mot · GC02K442 · 1989-01-25 00:00:00 — Problemet är att datalagen hanterar den omöjliga uppgiften att reglera hur en viss teknik skall användas. - I stället för att precisera och skydda den enskildes rätt anger datalagen snarare under vilka former som tillstånd skall beviljas eller avslås. En annan betydande svaghet är att datalagen inte skiljer mellan den information som sprids som ett naturligt och självklart led i det öppna samhället och de uppgifter som vi i förtroende, för särskilda ändamål eller under tvång lämnar ifrån oss. - Datalagen ger inte den enskilde en rättslig ställning i skyddet av sitt privatliv utan ger istället ett beroende till datainspektionens, och i besvärsfall regeringens, avvägningar mellan den enskildes och andras intressen. Långsiktigt leder detta till att information om den enskilde insamlas, behandlas och används för ett ständigt växande antal ändamål. Datalagen fungerar inte längre. Den ger inte det skydd som den enskildes rätt och integritet kräver. Vad är integritet? Begreppet integritet i dess snävare perspektiv, så som det används vid diskussionen om data och integritet, löper parallellt med begreppets egentliga betydelse. Hoten mot den enskildes dataintegritet uppkommer ju därför att hans integritet i vidare bemärkelse är inskränkt vad gäller hans förmåga att själv styra över sin välfärd. När den enskilde blir ett objekt för det offentligas värderingar och åtgärder ställs krav på information och offentlig insyn i privatlivet. Denna insyn blir ett intrång i medborgarens integritet. Den omvända bevisbörda som registerlösningar leder till försätter den enskilde i underläge. Ovissheten om vad andra vet skapar rädsla för en Storebror som vet allt. Beroendet av den offentligt fördelade välfärden och beroendet av att leva upp till vissa kriterier för att få del av välfärden är intrång i den personliga integriteten. Det är emellertid ofrånkomligt att integriteten til syvende og sidst är en subjektiv upplevelse. Vad som kan kännas kränkande och känsligt för en kan vara likgiligt för en annan. Mot den bakgrunden kan man för de sammanhang som här avses definiera integriteten sorn: - graden av den enskildes förmåga att själv avgöra andras insyn i den personliga sfären samt - graden av den enskildes möjlighet att kontrollera var lämnade uppgifter lämnad insyn - tar vägen och vem som därmed tar del av dem. definition är det enkelt att se att frågan om den enskildes integritet inte 9 nödvändigtvis beror av datatekniken som sådan, även om denna sätter Mot. 1988/89 viktiga frågeställningar i fokus. Det är formerna för överföringen från den enskilde och behandlingen av uppgifter som är det intressanta, inte tekniken och programmen. Kommunikationen mellan myndigheter av olika uppgifter är till exempel mer relevant att diskutera än den teknik som uppgifterna är lagrade på, även om vi kan konstatera att denna kommunikation inte hade kunnat ske utan datatekniken. En lag som reglerar tekniken blir för trubbig. Den kan inte skydda tillräckligt som den hindrar sådan användning av datatekniken som knappast kan anses vara ett hot mot den enskildes personliga sfär. Uppgifter på data blir inte integritetskränkande bara för att de förs på data. Datalagen behöver därför ersättas med en integritetslag. Det verkar finnas en utbredd medvetenhet om att datalagen i dess nuvarande form inte längre fungerar. Inte minst utvecklingen av datatekniken har gjort lagen svårhanterlig. Enligt vår mening räcker det inte med att reformera datalagen. I stället bör den ersättas av en vidare integritetslag. En ny integritetslag bör bygga på följande element: Reglera den enskildes ratt En ny integritetslag bör i första hand ta sikte på att reglera den enskildes rätt över den information som han i olika sammanhang lämnar ifrån sig. Den bör därför göra skillnad på normala personuppgifter som exponeras för andra genom vardagslivets normala aktiviteter eller genom det offentliga livets villkor och sådana personliga uppgifter som den enskilde lämnar under vissa förutsättningar och för ett visst ändamål. Det är viktigt att användningen av uppgifter av det förra slaget regleras utan att yttrandefrihet och tryckfrihet sätts