prop · GB0365 · 1987-12-31 00:00:00 — Därmedavses den för vars verksamhet personregistret förs, om han förfogar över det.Definitionen utesluter bl, a, den som använder sig av ett register utan attkunna bestämma dess innehåll (prop, 1973:33 s, 119), Registeransvarig för ettregister av nu aktuellt slag torde i regel vara den som revisionen utförs hos.Däremot medför inte de bearbetningar som granskaren utför med registret att haneller den myndighet han tjänstgör vid blir att anse som registeransvarig. Detta innebär bl, a, att reglerna i 2-5 §§ datalagen omtillstånd och licens för vissa register m, m, inte är tillämpliga. Granskarenbehöver alltså varken tillstånd eller licens för den registerbearbetning somnormalt blir aktuell vid en taxeringsrevision. Däremot får reglerna indirektbetydelse därigenom att de hindrar alt granskaren utan tillstånd av DIsambearbetar uppgifterna med uppgifter ur annat personregister. Vid en sådansambearbetning uppkommer nämligen ett nytt personregister, för vilket granskningsmyndighetenär registeransvarig, I 6, 6 a och 18 §§ datalagen finns bestämmelser ombefogenhet för Dl att meddela föreskrifter för personregister till skydd förden personliga integriteten. Föreskrifter meddelade med stöd av dessabestämmelser får dock anses rikta sig till den registeransvarige och begränsaralltså inte granskarens möjlighet att bearbeta ett register. Därav följer bl,a, att granskaren vid behov fär ta med sig datamediet (magnetbandet e,d.) förbearbetning hos myndigheten med myndighetens egna program, DI har alltså ingendirekt pä datalagen grundad befogenhet att meddela föreskrifter för granskarensbearbetning av personregister, för vilka någon annan är registeransvarig. Enligt 5 § datalagen skall DI, i samband med att tillståndlämnas den registeransvarige att inrätta och föra ett personregister, meddelaföreskrift om ändamålet med registret. För register som inte erfordrartillstånd bestämmer den registeransvarige själv registerändamålet. Ändamåletmed registret har betydelse bl, a, för tillämpningen av 7 §, som innehåller all-rnännaregler för inrättande och förande av personregister. Bestämmelserna i 7 §torde dock endast rikta sig till den registeransvarige. Jag återkommer nedantill den paragrafen. Även 7 a-12 §§ datalagen innehåller regler som i förstahand riktar sig till den registeransvarige, I 13 § datalagen finns regler om sekretess förregisteruppgifter. Reglerna riktar sig både till registeransvariga och vissa andra men gäller endast för enskilda. För myndigheter tillämpas i stället reglerna i sekretesslagen (1980:100), Av intresse i detta sammanhang är närmast regeln i 9 kap. 2§ sekretesslagen, som innebär bl. a. att absolut sekretess gäller i ärende om taxeringsrevision, 50 Enligt 14 § datalagen skall en myndighet, som förhandläggningen av mål Prop, 1987/88:65 eller ärende använder sig av upptagningför automatisk databehandling, dokumentera upptagningen i läsbar form, om intesärskilda skäl föranleder annat. Bestämmelsen har företräde framför regeln omdokumentationsskyldighet i I5§ förvahningslagen (1986:223) öfrprop, 1985/86:80s, 66), I linje med nämnda bestämmelse bör granskaren dokumentera de registeruppgiftersom är av betydelse för utgången av taxeringsrevisionen. Regler om DI:s tillsyn finns i bl, a, 15-17 och 24 §§datalagen. Enligt 15 § utövar inspektionen tillsyn över att automatisk databehandlinginte medför otillböriigt intrång i personlig integritet, 1 16§ reglerasinspektionens rätt att fä tillträde till maskinlokaler m, m. Även om DI:s tillsyngivetvis i första hand avser den registeransvarige bör utformningen av reglernai dessa bägge paragrafer inte utesluta en tillsyn som även omfattar granskarensbefattning med registret. Motsatsen torde dock gälla enligt 17 och 24§§, somavser uppgiftsskyldighet i förhållande till DI vid tillsyn resp, befogenhetför inspektionen att förelägga vite, I 20-23 §§ datalagen finns bestämmelser om straff,förverkande och skadestånd. Av dessa bestämmelser torde endast reglerna