prop · GA03116 · 1986-12-31 00:00:00 — Regeringens proposition 1986/87:116 om ändring i datalagen Regeringenföreslår att anta det förslag som har tagits upp i bifogade utdrag urregeringsprotokollet . Ipropositionen föreslås ändringar i datalagen (1973:289) i syfte att stärka skyddetför den enskildes integritet. Den registeransvarige blir i ökad utsträckningskyldig att rätta felaktiga uppgifter i ett personregister. Denregisteransvarige blir också skyldig att utse en eller flera kontaktpersoner somskall bistå de registrerade vid misstanke om att en personuppgift är felaktig.Vid dataintrång och annat brott som avses i datalagen skall den som har begåttbrottet vara skyldig att betala skadestånd även för s. k. ideell skada. De nyareglerna föreslås träda i kraft . Förslag till Prop. Lag om ändring i datalagen (1973:289) Härigenom föreskrivs att 6, 8 och 23 §§ datalagen(1973:289)' skall ha följande lydelse. Nuvarande lyddse Föreslagen lydelse 6S Lämnas tillstånd till inrättande och förande avpersonregister, skall datainspektionen, i den mån det behövs för atl förebyggarisk för otillbörligt intrång i personlig integritet, meddela föreskrift om 1. inhämtande avuppgifter för personregistret, 2. vilkapersonuppgifter som får ingå i personregistret, 3. utförandet avden automatiska databehandlingen, 4. den tekniskautrustningen, 5. debearbetningar av personuppgifterna i registret som får göras med automatiskdatabehandling, 6. underrättelsetill berörda personer, 7. depersonuppgifter som får göras tillgängliga, 8. utlämnande ochannan användning av personuppgift, 9. bevarande ochgallring av personuppgifter, 10. kontrolloch säkerhet. 10. kontroll och säkerhet, rättelse och andra åtgärder i fråga om oriktiga ochmissvisande uppgifter. Vid bedömandet av om föreskrift behövs skall särskiltbeaktas huruvida registret innehåller personuppgift som utgör omdöme ellerannan värderande upplysning om den registrerade. rörande utlämnande av personuppgift får ickeinskränka myndighels skyldigheter enligt tryckfrihetsförordningen. 8S Förekommer anledning till miss- Förekommer anledning till miss tanke att personuppgift som ingår i tanke att en personuppgift som in- personregister är oriktig, skall den går i ett personregister är oriktig registeransvarige utan dröjsmål vid- eller missvisande, skall den register- taga skäliga åtgärder för att utröna ansvarige utan dröjsmål/orera 50- uppgiftens riktighet och, om skäl lig utredning. En oriktig eller miss- föreligger, rätta den eller utesluta visande uppgift skall rättas, ändras den ur registret. eller utestutas, om det inte saknas anledning att anta atl otUlbörligt intrång i denregistrerades personUga integrUet skall uppkomma. Har uppgift som rättas ellerutes- Har en uppgift som rättas, änd-lutes, lämnats ut till annan änden ras eller utesluts lämnats ut till /lä-registrerade, skall denregisterans- gon annan än den registrerade, varige på begäran av denregistre- skall den registeransvarige under-rade underrätta mottagaren omrät- rätta mottagaren om rättelsen, änd-telsen eller uteslutningen. Förelig- ringen eller uteslutningen, om den ger särskilda skäl, får dock dalain- registreradebegär det eller om det Lagen omtryckt 1982:446. spektionen befria den regisleran-svarige från sådanunderrättelseskyldighet. föreligger risk för otUlbörligt intrång i personligintegritet. En registrerad som har anmält en misstanke om atl enpersonuppgift är oriklig eUer missvisande skall underrättas om vUken åtgärdanmälan föranleder. Den registeransvarige skall utse en eller fiera personersom skall bistå de registrerade vid misstanke om oriklig eller missvisande personuppgiftoch som skall lämna underrättelse enligl tredje styckel. Cppgift om vem somhar utsetts skall hållas tillgänglig för allmänheten. Bestämmelsernai denna paragraf gäller inle register som har överlämnats till enarkivmyndighet förförvaring. Dalainspektionen får befria en registeransvarigfrån skyldighet enligl paragrafen. Omregistrerad tillfogas skada genom