prop · G203114 · 1978-12-31 00:00:00 — Pä grundval avfastighetsregisterutredningens förslag, som godtogs av statsmakterna 1968, ochinskrivningskommitténs förslag, som godtogs av statsmakterna 1970, samt vissakompletterande undersökningar ansågs att ett centralt fastighetsregister ochett centralt inskrivningsregister borde kunna samordnas i tekniskt avseende.CFDs verksamhet inriktades mot att utveckla en databank för såvälfastighetsregister som inskrivningsregister samt mot utveckling av ettgemensamt system för båda registren. Systemet, som fick beteckningenDriftsystem I (Ds I), är ett terminalbaserat ADB-system. Verksamhetenvid de olika registermyndigheterna avses bygga på kommunikation med en centraldator via terminaler. Även andra intressenter, t. ex.fastighetsbildningsmyndigheter och banker kan få terminalanslutning tilldatorn. Innehållet i registren motsvarar nuvarande innehåll i jordregister,stadsregister och fastighetsböcker. Efter viss, geografiskt avgränsad,försöksverksamhet borde enligt CFD Ds 1 avlösas av ett rikssystem. Driftsystem2 (Ds 2). Samtidigtmed arbetet med Ds 1 inleddes vissa undersökningar om alternativalösningar för Ds 2. 1978/79:114 170 tetkonstaterade att de frågor som rör ett rikssystem är mycketkomplexa, säväl när det gäller de rent tekniska och ekonomiska aspekterna som iövrigt. Det uppdrogs åt fastighetsdatakommitlén (FADAK) att undersöka hur ettfastighetsdatasystem för hela landet borde vara utformat. FADAKsförslag i betänkandet (SOU 1976:56-57) innebar ett genomförande i hela landetav den del av Ds I, som är uppbyggd för att betjäna fastighetsregistreringen,och ett anstånd med valet av ADB-teknisk lösning förinskrivningsväsendet. Genom en sådan etappindelning kan erfarenheterna, delsav omläggning till och drift av fastighetsregistersystemet och dels av dentekniska utvecklingen, avvaktas. FADAKs förslag omfattade inga förändringar ifastighetsregistreringens och inskrivningsväsendets organisation. Denmaskinella driften av ADB-systemet borde däremot enligt FADAK överflyttas fråndatamaskincentralen för administrativ databehandling (DAFA) till CFD. Iproposition (1977/78:15) föreslog regeringen vissa ändringar i riktlinjernaför fastighetsdataverksamheten. Ingen ändring görs i planerna att ADB skallinföras på båda verksamhetsfälten. Däremot föreslås att man, i stället för detnuvarande integrerade systemet Ds I, skapar två skilda ADB-system, ett förfastighetsregistreringen och ett för inskrivningsväsendet. De skilda systemenskall i all möjlig utsträckning byggas upp genom en utbrytning ur Ds I. Övergångenfrån registrering till ADB-teknik skall även i fortsättningen skeparallellt på båda verksamhetsområdena. I propositionen dras en anslagsmässigoch geografisk ram upp för verksamheten under en första etapp omfattandebudgetåren 1977/78-1981/82. Regeringensställningstagande baseras i stor utsträckning på ett förslag som framfördesvid remissbehandlingen av FADAKs betänkande (SOU 1976:56-57), den s. k.RRV-modellen (se avsnitt 3). Enligt propositionen (1977/78:15) bör ett visstkompletterande utredningsarbete bedrivas under den första etappen. Detta börinledas med att CFD, och lantmäteriverket (LMV) utarbetar ettsystemförslag för RRV-modellen under den första etappen. Underloppet av den första etappen bör också ett mera långsiktigt utredningsarbeteutföras. Formerna, tidpunkten m. m. för detta utredningsarbete skall, enligtpropositionen, övervägas inom den av regeringen tillsatta samrådsgruppen idatafrågor. Bland de frågor som särskilt bör beaktas i detta långsiktigautredningsarbete nämns lämplig omläggningstakt för senare etapper, eventuellframtida regionalisering av datasystemdriften, organisatoriska frågor ochpersonalpolitiska konsekvenser. Det systemförslag som CFD, ochLMV skall lägga fram måste därför utformas så att det medger handlingsfrihet ifråga om regionalisering under senare etapper. I detta skall även förekommandeintegritetsfrågor beaktas. beslöt (CU 1977/ 1978/79:114 171 78:5,rskr 1977/78:134) godkänna de ändrade riktlinjerna samt de förslag i övrigtsom framfördes i propositionen (1977/78:15). 