i 21 §om straff för dataintrång vara tillämpliga pä granskarens befattning med ettregister. Reglerna innebär bl, a, att en granskare kan drabbas av straff om hanändrar, utplånar eller för in uppgifter i det granskade registret. Enligt 25 § datalagen överklagas Dl:s beslut tillregeringen, 26-28 §§ datalagen saknar intresse i sammanhanget. Som framgått av denna översiktliga redogörelse innehållerdatalagen bestämmelser som kan vara tillämpliga vid en taxeringsrevision ochsom dä kan fä betydelse för bl, a, granskarens rätt att göra uppgifter i ettgranskat register tillgängliga och DI:s befogenhet att utöva tillsyn övergranskarens befattning med registret, I nägra avseenden faller emellertidgranskarens bearbetning utanför DI:s kontroll. Bl, a, saknar inspektionenbefogenhet att utfärda direkt till granskaren riktade föreskrifter för bearbetningen.För det första innebär detta att granskaren inte utan vidare blir bunden avföreskrifter som avser den registeransvariges användning av registret. Men ävenom så vore fallet, t, ex, genom att det i taxeringslagen fanns regler som åladeskattemyndigheterna att följa föreskrifter av det här slaget, skulle det ändåkunna uppstå komplikationer, DI har ju normalt ingen anledning att genomföreskrifter reglera någon annan användning än den som sker inom ramen förregistrets ändamål, I allmänhet torde det därför saknas föreskrifter som ärrelevanta för en utomståendes befattning med registret. Om DI å andra sidanmeddelar föreskrifter med det indirekta syftet att reglera en användning somsker vid sidan av registrets ändamål skulle det kunna få till följd att detläggs onödiga restriktioner pä den registeransvariges befattning med registret, DI har i sitt yttrande över den tidigare lagrådsremissenföreslagit att inspektionen genom en särskild lag ges befogenheter att meddela föreskrif ter adresserade direkt till skattemyndigheterna. Med en sådan ordning skulle man kunna komma till rätta med de brister som finns i datalagen i fråga om möjligheterna att reglera en granskares befattning med ett person register: Innan jag går närmare in på Dl:s förslag vill jag emellertid säga 51 något ytterligare omförhållandet mellan datalagen och taxeringslagen. 1987/88:65 skalldå uppehålla mig vid 7§ datalagen, som är av central betydelse när det gällermöjligheterna att använda uppgifterna i ett personregister. 7§datalagen fick sin nu gällande lydelse , Den ändrades då i samband medatt Dl:s tillståndsgranskning begränsades till att avse personregister medsärskilt känsliga uppgifter. Det ansågs därför motiverat att genom generellanormer ange en minimistandard för persondataskyddet även i fräga om registersom fortsättningsvis inte skulle kräva något tillstånd. Sådana normer togs ini 7 § datalagen. Bestämmelsernainnebär i huvudsak att inrättande och förande av personregister alltid skallske för ett visst bestämt ändamål under tillbörligt hänsynstagande till deregistrerades personliga integritet. Bestämmelsernai 7§ datalagen riktar sig till den registeransvarige och anger som en viktigprincip att användningen av uppgifterna i ett personregister skall ske ienlighet med registrets ändamål. Avsteg frän den principen får dock göras bl,a, om annan användning är tilläten enligt föreskrifter som har meddelats i lageller annan författning. Datalagen anger inte för vilka andra ändamål sådanaföreskrifter fär meddelas. Samtidigtsom bestämmelserna i 7 § antogs beslutade att godkänna en europeiskkonvention om skydd för enskilda vid automatisk databehandling avpersonuppgifter. Konventionen, som finns intagen som bilaga 4 tillpropositionen 1981/82:189, har numera trätt i kraft och är därmed bindande förSverige, Enligtkonventionen begränsas möjligheterna att genom författningsföreskrifter medgesådan användning av uppgifterna i ett personregister som avviker fränregistrets ändamål. Avvikelser fär dock ske om det är nödvändigt i ettdemokratiskt samhälle för att skydda statens säkerhet, den allmänna säkerheten,statens penningintressen