prop · G503189 · 1981-12-31 00:00:00 — Vad jag nu har sagt leder fram till att jag ansluter migtill DALK:s uppfattning att mer genomgripande förändringar i regelsystemetmåste vidtas, om man vill komma till rätta med problemen. Jag delar emellertid också uppfattningen att alltför tätaändringar av regelsystemet bör undvikas. Stabiliteten i rättsreglerna har storbetydelse såväl för de registeransvariga som för de myndigheter, i detta fallfrämst datainspektionen, som skall tillämpa reglerna. Man bör också beakta attnya bestämmelser kräver nya administrativa rutiner o. d., som till en börjankan medföra olägenheter för dem som är berörda. Det är därför väsentUgt att delagändringar som föreslås nu utformas på ett sådant sätt att man kan räkna medatt de passar i det system som man kan skönja i en ev, framtida generellpersonregisterlag, I detta avseende vill jag erinra om vad jag har anfört itilläggsdirektiven till DALK i fråga om en generell personregisterlag (1981 årskommittéberättelse. Del II, s.16). Jag uttalade där att man kunde tänka sig olika kontrollnivåer för olikaregister beroende på vilka risker för integritetsintrång som föreligger. Jagbedömde det som sannolikt att man finner att det för vissa register fortfarandebör krävas tillstånd på förhand, dvs. innan registret inrättas. Det börtroligen gälla t. ex. register som skall innehålla känsliga uppgifter. Det ärmöjligt att också det tilltänkta registrets omfattning eller tekniska utförandekan vara skäl till förhandsgranskning. Kontrollnivån närmast därunder skullekunna bestå i skyldighet att anmäla förekomsten av vissa typer av register förtillsynsmyndigheten. Ytterligare en nivå kan utgöras av register som ärunderkastade vissa aUmänna krav i lagstiftningen och som också får bli föremålför tillsyn och kontroll, även om något krav på förhandsgranskning elleranmälan inte ställs upp, I likhet med DALK anser jag att de lagändringar som börvidtas för att lösa de tidigare nämnda problemen bör ansluta till den modellför integritetsskyddets utformning som skisserats i DALK:s tilläggsdirektiv.Härigenom bör man kunna räkna med att det finns goda förutsättningar för attbestämmelserna åtminstone i stora drag blir bestående även inom ramen för engenerell personregisterlag. 1981/82:189 22 På grund av det anförda tillstyrker jag att bestämmelsernaom tillståndsförfarandet ändras enligt de riktiinjer som DALK har föreslagit.Sådana personregister som är särskilt integritetskänsliga bör sålundafortfarande falla under tillståndsplikten, men för övriga bör det vara tillfyllest med en anmälningsskyldighet. Med detta system kan datainspektionenkoncentrera tillståndsverksamheten till de särskilt känsliga registren.Samtidigt bör en väsentiig del av inspektionens resurser kunna frigöras ochföras över på tillsynsverksamheten. Sammanfattningsvis anser jag alltså att den lösning somDALK har valt bör ligga till grund för en reform av datalagen. 2.2.2 Utformningen av licenssystemet m. m. DALK:s förslag Som jag förut har nämnt föreslår DALK att begränsningen avtillståndsplikten kombineras med en anmälningsskyldighet för alla som villinrätta och föra personregister. Systemet innebär att en registeransvarig skallvara skyldig alt ansöka om licens hos datainspektionen innan han första gångeninrättar ett personregister. En sådan licens berättigar den registeransvarigeatt föra ett eller flera personregister som inte omfattas av tillståndsplikt.En ansökan om Ucens skall vara av enkel beskaffenhet och skall inte bU föremålför någon materiell prövning hos inspektionen. Huvudpunkterna i licenssystemetskall enligt DALK:s förslag tas in i 2 § datalagen, som därmed får ett heltnytt innehåll. Inspektionenskall som anmälan registreras tilldela den registeransvarige ettlicensnummer. Detta nummer skall enligt förslaget alltid anges på meddelanden,registerbesked och andra s. k. utdata som sänds till en registrerad. Därigenomkommer enligt kommittén kontakterna mellan de registrerade, deregisteransvariga