att personregister innehåller orikliguppgift om honom, skall den registeransvarige ersätta skadan. Vid bedömande omoch i vad mån skada har uppstått läges hänsyn även tUl lidande och andra omständigheterav annan än rent ekonomisk betydelse. Om registrerad tillfogas skada genom att personregisterinnehåller oriktig eUer missvisande uppgift om honom, skall denregisteransvarige ersätta skadan. Om någon tillfogas skada genom brott som avses i 20 §första styckel eller 21 §, skall den som har gjort sig skyldig till brottetersätta skadan. Vid bedömande om och i vad mån skada enligt första ellerandra Slycket har uppstått skall hänsyn även tas tUl lidande och andra omständigheterav annan än rent ekonomisk betydelse. Denna lag träder i kraft den . ,tl 1986/87. Utdragur protokoll vid regeringssammanträde Närvarande;statsministern , ordförande, och statsråden , , ,, S. , , , , , , ,, , , G. , Lönnqvist Proposition om ändring i datalagen 1 Inledning (Ju 1984:06, DOK) tillkallades är 1984 för attutreda användningen av personnummer inom den offentliga och den enskildasektorn. Kommittén fick i tilläggsdirektiv uppdrag att utreda deproblem som är förenade med offentlighetsprincipens tillämpning på ADB-upptagningar. DOK(kammarrättspresidenten , f. d. riksdagsledamoten ,riksdagsledamoten , ombudsmannen ,riksdagsledamöterna ) avlämnade delbetänkandel (SOU1986:24) Integritetsskyddet i informationssamhället I. I betänkandet föreslåsdels ändringar i data- och skadeståndslagstiftningen som gäller rättelse av feli personregister samt skadestånd vid fel i personregister och vid brott motdatalagen dels en ändring i sekretesslagstiftningen som gäller patientuppgifteri personregister. Jagskall i del följande ta upp de frågor om rättelse av fel i personregister ochom skadestånd vid brott mot datalagen som behandlas i betänkandet och somkräver lagstiftningsbeslul av . DOK:s förslag om ändring isekretesslagen bör däremot lämpligen tas upp tillsammans med förslag till vissaandra ändringar i sekretesslagen, som f n. förbereds inom justitiedepartementet,bl.a. på grundval av DOK:s belänkande (SOU 1986:46) Inlegritetsskyddet iinformationssamhället 2. Tillprotokollet bör som bilaga I fogas utredningens sammanfattning av sillbetänkande i de delar som skall behandlas . Utredningenslagförslag i dessa delar bör fogas till protokollet som bilaga 2. En förteckning över remissinstanserna bör fogas tillprotokollet som bilaga 3. En sammanställning över remissyttrandena harupprättats inom och finns tillgänglig i lagstiftningsärendet(875-86). Regeringenbeslutade att inhämta lagrådels yttrande över förslag till lagom ändring i datalagen. Det till lagrådet remitterade förslagelöverensstämmer med lagförslaget i propositionen. Lagrådet har i Prop.1986/87:116 sitt yUrande. som bör bifogas protokollet som /k/ bilaga 4, /-k/inte haft någon erinran mol förslagel. 2.1 Mina allmänna utgångspunkter Datateknikens utveckling och användning påverkar på mångasätt de nuvarande och framtida förhållandena i del svenska samhället. Till deviktigaste frågorna hör otvivelakligl de som gäller integritetsskydd förenskilda personer på området. Dessa frågor uppmärksammades också särskilt närriksdagen på grundval av prop. 1984/85:220 fastställde riktlinjer för denframtida dalapolitiken (FiU 1985/86:5, rskr. Själv gav jag i den angivna propositionen (s. 39 ff.) enöversikt över hur iniegritetsfrågorna har utvecklats på dataområdet. Jagredovisade också (s. 38 f) del initiativ som regeringen tog i början av 1985och som ledde till all datainspektionen meddelade allmänna råd tillmyndigheterna i fräga om rättelser i deras register för automatisk databehandling(ADB). 