prop · GE0360 · 1990-12-31 00:00:00 — Debeskrivningar av befintliga ADB-register som myndigheterna är skyldiga att haenligt 15 kap. 11 § sekretesslagen skall också innehålla uppgift om stöd förförsäljning av personuppgifter. DOK:sförslag överensstämmer i sak med mitt i fråga om utdragen enligt 10 § datalagenoch ADB-beskrivningarna enligt sekretesslagen. Remissinstanserna:Av de få remissinstanser som yttrat sig i fråga om utdragen enligt 10 §datalagen har datainspektionen, , LO ochstatsanställdas förbund tillstyrkt förslaget. Ettfåtal remissinstanser har yttrat sig över förslaget rörande beskrivningarnaenligt 15 kap. 11 § sekretesslagen. Datainspektionen och statsanställdasförbund har tillstyrkt det. har ansett att regleringen inte ärnågot verksamt sätt att informera större grupper. Förteckningenligt 7 a§ datalagen I7 a § datalagen finns regler om skyldighet för de registeransvariga att hållasina personregister förtecknade m.m. Förteckningen skall innehålla vissabasfakta om varje register, nämligen registrets benämning och ändamål, lokalendär den automatiska databehandlingen huvudsakligen utförs, numret på denregisteransvariges licens hos datainspektionen samt i vad mån personuppgifterlämnas ut för automatisk databehandling i utlandet. Förteckningenskall hållas tillgänglig för datainspektionen och på begäran av denna ges intill inspektionen i t. ex. ett tillsynsärende. Genom dessa förteckningar är detmöjligt för datainspektionen att ha kontroll över personregistren trots attåtskilliga register får inrättas och föras med stöd av endast licens och alltsåutan att tillstånd från inspektionen krävs. I förteckningarna börenligt min mening anges om en myndighet säljer personuppgifter och grunden fördetta i form av medgivande eller beslut. Det blir därigenom möjligt fördatainspektionen att ha överblick och kontroll över användningen avpersonuppgifter för försäljningsändamål. Utdragenligt 10 § datalagen Enligt10 § datalagen är den registeransvarige skyldig att på begäran av en enskildunderrätta denne om personuppgift som rör honom eller att sådan uppgift intefinns i registret. Den registrerade har rätt att en gång få en sådanunderrättelse utan avgift. Bestämmelsen bmkar ansessom en av de viktigaste i datalagen. Genom insynsrätten får den enskildemöjlighet att kontrollera om han är registrerad i ett visst register och, omså är fallet, huruvida uppgifterna om honom är riktiga. Det är givetvis av stortintresse för den registrerade att inte bara veta vilka uppgifter som finnsregistrerade om honom utan också hur de sprids. 1 likhet med DOK anserjagdärför att den enskilde alltid bör kunna få reda på i fall personuppgifter omhonom säljs. Om en myndighet har tillstånd att sälja uppgifter bör dettadärför framgå av utdragen enligt 10 § datalagen. Det bör också framgå medvilket stöd försäljningen sker. Beskrivningenligt 15 kap. 11 § sekretesslagen Enligt15 kap. 11 § sekretesslagen är en myndighet skyldig att tillhandahållabeskrivningar över de register, förteckningar eller andra anteckningar som försmed hjälp av ADB hos myndigheten. En beskrivning skall innehålla upplysning ombl.a. vilka typer av uppgifter som myndigheten har tillgång till i ADB-registretoch hos vilka andra myndigheter är tillgängligt. Somjag tidigare föreslagit bör utdrag enligt 10 § datalagen innehålla upplysning ide fall en myndighet säljer uppgifter ur registret. Mitt förslag är att mangenom ett tillägg i 15 kap. 11 § sekretesslagen skall ge de registreradeytterligare en möjlighet att få reda på om uppgifter om dem säljs. Förinsyn och kontroll av myndigheternas verksamhet är det inte bara av vikt attveta vilka uppgifter myndigheterna har tillgång till utan även hur uppgifternaanvänds. En upplysning om att uppgifter säljs innebär därför enligt min meningockså en förstärkning av offentlighetsprincipen. Min bedömning: Somett led i en allmän strävan att stärka skyddet för de registrerades integriteti samband med nödvändig registrering av känsliga personuppgifter i vissamyndighetsregister