prop · G503189 · 1981-12-31 00:00:00 — Vissa invändningar motdet nuvarande tillståndskravet finns dock från företrädare för forskningen ochdirektreklamverksamheten. Vad gäller datainspektionen har inspektionen bl aframhållit att arbetsbelastningen på personalen varitoroväckande hög. Någon minskning i antalet prövningsärenden kan inte väntas.Datainspektionen anser att nuvarande ordning med tillståndsprövning av varjeenskilt ärende leder till ett "stelbent" utnyttjande av tillgängligaresurser. Det finns anledning att ifrågasätta om inspektionens nuvarande ochframför allt framtida utnyttjande av de knappa personalresurserna verkligen gerdet maximala bidrag till integritetsskyddet som bör eftersträvas. En anpassningtill den växande arbetsbördan kan enligt inspektionen bara ske genomlagändring. För egen del anmärker DALK alt en av datainspektionen, ienlighet med statsmakternas intentioner vid datalagens tillkomst, sedan fleraår planerad väsentlig förskjutning av verksamheten från tillståndsprövning tilltillsynsverksamhet ännu inte kunnat ske. DALK har inte funnit anledning ifrågasättadatainspektionens uppfattning att nuvarande tillståndsförfarande leder till ettstelbent resursutnyttjande, till ryck i arbetsplaneringen och till ett i vissadelar ineffektivt arbete, eftersom större arbetsinsatser ofta måste läggas nedän som motsvaras av personregistrens känslighet från integritetssynpunkt. DALKdelar [också datainspektionens uppfattning att man med oförändrad lagstiftningsannolikt inte kan räkna med någon väsentlig minskning av antalettillståndsärenden . Snarare kan man av flera olika skälförvänta sig en ytterligare ökning. Särskilt torde detta gälla ärenden omändring/utvidgning av personregister. Effekterna för datainspektionens del av datalagen ihittillsvarande lydelse 1981/82:189 74 kan därför enligt DALKs mening, särskilt på grundval av desenaste årens erfarenheter, sammanfattas på följande sätt: Antalet tillståndspliktiga personregister har visat sigvara betydligt större än man ursprungligen räknat med och kommer sannolikt utanlagändring att öka . Nuvarande tillståndskrav har lett till ettstelbent och delvis ineffektivt utnyttjande av tillgängliga personalresurseroch gjort planeringen av arbetet besvärlig. Tillsynsverksamheten, vilken frånintegritetssynpunkt får anses vara lika viktig som tillståndsverksamheten, harpå grund av att största delen av tillgängliga personalresurser måst användasför tillståndsverksamheten, inte kunnat bedrivas i tillnärmelsevis den omfattningsom var avsikten då datalagen kom till. Ett oförändrat regelsystem innebär attde nämnda effekterna kommer att förstärkas ytterligare . 16.9 Behovet av åtgärder på kort sikt Datainspektionen anser att ytterligare en stor del av detformella tillståndskravet möjligt bör upphöra. I en förändrad datalagbör enligt inspektionen en förskjutning ske till förmån förtillsynsverksamheten. Med oförändrade personella resurser skulle inspektionendå kunna upprätthålla det integritetsskydd som statsmakterna avsett mednuvarande lagstiftning. Om den lagändring datainspektionen förordat inte vidtasblir resultatet enUgt inspektionen att rutinärenden inom tillståndsverksamhetenkommer att ta resurser i anspråk som begränsar möjligheten atttillfredsställande pröva personregister, vilka innebär allvarligaintegritetshot. Balansen tillsynsärenden kommer att växa. kommerantalet initiativinspektioner att begränsas ytterligare. Långa väntetider kanleda till att de registeransvariga hellre åsidosätter tillståndsplikten änavvaktar datainspektionens prövning. För lojala registeransvariga kommerövergången till rationell och ekonomisk registrering att försenas. Deregistrerade riskerar att få ett sämre integritetsskydd, dels genom attregister kan komma att föras utan tillstånd, dels genom att många särskiltintegritetshotande personregister inte kan prövas tillräckligt ingående, delsgenom att klagoärenden inte kan handläggas . Enligt DALKs mening bör man undvika ofta återkommandeändringar