1 enlighet med vad som anförde? i propositionen har enstatsrådsgrupp för långsiktiga och övergripande dalafrågor bildats, i vilkenbl. a. jag ingår. Till denna statsrådsgrupp är knutna en samrådsgrupp försårbarhetsfrågor på ADB-området och en referensgrupp för datafrågor. Bland defrågor som statsrådsgruppen och referensgruppen skall ägna sig ål ulgörintegritetsskyddsfrågorna en viktig del. 1 det jag nu har sagt ligger att regeringen tillmäterfrågan om skydd för den personliga integriteten stor vikt på dataområdet ochföljer utvecklingen med stor uppmärksamhet. Det är angeläget att ha en högberedskap så atl åtgärder vid behov snabbi kan vidtas för att förbättraintegritetsskyddet och komma till rätta med eventuella missförhållanden påområdet. Ett uttryck för denna ambition är alt DOK tillkallades med uppdrag attse över personnummeranvändningen i samhället. Också det utvidgade uppdrag somDOK senare har fått rör bl. Anledningen till alt integritetsfrågorna har sådan vikt påADB-området är att vår förmåga att skydda den personliga integriteten är avavgörande betydelse för utvecklingen på området. En grundförutsättning för attden nya tekniken skall kunna utnyttjas så att dess fördelar kan tas till varaär att medborgarna kan följa och påverka utvecklingen och att de inte kännerfrämlingsskap och upplever tekniken som ett hot. Del är givet alt medborgarnafår svårt att hysa förtroende för en teknik, om de anser att denna hotar deraspersonliga integritet. Del är mot den bakgrund som jag nu har angett som jagbehandlar DOK:s förslag om rättelse vid fel i personregister och om skadestånd.Förslagen innebär skärpningar på integritetsskyddets område och har i det storahela mottagits gynnsamt av remissinstanserna. Jag vill redan här anmäla att jagdelar uppfattningen att kommittéförslaget kan läggas till grund för sådanaändringar och att lagstiftningen bör ändras så att skyddet för denenskildes personliga integritet förbättras i de här berörda hänseendena. Jag villockså erinra om att de nu aktuella förslagen bara är det första resultatet av DOK:sarbete och att jag avser atl i samma anda som pröva också senare förslag på integriteisskyddeisområde. Det äralltså nu frågan om en av flera etapper i det arbete på att stärka skyddet förden personliga integriteten som har satts igång. Enligt min mening är del interealistiskt alt räkna med atl man i ett slag kan förbättra integritetsskyddetgenom någon eller nägra stora reformer, utan man måste arbeta stegvis medåtgärder som kan te sig ganska begränsade, om man ser dem var för sig. Deändringar i datalagen somjag förordar i det följande utgör ett sådant steg påvägen mot etl bättre inlegritelsskydd. 2.2 Rättelse av fel i personregister Mitt förslag: Hos den som är registeransvarig för ettpersonregister skall det finnas en eller flera befattningshavare(kontaktpersoner), som bistår en registrerad vid misstanke om atl enpersonuppgift är oriktig eller missvisande. Kontaktpersonerna skall också svaraför att registrerade som anmält fel i personregistret får underrättelse omvilken åtgärd anmälan föranleder från den registeransvariges sida. Den registeransvariges skyldighet att utreda och rättafelaktiga registeruppgifter preciseras och skärps. Presumtionen skall vara atten oriktig eller missvisande uppgift skall rättas. Dessutom skärps skyldighetenatt sända underrättelse om företagen rättelse till den som den felaktigauppgiften har lämnats ut till. Reglerna om rättelse skall inte gälla register som haröverlämnats till en arkivmyndighet för förvaring. Datainspektionen skall iundantagsfall kunna befria också en annan registeransvarig från rättelseskyldighet. Datainspektionen skall kunna meddela föreskrifter omtillämpningen av reglerna om rättelse av oriktig eller missvisande uppgift. DOK:s förslag ligger i linje med mitt förslag men skiljersig från detta i främst följande avseenden: Kontaktpersonen benämnsdataansvarig och har vissa andra uppgifter än enligt mitt förslag. Kraven påatt den registeransvarige skall rätta en personuppgift är olika beroende på omuppgiften är oriktig eller missvisande. En oriktig uppgift skall alllid rättasoch en uppgift som är missvisande utan att vara oriktig skall rättas om det ärmotiverat av integritetsskäl. Datainspektionen kan inte befria en registeransvarigfrån rättelseskyldighet. Inte heller kan