prop · G503189 · 1981-12-31 00:00:00 — När det gäller myndigheterna kanalltså olika bestämmelser om 1981/82:189 64 arkivvård föranleda en rad undantag från huvudregeln iförsta stycket. Den nya bestämmelsen hindrar inte att datainspektionen iett tillståndsbeslut med stöd av 6 § datalagen meddelar särskild föreskrift ombevarande och gallring av personuppgifter. Inspektionen kan också enligt 18 §ingripa med föreskrifter eller förbud all föra registret, om detta ansesbehövUgt med anledning av tillsyn och vad som då kommit fram om registretsanvändning m. m. Enligt andra stycket skall registeransvarig som upphör attföra personregister för vilket han har särskilt tillstånd anmäla detta tilldatainspektionen. Det har inte ansetts nödvändigt att föreskriva en motsvarandeanmälningsskyldighet då en registeransvarig som enbart har licens upphör attföra personregister. Anmälningsskyldigheten gäller också sådana register sominrättats genom beslut av eller regeringen och för vilka gällerskyldighet enligt 2 a § att inhämta yttrande från datainspektionen. För dessaregister har inspektionen normalt meddelat föreskrifter enligt 5 och 6 §§. Har förandet av personregister lett till otillbörligtintrång i personlig integritet eller finns anledning antaga att sådant intrångskall uppkomma, får datainspektionen i mån av behov meddela föreskrift i sådantavseende som anges i 5 eller 6 § eller ändra föreskrift som tidigare meddelats.I fråga om sådant register som avses i 2 a § första stycket fårdatainspektionen vidta åtgärd som nämnts endast i den mån den ej står istrid med beslut av regeringen eller . Kanskydd mot otillbörligt intrång i personlig integritet ej åstadkommas på annatsätt, får datainspektionen förbjuda fortsatt förande av personregister eUeråterkalla meddelat tillstånd. Detta gäller dock inte sådana register som avsesi 2 a § första stycket. 1 första stycket har gjorts ett par redaktionellaändringar. I andra stycket har införts en bestämmelse om rätt fördatainspektionen att förbjuda fortsatt förande av personregister. Dennamöjlighet tar sikte på de register för vilka tillstånd inte behövs. För deregister för vilka tillstånd har meddelats har inspektionen såsom tidigareistället att återkalla tillståndet. Från de nu angivna möjligheterna undantasdock register vars inrättande har beslutats av eller regeringen. Till böter eller fängelse i högst döms den somuppsåtiigen eller av oaktsamhet 1. inrättar eller för personregister utan licens ellertillstånd enligt denna lag, när detta erfordras, 2. bryter motföreskrift eller förbud som meddelats enligt 5, 6 eller 18 §, 3. lämnar utpersonuppgift i strid mot 11 §, 4. bryter mot 12§, 1981/82:189 65 5. lämnar osannuppgift vid fullgörande av skyldighet att lämna underrättelse enligt 10 §,eller 6. lämnar osannuppgift i fall som avses i 17 §. TiUböter döms den som uppsåtligen eller av oaktsamhet bryter mot 7 a § förstaeller tredje stycket. Har personregister inrättats eller förts utan licens ellertillstånd enligt denna lag, när licens eller tillstånd behövs, skall registretförklaras förverkat, om det ej är uppenbart obiUigt. Detsamma gäller, ompersonregister har förts i strid mot förbud enligt 18 § andra stycket. Om registeransvarig eller den som för registeransvarigsräkning handhar personregister underlåter att lämna tillträde till lokal ellertillgång till handling i fall som avses i 16 § eller att lämna uppgift enligt17 §, får datainspektionen förelägga vite. Detsamma gäller, om registeransvarigicke fullgör vad som åligger honom enligt 7 a § andra stycket, 8, 9 eller 10 §. I dessa paragrafer har gjorts vissa följdändringar tillövriga nya regler i datalagen. Enligt den nya lydelsen av 20 § första stycket 1är det sålunda straffbart att föra personregister utan licens, när dettaerfordras. Vidare är enligt andra stycket skyldigheten att ha en förteckningöver personregister enUgt 7 a § första stycket sanktionerad med böter. Detsammagäller skyldigheten enligt 7 a § tredje stycket att ange avsändare i handhngartill