bör vissa register hos , landstingen,kommunerna och regleras i särskilda registerlagar. DOK:sförslag överensstämmer med min bedömning. Remissinstanserna:Samtliga remissinstanser som har yttrat sig över förslaget utomLandstingsförbundet och har tillstyrkt det.Landstingsförbundet anser att det kan vara värdefullt med registerlagar men attnärmare ställning kan tas först när konkreta förslag till sådana lagarföreligger. Enligt inkassoföreningens uppfattning är datalagen och den tillsynsom sker genom datainspektionens försorg tillräcklig. Skälenför min bedömning: Föreskrifter till skydd för den personliga integritetenåterfinns i många skilda författningar av olika konstitutionell Prop.1990/91:60 valör. Dengrandläggande bestämmelsen om skyddet för den enskildes integritet återfinns iI kap. 2 § tredje stycket RF, vari sägs bl.a. att det allmänna skall värna denenskildes privatliv och familjeliv. Vidare föreskrivs i 2 kap. 3 § andrastycket RF att varje medborgare skall i den utsträckning som närmare anges ilag skyddas mot att hans personliga integritet kränks genom att uppgifter omhonom registreras med hjälp av automatisk databehandling. Avgenerell betydelse på integritetsskyddsområdet är föreskrifterna i brottsbalkenoch sekretesslagen. Särskilt betydelsefulla i detta sammanhang är naturiigtvisde bestämmelser till skydd för den personliga integriteten som finns idatalagen. Vissapersonregister har reglerats särskilt i lag eller förordning. Som exempel kannämnas skatteregisterlagen (1980:343, omtryckt 1983:143) och skatteregisterförordningen(1980:556, omtryckt 1983:145), utsökningsregisterlagen (1986:617) och utsökningsregisterförordningen(1986:678), lagen (1965:94) om polisregister m.m. och polisregisterkungörelsen(1969:38, omtryckt 1977:1105), tullregisterlagen m.m. (1990:137) samtförordningen (1986:104) om registerföring vid allmänna domstolar med hjälp avautomatisk databehandling. Förvaltningsmyndigheteroch kommuner kan meddela föreskrifter om integritetsskydd såvitt avser egnapersonregister och som komplement till eventuella föreskrifter avdatainspektionen. 1detta sammanhang bör nämnas också de internationella åtaganden som hargjort på dataområdet. Jag avser här konvention om skydd förenskilda vid automatisk databehandling av personuppgifter och i fråga om integritetsskyddet och persondataflödet över gränserna.Sverige har tillträtt konventionen och åtagit sig att följa riktlinjerna. Föratt inrätta och föra särskilt integritetskänsliga ADB-register, dvs. personregistersom innehåller ömtåliga uppgifter om enskilda personer krävs normalttillstånd av datainspektionen. Om inrättandet av ett sådant register beslutasav eller regeringen räcker det dock att beslutet föregås av ettyttrande av datainspektionen. I debatten har då och då rests krav på attregister av detta slag borde vara lagreglerade, vilket innebär att det skullekrävas ett särskilt beslut av för att en myndighet skall få föra ettpersonregister som innehåller speciellt integritetskänsliga uppgifter. Somframgått av min redovisning är vissa stora personregister med integritetskänsligtinnehåll inom den offentliga sektorn författ-ningsreglerade i större ellermindre mån. Flera av de viktigaste registren saknar emellertid författningsstödoch några av dem har inte heller tillstånd från datainspektionen eftersom deär undantagna från tillståndsplikt till följd av 2 a § tredje stycketdatalagen. Blandde register som sålunda undantagits från tillståndsplikt kan näm nas personregister som förs av myndigheter inom hälso- och sjukvården för vård- eller behandlingsändamål. 