mot · FX021 · 1974-01-11 00:00:00 — av m. fl. angående äganderätten till data, m. m. har intensivt bevakat datautvecklingen i och därvid talat för den enskildes rätt att få dra nytta av datamakten, inte bli utnyttjad av den. I denna motion upprepar vi ett par av våra tidigare krav på datalagen men kräver dessutom en rad åtgärder för att äganderätten till data om både personer och deras ekonomiska förhållanden skall få en juridiskt tillfredsställande lösning. En punkt där skyddet är mycket svagt är till exempel revisorers lagliga skyldigheter. Ett annat krav som måste ställas är att datasystem skall vara ordentligt dokumenterade. Det måste vidare skapas garantier för att missbruk av datorer skall kunna förhindras resp. upptäckas. Den ökande trenden mot att använda datatekniken i samhällsvården och även i näringslivets personalvård gör det nödvändigt att lagstiftaren tar ställning till vad som skall vara tillåtet eller icke på detta område. Vi vill också uppmärksamma användningen av de stora datakommunikationsnät som är under uppbyggnad både inom landet och internationellt. Om äganderätten till data I interpellationer, enkla frågor och motioner har vi hårt drivit kraven på att lagen skall skydda medborgarna mot både nuvarande och eventuellt kommande risker för missbruk av datamakten. a. som en följd härav fick offentlighets- och sekretesslagstiftningskommittén nya direktiv , och 1972 hejdades utbyggnaden av centrala personregistret innan datalagen var antagen. Denna datalag, som delvis trädde i kraft , motsvarar på många punkter de liberala kraven, om också inte alla. Datainspektionen har ännu nätt och jämt böijat sitt arbete, och den dataombudsman som har krävt finns ännu inte. Inte heller har datainspektionen fått rätt att avgöra lagligheten hos de dataregister som regeringen själv upprättar. I denna motion upprepar vi därför ett par av våra tidigare krav på datalagen men kräver dessutom en rad åtgärder för att äganderätten till data om både personer och deras ekonomiska förhållanden skall få en juridiskt tillfredsställande lösning. Vi är nämligen på väg in i ett samhälle där den viktigaste resursen är information. Äganderätten till denna information eller data, vilket man nu vill kalla det är emellertid ännu i många hänseeenden ett mycket oklart begrepp, som inte har hunnit komma in i lagstiftningen. motionerade vi om att större uppmärksamhet borde ägnas brottslig verksamhet via data. Utskottet förklarade att det inte fanns anledning att gå in på ämnet, med hänvisning till pågående utredningsarbete. Offentlighets- och sekretesslagstiftningskommitténs förslag till tillägg till ledde emellertid inte till riksdagsbeslut. Departementschefen ansåg att datalagen åtminstone tills vidare var tillräckligt komplement till redan befintliga bestämmelser i . synes i detta avseende vara alltför begränsade. Utvecklingen går framåt på detta område, och lagstiftarna bör inte ligga efter. En punkt där skyddet är mycket svagt är till exempel revisorers lagliga skyldigheter. Revisorernas datakunnande är ofta inte tillräckligt, och man har otaliga exempel från exempelvis och Tyska på hur stora förskingringar kunnat ske mitt framför näsan på revisorerna, därför att dessa inte haft möjlighet att gå in i datasystemen. Det är alltså nödvändigt att en revisors yrkeskunnande, som berättigar honom att bli auktoriserad, inte hejdar sig framför datorn. Han måste kunna kontrollera om datorns program gör det möjligt att granska beläggen för att intäkter verkligen har förts in och att utgifter verkligen gjorts till de ändamål som är avsedda. När inte vanliga verifikationer på papper finns, utan endast uppgifter inne i datasystemet, måste revisorn vara i stånd att se, om dessa är lagda under tillräcklig kontroll och inte kan förfalskas eller förespeglas på något sätt. Mängder av exempel från andra länder visar att detta inte är någon särskilt lätt uppgift för revisorn men också att det är alldeles nödvändigt att han behärskar den. Om företagets datasystem arbetar med uppgifter som ständigt levereras från terminaler till ett centralt minne, och där alltså inga vanliga papperstransaktioner lämnar spår efter sig, måste revisorn vara i stånd att bedöma om systemet erbjuder tillräcklig säkerhet mot ingrepp från utomstående, mot sammanbrott därför att det blir fel på maskineriet samt för normal intern kontroll. Ett annat krav, som måste ställas, är att datasystemen skall vara ordentligt dokumenterade. Mycket stora belopp läggs ner på att skapa datasystem, men det finns sällan tillräckligt utförliga skriftliga beskrivningar på hur systemet är