den registrerade. I 22 § har utöver vissa redaktionella ändringar införtsen möjlighet att förverka även sådana personregister som förs utan licensenligt de nya reglerna. Slutligen har i 24 § gjorts ett tillägg som innebär attskyldigheten att hålla förteckning tillgängUg och ge in denna till datainspektionenenligt 7 a § andra stycket omfattas av bestämmelserna om vite. Ikraftträdande m. m. Denna lag träder i kraft, såvitt avser 7 a § den 1 januari1983, och i övrigt . Bestämmelserna i 2 § gäller även personregister som harinrättats före ikraftträdandet. Om anmälan och ansökan om tiUstånd, om sådantkrävs, görs före , får dock ett sådant register föras utanhinder av 2 § tills ärendet har prövats slutiigl. Nytt tillstånd behövs inteför sådana register som datainspektionen har gett tiUstånd till föreikraftträdandet. Enligt förslaget skall de nya bestämmelserna träda i kraftden 1 juli 1982.1 fråga om skyldigheten att föra förteckningar överpersonregister föreslås dock, med hänsyn till att de nya reglerna iinledningsskedet medför ett visst arbete för de registeransvariga, att reglernainte skall träda i kraft förrän . Enligt DALK:s förslag skall de nya bestämmelserna omanmälningsskyldighet enligt 2 § vara tillämpliga även på registeransvariga somhar fått 5 1981/82. 1 saml Nr 189 Prop.1981/82:189 66 datainspektionens tillstånd att föra personregister förelagens ikraffträdan-de. Under remissbehandUngen har detta förslag kritiseratsav en del remissinstanser, som menar att förslaget leder till onödig byråkratioch som därför förordar att övergångsbestämmelserna förenklas. För min del vill jag understryka vikten av att det nyalicens- och tillståndssystemet inte leder till någon försämring avintegritetsskyddet. Det är önskvärt att datainspektionen även i fortsättningenså långt som möjligt har överblick över personregistreringen i landet. Fråndenna synpunkt är det angeläget att inspektionen har tillgång till uppgiftersåväl om alla som är ansvariga för personregister som framför allt om depersonregister som innehåller sådana ömtåliga uppgifter att det krävs tillståndäven enligt de nya reglerna. Det är alltså viktigt att datainspektionen har tillgångtill uppgifter även om sådana register som har fått tillstånd enligt de äldrebestämmelserna. I och för sig är det önskvärt att dessa uppgifter ställs sammanav inspektionen själv så att inte de registeransvariga som redan har tillståndbehöver ge in någon anmälan eller någon ny ansökan om tillstånd. Det haremellertid visat sig att det inte är möjligt för datainspektionen att medledning av de uppgifter som inspektionen har tillgång till göra entillförlitlig sammanställning över aUa personregister som har tillstånd.Anledningen härtill är framför allt att inspektionen i många fall saknaraktuella uppgifter om vem som är registeransvarig och om den registeransvarigesadress. Ofta finns inte ens någon säker uppgift om huruvida ett registerfortfarande är i bruk. Orsaken till dessa förhållanden är att deregisteransvariga i mänga fall har underlåtit att göra erforderliga anmälningarom adressändringar, om upphörande av register m. m. Med hänsyntill det anförda anser jag att man inte kan undvika att låta bestämmelserna omanmälningsskyldighet vara tillämpliga även i sådana fall då tillstånd harmeddelats före ikraftträdandet. Däremot finns det givetvis inte anledning attkräva någon ny ansökan om tillstånd beträffande personregister som har fåtttillstånd enligt de äldre bestämmelserna. Jagförutsätter att datainspektionen informerar de registeransvariga om innebördenav det nya systemet och om övergångsbestämmelserna och att inspektionen i denutsträckning det är möjligt bistår de registeransvariga t. ex. genom att skickaut anmälningsblanketter till alla registeransvariga vilkas adress är känd. Motbakgrund av det anförda föreslås en bestämmelse om att 2,§ även gällerpersonregister som har inrättats före ikraftträdandet. I anslutning tillkommitténs förslag föreslås dessutom en övergångsbestämmelse som innebär