prop · G503189 · 1981-12-31 00:00:00 — Syftet medriktlinjerna är att söka undvika de risker för personlig integritet ochindividens friheter som personuppgifter kan utgöra på grund av det sätt påvilket de behandlas, på grund av uppgifternas natur eller på grund av detsammanhang i vilket de används (punkt 2). Enligt punkt 3 finns det inget hinder mot att mantillämpar olika skyddsåtgärder för olika slag av persondata, att man frånriktlinjernas tillämpning undantar persondata som uppenbart inte innebär någonrisk för personlig integritet eller att man tillämpar riktlinjerna endast påautomatisk databehandUng av personuppgifter. 1981/82:189 47 I den andra avdelningen anges följande grundläggandeprinciper för den nationella tillämpningen av riktlinjerna: : Insamlingen av personuppgifter skall vara begränsad, och uppgifterskall inhämtas på ett lagligt och korrekt sätt samt, när det är skäligt, medden registrerades kännedom eller samtycke (punkt 7). Datakvalitet:Personuppgifter skall vara relevanta för de ändamål för vilka de skall användasoch, i den utsträckning det behövs för dessa ändamål, vara riktiga ochfullständiga samt hållas aktuella (punkt 8). Precisering avändamål: De ändamål för vilka personuppgifter samlas in skall vara preciseradesenast vid insamlingen. Den efterföljande användningen skall vara begränsadtUl att uppfylla dessa ändamål eller sådana ändamål som är förenliga medursprungsändamålen och som preciseras vid varje förändring (punkt 9). Begränsning ianvändningen: Personuppgifter får inte röjas, göras tillgängliga eller på annatsätt användas för andra ändamål än de preciserade, om det inte sker med denregistrerades medgivande eller med stöd av författning (punkt 10), Säkerhetsåtgärder:Personuppgifter skall genom rimliga säkerhetsåtgärder skyddas mot risker förförlust eller otillåten tillgång, förstörelse, användning, förändring ellerotillåtet röjande (punkt 11). Öppenhet:Beträffande personuppgifter skall råda en hållning av öppenhet i fråga omutveckling, tillämpning och policy. Det skall vara möjligt att få vetaexistensen och beskaffenheten av personuppgifter samt huvudändamålen för vilkade används. Det skall också vara möjligt att få uppgift om vem som ärregisteransvarig och om var denne finns (punkt 12). Den enskildesdeltagande: Den enskilde skall ha rätt att - av denregisteransvarige, eller annan, få reda på om denne har personuppgifter omhonom/henne eller inte, - få sig tillsänteventuella personuppgifter inom rimlig tid, utan alltför stor kostnad, pårimligt sätt och i begriplig form, - vid avslag påen begäran om uppgifter få veta skälen och ha möjlighet att överklaga och - ifrågasättauppgifter som gäller honom eller henne och, om så är nödvändigt, få dessautraderade, rättade eller kompletterade (punkt 13). Ansvarighet: Den registeransvarige skall haansvaret för att de lagstift ningsåtgärder eller andra åtgärder som vidtas för att genomföra de tidigare angivna principerna följs (punkt 14). I tredje avdelningen finns riktlinjer för dataflödet övergränserna. Här föreskrivs bl. a. att medlemsländerna skall vidta alla rimligaoch lämpliga åtgärder för att se till att personuppgifter kan passera gränsernasäkert och utan avbrott. Vidare skall medlemsländerna avhålla sig från attgöra Prop.1981/82:189 48 inskränkningar i fråga om flöde av personuppgifter fråndet egna landet till andra medlemsländer. Sådana inskränkningar är docktillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjernaeller om personuppgifter bara skall passera genom det andra landet till etttredje land och avsändarlandets integritetslagstiftning därigenom kringgås. Ettmedlemsland får också göra inskränkningar i fråga om personuppgifter för vilkaden inhemska integritetslagstiftningen innehåller särskilda skyddsregler, omsådana uppgifter inte har ett likvärdigt skydd i mottagarlandet (punkt 17). DALK har i sin bedömning av riktlinjerna funnit att densvenska lagstiftningen, inkluderat de ändringar som DALK föreslår, tillgodoserde grundläggande