i datalagen, särskilt med tanke på att lagen innehåller regler avmycket stor betydelse för alla enskilda medborgare och för hela den offentligaoch den enskilda sektorn. Trots detta måste man emellertid beakta attdatainspektionen, mot bakgrund av erfarenheter av datalagen idess gällande lydelse, starkt förordat en väsentlig förskjutning avverksamheten från tillståndsprövning till tillsyn och betonat att DALKsöverväganden om en generell personregisterlag inte kan avvaktas. Denomständigheten att det är datainspektionen som här är initiativtagare talar Prop.1981/82:189 75 självfalletstarkt för att det redan på kort sikt finns ett behov av att förändraverksamheten. DALKhar inte funnit anledning ifrågasätta datainspektionens uppfattning attkonsekvenserna utan förändring av verksamheten skulle bli ett allt sämreintegritetsskydd för de registrerade, alltmer ökade kostnader och andra olägenheterför de registeransvariga och en alltmer ineffektiv och pressandearbetssituation för datainspektionen. Bl a mot denna bakgrund kan DALK anslutasig till uppfattningen att det finns ett så starkt behov av att redan på kortsikt vidta någon form av åtgärder att en eventuell framtida generellpersonregisterlag inte bör avvaktas. 16.10Alternativa åtgärder på kort sikt Enligtdatainspektionen kan ytterligare rationalisering av tillståndsförfarandet inomramen för gällande regelsystem endast leda till marginella vinster. DALK harändå prövat vilka effekterna skulle bli. Detta alternativ kallas härnollalternativet. Nollalternativet blir det referensalternativ mot vilket andraalternativ får vägas. DALKs undersökningar harvisat att möjliga åtgärder inom ramen för nollalternativet är att dels låta ettpar nya gmpper av ärenden, nämligen vissa register för vetenskapligaundersökningar och vissa direktreklamregister, omfattas av s k förenklatansökningsförfarande, dels systematisera och standardisera ansökningshandUngarnai de ärenden som även därefter bUr föremål för tiUståndsprövning från fall tillfall. Såsom dalainspektionen förutskickat skulle dock effekterna förinspektionen och de registeransvariga bli förhållandevis obetydliga. Även närdet gäller de registrerade skulle i stort de negativa konsekvenser av att integöra några ändringar i regelsystemet kvarstå, som datainspektionen pekat på. Deregistrerade skulle riskera att få ett sämre integritetsskydd, bl a genom attmånga särskilt integritetshotande personregister inte kan prövas tillräckligtingående och genom att klagoärenden inte kan handläggas . Enmetod att göra tillsynsverksamheten vid datainspektionen effektivare ärgivetvis att öka personalen. För att nå den fördelning mellan tillstånds- ochtillsynsverksamhet, som var avsedd då datalagen trädde i kraft och somdatainspektionen alltsedan dess strävat efter, skulle sex eller sju nya handläggartjänslerbehövas, liksom förstärkt personaladministration och större lokaler. Desammanlagda kostnaderna för detta skulle översiktligt beräknat bli närmare tvåmiljoner kronor i dagens penningvärde. Trotsväsentligt ökade kostnader skulle dock nuvarande stelbenta och enligtdatainspektionen delvis ineffektiva tillståndsverksamhet kvarstå. Dessutom börframhållas att en förskjutning av den nuvarande tillståndsverksamheten tillförmån för tillsynsverksamheten enligt vad datainspektionen uttalat skulleinnebära att inspektionen med oförändrade personella resurser kan upprätthålladet integritetsskydd som statsmakterna avsett med Prop.1981/82:189 76 Detta talar för att det som behövsinte är mer personal utan en förändring av verksamheten. Datainspektionen har betonat alt en godtagbartillsynsverksamhet förutsätter en radikal förändring av den nuvarandehandläggningen av tillståndsärenden. En åtgärd kan enligt inspektionen varaatt göra ytterligare undantag från nuvarande tillståndskrav, kombinerat mednågon form av anmälningsförfarande och ökad tillsyn. DALK har närmare prövat ett alternativ vilket bygger pådatalagens nuvarande konstruktion med tillståndskravet