eller för att bekämpa brott, I kommentaren tillkonventionen anges främst beskattningsändamål som exempel på en sådananvändning som får ske för att skydda statens penningintressen. Varkendatalagen eller den europeiska dataskyddskonventionen utgör alltså något hinderför att meddela författningsföreskrifter som medger att uppgifterna i ettpersonregister används för skattekontroll, även om registrets ändamål inteavser någon sådan användning. Det bör här framhållas att det finnsföreskrifter som medger detta. Den som t, ex, för ett löneregister på ADB kanju vara skyldig att lämna ut uppgifter ur detta för att fullgöra sin skyldighetatt lämna i TL föreskrivna kontrolluppgifter, Samma sak gäller i fräga om denuppgiftsskyldighet som åligger bankerna och Värdepapperscentralen VPCAktiebolag, Även här är det alltså fräga om att lämna ut uppgifter frän ADB-baseradepersonregister för att de skall användas på ett annat sätt än som anges iregistrens ändamål. jag nu har berört avser skyldigheten att lämna obligato riska kontrolluppgifter. Men ocksä vid en taxeringsrevision har skattemyn digheterna redan med stöd av gällande regler rätt att använda uppgifter som är hämtade frän ADB-baserade personregister. Huruvida skyldighe ten att lämna kontrolluppgifter har fullgjorts är ju en sak som skall kunna kontrolleras genom revisionsinstitutet, och som jag tidigare framhållit för- 52 utsättsdet då att en avstämning kan göras mot den reviderades underlag Prop,1987/88:65 för uppgifterna, TL innehåller alltså redan nu bestämmelser som medger attuppgifter från ADB-baserade personregister används i beskattningsverksamheten.Dessa bestämmelser kan ses som exempel pä en sådan författningsreglering somenligt 7§ datalagen gör det möjligt att avvika från det för ett personregisterbestämda ändamålet. Jag vill här tillägga att datalagen, förutom att den intebegränsar de alternativa användningssätt som kan komma i fräga genomförfattningsreglering, inte anger hur preciserad en sådan reglering skall vara.Men enligt min mening är det naturligt att man pä den punkten eftersträvartämligen noggranna föreskrifter. Behovet av regler som kompletterar datalagen Jag skall nu återgå till DI:s förslag om en särskild lagsom ger inspektionen befogenheter att meddela föreskrifter som är adresseradedirekt till skattemyndigheterna. Först vill jag dä framhålla att man inte böröverdriva den praktiska betydelsen av de problem som den föreslagna lagen äravsedd att lösa. Redan reglerna i datalagen ger ett skydd för integriteten iflera viktiga avseenden. som framgått tidigare, en granskare intesambearbeta ett granskat register med ett annat personregister utan DI:stillstånd. Inspektionen torde också kunna utöva tillsyn över att denautomatiska databehandlingen inte medför otillbörligt intrång i personligintegritet. Därutöver har inspektionen givetvis befogenhet att meddela allmännaråd för bearbetning av personuppgifter som granskas vid en taxeringsrevision.Man får utgå frän att sådana allmänna råd, liksom påpekanden som DI gör isamband med sin tillsynsverksamhet, lojalt kommer att följas av berördagranskare. Det har ocksä stor betydelse för integritetsskyddet att sekretesseni ärenden om taxeringsrevision är absolut enligt reglerna i sekretesslagen, Ä andra sidan kan det naturligtvis uppfattas som ennackdel att DI inte har en allmän befogenhet att utfärda bindande föreskrifterför granskaren i samma utsträckning som för den registeransvarige. En sådanbefogenhet skulle onekligen innebära ett ytterligare skydd för den personligaintegriteten. Jag anser därför att man bör godta att datalagens bestämmelserkompletteras med en reglering av det slag som DI har föreslagit. När det gäller innehållet i inspektionens lagförslag villjag till en början erinra om att jag redan i föregående avsnitt fann att detta inte utgjorde någon lämplig reglering av handlingsbegreppet i samband med taxerings revisioner. Granskningen av personregister är ju bara en del av den större frågan om kontroll av ADB-handlingar över huvud taget, Avgränsningen av granskningsbefogenheterna bör därför i stället göras i bl, a, TL, där bestämmelserna om taxeringsrevision ger den naturliga ramen för bl, a. ändamålet med granskningen och vilka uppgifter den får avse. Men i övrigt delar jag inspektionens uppfattning att en förstärkning av persondataskyd det bör regleras i annan ordning. Flertalet av de av DI föreslagna bestäm melserna ansluter nära till regelsystemet i datalagen (jfr 6. 