1 dessa register finns uppgifter om 57 enskildassjukdomar och hälsotillstånd (2 a § tredje stycket 2). Vidare kan Prop.1990/91:60 nämnas de sociala myndigheternas personregister som innehålleruppgifter om att någon fått ekonomisk hjälp eller vård inom (2 a§ tredje stycket 3). Också dessa personregister har generellt sett ett mycket integritetskänsligtinnehåll. Ilikhet med DOK och remissinstanserna anser jag att en målsättning bör vara atti de fall register med ett stort antal registrerade och ett särskilt känsligtinnehåll inrättas, bestämmelser skall meddelas i form av lag. Detta gällersärskilt i de fall uppgifterna i registret sprids exterat i icke obetydligomfattning. Omuppgifter används för strikt avgränsade ändamål i ett register där de primärthar registrerats, t.ex. inom försvaret eller arbetsmarknadsutbildningen och imånga kommunala sammanhang behövs däremot i regel ingen specialreglering. 1dessa register kan integritetsskyddet, enligt min mening, tillgodoses genomdatainspektionens tillståndsprövning. Om de uppgifter som ingår i registret isådana fall inte är sekretesskyddade, kan det övervägas om en utvidgning avbestämmelserna i sekretesslagen är en väg att uppnå ett bättreintegritetsskydd. Denutveckling som har ägt rum visar enligt DOK inte på något uttalatbehov av registerlagar inom den privata sektorn. Detta beror enligt DOK bl. a.på att datainspektionen i sin tillstånds- och tillsynsverksamhet på den privatasidan inte behöver väga integritetsintressen mot samhällsintressen i den utsträckningsom ofta blir nödvändigt när det gäller offentliga register. Vidare kanspridningen av uppgifter från privata register begränsas utan hänsyn tillgrundlagsreglerna om allmänna handlingars offentlighet. Inslaget avfrivillighet är också betydande eftersom privat registrering huvudsakligengrundar sig på avtalsförhållanden. Jagansluter mig till DOK:s bedömning att det inte finns någotuttalat behov av registerlagar inom den privata sektorn. Föratt få en bättre kontroll av integritetsskyddet i de personregister som redanär inrättade inom den offentliga sektorn anserjag i likhet med DOK ochremissinstanserna att ytterligare några av dessa bör regleras i särskilda registerlagar. DOKhar föreslagit att i första hand vissa register hos , landstingen,kommunerna (socialtjänst och skolhälsovård) samt ochförsäkringskassorna bör regleras i registerlagar. EnligtDOK bör register och landstingens patientdatabaser m.fl.personregister regleras framför allt för att man skall ta ställning till ivilken utsträckning personanknutna uppgifter bör kunna krävas in utan deregistrerades samtycke, om avidentifierade uppgifter kan användas och hursocialstyrelsen får använda det material som samlas in. Föratt motverka en okontrollerad utveckling av kommunernas register inomsocialtjänsten när det gäller ändamål och innehåll anser DOK det önskvärt attdessa regleras separat. Undantagetfrån tillståndsplikt i 2 a § datalagen som redogjorts för ovan medför enligt DOK att landstingens och kommunernas barnavårds- och skolhälsovårdsregister kan utformas helt och hållet av de registeransvari ga. DOK anser att detta inte är tillfredsställande från integritetssynpunkt 58 ochmenar dessutom att det är angeläget att överväga hur överlämnandet Prop.1990/91: 60 av uppgifter från barnavården till skolhälsovården skall utformas. Riksförsäkringsverketsoch försäkringskassornas register bör enligt DOK regleras särskilt med hänsyn tillden omfattande terminalanvändningen och utlämnandet av uppgifter inte bara tillandra myndigheter utan också till arbetsgivare och privata pensionskassor. Påsocialförsäkringsområdet pågår ett omfattande utvecklingsarbete i syfte atteffektivisera verksamheten. Av särskild betydelse i detta sammanhang är deförslag som regeringen har lagt fram i prop. 1989/90:62 om insatser föraktiv rehabilitering och arbetslivsfondens verksamhet m. m. Förslagen tar siktepå åtgärder för att bl. a. förbättra försäkringskassornas möjligheter attbedriva en effektiv rehabilitering genom ett utökat samarbete med andramyndigheter m. fl. Riksförsäkringsverketbedriver i samarbete med försäkringskassorna ettutrednings- och utvecklingsarbete samt praktiska försök för att få underlag förett ställningstagande till frågan hur ADB-verksamheten skall utformas för attstödja den pågående verksamhetsutvecklingen. Utredningen bedrivs i form avdelprojekt som sammantagna går under namnet FAS 90 (Framtida