som huvudregel men medvissa undantag, angivna i 2 § andra och tredje stycketdatalagen. DALK har undersökt om det inom ramen för denna konstruktion går attutvidga undantagen och om de avgränsningsproblem som hittiUs ansetts utgörahinder mot ett sådant alternativ nu kan bemästras. De nya ärendegrupper som kan komma i fråga för undantagfrån tillståndskravet är dels löne- och personalregister, kund- ochleverantörsregister, hyresregister och medlemsregister som omfattas av detförenklade förfarandet, dels vissa vetenskapliga register ochdirektreklamregister. Detta innebär att man i datalagen måste föra inytterligare ett antal regler om undanlag från lillslåndskravel, ulöver deundanlagsregler som redan finns i nuvarande 2 § andra och tredje stycket. Detförutsätter att man i lagen på ett tillräckligt tydligt och uttömmande sätt kanavgränsa de nya undantagen. Sådana försök gjordes redan av . Då ansågs attundantagsreglerna blev både krångliga och svårtolkade. Liknande synpunkterframfördes med anledning av DALKs förslag till nya undantag fråntillståndskravet. Ett anmälningsförfarande förutsätter också kompletterande ochuttömmande anvisningar. Dessutom måste regler finnas för hur anmälningarnaskall hanteras av datainspektionen. Om det skall vara någon mening med ettanmälningsförfarande bör det leda till en enklare hantering hosdatainspektionen än nuvarande tillståndsförfarande. Alternativet skulle, under angivna förutsättningar,medföra vissa positiva effekter för datainspektionen och de registeransvariga.Som DALK och datainspektionen antog skulle effekterna dock blimarginella. Ytterligare en tydlig negativ effekt är att datalagen blirbetydligt mer omfattande och därmed svårare att tolka och överblicka. Alltjämtkvarstår det alltsedan datalagens tillkomst kända problemet att genom olikaundantagsregler för skilda typer av personregister på ett något så när enkeltoch överskådligt sätt precisera vilka register som kräver tillstånd och vilkasom bara kräver anmälan. Med hänsyn till de begränsade effekterna skulle i stortsett samma successiva försämringar för datainspektionen, de registeransvarigaoch de registrerade som vid nollalternativet bli en följd också av det nudiskuterade alternativet. Nollalternativet och ett alternativ som innebärytterligare undantag från det nuvarande tillståndskravet medför alltså enligtDALKs bedömning 1981/82:189 77 betydande negativa effekter för datainspektionen, deregisteransvariga och de registrerade. Effekterna är enligt DALKs mening sådanaatt inte något av dessa båda alternativ kan godtas. Mot alternativet personalökningar mäste invändas att detinnebär betydande kostnadsökningar och bibehållande av en tillståndsverksamhetsom enligt datainspektionen dels är stelbent, dels innebär ett utnyttjande avpersonalresurser som inte ger ett maximalt bidrag till integritetsskyddet.Dessutom innebär personalökningar hos datainspektionen att kostnaderna ochandra konsekvenser av datalagen inte alls kan hållas tillbaka. Effekten blir istället den motsatta. Med hänsyn till det anförda mäste man på annat sätt sökakomma tillrätta med de negativa effekter som nollalternativet innebär för deregistrerade, datainspektionen och de registeransvariga. Detta förutsätter meromfattande ändringar i nuvarande regelsystem. Vid överväganden om den lämpligaste vägen att tillgodosebehovet av åtgärder på kort sikt har DALK bl a tagit fasta på datainspektionensuppfattning att tillståndsverksamheten bör ändras på sådant sätt att denresurskrävande tiUståndsprövningen av varje enskilt personregister kankoncentreras till fall som innebär särskild risk för otillbörligt intrång ipersonUg integritet. Dessa fall måste då genom lagändring avgränsastillräckligt uttömmande i datalagen. Lagändringen måste dessutom utformas undersärskilt beaktande av de olika fördelar från integritetssynpunkt, som dethittillsvarande i princip heltäckande tillståndskravet inneburit. Man börsålunda, i vart faU inte genom åtgärder på kort sikt, avhända