och datainspektionen att underlättas. De registrerade kan pådet sättet kontrollera att avsändaren av sådana handlingar har licens och stårunder inspektionens tillsyn. DALK föreslår vidare att alla registeransvariga skall varaskyldiga att till datainspektionen ge in en förteckning över de personregistersom de för och som inte kräver särskilt tillstånd. Syftet med en sådanförteckningsskyldighet är framför aUt att skapa förutsättningar för att manäven i fortsättningen skaU ha överblick över personregistreringens omfattning.Dessutom gör förteckningsskyldigheten det möjligt att följa utvecklingen införöverväganden om en generell personregisterlagstiftning. Den underlättar ocksåplaneringen av inspektionens tillsyn och handläggningen av förfrågningar ochklagomål från allmänheten. En sådan förteckning skall enligt förslagetinnehålla uppgift om a) benämningen påförekommande personregister, b) ändamålet medregistren. 1981/82:189 23 c) bearbetningsställe, d) datainspektionens licensnummer för denregisteransvarige. Förteckningen behöver inte innehålla uppgift om sådanapersonregister som kräver särskilt tillstånd, eftersom dessa ändå kommer tilldatainspektionens kännedom. Inte heller behöver förteckningen omfatta sådanapersonregister för vilka tillstånd har meddelats enligt gällanderegler. Enligt förslaget skall de registeransvariga vara skyldiga att en gångom året ge in en ny förteckning till datainspektionen, om de tidigareuppgifterna har ändrats. DALK harockså övervägt i vad mån man bör göra undantag från anmälningsskyldigheten.DALK erinrar om att vissa register med stöd av 2 § tredje stycket datalagen nuundantas från tillståndsplikten. Det gäller bl. a. register som används förprivat bruk under vissa närmare angivna förutsättningar. Register som omfattasav undantagsregeln är inte föremål för någon form av registrering hosdatainspektionen. Enligt DALK behövs ett liknande undantag även med det nyalicenssystemet om inte detta skall medföra en omotiverad skärpning. Vid sinaöverväganden rörande avgränsningen av ett sådant undantag hänvisar DALK tillvissa uttalanden i tilläggsdirektiven för den generellapersonregisterlagstiftningen. Där uttalas bl. a. att det inte kan komma i frågaatt reglera alla de former av användning av personuppgifter som normaltförekommer i det dagliga umgänget mellan människor, t. ex. i privataanteckningar, adress- eller telefonnummerförteckningar, brev m. m. På dettaområde får allmänna regler om skydd för den personligaintegriteten alltjämt anses vara till fyllest. En lämplig avgränsning av detområde som skall falla under den nya generella personregisterlagstiftningen kantroligen uppnås, om man skiljer mellan användning av personuppgifter förpersonligt bruk'och annan användning. Användningen av personuppgifter förpersonligt bruk i en omfattning som får betecknas som normal med hänsyn tillanvändarens förhållanden bör alltså inte omfattas av en ev. framtidapersonregisterlag. Mot bakgrund bl. a. av dessa uttalanden i direktivenföreslår DALK att enskilda som för personregister uteslutande för personligtbruk helt skall undantas från anmälningsskyldigheten liksom frånförteckningsskyldigheten. Även sådana registeransvariga skall dock liksomhittills vara underkastade datalagens övriga regler om de registeransvarigasskyldigheter och om datainspektionens tillsyn m. m. Några undantag föreslås däremot inte för andra registersom nu omfattas av undantagsregeln i 2 § tredje stycket datalagen. DALKkonstaterar att detta innebär en skärpning beträffande vissa kundregister ochpatientregister som är undantagna från tillståndsplikt med stöd av detangivna lagrummet. DALK anser emellertid detta motiverat med hänsyn till attall personregistrering som sker som ett led i yrkesmässig verksamhet bör vara Prop.1981/82:189 24 föremål för överblick och offentlighet. Vad gäller denärmare praktiska konsekvenserna för de registeransvariga erinrar DALK om attundantagsregeln huvudsakligen är tillämpUg på sådan enklare datalekniskutrustning