7, 14-18 och 25 §§ datalagen). Skäl kan därför anföras för att ta in dem i datalagen. villemellertid inte motsätta mig DI:s förslag att ta in reglerna i en särskild Prop,1987/88:65 lag. Enligt min mening bör således det grundläggandebemyndigandet för skattemyndigheterna att granska ADB-upptagningar ochskyldigheten för den enskilde att biträda vid granskningen komma till uttryck irevisionsbestämmelserna medan de begränsningar som är påkallade av hänsyn tillskyddet för ADB-baserade personregister kan regleras i annan ordning. En sådanuppdelning är motiverad också av ett annat skäl. Vid en taxeringsrevisionskall ju i vissa fall också annan information än datorlagrade personuppgifterkunna undantas från granskningen, och skyddet för sådan information bör iprincip vara detsamma oavsett om den utgörs av ADB-upptagningar eller ej. Jag kommer alltså fram till att TL, utöver detförtydligande av handlingsbegreppet som jag har berört i föregående avsnitt,bör innehålla bestämmelser som.klargör att skattemyndigheternas och deenskildas rättigheter och skyldigheter vid en taxeringsrevision i princip skallvara desamma när granskningen avser ADB-upptagningar som vid en traditionellrevision. gäller att den enskilde skall medverka vid en revisionbl, a, genom att tillhandahålla de handlingar och lämna de upplysningar sombehövs för att genomföra revisionen. Han skall ocksä lämna tillträde till delokaler som används i verksamheten och ge det biträde som behövs för bl, a,granskningen av handlingar och varulager samt maskiner och andra förstadigvarande bruk avsedda inventarier. Översatt till en situation med ADB-lagradinformation kan detta sägas innebära att den enskilde skall vara skyldig att geskattemyndigheterna tillgäng till sin ADB-utrustning. De bör alltså få användade tekniska hjälpmedel som den reviderade själv förfogar över, t, ex, dennesterminal. Granskningen förutsätter emellertid att inte bara den renttekniska utrustningen utan också därmed sammanhängande material ställs tillförfogande. Detta kan gälla exempelvis beskrivningar av den aktuella utrustningen,det ADB-system som används och de dataprogram som finns. Den granskadesskyldigheter bör även omfatta att i övrigt lämna de upplysningar om ADB-verksamhetensom behövs för att syftet med revisionen skall kunna nås. Innebörden av dettaär att granskaren bör ges i princip samma möjligheter att ta del av uppgifterav betydelse för taxeringskontrollen som den skattskyldige har. Jag vill betona att det är viktigt att en revision utförsunder stort hänsynstagande till de speciella förhållanden som kan gälla förden skattskyldiges ADB-verksamhet sä att hans olägenheter minimeras. Detnormala förfarandet bör alltså vara att den skattskyldige i förväg underrättasom den beslutade revisionen och att tidpunkten för revisionen bestäms medbeaktande av hans synpunkter därom. Detta följer redan av 56§ 3 mom, förstastycket TL, där det föreskrivs att taxeringsrevision såvitt möjligt skall skepå sådant sätt och att den inte förorsakar hinder i verksamhetenför den hos vilken revisionen sker. Den skattskyldiges berättigade krav i samband medtaxeringsrevision att inte bli störd i sin verksamhet mer än absolut nödvändigt kan enligt de nuvarande bestämmelserna delvis beaktas genom att granskaren tar med 54 vissa räkenskapshandlingar m, m, till de egna lokalerna.Ett sådant förfa- Prop, 1987/88:65 rande är motiverat också avkontrollskäl. När det gäller ADB-upptagningar bör den skattskyldige ha störreintresse av att granskningen inte görs hos honom, eftersom