datainspektionen meddela någon särskildföreskrift om tillämpningen av reglerna om rättelse. Remissinstanserna: Förslaget om dataansvarig tillstyrks avde flesta remissinstanser. Några har dock synpunkter pä detaljer, bl. a.benämningen "dataansvarig". En del instanser anser att ansvarsfördelningenmellan den registeransvarigeoch den dalaansvarige är oklar eller atl en dataansvarig Prop. 1986/87; 116bara behövs för vissa slag av register. Alla remissinstanser som uttalat sig om obligatorisk rättelseav oriktiga uppgifter är positiva till förslaget. Några menar dock atlnuvarande ordning bör behållas för vissa slag av register, t. ex.forskningsregister, staii-stikregister och kortvariga register. Förslaget om villkoriigrättelse av missvisande uppgifter tillstyrks av de flesta instanser. JK ochdatainspektionen önskar gå längre än förslaget när det gäller skyldighet atträtta missvisande uppgifter, medan de tre kredilupplysningsföretag som ingårbland remissinstanserna är starkt kritiska. Del förekommer olika åsikter om detinnebär en verklig eller bara en terminologisk nyhet alt föra in begreppet"missvisande uppgift" i lagen. De flesta som uttalat sig om obligatorisk underrättelse omrättelse av uppgift är positiva till förslaget. JK, datainspektionen och LOförordar en längre gående underrättelseskyldighet. Inget remissorgan motsätter sig ett undantag från reglernaom rättelse såvitt gäller register som har överlämnats lill arkivmyndighet.Några påpekar atl begreppet arkivmyndighet i regel inle omfattar kommunalaarkiv. Skälen för mitt förslag: Datalagen (1973:289, omtryckt1982:446, ändrad senast 1986:1323) syftar till alt skydda den enskilde motsådant intrång i den personliga integriteten som kan bli följden av atlpersonuppgifter registreras med hjälp av ADB. Lagens regler innebär bl. a. attvissa särskilt integritetskänsliga personregister får inrättas endast eftertillstånd av datainspektionen eller genom beslut av statsmakterna. För övrigapersonregister utom sädana som en enskild inrättar eller för uteslutande förpersonligt bruk krävs enbart anmälan till datainspektionen som utfärdar ettsärskilt bevis om anmälningen (licens). Datainspektionen utövar tillsyn över alla personregisteroch kan meddela föreskrifter för registren om det behövs för att förebyggaotillbörligt integritetsinträng. Föreskrifterna kan beslutas antingen i sambandmed ett tillslåndsbeslut eller som ett led i datainspektionenstillsynsverksamhet. Lagen innehåller dessutom allmänna regler om bl. a.skyldighet att rätta oriktiga uppgifter i personregister och omregisteransvarigas skadestånds-skyldighet. Med registeransvarig menas den förvars verksamhet registret förs, om han förfogar över registret. Den registeransvarigekan vara en fysisk eller en juridisk person eller en myndighet. Reglerna om rättelse av personuppgifter finns i 8 §datalagen. Reglerna gäller för alla register, alltså även dem som inte krävertillstånd för att inrättas. Reglerna innebär följande. Om del finns anledningatt misstänka att en personuppgift i ett personregister är oriktig, skall denregisteransvarige utan dröjsmål vidta skäliga åtgärder för att ta reda på omuppgiften är riktig. Om det föreligger skäl, skall den registeransvarige rätta uppgifteneller utesluta den ur registret. Har en uppgift som rättas eller uteslutslämnats ut till någon annan än den registrerade, skall den registeransvarige påbegäran av den registrerade underrätta mottagaren om rättelsen elleruteslutningen. Datainspektionen får dock befria den registeransvarige frånunderrättelseskyldigheten om det föreligger särskilda skäl. Om en registeransvarig inte uppfyller de skyldigheter somåvilar honom 7 n 1986/87. enligtlagen i fråga om t. ex. rättelse av oriktiga uppgifter kan datainspek- Prop.1986/87:116 tionen som nämnts besluta föreskrifter av visst slag (18 § förstastycket datalagen). Inspektionen har vidare som nämnts på uppdrag av regeringenutfärdat allmänna råd för myndigheter vid tillämpningen av 8 § datalagen (sebilaga 