attsådana register tills vidare får föras utan hinder av 2 §, om anmälan ochansökan om tillstånd, om sådant krävs, görs före . Denna rättgäller tills ärendet slutligt har prövats av datainspektionen eller, ominspektionens beslut överklagas, av regeringen. Bestämmelsen är tillämpligsåväl på register som redan har fått tillstånd som på register som 1981/82:189 67 inteär tillståndspliktiga enligt de äldre bestämmelserna. SlutUgen föreslås förtydUghetens skull en uttryckUg bestämmelse om att nytt tillstånd inte behövsför sådana register som inspektionen har gett tiUstånd till föreikraftträdandet. Övergångsbestämmelserna innebär att de föreskrifter somdatainspektionen har meddelat före den 1 juU 1982 i samband med att tillståndmeddelats för ett visst register, eller i ett annat sammanhang, skall gällatills vidare. Följden bUr alt de registeransvariga, som för sådana register somenligt de nya bestämmelserna inte skulle vara tillståndspliktiga, ändå har attfölja beslutade föreskrifter. Det torde nämligen med hänsyn till ett flertal omständigheterinte vara lämpligt att lagstiftningsvägen generellt upphäva tidigare meddeladeföreskrifter för dessa typer av register. En sådan ordning skulle för detförsta medföra icke helt överblickbara konsekvenser. Man bör inte heller läggaansvaret på de registeransvariga att bedöma i vilken utsträckning tidigaremeddelade föreskrifter inte längre skall anses gälla. Av administrativa skäl ärdet vidare inte möjUgt att låta datainspektionen ompröva samtliga tidigaretillstånd. Jag vill slutligen framhålla alt föreskrifterna regelmässigtmateriellt överensstämmer med hur registren bör användas även enUgt den nyaordningen. Avsikten är ju inte att förändra innehållet i integritetsskyddetulan att genomföra effektivare rutiner hos datainspektionen m. m. SkuUe det inågot fall vara önskvärt att en tidigare föreskrift upphävs eller ändras, registeransvarige som tidigare möjlighet att göra framställning om dettahos datainspektionen. Avikraftträdandebestämmelserna följer att register som inrättas efter den 1 juli1982 helt faller under de nya bestämmelserna. Detta gäller också för registerför vilka ansökan om tillstånd har lämnats in tilldatainspektionen men där inspektionen inte har avgjort ansökningarna före den 1juli 1982. Dessa ansökningar bör alltså handläggas enligt de nya reglerna.Licens bör dock kunna utfärdas utan särskild anmälan och tillstånd därutövermeddelas, om det behövs enligt de nya bestämmelserna. Skulle det visa sig attett register inte faller under tillståndsplikten enligt de nya bestämmelserna,har inspektionen att avskriva ärendet från vidare handläggning och underrättasökanden om detta efter att ha meddelat licens när detta inte har skett i annatsammanhang (jfr specialmotiveringen till 2 §). 6.2Förslaget till lag om ändring i sekretesslagen 7 kap. 16 § Sekretessgäller för personuppgift i personregister som avses i datalagen (1973:289), omdet kan antas att utlämnande skuUe medföra att uppgiften används för automatiskdatabehandling i strid med datalagen. Sekretess för uppgift somanges i första stycket gäller också, om det kan antas att utlämnande skullemedföra att uppgiften används för automatisk databehandling i utiandet och attdetta medför otillbörligt intrång i personlig integritet. Vid tillämpning av denna bestämmelse ankommer det på 1981/82:189 68 datainspektionen att pröva fråga om utlämnande. Sekretessenligt detta stycke gäller dock ej, om uppgiften skall användas för automatiskdatabehandling enbart i en stal som har anslutit sig till Europarådetskonvention om skydd för enskilda vid automatisk databehandling avpersonuppgifter. Enligt artikel 15 i konvention om skydd förenskilda vid automatisk databehandling av personuppgifter skall tillbörUgtsekretesskydd finnas i fråga om upplysningar i ärenden om bistånd enligtkonventionen. Bestämmelsen i sekretesslagen om sekretess hos datainspektionenhar därför kompletterats i detta avseende. 