2 Datainspektionens tidigare befattning med ärendet 2.1 CFDs ursprungliga systemutformning CFDanmälde till datainspektionen ett personregister benämntfastighetsregistermyndigheternas och inskrivningsmyndigheternasinformationssystem. Anmälningen, som av CFD kompletterades den 9 september1974, avsåg dels den registrering som regleras i de författningar som på dettaområde utfärdades (1974:10581063) men ännu ej trätt ikraft, dels ett koordinatsatt personband, bildat av det i 2031 §§fastighetsregisterkungörelsen (1974:1059) nämnda koordinatregistret ochlänsstyrelsernas personband över totalbefolkningen. Datainspektionenmeddelade delbeslut i ärendet. Datainspektionen beslutadeatt handlägga CFDs anmälan av fastighets-och inskrivningsregistret utom den delsom består av det koordinatsatta personbandet och utvecklingen av detta somett anmälningsärende enligt 2 § andra stycket datalagen (1973:289) samt atthandlägga övriga delar av registret, såvitt nu är i fråga, som etttillståndsärende enligt 2 § första stycket nämnda lag. Förde delar av registret som behandlades enligt 2 § andra stycket datalagen ochsom nu är reglerade i nyssnämnda författningar meddelade datainspektionen ejnågra föreskrifter. 1fråga om den del av registret, som avses med utvidgningen till detkoordinatsatta personbandet m. m. och för vilken krävs tillstånd enligtdatalagen, beredde datainspektionen CFD tillfälle till ytterligare komplettering. CFDingav till datainspektionen en kompletterande anmälan samt PM innehållandekompletterande upplysningar. EnligtCFD kan det koordinatsatta personbandet användas som källa för olika slag avbearbetningar och karteringar av befolkningsdata. Det kan användas för t. ex.utritning av rutkartor, s. k. isaritmkartor och prickkartor avseendetotalbefolkning och ett antal åldersgrupper kommunvis samt för vissaspecialbearbetningar, t. ex. urval på valfria områden. Vidare avses detkoordinatsatta personbandet användas för egna bearbetningar genom samkörningarinom fastighetsdatasystemet. CFD avser ocksä att på beställning koordinatsattaandra personregister och bearbeta dessa. För de register CFD bearbetar påbeställning ankommer det pä den myndighet som är registeransvarig för detregister som skall samköras med det koordinatsatta personbandet att ansöka omtillstånd hos datainspektionen till samkörningen. 13 1978/79.1 saml. Nr 114 Bilaga 2 1978/79:114 172 Utnyttjandeav koordinater tillsammans med andra uppgifter kan även om presentationensker i form av kartor o. dyl. möjliggöra identifiering av enskilda individer.Redan en redovisning av statistiska uppgifter inom sjuk- och hälsovård,socialvård, kriminalvård etc. kan, särskilt beträffande glesbefolkade områden,leda till att enskild persons identitet och personliga förhållanden röjs. Frånintegritetssynpunkt bör det koordinatsatta personbandet bedömas med hänsyn delstill att det blir ett centralt personregister, dels till de tilltänktasamkörningarna. Samkömingmed andra register är inte i sig ett personregisterändamål i datalagens mening.Det koordinatsatta personbandet är ett basregister som skall samköras med andraregister för olika uppkommande samhällsplaneringsändamål. Det är uppenbart attvissa sådana samkörningar i sin tur kan ge upphov till personregister medinnehåll som är känsligt med hänsyn till de registrerades personligaintegritet. Vidsin behandling av det av CFD då delvis inrättade och delvis planeradekoordinatsatta personbandet, som skulle bli ett centralt totalt personregister,fann datainspektionen att det rådde ett särskilt samband mellan å ena sidanintegritetsfrågor och å andra sidan den då rådande utredningssituationen somkännetecknades av olösta frågor om underlaget för samhällsplaneringen ochfastighetsdatabankens organisation. Inspektionen ansäg för sin del starka skältala för att det koordinatsatta personregistret prövades i ett störresammanhang och med beaktande av omständigheter