ur spel i datoriserade informationssystem. En författare eller journalist måste inom ramen för vår tryckfrihetslagstiftning kunna hantera allmänt känd personinformation även med den nya informationsteknologin utan att han för den skull bryter mot lagen. Det skydd som datalagen ger vad gäller registrering av uppgifter av mer känslig och privat natur bör givetvis finnas även i en integritetslag. Skyddet bör framförallt ta sikte på spridningen och tillgängligheten av sådana uppgifter och avse såväl privata som offentliga registeransvariga. Register med uppgifter av denna typ bör i princip enbart förekomma om de reglerats i lag eller byggts upp genom informerat samtycke. Uppgifter som den enskilde själv lämnat ställer däremot andra krav på den enskildes rättsliga ställning. Sådana uppgifter som den enskilde lämnar ifrån sig lämnas under vissa förutsättningar, det må vara inom ramen för avtal, ett förtroende eller myndighetsutövning. De bör kunna ses som hans "egendom och han bör kunna ha en stark ställning i frågan om hur sådana uppgifter skall användas. Ändamålet skall styra användningen Oavsett om uppgifter lämnats till privat eller offentlig verksamhet bör det ursprungliga ändamålet vara styrande för hur uppgiften får användas och behandlas. Datalagens nuvarande ändamålsstyrning bör i en ny integritetslag vara central och betydligt fastare än ange hur insamlade uppgifter får användas. Information skall endast få användas på annat sätt än det ursprungliga ändamålet under förutsättning att den enskilde samtycker eller om det föreskrivs i lag. I forskningssammanhang skall passivt samtycke under vissa förutsättningar kunna användas. Uppgifter direkt från medborgaren En klarare ändamålsstyrning leder till att myndigheter inte som får utbyta uppgifter om den enskilde om det inte anges i lag. Principen bör vara att den som skall använda uppgifter - i privat eller i offentlig verksamhet också skall samla in dem från medborgarna. Användarens ansvar för att insamlade uppgifter används för ändamålet och inget annat bör stärkas. Statlig försäljning av personuppgifter bör till exempel inte kunna vara möjlig. Den enskildes rätt att själv bestämma över hur personliga uppgifter används och sprids måste bli större. Den enskilde bör till exempel ha rätt att överklaga utlämnandet av egna personuppgifter om de är sekretessbelagda eller om utlämnandet sker myndigheter emellan. Han skall också kunna vidtaga rättsliga åtgärder mot registeransvariga i den enskilda sektorn, som använder insamlade uppgifter för ett annat ändamål och utan samtycke. En ny integritetslag bör bygga på datalagens grundläggande principer och syften. Den bör syfta till att ge den enskilde en stark rättslig ställning i det moderna informationssamhället i stället för att som vara beroende av avvägningar som görs av andra. Vad som här anförts angående en ny integritetslag bör ge regeringen till känna. Förändringar i nuvarande lagstiftning Vi vill i det följande peka på åtgärder som vi, i avvaktan på en ny integritetslag, bedömer som angelägna i syfte att anpassa datalagen och annan lagstiftning till de problem som möter skyddet av den enskildes integritet. En stor del av dessa frågor ligger på regeringens bord. Detta gäller frågan om en personnummerbegränsning, försäljningen av personuppgifter och metoden att med särskilda registerlagar ge rikdagen kontroll över stora centrala register. Det gäller också frågan om undantag från datalagens krav på tillstånd. Det avgörande hotet mot den enskildes integritet är när han eller hon tvingas lämna ifrån sig personliga uppgifter. När uppgifterna väl är lämnade har den enskilde inte längre någon kontroll eller egentlig kunskap om hur de används. Ny lagstiftning kan t.ex. tillkomma som medger nya användningsområden av insamlade uppgifter. Intrång i integriteten kan ske genom att sekretesskyddet fungerar dåligt. Tillstånd till nya samkörningar mellan olika dataregister kan lämnas. Behörighetssystem kan vara bristfälliga. Sekretess som har rått kan hävas. Mot denna bakgrund är det nödvändigt att minska myndigheternas rätt att insamla, registrera, lagra och vidarebefordra personuppgifter. Regeringen bör därför tillsätta