han dä inte behöverupplåta sin datautrustning. Det torde därför ofta vara lämpligt att granskarentar med sig själva informationsbäraren, magnetbandet e, d,, eller en kopia avdenna till myndigheten, om det hos denna finns ADB-resurser som möjliggör entillfredsställande granskning. Liksom när det gäller konventionella handlingarbör frågan om var granskningen skall genomföras bedömas också med hänsyn tillmaterialets omfattning och den tid som skulle gä ät för aU ta del avinformationen hos den skattskyldige. Jag återkommer senare till frågan om de nuberörda tekniska åtkomstmöjligheterna i sig är av sådan karaktär att demotiverar en utökning av möjligheterna att undanta information från granskningutöver den förstärkning av persondataskyddet som Dl har föreslagit. Vad jag nu har anfört om att bestämmelser om degrundläggande granskningsbefogenheterna har sin naturliga plats i TL eller imotsvarande revisionsbestämmelser i andra skatteförfattningar bör föranledavissa jämkningar i den inledande paragrafen i DI:s lagförslag, I övrigt kanjag i allt väsentligt godta det förslaget, bortsett från vissa formellajusteringar. Det innebär alltså att DI fär i princip samma befogenheter attmeddela föreskrifter för skattemyndigheternas granskning som den har enligt 6§datalagen i fräga om den registeransvariges befattning med ett personregister.Även pä andra punkter har de flesta bestämmelserna som nämnts sin motsvarigheti datalagen. Den nära överensstämmelsen med datalagens numera väl beprövaderegelsystem ger enligt min mening anledning att anta att de föreslagnabestämmelserna skall tjäna som ett gott skydd för den personliga integriteten. Det finnsemellertid nägra bestämmelser som kan behöva kommenteras något. Jag tänker här bl, a, pä den i lagförslagets 6 § föreskrivna skyldighe ten för skattemyndigheterna att höra DI innan beslut meddelas om en sådan taxeringsrevision som är en förberedande åtgärd för kontroll av andra än den hos vilken revisionen sker, en s, k, generell uppgiftsinsam ling, DI har framhållit att generella skattekontroller med inriktning på personregister får anses vara av sä känslig karaktär att det i allmänhet finns skäl att meddela särskilda föreskrifter för granskningen, inte minst för att förebygga uppkomsten av överskottsinformation. Jag vill för egen del ifrågasätta synsättet att generella skattekontroller skulle vara särskilt inrik tade på personregister i datalagens mening. Det är visserligen riktigt att sådana kontroller primärt syftar till att få fram underiag för kontroll av okända personer, och i detta ligger att man försöker samla in personrelate rade uppgifter. Men uppläggningen av en sådan kontroll torde vara den samma oavsett hur uppgifterna finns lagrade hos den som revideras. Skat temyndigheterna vet ju ofta inte på förhand om informationen finns på ADB eller ej. Inte heller torde DI kunna lämna några helt säkra uppgifter på den punkten. Vid de branschkontroller o, d, som brukar inledas med en generell uppgiftsinsamling sker urvalet av revisionsobjekt med hänsyn till kontrollens syfte att granska vissa skaUeförhållanden, inte på grundval av 55 vad man eventuellt vet omde tilltänkta revisionsobjektens lagring av Prop. 1987/88:65 uppgifterna.Det går alltså inte till så att man väljer just ADB-baserade personregister föratt på det sättet få möjligheter att göra särskilt omfattandesammanställningar och bearbetningar av personuppgifter. Jagvill emellertid ändå inte motsätta mig att DI genom ett samrådsförfarande gesmöjlighet att genom föreskrifter förebygga risk för otillbörligt intrång i denpersonliga integriteten när sä är påkallat. Men av skäl som jag anfört kandet då i allmänhet bara bli fråga om att skattemyndigheterna mera allmäntredovisar uppläggningen av en revision och vilka uppgifter som avses bliinhämtade. Det får också beaktas att uppgiftsinsamlingen kan avse säväl ADB-upptagningarsom annan information och att kontrollen för att bli meningsfull kanförutsätta att samma uppgifter fär inhämtas i