som inte ankommer pädatainspektionen. Föratt en sådan prövning skulle bli möjlig och för att tillfälle skulle ges attunderställa registret prövning överlämnade datainspektionen genomskrivelse (dnr 106-73) frågan om registret tillregeringen och hemställde att regeringen beslutade om frågans vidare handläggning. Beträffandedet närmare innehållet i datainspektionens beslut och den11 hänvisas till besluten. Genomremiss anmodades datainspektionen yttra sig över betänkandet"Fastighetsdata" (SOU 1976:5657). Inspektionen upptog remissen såsomavseende sådant yttrande som erfordras enligt 2 § datalagen, andra stycket. FADAKsförslag innebar att tills vidare endast fastighetsregistreringen, inteinskrivningsväsendet, skulle datoriseras. skulle då bli ettpersonregister enligt datalagen, eftersom ägares namn och personnummer avsågsingå. Datainspektionen fann det med hänsyn till fastighetsregistrets ändamåluppenbart att de uppgifter som föreslogs ingå i registret mäste finnas där.Inte någon av dessa uppgifter är hemlig enligt sekretesslagen. Tvärtom ärsyftet med registreringen att ge offent- 1978/79:114 173 lighetåt fastighetsförhållandena, i fastighetsomsättningens och fastighetskreditensintresse. Datainspektionen konstaterade att datoriseringen avfastighetsregistreringen, för dess egentliga ändamål, inte innebar risk förotillbörligt inträng i personlig integritet. Förfrägor om personlig integritet är samordningen mellan fastighetsregistreringenoch andra ADB-register av stor betydelse. FADAK anser, i betänkandets avsnitt6.4, att sådan samordning bör ske inte genom teknisk samordning utan genomutbyte av information mellan system, i princip på maskinellt läsbart medium.FADAK förordade således samköming av ADB-register framför teknisktsamutnyttjande. Frånintegritetssynpunkt är, enligt datainspektionens mening, en sådan lösningockså klart att föredra framför systemmässig integration, eftersom denunderlättar möjligheterna att pröva varje tillämnad samköming enligtdatalagen. Isitt remissyttrande över FADAKs betänkande förordade RRV en principielluppdelning av FR och IR i två skilda system. FADAKs förslag innebar enutbrytning av FR-delen ur Ds 1. RRVs modell innebär en utbrytning, på i principmotsvarande sätt, av även IR-delen ur Ds 1. Härigenom får man ett system förfastighetsregistreringen och ett för inskrivningsväsendet. Denfortsatta beredningen inom ledde till följande grundläggandeförutsättningar för det nya systemmönstret: FR och IR bryts ur Ds I och drivs som separatasystem FR och IR byggs upp parallellt FR och IR drivs till en början vid sammadatacentral de tekniska systemen i Ds 1 bör utnyttjas om dettainte strider mot principen om separata system för FR och IR FR och IR bör ha i stort sett samma innehåll som iDs 1 systemlösningen skall medge olikaregionaliseringsalternativ. Detsista av de uppräknade kraven innebär att systemen skall utformas så att driftav FR och IR skall kunna ske vid skilda datacentraler eller regionaliseras varför sig under senare etapper, likväl som att det ena registret skall kunnaföras centralt och det andra regionaliseras, allt under förutsättning att ipropositionen (1977/78:15) förutskickad särskild utredning visar att sådanalösningar bör väljas. 4 Den framlagda rapporten med systemförslag av CFD, och gemensamt framlagdarapporten konstateras att arbetet med att ta fram systemförslag har varitrelativt snävt begränsat till frågan om hur Ds I skall 1978/79:114 174 Rapporten täcker därför inte upp alla verksamheter inomfastighetsdataprojektet. T. ex. behandlas inte frågorna om hur de nya, åtskildasystemen skall tillgodose samhällsplaneringens behov av data i annan mån än vadden tekniska genomgången av olika systemavsnitt föranleder. Den övervägandedelen av arbetet har därför bestått i tekniska undersökningar ochöverväganden, såsom om databasorganisation, frågor berörandelinjenätkonstruktion, teknisk lösning för överföring av uppgifter(aviseringar) från det ena systemet till det andra osv. Fastighets-(FR) och