anfört i avsnittet 6,3,2 i den allmänna motiveringen, tagits upp vissaspeciella bestämmelser om sådana personregister som innehåUer uppgifter avsärskilt känslig natur. Paragrafen motsvarar 4 § i OSK:s lagförslag. EnUgt OSK:s mening bör vissauppgifter av känslig natur underkastas speciella restriktioner när det gällerupprättande av ADB-register. De mest känsliga uppgifterna bör i princip fåföras in i ett sådant register endast av myndighet som enligt lag eller annanförfattning har att föra förteckning över dem. Denna ordning bör gällabeträffande uppgifter om misstanke eller påföljd för brott och omtvångsingripande enligt barnavårdslagen, nykterhetsvårdslagen, lagen omberedande av sluten psykiatrisk vård i vissa faU eller lagen om åtgärder vidsamhällsfarlig asocialitet. Undantag bör dock kunna medges för statistiska bearbetningaroch vetenskapliga undersökningar, där enskilda personers nanm inteoffentliggörs. Enligt OSK:s förslag bör detta i lagen uttryckas så, atttillstånd endast om synnerliga skäl föreligger får meddelas annan än myndighetsom enligt lag eller annan författning har att föra förteckning över sådanauppgifter. Även vissa andra uppgifter börenligt OSK:s mening omgärdas med särskilda restriktioner. Sålunda bör särskildaskäl föreligga för att anteckning med ADB om att någon erhållit sjukvård,socialhjälp, nykterhetsvård e, d, skall få göras av annan än myndighet somenligt lag eller annan författning har att föra register över sådana uppgifter.Särskilda skäl bör också krävas för tillstånd att i ADB-register föra in anteckningarom religiös eller politisk tillhörighet. Detta bör dock ej hindra politiskeller religiös sammanslutning att använda ADB för att förteckna sinamedlemmar. Vad sålundaföreslagit har i allmänhet godtagits av lemissinstanserna. Vissadetaljanmärkningar förs dock fram. Sålunda anser att meduppgift om misstanke eller påföljd för brott bör likställas uppgift om attnågon åtalats eller dömts för brott. och sjukhuset kritiseraruttrycket uppgift om sjukvård och anser att även uppgift om hälsovårdandeåtgärder resp, uppgift om någons hälsotUlstånd bör föras in under de aktuella Vidare anser att blanduppgiftema om tvångsingripande och vård bör tas in fall då någon varit föremålför tvångsingripande resp, erhållit omsorg enligt lagen (1967: 940) angåendeomsorger om vissa psykiskt utvecklingsstörda. påpekaratt det inom all bankverksamhet finns ett starkt intresse av att notera olikaformer av betalningsanmärkningar, medan säger sig utgåfrån att bankernas intresse av att värna sig och samhället motförmögenhetsbrott skall beaktas vid bedömningen av om synnerliga skäl förregistrering skall anses föreligga. Svenska försäkringsbolags riksförbundslutligen framhåller att försäkringsbolagen måste anses höra tUl dem som harsynnerliga eller särskilda skäl att registrera vissa känsliga uppgifter, t, ex,uppgift om den försäkrades hälsa. Även jag anserdet befogat att införa speciella restriktioner när det gäller registrering avuppgifter av särskilt känslig natur. Härvid bör OSK:s förslag kunna följas ihuvudsak. Vissa kompletteringar bör dock göras med anledning av bl. a,remissinstansernas uttalanden, I enlighet med det sagda har iförsta stycket av förevarande paragraf tagits upp fall då synnerliga skäl skallföreligga för att tillstånd att inrätta och föra personregister skall kunnameddelas annan än myndighet som enligt lag eller annan författning har att föraförteckning över de uppgifter som avses. Som påpekat bör undantag kunnamedges för statistiska bearbetningar och vetenskapliga undersökningar, underförutsättning att enskilda personers namn inte offentliggörs. Även i vissaandra fall bör undantag kunna medges, om det föreligger ett starkt samhälleligteller annat allmänt intresse att registreringen får ske och det finns säkragarantier för att uppgifterna inte används eller sprids så att otillböriigtintegrUetsintrång uppkommer, 1 uppräkningen i första styckethar, utöver de fall som har föreslagit, tagits upp fall då någon har dömtsför brott utan angivande av