en delegation med uppgift att föreslå minskningar i medborgarnas uppgiftsskyldigheter. Frågan om ett grundlagsskydd för den enskildes integritet ligger på bord. Den överenskommelse som förslaget bygger på skulle enligt vår mening ha kunnat vara mer långtgående vad gäller att styra användningen av insamlade uppgifter i ett register till det ändamål de insamlats för. Det finns dock ett betydande symbolvärde och även en praktisk betydelse i det nu liggande förslaget som motiverar vår uppslutning bakom det. Datainspektionen har i särskild skrivelse till regeringen lämnat förslag till vissa ändringar i datalagen syftande till undantag från kravet på tillstånd i sådana fall där såväl tillstånd som föreskrifter meddelas enligt praxis. Enligt vår upfattning skall dessa undantag göras av genom ändringar i datalagen och ej genom att regering eller datainspektion ges rätt att bevilja undantag från datalagens tillämpning. Vi återkommer i denna fråga i den mån regeringen lämnar förslag om sådana undantag. Särskilda och synnerliga skäl vill vi påpeka att det finns skäl att utnyttja den praxis som utvecklats sedan datalagens tillkomst till att precisera datalagen och därmed ge den en starkare ställning. Detta kan ske genom att man bättre definierar begreppen särskilda och synnerliga skäl för tillstånd enligt datalagen. Härigenom kan man på en gång uppnå en bättre ändamålsstyrning och vinna en ökad klarhet i datalagen. Sådana förändringar av datalagen kan ske som beslutar om undantag från tillståndskravet. Prövning av datainspektionens beslut Vad gäller prövningen av datainspektionens beslut menar vi att denna bör ske strikt enligt datalagen utan politiska avvägningar. Det finns en sådan erfarenhet och praxis av datalagens tillämpning att regeringsrätten och inte regeringen bör vara besvärsinstans. Datalagens skydd av den enskildes integritet blir starkare om prövningen av datainspektionens beslut enbart sker efter datalagen, utan de politiska värderingar en regering tenderar att Mot. 1988/89 göra. Vi har tidigare pekat på det angelägna i särskilda registerlagar, som dels ger det lagliga stödet till uppgiftsinsamlingen som sådan och dels beskriver under vilka former de insamlade uppgifterna får registreras och användas. Genom ett system med registerlagar får kontroll över utvecklingen inom området. I sådana registerlagar kan anges om uppgifterna får lämnas ut utan den enskildes informerade samtycke och om uppgifterna får samköras med andra register utan informerat samtycke. Personnumret har för många kommit att bli en symbol för ett datasamhälle där den enskilde anonymiseras och blir till ett nummer utan namn, ständigt utsatt för myndigheters kontroll och insyn, utan någon annan identitet än sitt personnummer. Förekomsten av denna känsla behöver inte överdrivas. Den är ändå ett skäl till försiktighet med personnummeranvändningen. Det finns också betydligt mer konkreta skäl att begränsa personnummeranvändandet. Som identifikationsbegrepp har personnumret en särställning. Den utbredda användningen av personnumret - där personnumret faktiskt i många fall fått ersätta namnet - leder till att den enskilde i en mängd sammanhang lämnar efter sig ett unikt identifikationsbegrepp, tillsammans med känsliga eller okänsliga personuppgifter, när namn och adress hade räckt för det syfte man lämnar uppgifterna till. Genom att detta unika identifikationsbegrepp används inom alla samhällsområden skapas en möjlighet till insyn, kontroll och spårning av enskilda personer som ur många perspektiv är skrämmande. Detta är inte en följd av personnumrets tekniska uppbyggnad utan av dess effektivitet att helt entydigt identifiera en individ. Personnumret ger dessutom tekniska förutsättningar som underlättar samköming även om det inte alltid är en förutsättning för detta. Det är betecknande att de som starkast understryker hur lätt det är att samköra med andra identifikationsbegrepp ofta pekar på de svårigheter en begränsning av personnummeranvändningen skulle innebära. Enligt vår mening är det inte fråga om att avskaffa personnumret utan att begränsa dess användning. Det är ett effektivt identifikationsbegrepp som ska användas där den typen