6 i DOK;s betänkande). Datalagen innehåller således regler för alt förebygga atlpersonuppgifter, som visar sig vara oriktiga, står kvar i register och vållarotillbörligt intrång i den personliga integriteten. Reglernas tillämpning ipraktiken har dock visat sig vara förenad med en del problem. Erfarenheter fråndatainspektionen, JO och JK ger vid handen att de registeransvariga intesällan saknar tillfredsställande rättelserutiner. Del kan vara svårt att snabbtoch enkelt få en rättelse till stånd när ett fel har upptäckts. Genom attuppgifter i vissa fall överförs från ett register till ett annat kan enfelaktighet i ett register få svåröverblickbara återverkningar i andraregister. Bristerna har påpekats av såväl datainspektionen som JO. Jag instämmer i DOK:s bedömning att de påtalade bristernai fråga om rättelseförfarandel bör åtgärdas genom att datalagens regler påområdet skärps på flera punkter. Jag behandlar de olika delfrågorna var för signär jag i del följande närmare redovisar mina förslag till ändringar i reglernai dalalagen om rättelse av personuppgifter. Personuppgifter av integritetskänsligt slag förekommersärskilt i personregister som förs av vissa stora bolag och myndigheter. Fören enskild som misstänker att en uppgift om honom är felaktig kan det varasvårt att orientera sig inom den registeransvariges organisation och att vetavilken enhet eller vilka befattningshavare som misstanken bör anmälas till. Attdel i praktiken kan vara svårt för enskilda att få kontakt med rätt person hosden registeransvarige har också visat sig i datainspektionens verksamhet.Svårigheterna kan leda till att den enskildes felanmälan inte blir behandlad påetl godtagbart sätt eller att den enskilde helt enkelt avstår från att anmäladel misstänkta felet. Förhållandena uppmärksammades i elt tidigarelagstiftningsärende avseende datalagen. Föredragande statsrådet anförde därvidatl del borde vara av stort värde, om den registeransvarige på utdrag från ettdataregister angav telefonnummer till den enhet eller den tjänsteman somhandlade den aktuella frågan eller kunde lämna upplysningar i saken (prop.1981/82; 189 s. 27). Någon särskild regel om detta togs dock inte in i lagen,bl. a. därför atl saken inte ansågs vara tillräckligt utredd. Uppenbarligen harmotivuttalandena inte lett till all förhållandena förbättrats på någotavgörande sätt i praktiken. Enligl min bedömning är svårigheterna för den enskilde attfå tag på rätt person vid felanmälan den kanske största praktiska olägenheten med nuva rande ordning i fråga om rättelse av personuppgifter. Jag anser att tiden nu är mogen att genom lagstiftning undanröja dessa svårigheter. En register ansvarig bör i fortsättningen vara skyldig att ha en eller flera kontaktper soner, till vilka de enskilda kan vända sig med misstankar om fel i registret. Denenskilde skall alltså inte behöva råka ut för att hänvisas från person lill Prop. 1986/87:116 person, utan skall direki kunna fä besked om vem som har handom felanmälningar i fråga om ett vissl register. Kontaktpersonen bör inteendast fungera som en passiv mottagare av felanmälningar utan bör på ett aktivtsätt bistå den enskilde med råd och upplysningar. Inget bör hindra att en registeransvarig, som är en fysiskperson, själv fungerar som kontaktperson. Det vanliga torde dock bli att denregisteransvarige utser nägon eller några av sina anställda tillkontaktpersoner. Det är angeläget att den registeransvarige därvid väljerpersoner med sådana kunskaper på området och en sådan ställning inomorganisationen, att de kan bistå de enskilda med tillräcklig kraft ochauktoritet. Bäst är givetvis om en kontaktperson själv har befogenhet attbesluta om atl rätta eller på annat sätt åtgärda fel som upptäcks. Attgenerellt kräva sådana befogenheter för kontaktpersonen skulle dock föra förlångt. Förhållandena hos olika myndigheter, företag och andraregisteransvariga är så varierande att man bör undvika generella regleringar avrent interna förhållanden. Om en viss