påföljd eller avtjänat straff eller undergått annanpåföljd för brott. Att någon misstänks för brott innefattar även fall då åtalhar väckts. Vidare har i första stycket tagits upp fall av tvångsingripandeenligt lagen (1967: 940) angående omsorger om vissa psykiskt utvecklingsstördaeller enligt utlänningslagen (1954: 193), 1 andra stycket har tagits upp falldå det likaledes är fråga om känsliga uppgifter men där rätten att föraADB-register inte bör begränsas lika kraftigt som när det gäller uppgifter somtagits upp i första stycket. Tillstånd till registrering bör kunna ges åt bl,a, den som utövar verksamhet vari vård eller hjälp av angivet slag ingår. Ävenförsäkringsbolag bör i viss utsträckning kunna erhålla tillstånd att registrerasådana uppgifter Prop.1973: 33 123 som nämns i förevarande bestämmelse. Givetvis måste ävenhär finnas säkra garantier för att inte uppgiftema sprids på ett otillböriigtsätt, 1 uppräkningen i andra stycket har, med anledning av vadsom har anförts under remissbehandlingen, använts uttrycket uppgift om någonssjukdom eller hälsotillstånd i stället för uppgift om att någon erhållitsjukvård. Vidare har uppgift om åtgärd enligt utiänningslagen förts in, 1 paragrafens tredje stycke har tagits upp en bestämmelseom personregister som innehåller uppgift om någons politiska eller religiösauppfattning. Även beträffande sådana register bör tillstånd kunna meddelas, omdet är fråga om statistiska eller vetenskapliga undersökningar och tillräckligagarantier finns för att uppgifter om enskilda personer inte lämnas ut. OcksåtUl opinionsundersökningar bör tillstånd kunna lämnas. Vidare bör, medanledning av frågans betydelse vid debitering av församlingsskatt,folkbokföringsmyndighet få göra anteckning som utvisar att någon tillhör ellericke tiUhör svenska kyrkan.Partitillhörighet bör få anges i jegister överledamöter i , landsting, kommunfullmäktige o, d. Sist i tredje stycket av förevarande paragraf har ienlighet med OSK:s förslag tagits upp en bestämmelse om rätt för sammanslutningatt föra personregister över sina egna medlemmar. Bestämmelsen innebär att ensådan ansökan skall prövas enligt vanliga regler. Även här skall alltsåtillstånd beviljas endast om det saluias anledning anta att otillbörligtintegritetsintrång skall uppkomma. Paragrafen, som delvis motsvarar 6§ i OSK:s lagförslag, innehåller bestämmelser om sådana föreskrifter som alltidskall meddelas av datainspektionen i samband med att tUlstånd ges tillinrättande och förande av personregister. Att datainspektionen vid behov skallmeddela ytterligare föreskrifter framgår av 6 §. Enligt OSK:s uppfattning måsteett tillståndsbeslut självfallet innehålla uppgifter som individualiserartillståndet, t. ex. uppgift om tillståndshavaren. Därutöver börtillståndsbeslut innehålla de föreskrifter som behövs för att förebygga riskför otillbörligt integritetsintrång. Vissa föreskrifter som är grundläggandeför möjligheterna att motverka intrång bör alltid ingå i beslutet. Hit hör föreskrifterom registrets ändamål, vilka personuppgifter som får ingå i registret, vilkabearbetningar av registrets uppgifter som får göras med ADB samt vUka uppgiftersom får göras tillgängliga så att upplysning om enskild person framgår. När det i övrigt gäller tillståndsgivningen anser attdet inte finns något som hindrar att ett tillstånd innefattar två eller fleraregister hos en och samma registerförare. Likaså bör det vara- möjligt att getillstånd iUl upprättande av register inom en viss ram, t. ex. förvissa vetenskapliga ändamål och statistiska undersökningar. Om enregisterförare önskar ändra registret så att det inte längre faller inom detgällande tillståndets ram, bör han enligt OSK:s mening vara skyldig att sökanytt tillstånd. ÅtskiUigaremissinstanser betonar vikten av att tillståndsbesluten inte förenas medaUtför detaljerade föreskrifter utan att de utformas så, att tiUståndshavarenfår ett visst spelrum. I annat fall torde ADB-verksamheten bli alltför tungroddoch kostnadskrävande. Flera remissinstanser, bland dem ,karoUnska