upplagt och hur det fungerar. Datorn går visserligen, men hur och varför vet ofta ingen. Detta är inte en tillfredsställande situation för den som skall värdera företagets tillgångar och blir givetvis ännu mera katastrofal om datasystemet av någon anledning klappar ihop och måste ersättas. Därtill kommer att denna katastrofrisk inte kan värderas i pengar, innan den har inträffat, och alltså inte på rationellt sätt försäkras, om man inte har en fullständig beskrivning på datasystemet. Om revisorerna skall kunna fylla sina uppgifter och hjälpa företaget att gardera sig mot förfalskningar, måste de vidare vara insatta i vilka åtgärder operatörerna har möjlighet och rättighet att utföra. Annars kan de inte föreslå tillräckliga säkerhetsåtgärder. Enligt undersökningar om förmögenhetsbrott i vissa industriländer har databrott endast i av fallen upptäckts tack vare företagens egen kontroll. De andra har kommit på grund av brottslingens slarv eller en oförutsebar slump. Man måste alltså räkna med att ett mycket stort antal förmögenhetsbrott via data aldrig blir upptäckta. I en sådan situation kan inte lagstiftaren nöja sig med att konstatera att stölder, förskingringar och förfalskningar via data formellt faller under samma paragrafer i som alla andra sådana brott. Det måste på något sätt skapas garantier av ny art för att denna typ av brott skall kunna upptäckas och förhindras. En annan försummad sida av skyddet mot databrott är den rent fysiska säkerheten mot otillbörligt tillgrepp av datainformation. Man kan t. ex. med ganska enkel apparatur direkt koppla in sig på en teleledning där data transporteras, och avtappade data kan sedan bearbetas. Det är också möjligt att med speciell utrustning registrera den informationsbärande elektromagnetiska strålningen, särskilt den som t. ex. radskrivaren eller hålkortsstansen avger. Man kan vidare koppla in en obehörig terminal med falsk utrustning för identifiering. Man kan skydda känsliga data mot sådana tillgrepp på flera sätt, bl. a. genom kryptering (= att förvandla vanligt språk till en hemlig kod) eller genom att tvinga avsändaren vid terminalen att identifiera sig på något sätt. Alla sådana metoder medför dock högre kostnader. Sekretess kostar alltså pengar. Man kan inte säga om vissa data att de är skyddade mot obehöriga ingrepp eller icke skyddade. Man kan bara säga att de är skyddade mot ingrepp upp till en viss svårighetsgrad eller grad av utgifter för tjuven. Den som vill kosta på sig vad som helst kan stjäla vilka data som helst. När det gäller data i statens eller kommuners ägo, som enligt lagen skall vara sekretesskyddade, måste man införa noggrant specificerade krav på hur starkt detta skydd skall vara. Annars kan man aldrig kontrollera att kraven uppfylls eller bevisa att de inte blivit uppfyllda. Svårigheten har givetvis i viss mån funnits förr: Hur väl skall man behöva gömma och hålla reda på nyckeln till ett skåp med sjukjournaler eller socialvårdshandlingar? Men i och med datateknikens utförande har problemet blivit större och mera tekniskt svårhanterligt. Lagstiftaren måste komma in och ange grader av sekretesskydd, som kan översättas till kostnaderna för att bryta sig in i systemet och för att hindra detta. 1* 1974. En ny dimension av både den legala och den illegala användningen av data uppkommer i och med de stora datakommunikationsnät som är under uppbyggnad både inom landet och internationellt. Här vill vi peka på två nya juridiska problem i detta sammanhang. Datasekretessen får helt nya svårigheter i och med att allt fler data av olika slag transporteras och samlas in. Allt fler transaktioner kommer att utföras via datanät aktieaffärer, bankaffärer, boklån för att bara nämna några få. Det är möjligt att en hel del av de meddelanden som går som brev inom kommer att gå via data; det är också möjligt att tidningarna i viss mån kommer att ersättas av dataterminaler. Alla sådana transaktioner har den egenskapen att det är mycket lätt att registrera dem utan att såväl mottagaren som avsändaren vet om det. Ett exempel på hur så redan sker är de stora flygbolagens platsreservationer. Inget hindrar att dessa lagras och läggs ihop med andra uppgifter om samma personer. Sådana register faller i princip under datainspektionens område men är svåra att kontrollera. Datalagen behöver utvidgas med bestämmelser som gör det omöjligt eller åtminstone svårt för den som opererar med ett legalt transaktionssystem att förse det med ett illegalt register som en osynlig produkt av sin verksamhet. Vidare uppkommer mycket svårlösta problem i den internationella