som i första hand används för annat än personregistrering, t. ex.skrivautomater och kontorsdatorer. I den utsträckning sådan utrustning användsför att föra personregister i datalagens mening torde den registeransvarigeockså ha andra register som förutsätter licens. De praktiska konsekvenserna aven licensplikt i de angivna fallen kan därför antas bli förhållandevis begränsade. Som jag förut har nämnt tillstyrker en stor gruppremissinstanser D ALK:s förslag till åtgärder på kort sikt. Ett mindre antalremissinstanser uttalar särskilt sitt stöd för det föreslagna licenssystemet.Dessa instanser ansluter sig också till DALK:s uppfattning att ett sådantsystem utgör en förutsättning för att man skall kunna behålla överblick och kontrollöver personregistreringen. Flera remissinstanser ställer sig dock tveksammalill den föreslagna ordningen eller avstyrker att ett licenssystem införsenligt DALK:s förslag. De framhåller att systemet är resurskrävande både fördatainspektionen och för de registeransvariga utan att detta motsvaras av någraegentliga vinster ur integritetsskyddssynpunkt. Remissopinionen är i huvudsak negativ beträffandeförslaget om skyldighet att ge in förteckningar över register tilldatainspektionen. Denna skyldighet bedöms av de flesta remissinstansernamedföra kostnader som inte motsvaras av några vinster frånintegritetsskyddssynpunkt. Man menar också att den rationalisering avdatainspektionens verksamhet som åsyftas med reformen i viss mån går förlorad,om den delen av förslaget genomförs. TUI de kritiska remissinstanserna hördatainspektionen som menar att ingivandet av förteckningar inte fyller någonuppgift som utgångspunkt för inspektionens tiUsynsverksamhet. Hanteringen avförteckningarna skulle belasta inspektionens resurser och ge upphov tillonödiga kostnader. Inspektionen föreslår att förteckningsskyldigheten begränsastill en skyldighet för de registeransvariga att upprätta förteckningar och atthålla dem tillgängliga på inspektionens begäran. På det sättet kan enligtinspektionens mening den erforderliga överblicken över personregistreringenbibehållas utan resurskrävande administrativa åtgärder. Även när det gäller skyldigheten att ange licensnummer påutdata-produkter är de flesta remissinstanserna negativa lill kommitténsförslag. Flera remissinstanser hävdar att förslaget kräver omfattande system-och programändringar utan att åtgärderna egentligen är motiverade frånintegritetsskyddssynpunkt. Några anser att DALK närmare borde ha undersökt de ekonomiskakonsekvenserna för de registeransvariga. Ett flertal remissinstanser påpekaratt förslaget medför negativa konsekvenser Prop.1981/82:189 25 när det gäller utdataprodukter som framställs i storomfattning ur register som är relativt ofarliga från integritetsskyddssynpunkt,t. ex. folkbokföringsuppgifter, röstkort, fakturor och räkningar. Fleramyndigheter anser att det i varje fall bör föreskrivas undantag för vissa typerav handlingar eller att regeln bör modifieras på något annat sätt. SCB menar t.ex. att det bör vara tillräckligt att licensnumret framgår av varje försändelsetill den registrerade och inte, som förslaget är utformat, på varje handling.RSV anser att det är mer ändamålsenligt att föreskriva att det i klartext skallframgå från vem en utdataprodukt kommer. I likhet med kommittén och ett flertal remissinstanseranser jag att det föreslagna tillståndssystemet bör kombineras med ettanmälningssystem som i första hand tar sikte på de register som faller utanförtillståndsplikten. Från allmän synpunkt är det angeläget att datainspektionenäven i fortsättningen kan få den överblick över användningen av personregistersom en anmälningsskyldighet för de registeransvariga ger. En sådan ordningutgör också en viktig grund för datainspektionens tillsynsverksamhet. Man kanöverväga olika metoder när det gäller den närmare utformningen av ettlicenssystem. En metod som DALK inte närmare har diskuterat är enanmälningsplikt som är kopplad till resp. register. En