9 kap. 6 § Sekretess gäller hos datainspektionen i ärende omtillstånd eller tillsyn, som enligt lag ankommer på inspektionen, och i ärendeom sådant bistånd som avses i konvention om skydd för enskilda vidautomatisk dalabehandling av personuppgifter, för uppgift om enskildspersonliga eller ekonomiska förhållanden, om det kan antas att den enskildeeller någon honom närstående lider skada eller men om uppgiften röjs. Haruppgift, för vilken gäller sekretess enligt vad nu har sagts, lämnats tillregeringen eller justitiekanslem, gäller sekretessen också där. I fråga om uppgift i allmän handling gäller sekretessen ihögst . Bestämmelsen, som avser utlämnande av uppgifter i detallmännas verksamhet, motsvarar i sak 11 § datalagen. Beträffande ändringenhänvisas tUl vad som har anförts i specialmotiveringen till den paragrafen. Jag hemställer att regeringen föreslår dels attanta förslagen till 1. lag om ändringi datalagen (1973:289), 2. lag om ändringi sekretesslagen (1981:100), dels att godkänna konventionen tillskydd för enskilda vid automatisk databehandUng av personuppgifter, dels att bemyndiga regeringen att besluta om avgifter fördatainspektionens verksamhet i enlighet med de riktlinjer som jag har angett idet föregående. Regeringen ansluter sig till föredragandens övervägandenoch beslutar att genom proposition föreslå att anta de förslag somföredraganden har lagt fram. 1981/82:189 69 Kommitténssammanfattning av sitt förslag DALKutreder enligt tilläggsdirektiv om en genereUpersonregisterlag, som inte i första hand är inriktad på ADB, på längre siktbör ersätta datalagen. Under detta arbete har datainspektionen till regeringenanmält behovet av vissa åtgärder redan på kort sikt. DALK har därefter genomytterligare tilläggsdirektiv fått i uppdrag att med förturöverväga sådana åtgärder. DALK skall enligt de nya direktiven i nära samråd medinspektionen så snabbt som möjligt undersöka vilka åtgärder som kan vidtas föratt också på kort sikt rationalisera verksamheten hos inspektionen. DALK skalldessutom också kartlägga och analysera datalagens ekonomiska och administrativakonsekvenser för de registeransvariga. Uppdraget redovisas i denna promemoria. har lagts fram en konvention om skydd för enskilda vidautomatisk databehandling av personuppgifter. Om godkännerkonventionen behövs vissa ändringar i bl a datalagen. DALK tar även upp denna ifråga i promemorian. DALKsarbete har skett i nära samråd med datainspektionen. Inspektionen hardärutöver efter hemstäUan från DALK i en promemoria till kommittén närmarebelyst behovet av åtgärder på kort sikt m m och visat på olika negativakonsekvenser för inspektionen, för de registeransvariga och för de registreradeav att bibehålla datalagen oförändrad i ytterligare . DALK har isitt arbete dessutom haft tillgång tiU och utnyttjat datainspektionens diarium,som alltsedan verksamhetens början förts med hjälp av ADB. DALK har under handdiskuterat olika effekter och erfarenheter av datalagen med företrädare för ettantal myndigheter, företag och organisationer m fl i deras egenskap avregisteransvariga i datalagens mening. Kommittén har också tagit särskildhänsyn till förslag och synpunkter när det gäller datalagens effekter m m, somi olika sammanhang förts fram under de år lagen varit i kraft. 16.3 Översiktöver datainspektionens verksamhet Datainspektionenär en central förvaltningsmyndighet med uppgift att pröva frågor om tillståndoch utöva tillsyn enligt datalagen, kreditupplysningslagen och inkassolagen.Tyngdpunkten i verksamheten ligger i tillståndsprövningen och tillsynen avpersonregister enligt datalagen. 1981/82:189 70 Datainspektionen leds av en styrelse bestående av elvaledamöter. KansUet är uppdelat på ett adminis"trativt sekretariat och tvåenheter, en för tillståndsärenden och en för tillsynsärenden. Drygt etttrettiotal personer finns anställda. Antalet inkomna ansökningar om tillstånd enligt datalagentill och med är totalt cirka 29 000. har cirka 27 500ärenden om tillstånd avgjorts. Härtill kommer cirka 1 300 diarieförda ärendenom tillsyn. Kostnaderna för datainspektionens totala verksamhet tilloch med /80 i form av anslagna medel är cirka 28 miljonerkronor. Anslagna medel för /81 är cirka sex miljoner kronor.Intäkterna i form av avgifter till och med /80 är cirka4,. 