principerna i riktlinjerna. Bl, a, konstaterar DALK attriktlinjerna inte hindrar att svensk lag ställer krav på särskilt tillstånd föratt föra över personuppgifter till andra länder, DALK anser att det även i fortsättningenbör ankomma på datainspektionen att göra en sådan prövning som föreskrivs i11 § datalagen och 7 kap, 16 § sekretesslagen, bortsett från sådana fall då detär fråga om överföring av uppgifter till ett land som har anslutit sig tillEuroparådskonventionen, Enligt DALK är det möjligt för inspektionen att inomramen för sin prövning i ett visst fall ta hänsyn till att riktlinjerna hargodtagits av ett land till vilket någon önskar föra över information. DALKmenar dock att det kan visa sig möjligt att ta bort kravet på särskiltmedgivande till att lämna ul uppgifter till . Remissinstanserna har överlag godtagit vad kommittén haranfört beträffande riktlinjer. Jag kan för egen del instämma i DALK:s synpunkter påbehovet av eventuella åtgärder från svensk sida med anledning av riktlinjerna.Datalagen uppfyller även enligt min mening de krav som anges i riktlinjernabeträffande innehållet i personuppgifter och utformningen av integritetsskyddeti övrigt. Någon lagändring med anledning av riktlinjerna behövs alltså inte. 3 Avgifter för datainspektionens verksamhet Enligt kungörelsen (1973:1209) om avgift hosdalainspektionen skaU avgift umå för handläggning hos datainspektionen avansökan eller anmälan som avses i 1 § datakungörelsen, 1 §kreditupplysningsförordningen (1981:955) och 1 § inkassoförordningen (1981:956)samt av ansökan om medgivande enligt 11 § datalagen. Avgifterna är avsedda atti princip täcka kostnaderna för datainspektionens tillståndsverksamhet. Avgiftentas ut med ett visst belopp för varje påbörjad handläggningstimme. Föreliggersärskilda skäl, får avgiften sättas ned eller efterges. Denna möjlighettillämpas bl. a. så att avgift för sådana tillstånd enligt datalagen somhandläggs enligt det s. k. förenklade förfarandet regelmässigt tas ut i form aven enhetsavgift. 1981/82:189 49 har bemyndigat regeringen att besluta om ettnytt system för avgifter för handläggningen vid datainspektionen (prop.1980/81:20 bil. 1 s. 11, KU 1980/81:9, rskr 1980/81:58). Enligt systemet skallkostnaderna för datainspektionens verksamhet i dess helhet täckas med avgifter.Avgiftssystemet avsågs bli infört (prop. 1980/81:100 bil. 5 s.88, KU 1980/81:18, rskr 1980/81:189). DALK anmälde i samband med beredningen i regeringskanslietav frågan om ett nytt avgiftssystem att kommittén planerade att i september1981 lämna förslag till åtgärder på kort sikt när det gällde datainspektionensverksamhet. Enligt kommitténs uppfattning borde därför ett nytt avgiftssysteminte träda i kraft . Med hänsyn till vad som upplystes om arbetet i DALK fannregeringen i ett beslut att frågan om ett nytt avgiftssystem viddatainspektionen borde prövas i anslutning till de förslag till ändringar idatalagen som DALK kunde komma att lägga fram. I beslutet uppdrogs åt DALK attefter samråd med och datainspektionen utreda och tillregeringen komma in med förslag till ett nytt avgiftssystem för verksamhetenvid datainspektionen. Förslaget skulle ansluta till de ändringar av regelsystemetsom DALK kunde komma att föreslå. DALK har i promemorian (Ds Ju 1981:23) Nya avgifter fördatainspektionens verksamhet redovisat det nämnda utredningsuppdraget. Ipromemorian föreslås ett nytt avgiftssystem som ansluter till de ändringar idatalagen, som DALK föreslagit i promemorian (Ds Ju 1981:15-16) Tillstånd ochtillsyn enligt datalagen. DALK:s avgiftssystem förutsätter alltså alt reglernaför tillståndsverksamheten enligt datalagen ändras och kombineras med en nyregistrerings- och licensplikt. Enligt DALK:s förslag till nytt avgiftssystem skallkostnaderna för datainspektionens verksamhet helt täckas genom avgifter. Förhandläggning av ärenden om tillstånd enligt datalagen, kreditupplysningslagenoch inkassolagen skall även i fortsättningen tas ut en avgift med visst beloppper handläggningstimme. Detsamma