ADB-verksamhet förSocialförsäkringen och därefter). FAS90 aktualiserar en rad frågor som är av central betydelse för integritetsskyddeti samhället. Regeringen har därför beslutat att tillkalla ensärskild utredare med uppgift att utreda och lägga fram förslag omförfattningsreglering av personregister på socialförsäkringsområdet (dir.1990:59). Såvälhälso- och sjukvårdsregistren som socialtjänstregistren är som redan nämntsundantagna från tillståndstvång. Mot bakgrund av den snabba utvecklingen avdataanvändningen och med hänsyn till datainspektionens begränsade resurser förtillsyn behövs enligt DOK rent allmänt en bättre kontroll inom dessa områden. VadDOK sålunda anfört om motiven för en specialreglering av vissa myndighetsregisterkan jag väsentligen instämma i. Jag delar därför DOK:s och remissinstansernasuppfattning att en reglering bör ske. DOKhar inte lagt fram förslag till regler som skulle täcka lagstiftningsbehovet.Det ingick inte heller i kommitténs uppdrag. Det är helt säkert inte någon lättoch okomplicerad uppgift att införa en specialreglering på de områden som harberörts. En reglering är alltså möjlig bara och det återstår attnärmare överväga vilka register inom de angivna områdena som bör regleras. Hurarbetet skall bedrivas bör i första hand övervägas inom de departement tillvilkas ansvarsområde de aktuella registren hör. Jag lägger därför nu inte framnågra förslag i denna del. 7 Begränsning av personnummeranvändningen Prop. 7.1 Användningen av personnummer m. m. Redanår infördes i ett system med födelsenummer. Syftet var framförallt att tillgodose behovet av ett mera entydigt, lättillgängligt ochlätthanterligt hjälpmedel än personnamnet för identifiering av personer.Födelsenumret sammanfördes med uppgift om födelsetiden till ett niosiffrigtnummer som användes som identitetsbeteckning. Detta nummer kallades vanligenfolkbokföringsnummer. Folkbokföringsnumret utnyttjades som hjälpmedel vididentifiering bl. a. i folkbokföringen, befolknings- och socialstatistiken ochvid samsorteringen av deklarationsblanketter och löneuppgifter. Tillfolkbokföringsnumret lades en s.k. kontrollsiffra för att man skulle fåmöjlighet att kontrollera numrets riktighet med hjälp av ADB. I samband därmedgavs numret beteckningen personnummer. Enligt7 § folkbokföringslagen (1967:198) skall ett personnummer fastställas förvarje person som kyrkobokförs i . Som framgått anger personnumretfödelsetid och det innehåller vidare födelsenumret och en kontrollsiflfra.Länsskattemyndigheterna fastställer personnummer för nyfödda. Andra kategoriertilldelas ett personnummer av (4§ folkbokföringskungörelsen1967:495). Detta gäller personer som har invandrat till och även vissaicke kyrkobokförda personer. Personnumretanvänds framför allt som hjälpmedel vid identifiering av personer. Det är ocksåvanligt att personnumret används som sökbegrepp i ADB-stödda personregister ochsom koppling när man genom s.k. samköming skall sambearbeta flerapersonregister. Utöveratt personnumren utnyttjas i folkbokföringen förekommer en omfattandeanvändning av personnummer också inom andra delar av den offentliga sektorn, t.ex. inom skatteförvaltningen, hälso- och sjukvården och . Äveninom den enskilda sektorn används personnumren i betydande omfattning. Ettflertal författningar innehåller regler om att personnummer skaU eller böranges i inlagor till myndigheter. Som exempel kan nämnas bestämmelser omtaxering, skatt och uppbörd, tull, prisreglering, folk- och bostadsräkning,val, fömndersökning, rättegång, utmätning, ordningsvakter, pass, jakt, vapen, inkassoverksamhet,kreditupplysning, arbetslöshetsförsäkring, försäkringsrörelse, aktiebolag,utländska förvärv av svenska företag och fast egendom i , handel medskrot och begagnade varor, yrkestrafik, transportförmedling, biluthyrning ochkörkort. 