av säker identifikation är nödvändig. En begränsning av personnummeranvändningen bör i stället bygga på att endast vissa registeransvariga, genom särskilt lagstöd, får kräva personnummer. I övrigt bör användningen av personnummer vara frivillig. Trots utredningsförslag i denna fråga har regeringen ännu inte lämnat något förslag angående personnummerbegränsning. borde ge regeringen till känna vad som här anförts. Stat och kommun ägnar sig åt att aktivt sprida insamlade uppgifter genom att kommersiellt försälja dem. Vi anser det principiellt felaktigt att det offentliga på detta viss säljer delar Mot. av enskilda medborgares privatliv. Offentlighetsprincipen ger inget stöd för K442 en sådan försäljning. Tvärtom riskerar försäljningsverksamheten att skapa en "lyxklass där vissa medborgare kan köpa offentliga handlingar i en form som offentlighetsprincipen inte ger den enskilde möjlighet att kräva. Data- och offentlighetskommittén har lämnat förslag om en begränsning av försäljningen ur personregister. Begränsningen innebär i själva verket en legalisering av nuvarande försäljningsverksamhet. Genom att man inte tagit ställning till offentlighetsprincipens handlingsbegrepp innebär kommitténs förslag vare sig någon begränsning eller kontroll av vilka uppgifter och vilken information som får säljas. Det är enligt vår mening ytterst betänkligt att myndigheter försäljer uppgifter som insamlats för speciella myndighetsändamål. För det första innebär försäljningen att myndigheten ägnar sig åt en verksamhet som inte ingår i själva myndighetsuppgiften. För det andra leder försäljningen till en uppenbar risk att man blandar ihop behovet av uppgifter för myndighetsutövningen med den efterfrågan försäljningen ger. Det finns påtagliga integritetshot i detta, som denna risk negativt kan påverka medborgarnas förtroende för myndigheten och dess sätt att hantera insamlade uppgifter. För det tredje strider försäljningen mot syftet med datalagens ändamålsparagraf. Insamlade personuppgifter ska enbart användas för de ändamål de insamlats för. Existensen av - som har stöd i datalagen - och försäljningen ur andra register strider mot denna paragrafs syfte att skydda den enskildes integritet. Försäljningen ur myndigheters personregister bör därför inte tillåtas. bör ge regeringen detta till känna. Statens person- och adressregister bygger på uppgifter som insamlats för helt andra ändamål än för försäljning. Med sin mängd av olika uppgifter som kan levereras i olika, förutsedda och oförutsedda, sammanställningar tillhör ett av de mer integritetskänsliga registren i . Försäljningen ur detta register i dess nuvarande form bör därför inte heller få ske. Därmed försvinner motivet för detta registers särställning. Behovet av ett register för t.ex. uppdatering kan fyllas genom att SPAR omvandlas till ett renodlat adressregister som i vanlig ordning lyder under datalagen. bör därför fatta beslut om att avveckla SPAR i dess nuvarande form. Den svenska integritetsdebatten har nästan uteslutande rört de enskilda individerna och det hot som datoriseringen - främst hos myndigheterna inneburit för intrång i den personliga integriteten. Det mycket omfattande ADB-stöd som är en normal del i myndighetsutövningen, innebär av samma skäl som ovan redovisats vad avser den enskilde medborgarens integritet. Det förekommer ett omfattande uppgiftsinsamlande från företagen till den offentliga sektorn. Uppgiftsinsamlandet har vuxit till oerhörda volymer. Enligt beräkningar, som gjordes , sänder näringslivet in mer än 50 miljoner blanketter till olika myndigheter . Volymen har snarare ökat än minskat . att tillgodose samhällsapparatens underlag för styrning, kontroll och stati- Mot. 1988/89 stik. Hanteringen av dessa oerhörda volymer av data är endast möjlig med K442 hjälp av ADB-teknik hos myndigheterna. Lagringen av dessa data i myndigheternas databaser representerar de facto en potentiell risk för oförutsedda och obehöriga informationsuttag. Dessa risker måste elimineras. En första förutsättning för att nå detta mål är att man i högre grad än är medveten om de sårbarhets- och integritetsrisker som dessa baser medför. av företagsuppgifter medför emellertid