sjukhuset, postverket, RSV, i , DASK,och ochdatautrustning, ifrågasätter om det är möjligt att i samband medtUlståndsgivningen precisera vilka bearbetningar som får göras med ADB. EnligtkaroUnska sjukhuset, och LeverantörsföreningenKontors- och datautrustning torde det också vara omöjUgt att i detalj angevilka uppgifter som skall få ingå i registren. Från flera håll tar man upp fråganom registrering för statistiska ändamål. Sålunda anser SAF, LO, TCO ochSveriges industriförbund att det är väsentligt att lönestatistiskabearbetningar och sammanställningar inte försvåras av sådana snävabegränsningar i meddelat tUlstånd att nytt tillstånd måste begäras för varje nybearbetning och varje ny redovisning. och uttalarbeträffande statistikproduktion i allmänhet att det vore naturligt att där haett system med genereUt utformade tillstånd, Samma uppfattning förs fram avSvenska sparbanksföreningen och , såvittgäller register inom bank- resp, försäkringsområdet. , och Kommunernas pensionsanstali framhåller att utveckUngenav ett datasystem är både tids- och kostnadskrävande. Med hänsyn härtill anserde nämnda remissinstanserna att tillståndsprövningen bör ske i etapper, så attdatainspektionen först ger ett principgodkännande och därefter, sedan systemethar färdigställts, ett slutiigt godkännande. Även DAFA och RRV påpekar att ettsystemutvecklingsarbete i de flesta fall genomgår ett antal faser, där systemetblir mer och mer detaljerat. Enligt RRV:s uppfattning är det nödvändigt attdet härvid sker ett nära samarbete mellan registerföraren och datainspektionen. påpekar vidare att de datasystem som skall granskas avdatainspektionen ofta kommer att utgöras av standardsystem som används av ettstort antal registerförare, I sådana fall torde det vara tillräckligt attsystemet blir föremål för tillståndsprövning när det första gångenintroduceras. Därefter bör det enligt de nämnda remissinstansernas mening varatillräckligt med ett anmälningsförfarande. Även SPRI anser att man bör beaktamöjligheten till typbesiktning av datasystem. Prop.1973: 33 125 Enligt KO:s uppfattning är det väsentligt att detvid sidan av datainspektionens inspektionsmöjlighet finns någon ytterligareallmän kontroll över att registerförare iakttar de föreskrifter som meddelas isamband med tillståndsbeslut. Sådan kontroll skulle kunna vinnas genom atttillstånden gjordes tidsbestämda. Det skulle i så fall krävas ny ansökan förförlängt tiUstånd. I samband med att den nya ansökningen prövades skulledatainspektionen även ompröva de tidigare meddelade föreskrifterna. Jag viU först framhålla att detgivetvis är angeläget att den registeransvarige på ett tidigt stadium tarkontakt med datainspektionen, när ett personregister avses bli inrättat. Attvänta med en sådan kontakt tUl dess ett system är färdigutvecklat innebär ettbetydande risktagande. SkuUe datainspektionens granskning i sådant fall utfallanegativt eller medföra oförutsedda föreskrifter, kan detta innebära storakostnader för den registeransvarige. För att systemet från början skall kunnaanpassas till integritetsskyddets krav bör datainspektionen, som vissaremissinstanser föreslagU, ha möjlighet att meddela ett principgodkännande.Detta godkännande bör, om systemet utvecklas vidare i etapper, kunna följas avett eller flera ytterligare godkännanden. När utvecklingsarbetet är slutförtkan datainspektionen ta slutlig ställning till personregistret. Som vissa remissinstanser påpekat kandatainspektionens prövning ofta komma att avse standardsystem som är gemensammaför ett stort antal användare. Har ett sådant system en gång godkänts, blirnaturligtvis prövningen mera summarisk när nya tillstånd begärs beträffandesamma system. Jag kan dock inte biträda den av några instanser framfördameningen att tillståndsprövningen i sådana fall helt och hållet skulle slopasoch ersättas av ett anmälningsförfarande. Givetvis måste varje tillståndsbeslut Innehållavissa uppgifter som individualiserar tillståndet, t, ex, uppgift om denregisteransvarige. Därutöver anser jag att varje beslut, även