1andra sammanhang inom såväl den offentliga som den enskilda sektorn kan kravpå personnummer grundas på avtal av olika slag. Det förekommer inte sällan attden som beställer en vara eller tjänst krävs på uppgift om sitt personnummer.Den enskildes möjlighet att avstå från att uppge sitt personnummer är ipraktiken ofta begränsad, om han vill ha varan eller tjänsten. Somett resultat av att uppgifter om personnummer lämnas till myndig- heter,företag etc. förekommer sådana uppgifter i ett stort antal ADB- Prop.1990/91:60 register både inom den offentliga och den enskilda sektorn. Inomden offentliga sektorn förs register med personnummer över t. ex. skattskyldiga,fastighetsägare, vissa funktionärer i aktiebolag, bilägare, körkortsinnehavare,straffade, patienter, blodgivare, bostadssökande och elabonnenter. Inomden enskilda sektora förs register med personnummer över t.ex. anställda, köpare,prenumeranter, hyresgäster, leverantörer, kontokortsinnehavare ochföreningsmedlemmar. DOKhar gjort en gmndlig kartläggning av användningen av personnummer. Jaghänvisar i övrigt till den (s. 45 65 i betänkandet /SOU 1987:31/). 7.2 Nuvarande begränsningar i användningen av personnummerm. Detfinns inte några särskilda bestämmelser i lag eller förordningsom förbjuder eller begränsar just användningen av personnummer. Föreskriftertill skydd mot otillbörligt intrång i den personliga integriteten finns bl.a.i sekretesslagen och datalagen. Några bestämmelser som direkt tar sikte på attskydda mot icke godtagbar användning av personnummer finns dock inte i dessalagar. Isekretesslagen finns visserligen föreskrifter om s. k. folkbokföringssekretess(7 kap. 15§). Denna torde dock endast i undantagsfall omfatta uppgift ompersonnummer. Annansekretess kan också gälla för uppgifter om personnummer. Sekretess kan t.ex.gälla enligt 7 kap. 1, 4 och 11 §§ sekretesslagen inom hälsooch sjukvården,respektive en myndighets personaladministrativa verksamhet föruppgifter om en enskilds personliga förhållanden. Till sådana skyddadeuppgifter kan bl. a. räknas anteckningar om en patients, klients elleranställds personnummer. Skälet till att sekretessen gäller här är emellertidinte uppgiften om personnumret som sådan utan denna uppgift i kombination medatt den finns på t. ex. en viss sjukvårdsinrättning. Ävenom det inte heller i datalagen finns några bestämmelser som tar sikte direkt påatt förbjuda eller begränsa användningen av personnummer i ett personregisterär det inte utan vidare tillåtet att använda personnummer t. ex. för attsamköra personregister. I 2 § andra stycket 4 datalagen föreskrivs nämligen atttillstånd av datainspektionen i princip krävs för att inrätta och förapersonregister som skall innehålla personuppgift som inhämtas från något annatpersonregister. Bestämmelsen innebär alltså att det normalt fordras tillståndför samköming av personregister. Vid tillståndsprövningen skall enligt 3 §andra stycket datalagen bl. a särskilt beaktas arten av de personuppgifter somskall ingå i det register som bildas genom samkörningen. Lämnardatainspektionen tillstånd till inrättande och förande av per sonregister skall den enligt 6 § första stycket datalagen meddela särskilda 61 föreskrifter om det behövsför att förebygga risk för otillbörligt intrång i någons personliga integritet.Datainspektionen kan exempelvis meddela föreskrifter om hur personnummer fåranvändas i ett register eller helt förbjuda viss användning. När det gäller vissapersonal-, kund-, hyres- och medlemsregister har datainspektionen meddelatgenerella bestämmelser om användningen av personnummer. 1 inspektionensförfattningssamlingar (1979:2, 1979:3, 1980:3 och 1981:1) föreskrivsbeträffande dessa register att den registrerades personnummer inte får lämnasut i vidare mån än som behövs för att tillgodose ändamålet med registret. Omuppgiften blir tillgänglig i visuellt läsbar form utanför den egnaverksamheten, t.ex. i samband med postbefordran, skall den registeransvarigesärskilt beakta att detta inte sker i onödan eller på ett sätt som är ägnat attväcka oro eller förargelse. Vidare föreskrivs iinspektionens författningssamling (1988:1) om förenklatansökningsförfarande för vissa direktreklamregister att personnummer inte fårplaceras synligt på postförsändelser som innehåller direktreklammaterial. 