sådan ordning har ocksäskisserats i direktiven för en generell personregisterlagstiftning. Det äremellertid tydligt att ett sådant förfarande medför en relativt omfattandeadministration hos datainspektionen som motverkar de rationaliseringsvinstersom är ett av syftena med den föreslagna reformen. Jag anser därför att detalternativet inte bör väljas. EnHgt minmening utgör den ordning som DALK har föreslagit en lämpligare lösning. Jagförordar följaktligen att det i datalagen föreskrivs att en förutsättning föratt någon över huvud taget skall få föra personregister skall vara att den somenligt lagen blir registeransvarig har anmält sig hos datainspektionen och attdenna har utfärdat en licens. Licensen berättigar därefter denregisteransvarige att föra ett eller flera icke tillståndspliktiga register.Inspektionen bör inte göra någon materiell prövning av anmälningen utan endastregistrera de uppgifter som lämnas av den registeransvarige. Som jagnyss har nämnt är det viktigt att man har kvar en möjlighet att skaffa sigöverblick över användningen av personregister i landet. Ett medel attunderlätta detta är att införa en förteckningsskyldighet av det slag somkommittén har föreslagit. Jag tillstyrker för min del förslaget att deregisteransvariga skall vara skyldiga att föra en förteckning över sinaregister och hälla förteckningen aktuell. Däremot kan jag inte ansluta mig till förslaget att detskall införas en skyldighet att ge in förteckningarna till datainspektionen. Prop.1981/82:189 26 med detta innehåll skulle - enligt vad inspektionen självhar framhållit -medföra en omfattande administration hos denna för att hanteraden ingivna dokumentationen utan att detta skulle vara till någon nämnvärdnytta för inspektionens omedelbara verksamhet eller för att tillgodoseintegritetsintressena i övrigt. Jag föreslår sålunda att det införs bestämmelser om attdet hos den registeransvarige skall finnas en aktuell förteckning över depersonregister som han är ansvarig för och att förteckningen skall hållas tillgängligför datainspektionen och på begäran ges in till denna. På detta sätttillgodoses kraven på överblickbarhet och kontroll utan att inspektionen och deregisteransvariga belastas i onödan. Jag vill emellertid betona att detta ståndpunktstagandeinte innebär att jag helt avvisar tanken på att föreskriva en skyldighet för deregisteransvariga att rutinmässigt sända in förteckningar tilldatainspektionen. Skulle det visa sig att den av mig förordade lösningen ledertill olägenheter, är jag självfallet beredd att ompröva min ståndpunkt. Förteckningen bör enligt vad DALK föreslagit endast upptavissa basfakta om registren såsom uppgift om registrets benämning och ändamål,uppgift om lokalen där den automatiska databehandlingen huvudsakligen utförssamt uppgift om numret på den registeransvariges licens hos datainspektionen.Jag återkommer längre fram med ett förslag som innebär att det inte längreskall fordras datainspektionens medgivande för att lämna ut uppgifter till ettland som har bundit sig vid den Europeiska dataskyddskonventionen. Enligt minmening är det emellertid viktigt att man fortsättningsvis behåller kunskapen omi vad mån personuppgifter lämnas ut för automatisk databehandling i utlandet.Med hänsyn härtill förordar jag att också uppgift i detta hänseende skall tasupp i förteckningen. Det ankommer på regeringen att meddela närmareföreskrifter om hur förteckningsskyldigheten skall fullgöras. Tillskillnad från DALK anser jag att dokumentationsskyldigheten bör omfatta såvälregister som är underkastade tillståndsplikt som övriga register. Enligt minmening är det önskvärt att förteckningarna innehåller uppgifter om samtiiga deregister som den registeransvarige för. Detta är särskilt motiverat omförteckningarna inte skall ges in till inspektionen, och det torde inteinnebära något större besvär för de registeransvariga. När det gäller förslaget om skyldighet att angelicensnummer på utdataprodukter har jag förståelse för den