16.4 Nuvarande undantag från tillståndskravet gäller som huvudregel enligt datalagen (2§) att tillstånd av datainspektionen krävs för alla personregister.Tillståndskravet gäller dock inte personregister vars inrättande beslutats avregeringen eller (2 § 2 st). TiUståndskravet gäller inte heller ifråga om personregister som förs med viss bestämd teknisk utrustning, om detmed hänsyn till utmstningens art, till utförandet av den automatiskadatabehandlingen och till registrets utformning i övrigt framstår som uppenbartatt otillbörUgt intrång i registrerads personUga integritet inte skalluppkomma (2 § 3 st). De personregister som enligt 2 § tredje stycket datalagenär undantagna från tillståndskravet blir varken föremål för någon tillståndsprövningeller någon registrering hos datainspektionen. 16.5 Handläggningen av tillståndsärenden enligtdatalagen Följande olika ärendegrupper enligt datalagen förekommer - ansökan omprinciptillstånd (11) - ansökan omtillstånd (12) - ansökan omtillstånd enUgt s k förenklat ansökningsförfarande (121) - anmälan avpersonregister vars inrättande beslutats av regeringen eller (13) - ansökan omtillstånd att ändra eller utvidga personregister (14) - övrigatillståndsärenden (19). Siffrorna inom parentes är beteckningen på ärendegruppernai datainspektionens diarium. Antalet ärenden om principtillstånd har varit mycket få.Totalt finns t o m ett femtiotal sådana ärenden diarieförda hosdatainspektionen. Regler om förfarandet vid ansökan om tillstånd finns idatakungörelsen och i särskilda föreskrifter och anvisningar till datalagen somdatainspektio- 1981/82:189 71 Ansökan skall enligt 2 § datakungörelseninnehålla uppgifter i fjorton olika hänseenden. Totalt har t o m cirka6 600 ärenden med fullständiga tillståndsansökningar diarieförts hosdatainspektionen och cirka 6 100 avgjorts genom beslut. Datainspektionen har, såsom förutsattes vid datalagenstillkomst, alltsedan verksamhetens början tillämpat ett förenklat ansöknings-och tillståndsförfarande i fråga om mindre integritetskänsliga register. Dettagäller vissa löne- och personalregister, vissa kund- och leverantörsregister,vissa hyresregister och vissa medlemsregister. Sådana personregisterunderkastas inte någon individuell tillståndsprövning från fall till fall.Ansökningar om tillstånd enligt det förenklade förfarandet görs på en enkelblankett. Tillstånd meddelas i princip omgående i form av ett standardiseratbeslut med oUka föreskrifter m m (). Totalt har t o m cirka 18 500ärenden enligt det förenklade förfarandet diarieförts hos datainspektionen ochcirka 18 000 avgjorts genom beslut. Även personregister vars inrättande beslutats avregeringen eller skall prövas av datainspektionen. Myndighet som ärregisteransvarig skall därför anmäla registret till inspektionen.Totalt har t o m cirka 550 sådana anmälningar diarieförts hosdatainspektionen och cirka 540 avgjorts genom beslut. Härutöver har t o m cirka 3 000 ansökningar omändring eller utvidgning av personregister diarieförts hos datainspektionen ochcirka 2 850 ansökningar avgjorts genom beslut. Dessutom förekommer s k övriga tillståndsärenden, vilka tex avser tillfälliga anslutningar av terminal tiU personregister ochtillfälliga utiands-bearbetningar enligt 11 § datalagen m m. Totalt har t o mår 1980 cirka 270 sådana ärenden diarieförts hos datainspektionen och cirka 250avgjorts genom beslut. Upphör den registeransvarige att föra personregister,skall detta enligt 12 § datalagen anmälas till datainspektionen. Inspektionenföreskriver då hur det skall förfaras med registret. Totalt har t o m år 1980cirka 2 000 anmälningar om upphörande diarieförts hos datainspektionen. Antalet ärenden som enligt diariet till och med år 1980varit föremål för s k bevakning, t ex på grund av att tUlståndsbeslutentidsbegränsats, är cirka 1 600. Ungefär lika många ärenden är föremål förbevakning mellan . 