7.3 Användningen av personnummer bör regleras ytterligare Mittförslag: Personnummer skall enligt en ny bestämmelse i datalagen fåregistreras i dataregister endast om det är påkallat med hänsyn till registretsändamål, vikten av en säker identifiering eller av annat godtagbart skäl. Deförteckningar över personregister som skall finnas enligt 7 a § datalagen skallinnehålla uppgift om humvida personnummer finns i registren. Personnummer skallinte utan särskilda skäl få användas på datautskrifter. DOK har lagt fram tvåalternativa förslag. Det ena förslaget en ny särskild lag innebär attpersonnummer får användas endast under vissa angivna föratsättningar, nämligenvid medgivande från den registrerade, stöd i lag eller förordning eller ivissa fall vid uppgiftsskyldighet eller tillstånd av datainspektionen. Det andra förslaget,kompletteringsförslaget, överensstämmer i stort sett med mitt förslag. Remissinstanserna: Detstora flertalet remissinstanser har ansett att en reglering avpersonnummeranvändningen bör ske och har ställt sig bakom något av DOK:sförslag till lagstiftningsåtgärder. Ett fåtal remissinstanser har dock uttalatatt de föreslagna lagstiftningsåtgärderna ej bör vidtas. De har bl. a. åberopatvikten av ett enhetligt identifikationsbegrepp, att konsekvenserna förforskningen bör utredas först, kostnadsskäl samt att man borde avvakta DOK:sslutbetänkande som för remissinstansernas yttranden ännu intehade lagts fram. Avde remissinstanser som ställt sig bakom något av DOK:s förslag har Prop.1990/91:60 en alldeles övervägande majoritet (närmare sextio remissinstanser)förordat kompletteringsförslaget. Dessa remissinstanser är bl.a. hovrätten förSkåne och , kammarrätten i , , datainspektionen,, statskontoret, länsstyrelsernas organisationsnämnd,, bankinspektionen, försäkringsinspektionen, , LO och TCO. Endastöverbefälhavaren, juridiska fakulteten vid , samhällsvetenskapligafakulteterna vid och , statens invandrarverk,och kommuner, landstingen i och länsamt har uttalat sig till förmån för förslaget till enny särskild lag. Avde remissinstanser som tagit ställning för kompletteringsförslaget har mångauttryckligen avstyrkt det alternativa förslaget. Ingen av de remissinstansersom uttalat sig till förmån för förslaget till en ny särskild lag har däremotuttryckligen avstyrkt kompletteringsförslaget. Närdet gäller kompletteringsförslaget har hovrätten över och ,kammarrätten i och satt i fråga om detta inte äralltför strängt formulerat. Användningenav personnummer innebär både fördelar och nackdelar. Denstörsta fördelen består i att personnumret är ett enhetligt och för varjeperson unikt identifikationsbegrepp. Personnumret är alltså ett effektivthjälpmedel när det gäller att förebygga förväxlingar mellan personer, vilketär av betydelse från bl. a. rättssäkerhetssynpunkt. I den meningen innebärpersonnumret ett skydd för den personliga integriteten. Enannan fördel med personnumret är att man inte behöver hålla reda på många olikaidentifikationsbegrepp, t.ex. kundnummer, inskrivningsnummer och anställningsnummer.Detta gynnar både den enskilde och de myndigheter, företag m. fl. Ytterligareen fördel med personnumret som identifikationsbegrepp är att det är lätt för enregisteransvarig att hålla uppgiftema i registret aktuella med hjälp avuppgifter från andra personregister, t.ex. genom aviseringar omadressförändringar från länsstyrelsemas folkbokföringsregister eller frånSPAR. Detta innebär också att den enskilde i många fall kan befrias frånbesväret att själv göra anmälan om adressändring. Iallmänhet torde användningen av personnummer också bidra till att minskakostnaderna för administrationen av personregistren, något som i sin tur ärägnat att medföra lägre kostnader även för den enskilde. Menanvändningen av personnummer innebär också vissa nackdelar. Det är ett faktum att många människor är kritiska mot den utbredda användningen av personnummer.