skall gälla ärenden om anmälan avpersonregister som inrättats av regering eller riksdag samt ärenden ommedgivande enligt 11 § datalagen. Möjlighet skall finnas att sätta ned ellerefterge avgiften, om särskilda skäl föreUgger. För licens enUgt datalagen skallbetalas en årlig avgift. Enligt kommitténs förslag skall beslut om avgifterfattas av datainspektionen. Inspektionens beslut skall kunna överklagas hosregeriiigen. Sorn framgått av vad jag har anfört godtar jag ihuvudsak DALK:s förslag tiU ändringar i datalagen. DALK:s förslag till nyttavgiftssystem ansluter till dessa ändringar. Jag finner mot denna bakgrund attjag kan godta även D ALK:s förslag till nytt avgiftssystem. Enligt min meningbör därför ett system med avgifter för datainspektionens verksamhet införas ihuvudsaklig överensstämmelse med DALK:s förslag. Avgiftssystemet bör tillämpasfrån och med den tidpunkt då de föreslagna ändringarna i datalagen träder ikraft, 4 1981/82. 1 saml Nr 189 Prop.1981/82:189 50 Regeringen bör hos begärabemyndigande att besluta om avgifter för datainspektionens verksamhet i enlighetmed vad jag nu har anfört. 4 Sammanfattande bedömning av reformens effekter Enligt DALK kan antalet årliga ärenden hos inspektionen,om kommitténs förslag genomförs, beräknas uppgå till ca 1 260, DALK jämfördetta antal med den förväntade ärendemängden, om det s, k, nollalternativet (seavsnitt 2,2.1) genomförs, ca 4 610 ärenden . Man måste emellertid enUgtDALK beakta att närmare ärenden enligt nollalternativet ärärenden enligt det förenklade förfarandet. Till det av DALK beräknade antaletärenden, 1 260 , skall läggas licensansökningarna. DALK uppskattar dessatill ca 1 500 . DALK konstaterar med ledning av dessa beräkningar att detinte innebär några större personalbesparingar att avskaffa det formellatillståndskravet för de register som omfattas av det förenklade förfarandet.De största besparingarna uppkommer enligt DALK genom att ärendena om utvidgningeller ändring av tillstånd kommer att minska. DALK menar att resursbehovet förtillståndsprövningen kan antas minska med en tredjedel eller med fyra till femhandläggare. Å andra sidan uppkommer ett visst behov av ökade resurser för attutarbeta nya anvisningar och för att handlägga licensansökningar m.m. DALK framhåller vidare att den föreslagna reformen kommeratt innebära administrativa förenklingar för de registeransvariga somden får positiva effekter för de registrerade genom att datainspektionen kommeratt kunna koncentrera sina resurser till sådan_verksamhet som är särskiltbetydelsefull från integritetsskyddssynpunkt. De beräknade effekterna av den föreslagna reformen harunder remissbehandlingen berörts framför allt av datainspektionen, som i sittremissvar utförligt har redovisat sin uppfattning om de konsekvenser som DALK:sförslag medför för inspektionens egen verksamhet. Sammanfattningsvis bekräftarinspektionen att tillståndsprövningen, om förslaget genomförs, kommer att krävamindre resurser . Inspektionen framhåller emellertid att de resursersom frigörs i stor utsträckning behövs för andra ändamål. Inspektionenunderstryker att särskilda informationsinsatser kommer att krävas avinspektionen i samband med att reformen genomförs. Vidare pekar inspektionen påatt den kommer att få vissa nya arbetsuppgifter och att reformen sannolikt gördet nödvändigt att också genomföra förändringar av inspektionens organisation. För egen del vill jag till en början understryka att deföreslagna ändringarna i datalagen bör kunna leda till avsevärda lättnader iinspektionens arbete med prövningen av tillståndsärenden. Som jag förut harframhållit bör icke obetydliga resurser kunna frigöras så att inspektionen kan 1981/82:189 51 koncentrera sin verksamhet dels på prövning av merömtåliga register, dels på tillsynsverksamhet. Det är emellertid svårt attnärmare precisera hur fördelningen på olika slag av ärenden kommer att bli ifortsättningen. Enligt min mening finns det inte heller något behov av att idetta sammanhang göra