sig den överblicköver personregistreringen, den dokumentering och offentlighet beträffandepersonregistreringen och den normgivning när det gäller personregistrens närmareutformning, som det hittillsvarande tillståndkravet inneburit. Omtillståndskravet genom åtgärder på kort sikt begränsas måste därför de nämndaeffekterna tills vidare bibehållas på annat sätt. Avgränsningssvårighelerna kan bemästras genom att i lagendefiniera och avgränsa vilka personregister som bör vara föremål förtillståndsprövning i stället för att, såsom , försöka definiera ochavgränsa vilka personregister som bör vara undantagna från tillståndskravet.Ledning för en sädan ny definition kan bl a hämtas från nuvarandetillståndsbestämmelser i 3, 3 a och 4 §§ datalagen. Dessa bestämmelser angervilka faktorer som är av särskild betydelse vid prövningen av risken förotiUbörligt intrång i personlig integritet. Ett tillståndskrav formulerat enligt denna nya modellskulle medföra att den resurskrävande tillståndsprövningen kan koncentrerastill fall då detta verkligen behövs och därmed märkbart minska resursbehovetför tillståndsprövningen. Detta kan kombineras med vissa ytterligare nya lagreglersom medför bibehållen överblick över och offentlighet beträffande personregistreringensamt tiUräcklig dokumentation och tillräcklig styrning även när det gäUerpersonregister som kommer att falla utanför det nya tillståndskravet. 1981/82:189 78 En ny licens- och registreringsplikt samt vissa nya ochgenerella lagregler för personregistrens utformning, riktade direkt mot allaregisteransvariga, skulle tillgodose kraven i dessa hänseenden. Det nu skisserade alternativet, som här kallas licens- ochtillståndsförfarandet, tillgodoser utan personalökningar behovet av åtgärderpå kort sikt och innebär ett jämfört med nollalternativet bättreintegritetsskydd. Det skisserade alternativet ligger också i linje meddiskussionerna om tänkbar konstmktion av en generell personregisterlag i DALKsdelbetänkande och i tilläggsdirektiven om en generellpersonregisterlag. Det bör därför inte innebära några oönskade bindningar medhänsyn till DALKs fortsatta arbete i den delen. DALKförordar att åtgärder på kort sikt genomförs i form av det här översiktiigtbeskrivna nya Ucens- och tillståndsförfarandet. 16.11 Närmare innebörd av DALKs förslag Det nya Ucens- och tillståndsförfarandet innebär jämförtmed nu gäUande datalag följande principiella ändringar: 1) Ettregistrerings- och licensförfarande införs för alla registeransvariga medundantag endast för enskilda registeransvariga som inrättar personregisteruteslutande för personligt bruk. 2) Tillståndskravetbehålls för sådana typer av personregister som generellt sett innebär särskildarisker för otillbörligt intrång i enskUds personliga integritet. 3) Deregisteransvariga åläggs, med det undantag som sagts under 1, dels att ikontakterna med de registrerade ange att man har licens att förapersonregister, dels att ge in en förteckning över registren till datainspektionen. 4) Deregisteransvarigas nuvarande skyldigheter enligt datalagen kompletteras medvissa generella normer för personregisters utformning; normer som bygger på 3§, 3 a § och 4 § datalagen. Licensen berättigar den registeransvarige att förapersonregister, som inte omfattas av den nya tillståndsplikten. Om denregisteransvarige dessutom vill inrätta och föra tillståndspliktigtpersonregister skall han eller hon, vid sidan av Ucensen, också ha tillstånd ivanlig ordning. Det nya licensförfarandet innebär vidare attdatainspektionen, då licens utfärdas för den registeransvarige, skall tilldeladenne ett licensnummer. 