inskrivnings- (IR) registren är från förfaltningsmässigautgångspunkter att betrakta som två skilda register, medan den tekniskalösningen i Ds 1 varit gemensam. Enligt rapporten innebär principen medutbrytning att de grundläggande karaktärsdragen hos Ds 1 överförs på de nyasystemen. I tekniskt avseende skulle detta medföra att de skilda systemenställer samma krav som Ds 1 vad gäller sådana frågor som val av maskintyp fördatoranläggningen och val av styrsystem för databasadministration m. m. Dennabundenhet vid viss maskintyp m. m. kvarstår även om systemen senare tänksdelade på skilda datacentraler eller regionaliseras. Kraven gäller för varjeenskild datacentral som används. Sålunda kommer att gälla för båda systemenatt de är byggda för drift på datorer av modell /370.1 framtiden användadatorer måste, enligt rapporten, vara kompatibla med denna dator varföralternativ med utnyttjande av minidatorer av det slag som förekommer ejtorde bli aktuellt. Vidare förutsätts att byte ej sker av styrsystem. Systemförslagetbaseras på ett antal s. k. grundkrav. Ett sådant som ställts upp är bindningentill en viss datortyp, /370 eller därmed kompatibel utrustning, samt tillnuvarande styrsystem. Ett annat att man från en användarterminal skall nå bådasystemen. Som en förutsättning för att FR- och IR-systemen skall kunna drivaspå olika anläggningar anges att dessa skall kunna kopplas samman. Kontakt kanetableras på två sätt, antingen dator till dator direkt via styrsystemet ellervia särskilda kommunikationsdatorer. Beträffandefrågor om drift i fiera datorer och en eventuell senare regionaliseringframhålls bl. a. att, trots att de framlagda systemförslagen utgått frånkraven att en regionalisering skall kunna ske, betydande analys- ochutvecklingsarbeten återstår innan regionalisering kan genomföras. De lösningarsom slutligen kan väljas blir i stor utsträckning beroende av fortsattadiskussioner med styrsystemleverantören. Ipromemorian med systemförslag tas inte integritetsfrågorna upp till särskildbehandling. 1978/79:114 175 5 Datainspektionens överväganden med anledning av den nu aktuella remissen FADAKbehandlade inte närmare frågan om vilka verkningar som ADB-system inomfastighetsregistreringen och inskrivningsväsendet kan fä för den enskildesintegritet. Frågan uppmärksammades däremot av en del remissinstanser såsomstatens , , TCO-S,SAF/och datainspektionen. Isitt remissvar åberopade datainspektionen, beträffande koordinatsattapersonband och samkörningar av fastighetsregistret mot andra ADB-register somkan bli aktuella för samhällsplaneringsändamål, sin skrivelse den 11 september1975 till regeringen. Regeringen har ännu icke tagit ställning tillinspektionens hemställan. Datainspektionen kan därför i detta sammanhang endastånyo hänvisa til! vad som framställdes i skrivelsen. Datainspektionenhar i skilda sammanhang framfört att olika systemlösningar kan innebära störreeller mindre risker för den personliga integriteten. Risken förintegritetsintrång blir otvivelaktigt större ju fier uppgifter som finnssamlade i ett och samma system. Från integritetssynpunkt är det därför enfördel om uppgifterna fördelas på skilda system. Det är också väsentligtlättare att kontrollera skilda system från integritetsskyddssynpunkt än det äratt behandla systemmässigt integrerade lösningar. Ännu svårare blir det närfiera system är tekniskt starkt sammankopplade, använder gemensam utrustningoch/eller medger åtkomst till författningsmässigt och vad gäller ändamåletskilda register från samma terminaler. Datainspektionenhar behandlat frågan om dator-till-dator-förbindelse bl. a. i anslutning tilltrafiksäkerhetsverkets (TSV) begäran om tillstånd att i samarbete med vissaförsäkringsbolag genomföra en sådan förbindelse mellan dessa och TSVsregisteravdelning. En sådan anslutning möjliggör för försäkringsbolagen attvia sina egna terminaler få tillgång till uppgifter i bil- ochkörkortsregistren. I sina överväganden i detta tillståndsärende (dnr 859-78)anför inspektionen bl. Antaletansökningar om tillstånd att sammankoppla datorer pä sätt som denna ansökanavser kan väntas öka kraftigt , bl. a. som en följd avdet allmänna datanätets tillkomst. Denna tekniska utveckling aktualiserarbehovet av säkerhetsanordningar som på ett godtagbart sätt i ett kompliceratnätverk kontrollerar att olika personregister hålls åtskilda och förhindrarobehörig användning. Dendator/datorförbindelse som TSV nu önskar upprätta är sedd i detta perspektivrelativt okomplicerad och innefattar likväl många av de säkerhets- och kontrollproblemför vilka en generell lösning bör sökas. 