kritik som harframförts under remissbehandlingen av ett flertal remissinstanser. En sådanskyldighet skulle i många fall inte fylla någon meningsfull uppgift utansnarast te sig som en onödig byråkratisk belastning. Dessutom skulle den ivarje fall på kort sikt medföra kostnader för många registeransvariga. Jag villockså peka på att någon motsvarande bestämmelse inte har funnits tidigare ochatt detta såvitt känt inte har inneburit några olägenheter. Prop.1981/82:189 27 En skyldighet att ange licensnummer förefaller onödigockså av den anledningen att den registeransvariges namn och adress i de flestafall framgår av de handlingar som sänds till den registrerade. Därigenom uppnåsi stor utsträckning det syfte som ligger bakom DALK:s förslag om licensnummer.Enligt min mening måste det från den registrerades synpunkt vara bättre attavsändarens namn anges i klartext på handlingarna än att de innehåller uppgiftom ett licensnummer hos datainspektionen. Jag föreslår därför att enbestämmelse om skyldighet för den registeransvarige att lämna upplysning omavsändare till den registrerade tas in i datalagen i stället för den regel somDALK har föreslagit. Man kan räkna med att flertalet registeransvariga redan nuuppfyller detta krav, varför endast mycket begränsade kostnader torde åsamkasde registeransvariga med anledning av bestämmelsen. Man kan emellertid inte utesluta att det i vissa fall kanvara lämpligare att den registeransvarige på sina utdataproduker angerlicensnumret hos datainspektionen i stället för namn och adress. Jag anserdärför att den registeransvarige bör ha möjlighet att i stället för uppgift omvem som är avsändare ange sitt licensnummer. I detta sammanhang vill jag ta upp en annan fråga som jaganser mera angelägen än den huruvida licensnummer skall anges påutdataprodukter. Enligt min erfarenhet är det ett ständigt återkommandeklagomål från enskilda som anser sig ha blivit utsatta för "fel idatorn" att de har svårt att komma i kontakt med rätt person hos denmyndighet eller det företag som för . Det borde därför vara avstort värde, om det på utdataprodukter av olika slag anges telefonnumret tillden enhet eller den tjänsteman som handlägger frågan eller som annars kan lämnaupplysningar i saken. Jag är inte främmande för att man bör införa enskyldighet för de registeransvariga att på detta sätt lämna uppgift omtelefonnummer till den berörda handläggaren. I avsaknad av uppgifter omkonsekvenserna för de registeransvariga av ett sådant förslag -remissbehandling torde vara erforderlig - anser jag mig emellertid inte hatillräcklig grund för att nu föreslå regler om en sådan skyldighet. Man kanemellertid utgå ifrån att DALK uppmärksammar denna fråga inom ramen för sinadirektiv. Jag ansluter mig till DALK:s förslag att register som försuteslutande av enskilda för personligt bruk bör undantas frånanmälningsskyldigheten liksom från tillståndsplikten, i enlighet med deöverväganden som har redovisats i direktiven om den generellapersonregisterlagstiftningen. Inte minst av praktiska skäl är det olämpligt attföreskriva licensskyldighet för sådana register. De torde knappast medföranågra större integritetsrisker. Om integritetskränkningar i något fall skulleuppkomma, bör man kunna komma till rätta med dem med stöd av datalagens regleri övrigt. Jag tillstyrker alltså förslaget att datainspektionen ocksåfortsättningsvis skall ha tillsyn även över dessa register och vid behov kunnaingripa med föreskrifter o.d. 1981/82:189 28 2.2.3 Det nya tiUståndskravet DALK:s förslag Jag har tidigare redovisat de allmänna principerna för enreform av datalagen. En väsentlig beståndsdel i det nya system som DALK harförordat är att endast de register som på oUka grunder kan anses som särskiltkänsliga ur integritetsskyddssynpunkt bör bli föremål för tillståndsprövning avdatainspektionen. Jag har förklarat att jag i princip ansluter mig till dennalösning. Detta förutsätter emellertid att man i datalagen på ett ändamålsenligtsätt kan avgränsa de