om detinnefattar endast ett prin-cipgodkäiinande, måste innehålla vissa föreskriftertUl skydd mot otillbörligt integritetsintrång. Sålunda bör i etttillståndsbeslut aUtid tas in en föreskrift om registrets ändamål. Härigenomanges den allmänna ramen för registrets innehåll och användning. Därutöver böri tillståndsbeslutet alltid lämnas föreskrift om vilka personuppgifter som fåringå i registret. Uppenbarligen måste de nu angivna föreskrifterna imånga fall utformas tämligen generellt, inte bara när de tas in i ettprincipiellt tillståndsbeslut utan även när de meddelas i samband med detslutliga tillståndet, SärskUt svårt är det naturligtvis att på förhand angevUka personuppgifter som skaU få ingå i ett register. Här får beaktas bl. a.vilken allmän kategori av uppgifter det är fråga om. 1973: 33 126 giftersom får anses mindre känsliga frän integritetsskyddssynpunkt, bör denregisteransvarige kunna ges ett tämligen stort spelrum. Avser registreringen enmera ömtålig kategori av uppgifter, blir det däremot ofta nödvändigt att göraföreskrifterna mer detaljerade. Även ändamålet med registreringen bör kunnatillmätas betydelse när det gäller att ange vilka personuppgifter som skall fåregistreras. Sålunda bör tillstånd kunna ges inom en vidare ram, om registretskall användas för vetenskapliga eller statistiska ändamål. Som nämnts anser att datainspektionen, utöverde nu behandlade föreskrifterna, alltid skall meddela föreskrifter om vilkabearbetningar som får göras med ADB och vUka uppgifter som får göras tillgängUgaså att upplysning om enskUd person framgår. Otvivelaktigt är sådanaföreskrifter i många fall påkallade för att förebygga otillbörligtintegritetsintrång. Enligt min mening torde det emellertid ofta bli mycketsvårt att meddela föreskrifter med det angivna innehållet i samband medtillståndsgivningen, åtminstone om föreskrifterna skall ha ett meningsfulltinnehåll. Vidare torde föreskrifterna ibland komma att framstå som uppenbartobehövliga med hänsyn till vad som föreskrivits om registerändamålet och vUkauppgifter som får ingå i registret. På grund härav anser jag attdatainspektionen inte alltid bör vara skyldig att ange vilka bearbetningar somfår ske med ADB och vilka uppgifter som får göras tillgängliga, 1 stället bördessa liksom vissa andra föreskrifter meddelas endast i den mån det behövs föratt förebygga riskerna för otillbörligt integritetsintrång. Jag återkommertill de icke obligatoriska föreskrifterna i anslutning till 6 §, I enlighet med det anförda har i förevarandeparagraf tagits in en bestämmelse om att datainspektionen, i samband med atttillstånd lämnas till inrättande och förande av personregister, skall meddelaföreskrift om dels ändamålet med registret, dels vilka personuppgifter som fåringå däri. Givetvis är det av stor vikt att datainspektionenutövar en effektiv tillsynsverksamhet och därvid bl, a. kontrollerar attmeddelade föreskrifter följs. Skulle det visa sig att så inte är fallet, har datainspektionenmöjlighet att ingripa med kompletterande föreskrifter och i sista handåterkalla meddelat tillstånd. Föreskrifter härom har tagits in i 18 §. Enligtmin mening bör denna kontroll i de flesta fall anses tillräckUg. Det kanvisserligen invändas att den stora mängden av register innebär att varjeregister kommer att inspekteras med tämligen långa mellanram. Det kanemellertid förutses att datainspektionen gör en tätare och mera noggrannkontroll beträffande sådana register som bedöms vara särskilt farliga frånintegritetssynpunkt. Med hänsyn till det sagda är jag inte f. n. beredd atttUlstyrka KO:s förslag att alla tillstånd skall göras tidsbestämda. Däremotkan det i fråga om vissa register som är av särskUt känslig natur finnas skälatt begränsa ett tillstånd till . 1973: 33 127 begränsningbör emellertid ske restriktivt. Givetvis måste datainspektionen beakta ävenden registeransvariges behov att kunna förlita sig på att han inte utan vidareskall behöva upphöra med den igångsatta verksamheten. 