datatrafiken. Allteftersom olika länder inför datalagar som begränsar möjligheterna att inrätta vissa typer av dataregister kommer det att bli lönande för skrupelfria företag att etablera sig i s. k. dataparadis, där inga datalagar finns, och operera därifrån med hjälp av internationella datanät. existerar en mängd nyttiga och oumbärliga tillämpningar av dessa datanät. En strikt gränscensur och gränskontroll torde vara både tekniskt och juridiskt svårgenomförbar. Lösningen måste ligga i internationella konventioner om likartad tillämpning av vissa typer av datalagar i de konventionsslutande länderna. Inom och inom har redan vissa initiativ tagits för att påbörja arbetet med sådana konventioner. har ett i särklass starkt intresse av att de kommer till stånd och bör aktivt verka för dem. Datalagen gäller som bekant endast elektroniskt lagrade data. Register förda för hand ligger inte under denna lag. Emellertid kan det mycket lätt uppkomma fall där det just är kopplingen mellan elektroniska och register som blir farlig, och där kan inte lagen få blunda. Det är utomordentligt lätt att sätta en nästan omärklig flagga, dvs. ett litet kodmärke, vid sådana datauppgifter som man har kompletteringar till i ett vanligt kortregister. Den som får vetskap om denna kod och är villig att betala en extra avgift kan då få tillgång till andra uppgifter än till dem som enligt lagen får stå i dataregistret. På detta sätt kringgås lagens bestämmelser enkelt och elegant, och det finns ingen som helst kontroll på vilka uppgifter som verkligen lämnas ut. Här måste kompletterande bestämmelser till, och datainspektionen bör bemyndigas att ingripa mot flaggningar av denna art och få möjlighet att kontrollera dem. Allt fler register upprättas i med s. k. mjukdata om medborgarna. Det betyder värderande omdömen om människors familjeförhållanden, uppförande, samhällsanpassning, psykiska besvär, studieintensitet m. m. Sådana data samlas om skolelever, värnpliktiga, social- och kriminalvårdens klienter m. fl. Enligt kriminalstyrelsens planer skall för övrigt snart även personer som blivit häktade komma in i deras register, alltså oberoende av om de någonsin blivit fällda för brott eller inte. Dessa register aktualiserar i särskilt hög grad frågan om vem som äger en persons data. I vilken grad har klienter, elever etc. rätt och möjlighet att kontrollera sina data och kontrollera till vem de utlämnas? Var och när har dessa personer avsagt sig rätten till information om sig själva? Hela den ökande trenden att använda datatekniken i samhällsvården och för övrigt även i näringslivets personalvård gör det nödvändigt att lagstiftaren tar ställning till vad som skall vara tillåtet eller icke på detta område. Vissa åtgärder kan tänkas, som skulle minska möjligheten att datorerna används till medborgarnas nackdel: o Man kan förbjuda lagring av förmodanden (t. ex. beslut om arrestering och häktning, som inte åtföljts av fällande dom), o Man kan förbjuda insamling av information som inte effektivt kan ifrågasättas av den som informationen gäller om han utbildningsmässigt eller av annan anledning är ur stånd att effektivt hävda sina intressen. o Man kan kräva att blanketter av olika slag, där medborgarna avkrävs uppgifter, förses med tillräckliga utrymmen för klagomål, förfrågningar och extra meddelanden, så att den utfrågade inte förhindras att yttra sig utanför de av myndigheten uppdragna gränserna, o Man kan kräva att utrymme lämnas när det gäller att bedöma människors begåvning, anpassning, arbetsvillighet, familjeförhållanden etc. för avvikande bedömningar, så att ingen blir utlämnad åt en enda kodbeteckning i ett enda hål, satt av en anonym person. Datorns krav får inte ta över klientens. Att uppmärksamma dessa krav gör datasystemen dyrbarare än om man som ignorerar dem. Men ett datasystem för människovärd måste bevisa sin effektivitet genom att det är anpassat efter människorna, inte genom att det går att spara pengar om man anpassar människorna till systemet. Om det är svårt att bevisa värdet av den personliga integriteten, så är det lika svårt att bevisa värdet av personinformation, som inte ständigt kollas upp mot verkligheten. Om offentliga datasystem möts av lågt förtroende bland allmänheten, skall detta inte tolkas som att myndigheterna har misslyckats med marknadsföringen. I stället skall det tolkas som ett tecken på att datasystemen utvecklats med alltför ringa kunskap om den sociala verkligheten och på att de producerar information med undermålig kvalitet och/eller ringa användbarhet. Ovanstående krav på hur mjukdatas kvalitet skall kontrolleras