även ytterligare risker, som i första hand sammanhänger med hur insynsreglerna enligt offentlighetsprincipen och de gällande reglerna i sekretesslagen tillämpas. Som ovan redovisats kommer t.ex. det skydd som sekretesslagen är tänkt att ge vad gäller uppgiftsöverföringar från en myndighet till en annan att i stor utsträckning sättas ur spel genom nuvarande praxis enligt tryckfrihetsförordningen och sekretesslagen - framför allt genom tillämpningen av informationsbegreppet "potentiell handling vid uppgiftslagring på ADB-medium. Denna utveckling av praxis är bara inledd, men den kan leda till ytterst obehagliga konsekvenser om den tillåts fortsätta. För skyddet av företagens integritet krävs emellertid också andra särskilda åtgärder. I första hand bör dessa avse insatser för att begränsa det uppgiftsinsamlande, som förekommer hos ambitiösa myndigheter som i detta avseende givits ganska fria händer genom den s.k. ramlagstiftningstekniken. Uppgiftsinsamlandet borde i mycket större utsträckning förutsätta direkt och tydligt stöd i lag för att få förekomma. För kontrolländamål borde t.ex. endast stickprov göras även om datatekniken gör det billigt för den uppgiftsinsamlande myndigheten att bearbeta uppgifter från den totala populationen. Det borde också klarare slås fast - såsom gäller för uppgifter om enskilda individer - att uppgifter som insamlats för ett bestämt ändamål inte skall få användas för andra ändamål än som avsågs vid uppgiftsinsamlingen - varken hos den insamlande myndigheten eller annan myndighet. I de fall då det blir aktuellt att överlämna uppgifter rörande ett visst företag från t.ex. en myndighet till en annan - och detta inte kunnat förutses vid uppgiftsinsamlandet - bör regler övervägas som skyddar företagen genom att dessas samtycke skall inhämtas. Det synes också vara nödvändigt att tillförsäkra företagen en laglig insynsrätt med avseende på de uppgifter som registrerats om dessa hos någon myndighet. Insynsrätten skulle kunna utformas med ledning av den särskilda paragraf i datalagen som tillförsäkrar medborgarna en insynsrätt av detta slag. Det är också angeläget att överväga integritetsskyddsregler som förhindrar att företagen avtvingas uppgifter om affärsidéer, planer och liknande företagshemligheter som i orätta händer skulle kunna lända företaget till skada. Behovet av skydd av företagshemligheter bör utredas i särskild ordning. bör ge regeringen detta till känna. 1988/89 K442 Med hänvisning till det anförda hemställs 1. att som sin mening ger regeringen till känna vad som i motionen anförts om en knytning av myndigheternas dataanvändning till myndighetsutövningen, 2. att som sin mening ger regeringen till känna vad i motionen anförs om informationsrutiner mellan och sjukvårdens olika enheter, 3. att som sin mening ger regeringen till känna vad i motionen anförs om översyn av myndigheters tillämpning av sekretesslagstiftningen, 4. att hos regeringen begär en redovisning av användning av kryptering i enlighet med vad i motionen anförs, 5. att som sin mening ger regeringen till känna vad i motionen anförs om utgallring och sekretessbeläggning av uppgifter i register som inte nyttjas för myndighetsutövning, 6. att som sin mening ger regeringen till känna vad i motionen anförs om besvärsrätt vid utlämnande av uppgift, 7. att som sin mening ger regeringen till känna vad här anförs om behovet av en ny integritetslag, 8. att hos regeringen begär tillsättande av en delegation i syfte att föreslå minskningar av uppgiftslämnandet i enlighet med vad i motionen anförs, 9. att som sin mening ger regeringen till känna vad i motionen anförs om prövning av datainspektionens beslut, 10. att som sin mening ger regeringen till känna vad i motionen anförs om en begränsning av personnummeranvändningen, 11. att som sin mening ger regeringen till känna vad i motionen anförs om försäljning av uppgifter från statliga dataregister, [att hos regeringen begär förslag till avveckling av SPAR i enlighet med vad i motionen anförs,1] [att som sin mening ger regeringen till känna vad som i motionen anförs om behovet av skydd för företagshemligheter.2] () Hans Nyhage (m) (m) () () () l988/89:Fi720 21988/89:L904