1 enlighet med vad jag nu har anfört har som enandra punkt i förevarande paragraf tagits upp en bestämmelse om att tillståndfår begränsas tUl , om det föreligger särskUda skäl. Om den registeransvarige önskar ändra registret såatt det inte längre faller inom ramen för det gällande tillståndet och deföreskrifter som har meddelats i samband därmed, måste han naturligtvis vändasig till datainspektionen och begära nytt tillstånd eller ändrade föreskrifter.Någon uttrycklig bestämmelse härom har jag inte ansett erforderlig, Paragrafen innehåller bestämmelser om sådanaföreskrifter som skall meddelas av datainspektionen i den mån det behövs föratt förebygga riskerna för otillbörligt integritetsintrång. Paragrafenmotsvarar i OSK:s förslag delar av 6 §. EnUgt OSK:s lagförslag skall datainspektioneni mån av behov få meddela föreskrift rörande inhämtande av uppgifter förpersonregistret, utförande av den automatiska databehandlingen, den tekniskautrustningen, underrättelse tUl berörda personer, bevarande och gallring avuppgifter, utlämnande till annan av personuppgifter och användningen av sådanauppgifter i övrigt samt kontroll och säkerhet, erinrar om att föreskrifter som riktar sig tillmyndighet står i strid med offentUghetsprincipen i den mån de innebär förbudatt lämna ut uppgift som myndigheten förfogar över och som inte ärsekretess-belagd. För tydlighetens skull föreslår att en regel somuttryckligen förbjuder sådana föreskrifter skall tas in i lagen. OSK:s förslag om föreskrifter somskall kunna meddelas i mån av behov har i allmänhet godtagits vid remissbehandlingen.Även beträffande dessa föreskrifter framhåller dock flera remissinstanservikten av att de inte görs för detaljerade. framhåller att föreskrifter ombevarande och gallring av uppgifter i och för sig kommer att bli nödvändiga.Enligt mening bör emellertid föreskrifter rörande arkivvård ochgallring inte meddelas av datainspektionen utan av . Eventuellt kandärvid samråd ske med datainspektionen. Liknande synpunkter uttrycks av DAK. Några remissinstanser berör förhållandet mellandatalagen och TF och betonar däi-vid att offentiighetsprincipen inte fårinskränkas. Enligt JO:s mening är det i och för sig självklart attdatainspektionen inte Prop.1973: 33 128 kanmeddela föreskrifter som strider mot grundlag, JO anser dock att det inte kanskada att ta in en uttrycklig erinran härom i datalagen. Det är enligt JO:suppfattning också befogat att i fråga om myndighets register fästaregisterförarens uppmärksamhet på att han har att beakta inte baradatainspektionens föreskrifter utan även sekretesslagens. Som jag harantytt måste datainspektionen, utöver föreskrifter av det slag som anges I 5§, vid behov kunna meddela ytterligare föreskrifter till förebyggande avotUlbörligt integritetsintrång. Jag har i kommentaren till 5 § uttalat att dethärvid kan vara fråga om föreskrifter om dels vilka bearbetningar som får skemed ADB, dels vilka personuppgifter som får göras tUlgängliga, Därutöver bördatainspektionen kunna ge föreskrifter i huvudsaklig överensstämmelse medOSK:s återgivna förslag. Även föreskrifter om bevarande och gaUring avpersonuppgifter bör sålunda enligt min mening kunna meddelas avdatainspektionen. I denna del bör emellertid samråd alltid äga rum medriksarkivet. om sådant samråd kan tas in i instruktionen fördatainspektionen. I enlighet med det anförda har i första stycket avförevarande paragraf tagits upp en rad olika föreskrifter som vid behov skallkunna meddelas av datainspektionen, om tUlstånd lämnas till inrättande ochförande av personregister. Formuleringen innebär att, om datainspektionenbeträffande ett datasystem först ger ett eller flera principgodkännanden ochdärefter ett slutUgt tUlstånd, föreskrifter av det nu angivna slaget intebehöver meddelas förrän i samband med det slutUga tillståndsbeslutet. Detföreligger dock inte något hinder att vid behov meddela någon eller flerasådana föreskrifter redan vid ett principgodkännande och eventuelltytterligare föreskrifter i samband med det slutliga beslutet. Några av de nu aktuella föreskrifterna kräver ennärmare kommentar.