befattningshavare har till uppgift att självföra registret bör det i regel vara lämpligt att den befattningshavaren ärkontaktperson. Den ordningen torde bli det vanliga hos åtskilliga smärreföretag och föreningar. Hos myndigheter torde det i regel vara lämpligt attanförtro kontaktpersonens uppgifter ål den eller de befattningshavare somsvarar för att lämna allmänheten upplysningar om myndighetens ADB-register (jfr8 § allmänna verksstadgan 1965:600, 8 § ändrad senast 1982:274). För vissa register finns flera gemensamtregisteransvariga. Ett exempel på detta är det statliga löneuträkningssystemet SLÖR,för vilket statens löne- och pensionsverk är registeransvarig tillsammans medde myndigheter som är anslutna till systemet. I sådana fall kan det iblandvara lämpligt att de registeransvariga enas om atl använda sig av en ellerflera gemensamma kontaktmän, som utses av de registeransvariga. Särskilt isystem där registeransvariga saknar terminalanslutning kan en sådan ordningvara naturiig. Med hänsyn till de varierande förhållandena som råder hosolika registeransvariga är det enligt min mening lämpligt att gedatainspektionen befogenhet atl vid behov meddela föreskrifter förtillämpningen av reglerna om kontaktperson. Eftersom sådana föreskriftermeddelas individuellt för resp. register kan de utformas på det sätt som ärlämpligast med hänsyn till förhållandena i del särskilda fallet. Föreskrifternabör alltså kunna avse l.ex. en kontaktpersons befogenheter att besluta om ellerövervaka rättelse eller andra åtgärder eller om ansvarsfördelning mellan olikakontaktpersoner. Datainspektionen bör vidare ha möjlighet att meddelaföreskrifter om rutiner i övrigl i fråga om rättelse av felaktigapersonuppgifter. På en punkt anser jag att man direkt i dalatagen börbestämma en viss befogenhet för kontaktpersonerna. Det gäller ansvaret för attden registrerade får besked om vilka åtgärder som har vidtagits med anledningav hans eller hennes felanmälan. Jag går över till den frågan. Datalagen innehåller ingen regel om att denregisteransvarige skall underrätta den registrerade om atl en registeruppgift som rör honom eller 9 I lagmotiven förutsattes att den registeransvarige i de fall Prop.1986/87:116 en rättelse rör en omständighet som är av betydelse urintegritetssynpunkt självmant skulle upplysa den registrerade om rättelsen såatt denne kan kräva att mottagare av den felaktiga uppgiften också underrättas (prop.1973:33 s. 134). Det finns dock ingen undersökning om i vilken mån de registeransvarigarättar sig efter motivuttalandet. Enligt DOK;s bedömning är det troligt attpersonuppgifter då och då rättas utan att den registrerade får besked omdetta. Datainspektionen har i sitt remissyttrande anfört att en regel omunderrättelseskyldighet av detta slag bör tas in i datalagen. Jagdelar datainspektionens uppfattning. En registrerad som vänt sig till denregisteransvarige med en misstanke om att en uppgift om honom är felaktig harsjälvfallet ett berättigat krav på att få underrättelse om vilken åtgärd hansanmälan föranleder. Jag föreslår därför att man i datalagen tar in en regel omatt den registeransvarige i dessa fall har skyldighet att lämna underrättelsetill den registrerade. Idetta underrättelseförfarande bör kontaktpersonerna kunna ha en naturlig roll.Kontaktpersonerna kommer, enligt den ordning jag föreslagit, att ta emotde flesta felanmälningarna från enskilda. I arbetsuppgifterna ingår också attpå ett aktivt sätt ge råd och upplysningar till de enskilda. Det ligger i linjemed detta att också ålägga kontaktpersonerna att underrätta de enskilda somanmält misstanke om fel om vilken åtgärd anmälan föranleder. Den föreslagnaregeln i datalagen om kontaktpersoner bör därför kompletteras med en föreskriftom att en kontaktperson lämnar den enskilde en sådan underrättelse. Genom dettaåliggande får kontaktpersonen anledning att följa den fortsatta handläggningenav en felanmälan som han tagit emot, även om han inte har befogenhet attbesluta om rättelse.