16.6 Registeransvariga och deras tillståndsansökningar När det gäller antalet ärenden enligt förenklat förfarandesvarar registeransvariga inom den statliga sektorn för ,registeransvariga inom den kommunala för ochregisteransvariga inom den privata för resten, . När det gällerantalet fullständiga ansökningar om tillstånd m m svarar den statliga sektornför Prop.1981/82:189 72 , den kommunala för och den privata för resten,. Avdebiterade avgifter, , avser cirka en miljon denstatliga sektorn, ungefär Uka mycket den kommunala och resten, cirka tremiljoner, den privata. Väntetidernapå datainspektionens beslut har varierat. I fråga om större delen av deärenden, vilka såväl kommit in som avgjorts åren 1975 -1980, har beslutmeddelats . I fråga om har beslut meddelatsefter än . Ifråga om av antalet tillståndsansökningar har angetts att denregisteransvarige anlitar utomstående datorinnehavare för bearbetningen avpersonregistren. Antalet datorinnehavare som bearbetar annans personregister ärcirka 1 000. 16.7 Datainspektionenstillsynsverksamhet enligt datalagen Pågmnd av den stora mängden tillståndsärenden och nuvarande mycket resurskrävandeprövningsförfarande har huvuddelen av datainspektionens personalresurser förverksamheten enligt datalagen måst utnyttjas för tillståndsprövningen.Ett femtontal handläggare har arbetat med tillståndsprövning och ungefär tremed tillsynsverksamhet. Antalet diarieförda tillsyns- och rådgivningsärendenenUgt datalagen åren 1973 är cirka 1 300. TUlsynsverksamhetenomfattar dels utredningar m m med anledning av klagomål från allmänheten, delsinspektioner och andra åtgärder på datainspektionens eget initiativ. Förutomklagoärenden, som kräver särskild utredning, förekommer en omfattandebrevväxling med allmänheten i olika frågor som rör ADB och integritetsskyddet.Det finns ett uppenbart behov av en "allmänhetens klagomur" när detgäller personregister. Exempelpå klagomål från enskilda registrerade är felaktig notering i bankkonto,otUlåtna uppgifter (betyg) i personregister med tillstånd enligt s k förenklatförfarande, fel namn eller adress, obegripliga, ofullständiga eller uteblivnaunderrättelser enligt 10 § datalagen samt felregistreringar om dödsfall.Inspektioner eller andra åtgärder har medfört att förekommande fel rättatstill. 16.8 Erfarenheteroch effekter av datalagen Erfarenheternahar visat att de personregister, som man redan från början trodde kunde bliföremål för enbart en summarisk tillståndsprövning, är fler än manursprungligen räknat med. Den bedömning från fall till fall som, i brist pånärmare överblick över personregistreringen, ansågs nödvändig då datalagen komtill har, efter hand som erfarenheter vunnits, av datainspektionen kunnatersättas med generella normer för prövningen av allt fler 1981/82:189 73 vanligen förekommande typer av personregister. När det gäller de registrerade kan enligt DALKs meningsammanfattningsvis konstateras att effekten av datalagen blivit den mansträvade efter då lagen infördes. För denna slutsats talar bl a detförhållandet att antalet uppenbara fall av otillbörligt integritetsintrångvarit mycket begränsat. För samma slutsats talar också det förhållandet attinga betydande krav på skärpningar av regelsystemet rests från deregistrerade eller från de organisationer och sammanslutningar som företräderdem i olika sammanhang. Beträffande de registeransvariga kan enligt DALKs meningsammanfattningsvis konstateras att datalagen under de år som gått medförtolika administrativa och ekonomiska konsekvenser men också en bättre medvetenhetän tidigare rörande riskerna för otillbörligt intrång i personlig integritet.Dessutom kan konstateras att de registeransvariga inte fört fram några krav påbetydande ändringar på kort sikt i de grundläggande skyldigheter för dem somdatalagen ställer upp. Detta torde betyda att datalagens konsekvenser av deregisteransvariga i stort sett anses vara godtagbara.