1978/79:114 176 Urdatainspektionens synpunkt är det därför positivt att tillfälle nu erbjuds attpraktiskt pröva hur säkerhetsproblemen kan lösas. TSVbör sålunda meddelas ett tidsbegränsat tillstånd att försöksvis upprättadator/datorförbindelse mellan TSVs dator och de angivna försäkringsbolagensdatorer enligt TSVs förslag och i samband med tillståndstidens utgång gestillfälle att redovisa erfarenheterna av driften. Dessa erfarenheter kan sedanutgöra underlag för datainspektionens föreskrifter för dator/datorförbindelserav här avsett slag. TSVmeddelades tillstånd att i samarbete med fem namngivna försäkringsbolagförsöksvis upprätta och till och med utnyttja den i ansökanredovisade dator-till-dator-förbindelsen. Oaktat försöksverksamheten fanndatainspektionen, bl. a. på grund av den avsedda förbindelsen, att vissaföreskrifter borde meddelas TSV och de berörda försäkringsbolagen. Detsystemförslag som framförs i den remitterade rapporten innebär i realiteteninte att skilda FR- och IR-system byggs upp. Lösningen innebär i stället t. o.m. väsentligt starkare tekniska bindningar mellan systemen än som fanns i Ds I. Degrundkrav som ställts upp för systemförslagets utformning medför dessutomnärmast ofrånkomliga låsningar för framtiden när det gäller beroendet avmaskin- och programvaror med bestämda egenskaper. Systemlösningen förutsätterdator-till-dator-förbindelser vid fullt utbyggt system i en omfattning somhittills icke prövats, eller ens på allvar föreslagits tidigare i . Frånsamma terminal avses finnas tillgång till såväl FR- som IR-data oavsett varregistren kan komma att vara fysiskt lokaliserade. Datainspektionenfinner att den töreslagna systemlösningen innebär en betydande ökning avriskerna för integritetsintrång i förhållande till den s. k. RRV-modellen,vilken enligt regeringens direktiv skulle utformas systemmässigt enligtprincipen två skilda system. 5.2 Säkerhets- och sårbarhetsfrågor Datainspektionenhar i skilda sammanhang påpekat de samband som finns mellan integritetsskydds-,säkerhets- och sårbarhetsaspekter. Det ankommer närmast på sårbarhetskommittén(SÅRK) att i sitt remissyttrande framföra synpunkter på systemförslagetssårbarhet. Datainspektionen finner det dock nödvändigt att kortfattat beröradessa frågor. SÅRKhar i lägesrapporten (Ds Fö 1978:4) "ADB och samhällets sårbarhet"inventerat förekommande sårbarhetsfaktorer. Datainspektionen har i alltväsentligt anslutit sig till SÅRKs bedömningar angående faktorerna och derasinverkan på driftsäkerhet och sårbarhet hos datorbaserade system. Inspektionenfinner att det framlagda systemförslaget, i klar motsats till intentionerna medden av beslutade RRV-modellen, skapar sambandsproblem ochberoendeförhållanden mellan olika systemdelar som gör totalsystemet teknisktoch funktions- 1978/79:114 177 mässigtoerhört komplicerat och sårbart. Systemlösningen innebär känslighet för istort sett alla de sårbarhetsfaktorer som SÅRK behandlat och varnat för. Somframgår av datainspektionens remissyttrande över lägesrapporten anserinspektionen till skillnad mot SÅRK att integritets- ochsårbarhetsfrägorna faktiskt i stor utsträckning sammanfaller och att det intealltid är möjligt att klart skilja den enskildes behov av skydd från samhälletsintresse. Någraav de sårbarhetsrisker som framstår som tydliga i det remitteradesystemförslaget kan exemplifieras genom följande uppräkning: koordinatangivelser skall användas