någon mera exakt beräkning av ärendefördelningen. Den föreslagna reformen påverkar givetvis användningen avde resurser som finns tillgängliga för datainspektionens verksamhet.Inspektionen har påpekat att det kan visa sig erforderligt med en vissomorganisation av dess verksamhet. Jag skall emellertid inte nu gå närmare inpå dessa frågor utan avser att senare återkomma till regeringen med förslag idessa avseenden, om behov uppkommer. Som DALKhar framhållit får reformen konsekvenser även för de registeransvariga.Förändringen från krav på tillstånd för varje personregister till licenspliktinnebär administrativa förenklingar för de registeransvariga. Vidare börväntetiderna hos inspektionen kunna minska betydligt. Den föreslagnaskyldigheten att föra förteckningar över personregister utgör visserligen ettnytt åliggande för de registeransvariga, men detta torde knappast kunnabetraktas som betungande. Man bör beakta att uppgifterna i förteckningarna utanstörre arbete regelmässigt bör kunna hämtas från den registeransvariges egensystemdokumentation. Från de registrerades synpunkt torde reformen medföraenbart positiva konsekvenser. Genom att datainspektionens verksamhet kankoncentreras till tillståndsprövning av särskilt integritetskänsliga registeroch till tillsynsverksamhet skapas förutsättningar för en förbättring avintegritetsskyddet. I enlighet med vad jag nu har anfört har inomjustitiedepartementet upprättats förslag till 1. lag om ändring i datalagen(1973:289), 2. lag om ändring i sekretesslagen(1980:100). Min avsikt var ursprungligen att de nu framlagdalagförslagen skulle remitteras till lagrådet. Enligt planerna skullelagrådsremiss ha beslutats februari/mars. Lagrådet, som dåarbetade på fyra avdelningar, dvs. det högsta tillåtna antalet, hade emellertidett utomordentiigt ansträngt program. Alla de lagförslag som var av det slagetatt lagrådet enligt 8 kap. 18 § andra stycket regeringsformen borde höras överdem kunde inte granskas i tillräckligt god tid för att förslagen skulle kunnaföreläggas före den tidpunkt som anges i 3 kap. 3 §riksdagsordningen. Lagrådsgranskning fick därför underlåtas i flera fall medstöd av den nämnda paragrafen i regeringsformen, där det bl. a. föreskrivsatt lagrådets granskning kan underlåtas, om det skulle fördröja lagstiftningsfrågans Prop.1981/82:189 52 behandling så att avsevärt men skulle uppkomma. Iförevarande fall skulle någon lagrådsgranskning inte ha kunnat ske med hänsyntill lagrådet program. De lagförslag som jag lägger fram i detta ärende går ut påatt förenkla förfarandet vid datainspektionens handläggning av ärenden enligtdatalagen. Det främsta syftet med reformen är att förstärka och effektiviseraintegritetsskyddet. Reformen är angelägen för att datainspektionen skall kunnarationalisera sin verksamhet och koncentrera sina resurser på sådanapersonregister som är särskilt känsliga från integritetsskyddssynpunkt. Inteminst med hänsyn till arbetssituationen vid datainspektionen är det önskvärtatt de nya bestämmelserna kan träda i kraft . På grund av det anförda anser jag att remiss till lagrådetkan underlåtas i förevarande ärende. 6.1 Förslaget till lag om ändring i datalagen Personregister får inrättas och föras endast av den somhar anmäh sig hos datainspektionen och fått bevis om detta av inspektionen(licens). Utöverlicens behövs tiUstånd av datainspektionen för att inrätta och förapersonregister som skall innehålla 1. uppgiftersom anges i 4 §, 2. uppgiftersom anges i 6 § andra stycket, 3. uppgifterom personer som saknar sådan anknytning till den registeransvarige som följerav medlemskap, anställning, kundförhållande eller något därmed jämförligtförhållande, 4. personuppgiftersom inhämtas från något annat personregister, om inte registreringen avuppgifterna sker med stöd av författning eller med den registreradesmedgivande. Första och andra stycket gäller inte personregister som enenskild person inrättar eller för uteslutande för personligt bruk. Med inrättande av personregister