är förslag som bör prövas av datainspektionen eller annat lämpligt organ. Det väsentliga är att medborgarna inte behöver frukta att deras databild blir behandlad som något verkligare än de själva utan deras hörande och vetande. Data som används i sjukvården behöver givetvis i alldeles särskilt hög grad denna kvalitetskontroll. Detta gäller på två områden: dels måste sekretesskraven inte bara finnas på papperet utan också genomföras i praktiken, dels måste man skydda sig mot att felaktiga data om sjukdomsdiagnoser inmatas och blir använda. Sjukhusens huvudmän har ett stort ansvar för att terminaler där man kan plocka fram patientdata inte kan missbrukas och att personalen blir väl upplyst om sina skyldigheter. Det kommer därför att krävas mycket här av datalagens tillämpning. När det gäller patientdata så har bl. a. en panel av experter i , som utfrågades om sjukvårdens framtida datorisering, uttalat som en av sina allvarligaste farhågor att läkare och sjuksköterskor skulle komma att mata in fel data, så att patienterna blev felbehandlade. Inga datasystem för sjukhus bör därför få sättas upp utan att någon form av dubbelcheckning är inbyggd i rutinerna. Även här gäller att förtroende till datorerna och dem som hanterar dem måste förtjänas, inte bara krävas. Med hänvisning till det anförda hemställs A. att beslutar 1. följande ändringar i datalagen 2 § Personregister får icke inrättas eller föras utan tillstånd av datainspektionen. Första stycket gäller icke i fråga om personregister vars inrättande beslutas av Konungen eller . Före sådant beslut skall dock yttrande inhämtas från datainspektionen. 2 § Personregister får icke inrättas eller föras utan tillstånd av datainspektionen. Första stycket gäller icke i fråga om personregister vars inrättande beslutas av . Före sådant beslut skall dock yttrande inhämtas från datainspektionen. 7 § Bestämmelserna i 5 och 6 §§ om skyldighet för datainspektionen att meddela föreskrift gäller i fråga om personregister, som avses i 2 § andra stycket, i den mån icke Konungen eller har meddelat föreskrift i samma hänseende. 18 § Har förandet av personregister lett till otillbörligt intrång i personlig integritet eller finns anledning antaga att sådant intrång skall uppkomma, får datainspektionen i mån av behov ändra föreskrift som tidigare meddelats eller meddela ny föreskrift i sådant avseende som anges i 5 eller 6 §. I fråga om register som avses i 2 § andra stycket får datainspektionen vidtaga åtgärd som nämnts endast i den mån den ej står i strid med beslut av Konungen eller . Kan skydd mot otillbörligt intrång i personlig integritet ej åstadkommas på annat sätt, får datainspektionen återkalla meddelat tillstånd. 7 § Bestämmelserna i 5 och 6 §§ om skyldighet för datainspektionen att meddela föreskrift gäller även i fråga om personregister, som avses i 2 § andra stycket, 1 den mån icke har meddelat föreskrift i samma hänseende. 18 § Har förandet av personregister lett till otillbörligt intrång i personlig integritet eller finns anledning antaga att sådant intrång skall uppkomma, får datainspektionen i mån av behov ändra föreskrift som tidigare meddelats eller meddela ny föreskrift i sådant avseende som anges i 5 eller 6 §. I fråga om register som avses i 2 § andra stycket får datainspektionen vidtaga åtgärd som nämnts endast i den mån den ej står i strid med beslut av . Kan skydd mot otillbörligt intrång i personlig integritet ej åstadkommas på annat sätt, får datainspektionen återkalla meddelat tillstånd. 2. att ge Kungl. Maj:t till känna vad som i motionen anförts om dataregistrering av s. k. mjukdata, 3. att ge Kungl. Maj:t till känna vad som i motionen anförts beträffande krav på insikter i datadokumentation hos auktoriserad revisor, 4. att ge Kungl. Maj:t till känna vad som i motionen anförts om data i sjukvården, 5. att ge Kungl. Maj:t till känna vad som i motionen anförts om nödvändigheten att specificera sekretesskraven för data i eller statlig ägo, B. att hos Kungl. 1. förslag om inrättande av en dataombudsman med uppgift att övervaka efterlevnaden av datalagstiftningen och därvid besvärsvägen tillvarata den enskildes rätt till integritet, 2. utredning av de juridiska problemen i samband med missbruk av och fel i användningen av datorer, 3. att regeringen tar initiativ till internationella konventioner om likartad tillämpning av vissa typer av datalagar, 4. att regeringen utarbetar förslag till kompletterande bestämmelser som bemyndigar datainspektionen att förhindra att personregister mot datalagen kopplas samman med manuellt förda register. /ENKEL (fp) () () () ()