1 samband därmed bör den registeransvarige, påmotsvarande sätt som , också få skriftliga råd och anvisningar fråndatainspektionen om innebörden av datalagen. Licensnumret skall alltid anges påmeddelanden, registerbesked och andra s k utdata, som sänds till deregistrerade från personregister. Därigenom underlättas kontakten mellandatainspektionen, de registeransvariga och de registrerade. Därigenom får deregistrerade också bekräftelse Prop.1981/82:189 79 på att den registeransvarige har licens och står underdatainspektionens tillsyn. Deregisteransvariga skall dessutom till datainspektionen ge in en förteckningöver de personregister, som han eller hon för och som inte kräver särskilttillstånd. Det medför bl a att man bibehåller den överblick och offentlighetbeträffande personregistreringen som det nuvarande s k förenklade förfarandetinnebär. Det börbetonas att det inte är meningen att licensansökningen eller förteckningen överpersonregister formellt eller materiellt skall bli föremål för någon närmareprövning av datainspektionen. Med de syften som ligger bakom licens- ochförteckningsskyldigheten bör den registeransvariges uppgifter kunna godtas utannågon närmare granskning. Kontrollen bör i stället i huvudsak ske genomstickprov i samband med tillsynsverksamheten eller eljest när särskildaomständigheter föranleder närmare granskning. Enskild registeransvarig, som för personregisteruteslutande för personligt bruk, bör undantas från den nya licens- ochförteckningsskyldigheten. För tydlighetens skull bör nämnas att sådanaregisteransvariga, på motsvarande sätt som hittiUs, skall vara underkastadereglerna om den registeransvariges skyldigheter och om datainspektionenstillsyn m m även i fortsättningen. Det nyatillståndskravet innebär att man i datalagen definierar och avgränsar vilkatyper av personregister som bör vara föremål för särskild tUlståndsprövning, istället för att definiera och avgränsa vilka personregister som bör varaundantagna från tillståndskravet. Detta leder tUl att personregister, vilka kännetecknas aven eller flera av följande särskilt integritetskänsliga faktorer, från falltill fall bör vara föremål för tillståndsprövning också i fortsättningen: a) personregisterinnehållande särskilt integritetskänsliga uppgifter enligt 4 § datalagen elleruppgifter som har karaktären av s k mjukdata, b) personregisteromfattande personer som saknar en naturlig anknytning till denregisteransvarige i egenskap av anställda, kunder, medlemmar, hyresgäster ellerannan därmed jämförlig anknytning, c) personregisterinnehållande uppgifter eller personkalegorier som inte stämmer överens medregisterändamålet eller uppgifter som eljest kan vara olämpliga emedan desamlats in för annat ändamål. Det nuvarande tillståndskravet i 2 § datalagen bör alltsåändras i enlighet med detta. Vissa undantag måste dock göras om inte det nyatillståndskravet skall leda till en omotiverad skärpning jämfört med nuläget.Det gäller register vars inrättande beslutats av regeringen eller ,register som förs av enskild uteslutande för personligt bruk, registerinnehållande uppgift om någons politiska eller religiösa uppfattning och somsammanslutning avser att föra beträffande sina egna medlemmar samt vissaregister som förs av myndigheter m fl rörande sjuk- och hälsovården ochsocialomsorgen. Prop.1981/82:189 80 nämnda undantagen bör samlas i en ny paragraf i datalagen. Om tillståndsplikten begränsas upphör i viss mån denstyrning av personregistrens närmare utformning som nuvarande tillståndsbeslutinnebär. En liknande styrning behövs dock även i fortsättningen. Det bör ske genomatt man i datalagen i form av nya generella regler, riktade direkt mot deregisteransvariga, för in de viktigaste av de styrande effekter som nuåstadkoms genom tillståndsbesluten. Tyngdpunkten i de nya reglerna bör vara attalla registeransvariga är skyldiga att beakta, att inrättande och förande avpersonregister alllid skall ske för visst bestämt ändamål under tillbörligthänsynstagande till registrerads personliga integritet. Vad nu sagts innebär att det behövs en ny bestämmelse idatalagen om den registeransvariges skyldigheter. Datainspektionen bör utövatillsyn över att även den nya bestämmelsen efterlevs. Det blir alltsådatainspektionen som genom tillsyn i det enskilda fallet får avgöra om denregisteransvarige brutit mot den nya bestämmelsen