förstås även insamling avuppgifter som skall ingå i registret. I denna paragraf finns de grundläggande bestämmelserna omdet nya licens- och tillståndssystemet. Beträffande de allmänna övervägandenahänvisas till avsnitt 2.2.1-3. Enligt/öri/a stycket får personregister inrättas och förasendast av den som har anmält sig hos datainspektionen och fått bevis om dettaav inspektionen. Detta bevis kallas licens. En sådan licens berättigar denregisteransvarige att föra ett eller flera icke tillståndspliktiga register.Paragrafen innehåller inte några bestämmelser om vilka uppgifter en anmälanskall innehålla. Bestämmelser härom kan meddelas av regeringen.Datainspektionen skall inte göra någon materiell prövning av en anmälan utanendast på grundval av denna utfärda bevis och föra in erforderliga uppgifter idet register som inspektionen skall föra över de registeransvariga. Prop.1981/82:189 53 Enligt andra stycket behövs utöver licens i vissa angivnafall särskilt tillstånd av datainspektionen för att inrätta och förapersonregister. Det gäller personregister som skall innehålla uppgifter somgenerellt sett kan antas medföra särskild risk för otillbörligt intrång ienskilds personliga integritet. Det nya tillståndskravet har angetts i fyraolika punkter. Tillståndskravet gäller alltså i fråga om personregister somskall innehålla uppgifter av ett eller flera av de slag som anges i dessapunkter. I undantagsfall kan det uppstå fråga om ett visstregister, för vilket tillstånd har sökts, faller under tillståndsplikten ellerinte. Skulle datainspektionens prövning utmynna i bedömningen att tillståndinte fordras, bör ansökningen avskrivas under angivande av det skälet ochsökanden underrättas härom. Någon särskild föreskrift om detta behövs inte,eftersom det torde följa av allmänna förvaltningsrättsliga principer. I fråga ompunkt 1 och 2 hänvisas till vad som har anförts i den allmänna motiveringen.Bakom kravet på tillstånd enligt punkt 3 ligger samma grunduppfattning som harutgjort motiv för 3 a §, nämligen att personregister inte utan ett angelägetbehov bör få innehålla uppgifter om andra personer än sådana som har ennaturlig anknytning till den registeransvariges verksamhet. När det gäller att dra gränsen mellan sådan registreringsom bara omfattas av kravet på licens och sådan, som därutöver kräver särskilttillstånd enligt punkt 3, är alltså sambandet mellan den registeransvarige ochden registrerade avgörande. Särskilt tillstånd krävs, om det saknas en naturliganknytning. Lagtexten innehåller tre exempel på när sådan anknytning ansesföreligga, nämligen medlemskap, anställning och kundförhållande. Andra exempelär förhållandet hyresvärd-hyresgäster, skola-elever, hotell-gäster,konferensarrangör-deltagare. Som ytterligare exempel kan nämnas förhållandetmellan en myndighet och sökande av bostäder eller daghemsplatser. Avväsentlig betydelse är alltså om registreringen grundar sig på en ömsesidigkontakt mellan den registeransvarige och den registerade och om registretanvänds för att administrera denna kontakt. En allmänt godtagen grundsats när det gällerpersonregistreringen är att personuppgifter som har samlats in för ett visstregister i princip inte bör få utnyttjas för andra register. Enligt punkt 4krävs därför i princip tillstånd för register som skall innehålla personuppgiftersom inhämtas från något annat personregister. Bestämmelsen innebär att detnormaU krävs tiUstånd för s. k. samköming. Med begreppet samköming avsesmaskinell bearbetning av uppgifter i ett personregister tillsammans meduppgifter i ett annat personregister hos den registeransvarige eller hos annanregisteransvarig. Även annan direkt överföring av uppgifter från ettpersofiregister till ett annat omfattas av bestämmelsen. Kravet på tillstånd enligt punkt 4 gäller inte om detfinns stöd i författning för en samköming av register och inte heller om deregistrerade har lämnat sitt medgivande. En registeransvarig får alltså utansärskilt tillstånd inhämta 1981/82:189 54 uppgifter på