i storutsträckning, vilket framför allt inger försvarsmässiga betänkligheter, systemets funktion blir starkt beroende av ettrelativt litet antal personer som får nyckelpositioner, en utbyggnad av systemet till att omfatta helalandet förutsätter, enligt rapporten, bindning till en datortyp (/370) ochett styrsystem (AROS/ROSAM) in och omöjliggör att man drar nyttaav den teknologiska utvecklingen utanför dessa kretsar under all överskådligtid framöver, utlandsberoendet blir därigenom stärkt, rutiner för rekonstruktion av databaser ochidriftsättning efter driftstörningar synes, med anledning av de kompliceradesambanden, vara svåra att åstadkomma, frågor om reservrutiner har icke berörts irapporten; fungerande och meningsfulla sådana till den föreslagnasystemlösningen synes knappast kunna konstrueras. 6 Datainspektionens sammanfattande bedömning Såvittdatainspektionen kan se torde det remitterade systemförslaget inteöverensstämma med statsmakternas intentioner beträffande ändrade riktlinjer förfastighetsdataverksamheten, på det sätt som dessa anges i propositionen(1977/78:15) och i beslut. Det fattade beslutet innebär att endelning mellan FR och IR skall ske och att skilda system skapas för dessaverksamheter. Statsmakternas främsta motiv för denna avsikt synes vara att manvill undvika komplexa och svårbemästrade systemstrukturer. En sådan delning avdet tekniskt komplicerade Ds 1 har enligt datainspektionens mening storafördelar också från integritetsskyddssynpunkt. Datainspektionenserfarenheter visar klart att komplexa system medför sämre möjligheter atttillgodose integritets-, säkerhets- och sårbarhetsaspekterna. Mot denbakgrunden finner inspektionen att även Ds I som systemmodell för FR- ochIR-systemen kan medföra problem i dessa avseenden. Det remitterade förslagettill systemlösning är än mera komplicerad och medför ännu större svårigheteratt bemästra proble- 1978/79:114 178 men.Med de samband och beroendeförhållanden systemförslaget innehåller går manmiste om de fördelar frän integritetsskyddssynpunkt som skilda system medför.Frågan är om man inte, tvärt emot intentionerna bakom RRV-modellen, lyckats ökakomplexiteten. Komplexitetsnivån i systemförslaget kan överstiga vad som ärhanterbart. Medutgångspunkter i de intressen som datainspektionen har att företräda anserinspektionen, att den i rubricerade rapport föreslagna systemlösningen icke börligga till grund för det fortsatta utvecklingsarbetet med skilda system förfastighetsregistrering respektive inskrivningsväsende. Enligtdatainspektionens mening bör utvecklingsarbetet för såväl den första etappensom senare etapper inriktas mot tekniskt mindre komplicerade lösningar, mindreömsesidiga systemberoenden och mindre låsning till dagens teknik. Med en sådaninriktning, som mera överensstämmer med RRV-modellen än med det remitteradesystemförslaget, kan uppnås fördelar från bl. a. integritetsskyddssynpunkt.RRV-modellen framstår därför som en lämpligare lösning än Ds I. Datainspektionenvill avslutningsvis även framhålla betydelsen av att helt skilda författningarutarbetas för FR respektive för IR. 1978/79:114 179 Iutredningsarbetet angående utbrytning av fastighetsregistret (FR) och inskrivningsregistret(IR) har två olika lösningar på linjenät diskuterats. Detallmänna datanätet är väl lämpat för det system som skissas i utredningen.Datanätet ger en mycket god flexibilitet vilket ju också nämns i utredningen.Vidare ger datanätet även en bättre service än vad förhyrda ledningar ger, t.ex. väl definierad driftskvalitet och tillförlitlighet, automatisktfelutpekningssystem. Vitala delar av nätet är dubblerade. Dessutom finns ettantal tilläggstjänster som underlättar kommunikationen samt tjänster sommedför ett gott sekretesskydd åt kunden. Allmännadatanätet planeras kapacitetsmässigt byggas ut så att det inte bör vara någraproblem att ta in FR/IR-systemet . Om m. a. o. systemtester förinkoppling i allmänna datanätet inte behöver ske före mitten av 1981 börallmänna datanätet väljas.