och ingripa med särskildaåtgärder enligt 18 § datalagen om det behövs. har cirka 2 000 anmälningar om upphörande avpersonregister enligt 12 § datalagen getts in till datainspektionen.Datainspektionen meddelar nu enligt 12 § särskilda beslut om hur det skallförfaras med registren. Motsvarande föreskrifter bör i form av generella reglertas in i datalagen och göras tillämpliga på alla personregister. Då behövs ifortsättningen inte några individuella beslut av datainspektionen rörandedetta. Vilka effekterna blir av DALKs förslag, mätt i antaletärenden som i fortsättningen kan antas komma in till datainspektionen, beror bla på hur användningen av ADB utvecklas . DALKs förslag tordedock med säkerhet leda till betydligt färre antal ärenden än enhgt nollalternativet. Förslaget innebär administrativa förenklingar även för deregisteransvariga. Väntetiderna på beslut minskas avsevärt. Å andra sidan fårde registeransvariga räkna med ökad tillsynsverksamhet, vilket är ett avsyftena med DALKs förslag. Totalt sett är det därför svårt att bedömaeffekterna för de registeransvariga. Det är dock rimligt att anta att olikalättnader uppstår för flertalet registeransvariga. Framför allt undviker manden alltmer ökade administration och byråkrati som år skulle följa avatt inte nu göra några ändringar i datalagen. Särskilt vid bedömningen av om integritetsskyddet genomDALKs förslag blir bättre, sämre eller oförändrat för de registrerade måste manutgå från effekterna av nollalternativet. Utan lagändringar blir aUtså, somdatainspektionen redovisat närmare, integritetsskyddet allt sämre. DALKsförslag innebär att man reducerar den för datainspektionen resurskrävande individuellatillståndsprövningen till fall, då en sådan prövning kan antas ha störstbetydelse för integritetsskyddet. Man utnyttjar de resurser som frigörs föreffektivare tillståndsprövning från fall till fall, då sådan prövning verk- 1981/82:189 81 ligen är motiverad samt för effektivare tillsyn,information och rådgivning-både till de registeransvariga och till deregistrerade. Man får då, utan personalökningar, den fördelning i stort mellantillstånds- och tUlsynsverksamhet, som redan när datalagen kom till ansågsvara lämpUg. Allt detta medför, särskilt i kombination med övriga åtgärderenligt DALKs förslag, ett bättre integritetsskydd än nollalternativet. I samband med genomförandet av DALKs förslag krävs informationsinsatserfrån datainspektionens sida; riktade såväl till registeransvariga som tillregistrerade. Det är inte uteslutet att särskilda medel behöver anslås fördetta. 16.12 Datainspektionens skrivelse till regeringen den 20november 1980 Datainspektionen har i en särskild skrivelse tUlregeringen diskuterat vissa ytterligare ändringar idatalagen. Dessa gäller dels tillämpningen av lagen på personregister somöverlämnats till arkivmyndighet för förvaring, dels rätten för datainspektionenatt undanta personregister från tillståndskravet, dels möjUgheterna förinspektionen att underlåta att i vissa tillståndsärenden meddela föreskrift omregisterinnehållet enligt 5 § datalagen. DALK har tagit upp också de tre nämnda frågorna idenna promemoria. Datainspektionen har väckt frågorna mot bakgrund av datalageni dess gäUande lydelse. DALKs förslag till nytt Ucens- ochtillståndsförfarande m m medför dock att behovet av åtgärder minskar eller heltbortfaller. DALK delar datainspektionens uppfattning attpersonregister som mottagits av arkivmyndighet för förvaring knappast, så längede förvaras hos arkivmyndigheten enbart för arkivändamål, kan antas innebärarisk för otillbörligt intrång i personUg integritet. Sådana personregisterbehöver därför, oavsett registerinnehållet, inte vara underkastade det nya tillståndskraveller den förteckningsskyldighet DALK har föreslagit. Det räcker med den nyaregistrerings- och licensplikten. Man löser då, utan att integritetsskyddetförsämras, flera praktiska problem som datainspektionen pekat på, somdatalagen på den nu angivna punkten bUr klarare än .