ADB-medium från ett personregister hos enannan registeransvarig, om han har rätt att inhämta och registrera uppgifternaenligt bestämmelse i en författning. I detta innefattas även att sådanregistrering sker efler tillstånd av datainspektionen. Del bör framhållas attförfattningsstödet skall avse inhämtande av uppgifter för det aktuellaregistret. Även om det kan finnas sådant stöd för att lämna ut uppgifter frånett visst register på ADB-medium gäller tillståndsplikten ändå för det registertill vilket uppgifterna inhämtas. Den som önskar göra en samköming mellan sitteget register och det statliga person- och adressregistret (SPAR) för attaktualisera uppgifter i det egna registret får sålunda inte göra detta om intetillstånd har meddelts av datainspektionen för detta eller det kan grundas påannat författningsstöd (jfr prop. 1980/81:62, s. 16). Av punkt 4 följer vidare att möjligheterna är begränsadeatt ändra ändamålet med ett personregister som innehåller uppgifter som harinhämtats genom samköming med ett annat personregister. När datainspektionenger tillstånd till ett sådant register, skaU inspektionen enligt 5 § meddelaföreskrifter om ändamålet med registret, vilket innebär att ändamålet inte fårändras utan inspektionens tillstånd. Även i de fall då något tiUstånd inlebehövs för alt föra ell sådant register, därför att registreringen sker medstöd av författning eller med de registrerades medgivande, föreligger detnormalt hinder mot att ändra ändamålet med registret. I dessa fall är detnämligen som regel en förutsättning för samkörningen att de införskaffadeuppgifterna skall användas för ett visst ändamål. Med hänsyn härtill har detinte ansetts nödvändigt att föreskriva en särskild tilståndsplikt för de övrigafall när ett byte av ändamål för registret sker. Av 7 § följer emeUertid attett register skall föras för ett bestämt ändamål. Datainspektionen hardessutom möjlighet att, när det anses behövUgt, meddela en föreskrift omändamålet med stöd av 18 §. Enligt tredje stycket undantas från licens- ochtillståndsplikt personregister som inrättas och förs av en enskild personuteslutande för personligt bruk. Bestämmelserna om den registeransvarigesskyldigheter, om datainspektionens tiUsyn m. m. gäller dock även dessaregister. Undantaget enligt tredje stycket gäller endast fysiska personer och avseralltså inte juridiska personer som bolag, föreningar, stiftelser ellerorganisationer och inte heller myndigheter. Undantaget gäller vidare endast personregister sominrättas och förs uteslutande för personligt bruk. Som typexempel kan nämnasadress- och telefonförteckningar över vänner och bekanta. Hit hör ocksåregister som rör den egna familjens ekonomi. Avgörande för om undantagsbestämmelsen blir tillämplig ärbl. a. om användningen av ett personregister till någon del hänger samman mednäringsverksamhet. Med näringsidkare avses varje person som yrkesmässigt driververksamhet av ekonomisk art. Till näringsidkare räknas t. ex. fria yrkesutövaresom advokater, arkitekter, fotografer, journalister m .fl. Prop.1981/82:189 55 den som driver verksamhet i mindre skala anses somnäringsidkare, om det yrkesmässiga momentet är uppfyllt. Något vinstsyfte krävsinte. Om en person helt eller delvis använder ett personregisteri sin näringsverksamhet, kan det aldrig vara fråga om att registret används uteslutandeför personligt bruk. Undantagsregeln är då inte tiUämpUg. Detsamma gäller omnågon inrättar eller för ett personregister som till någon del skall användasför hans yrkesverksamhet såsom anställd. Personregistersom används för forskning kan som regel inte anses avsedda uteslutande förpersonligt bruk. Om ansvaret för ett visst forskningsprojekt åvilar enuniversitetsinstitution, är det fråga om verksamhet inom den offentligasektorn. Undantagsbestämmelsen blir då inte tillämplig. Ofta finansieras forskningsprojektav näringsUvet eller av stiftelser e. d. I sådana fall förväntas i regel någonform av resultat som kan användas för publicering eller på annat sätt.