register som fortfarande bör prövas. Om denna gräns drasför snävt, uppkommer otvivelaktigt risker för intrång i den personligaintegriteten. Om å andra sidan området för tillståndsprövning blir föromfattande, kommer de effektivitetsvinster som är ett viktigt syfte medreformen att gå förlorade. Detta kan också medföra alt integritetsskyddet ipraktiken försvagas. Vid sin bedömning av vilka personregister som ifortsättningen bör vara underkastade krav på tillstånd har DALK utgått från denuvarande tillståndsbestämmelserna i datalagen, framför allt bestämmelserna i3, 3 a, 4 och 6§§, där det anges vilka faktorer som är av särskild betydelsevid prövningen av om det föreligger risk för integritetsintrång. Enligt DALK ärföljande faktorer av särskild betydelse. En viktigfaktor är arten av information. Det kan av den enskilde uppfattas som ettpåtagligt intrång att uppgifter registreras om sådant som begångna brott ellermisstankar om brott, ådömda påföljder eller tvångsåtgärder inomnykterhetsvårdens, barnavårdens eller den psykiatriska vårdens ram. Detsammagäller ofta uppgifter om genomgångna sjukdomar, mottagen socialhjälp ochliknande. Det är här fråga om fakta eller misstankar som det är ofrånkomligtatt framför allt vissa myndigheter måste registrera för att kunna fylla sinauppgifter men som från den enskildes synpunkt uppfattas som så ömtåliga attsärskilda åtgärder är påkallade för att informationen inte skall spridas ividare kretsar. Andra exempel på ömtåliga uppgifter är uppgifter om åsikter ipolitiska och religiösa frågor samt värderingar i form av betyg o. d. Det ärhär, enligt DALK:s mening, fråga om uppgifter som omfattas av bestämmelsernai 4 § och 6 § andra stycket datalagen. DALK framhåller att också andra uppgifter än de nu nämndakan vara ömtåliga, t. ex. uppgifter om medlemskap i en viss grupp eller om enpersons ekonomiska ställning. Registrering av sådana uppgifter kan dock, anserkommittén, vara godtagbar, om den utgör ett naturligt led inom ramen för ennormal kontakt mellan den registeransvarige och den registrerade, t, ex. i ettkundförhållande. DALK påpekar vidare att det ofta kan uppfattas somotillbörligt att uppgifter används i ett helt annat sammanhang än som varitavsikten från början. Uppgifter som har samlats in för ett visst bestämtändamål bör enligt DALK i princip inte få utnyttjas för andra syften. 1981/82:189 29 Enligt kommittén är det också av särskild betydelse hurstor mängd information som samlas på ett ställe. Varje enskild person bör medfog kunna kräva att ingen myndighet eller annan har en fullständig kunskap omhonom. Detta kan också uttryckas på det sättet att personregister inte börinnehålla uppgifter om andra personer än sådana som har en naturlig anknytningtill den registeransvarige i egenskap av medlemmar, anställda, kunder e. d.Avgörande för graden av känslighet är alltså även här huruvida uppgifternaregistreras som ett led i ett naturligt förhållande mellan denregisteransvarige och den registrerade eller inte, dvs. i vad mån denregistrerade har rimliga möjligheter att förutse registreringen. Om denregisteransvarige avser att registrera fler personer eller fler uppgifter omvarje person än som behövs för registerändamålet, måste det enligt DALK ansesinnebära risk för otillbörligt intrång i personlig integritet. En annan faktor som bör beaktas är den enskildes uttaladeeller förmodade inställning till en registrering. Man kan av olika skäl inteställa upp krav på medgivande från den enskildes sida i varje särskilt fall.Man får utgå från att den enskilde är beredd att godta t. ex. sådanregistrering som sker i enlighet med beslut av regeringen eller riksdagen.Detsamma gäller annan registrering som sker med stöd av lag eller annanförfattning eller som utgör en naturlig del av den enskildes mellanhavanden medden registeransvarige, t. ex. i ett kundförhållande, ett hyresförhållandeeller ett medlemsförhållande, dvs. i sådana fall där registreringen ärförutsebar och överbUckbar för den enskilde.