bägge fallen. Jagvill ocksä beröra bestämmelserna om DI:s föreskriftsrätt i 4§ i den av DIföreslagna lagen. Av 6 och 18 §§ datalagen följer att DI har befogenhet attmeddela integritetsskyddande föreskrifter för ett visst personregister. riktar sig i första hand till den registeransvarige och har alltsåinte generell tillämpbarhet. Ett bemyndigande att utfärda generellaföreskrifter finns däremot i 10§ dataförordningen. Även den av mig nuföreslagna regleringen förutsätter, i enlighet med vad DI har föreslagit, attinspektionen skall få besluta om såväl föreskrifter i särskilda fall (s, k, villkor)som föreskrifter med generell tillämpbarhet (normer). Enligt lagrådetsuppfattning behöver lagen dock inte innehålla någon bestämmelse om attregeringen får delegera rätten att meddela generella föreskrifter till Dl, Detkan regeringen i stället göra i en förordning. Jag avser att föreslå regeringenatt en förordning med ett sådant bemyndigande för DI utfärdas, Idetta sammanhang vill jag ta upp en fråga av konstitutionell art. En remissinstans (SHIO-Småföretagens riksorganisation) har menat att före skrifter med generell rillämpbarhet på det aktuella området endast kan meddelas i lagform. Enligt min mening förhäller det sig emellertid på följande sätt. Regler som ger en myndighet befogenhet att vid revision få tillgäng till handlingar och tekniska hjälpmedel hos den granskade kräver otvivelaktigt lagform (jfr bl, a, 8 kap, 3 § regeringsformen, RF), Detta krav har också tillgodosetts i mitt förslag, som innebär att de reglerna finns i TL, Bestämmelserna i den särskilda lagen faller däremot inom området för regeringens s, k, restkompetens (jfr 8 kap, 13 § första stycket 2 RF), vilket innebär att de inte behöver ha lagform. De flesta av bestämmelserna i den särskilda lagen är av sådant slag att de rent av skulle kunna beslutas av en granskningsmyndighet själv för sin egen personal med stöd av bemyndi gande t. ex, i 3 kap, 18 § förordningen (1986:1346) med instruktion för skatteförvaltningen, ett bemyndigande som otvivelaktigt faller inom ramen för restkompetensen. Trots att reglerna i den särskilda lagen alltså inte behöver finnas i lag godtar jag den av DI föreslagna lagformen med hänsyn till vikten av att allmänheten känner förtroende för de regler som skyddar den personliga integriteten (jfr Ds Ju 1987:8), Det kan finnas ett behov av att DI beslutar om verkställighetsföreskrifter till den särskilda lagen. Rege ringen kan med stöd av 8 kap, 13 § tredje stycket RF överlåta åt DI att meddela sådana föreskrifter, 56 Denav DI föreslagna katalogen i 4§ över vilka föreskrifter DI skall få Prop,1987/88:65 meddela rymmer en sekretessfråga. Ett ämne för föreskrifter ärenligt 4 § 4 i DI:s lagförslag underrättelser till berörda personer. Jag villhär erinra om att bl, a, skattemyndigheternas kontrollverksamhet är sekretessbelagdenligt bestämmelserna i 4 kap, sekretesslagen. Det kan således komma i fråga atthemlighålla en uppgift även för den som berörs av en kontroll. Mot den bakgrundenanser jag inte att DI bör ha befogenhet att föreskriva när skattemyndigheternaskall underrätta berörda personer. Lagrådethar inte haft någon erinran mot att bestämmelser om DI:s medverkan tas in i ensärskild lag. Till stor del har lagrådet ocksä tillstyrkt bestämmelserna ilagen. Någraav bestämmelserna har dock föranlett invändningar från lagrådet. Det gäller 5 §,som hänvisar till 14 § datalagen, och 8 §, som innehåller ett delegationsbemyndigande.Lagrådet har avstyrkt dessa bestämmelser. Jag kan ansluta mig till vad lagrådethär har anfört och föreslår således att de paragraferna utgår ur lagen. Lagrådethar å andra sidan ocksä föreslagit en väsentlig utvidgning av lagenstillämpningsområde. Det har ansetts som en nackdel att lagen begränsar DI:smedverkan till frågor som gäller automatisk databehandling av personuppgifter.Enligt lagrådets uppfattning är det angeläget att det vid en taxeringsrevisionfinns ett gott skydd för uppgifter av både personlig och ekonomisk natur.