bet · GI01KU10 · 1994-11-15 00:00:00 — I detta betänkande behandlar utskottet regeringens proposition1993/94:217 En reformerad datalag. I likhet med propositionenföreslår utskottet att regeringen ges möjlighet att bemyndigaDatainspektionen att meddela generella föreskrifter ompersonregister inom bestämda verksamheter. Register som inrättasoch förs enligt sådana regler undantas från tillståndsplikt. Ipropositionen har vidare föreslagits bl.a. att Datainspektionensbeslut inte längre skall överklagas till regeringen utan tillallmän förvaltningsdomstol. Med anledning av ett motionsyrkande(s) föreslår emellertid utskottet att regeringen fortfarandeskall vara överklagningsinstans, om det är en statlig myndighetsom är registeransvarig. I övrigt tillstyrker utskottetpropositionsförslaget. En reservation (m och fp) har avgivitstill förmån för propositionsförslaget. I proposition 1993/94:217 yrkar regeringen att antarde i propositionen framlagda förslagen till1. lag om ändring i datalagen (1973:289),2. lag om ändring i förvaltningsprocesslagen (1971:291).Lagförslagen har lagts fram efter hörande av Lagrådet. De hartagits in i bilaga 1. I motion 1994/95:K1 av m.fl. (s) yrkas attriksdagen beslutar att 25 § första stycket regeringens förslagtill lag om ändring i datalagen (1973:289) erhåller följandelydelse:Datainspektionens beslut får överklagashos allmän förvaltningsdomstol, om beslutet gäller föreläggandeav vite, och hos regeringen i övriga fall. För att tillvarataallmänna intressen får Justitiekanslern överklagaDatainspektionens beslut och föra talan i mål om viten. Bakgrund till propositionenRiksdagen beslutade att som vilande antavissa ändringar i regeringsformen rörande vissanormgivningsfrågor (prop. 1993/94:166, bet. 1993/94:KU36, rskr.1993/94:359). Det vilande beslutet anmäls till kammaren förslutligt beslut i betänkande 1994/95:KU7.De nya reglerna i regeringsformen innebär -- såvitt nu är avintresse -- att regeringen efter bemyndigande i lag tillDatainspektionen skall kunna delegera normgivningskompetensavseende skyddet för den personliga integriteten vidADB-behandling av personuppgifter.Propositionens huvudsakliga innehållI enlighet med vad som förutskickades i grundlagsärendet läggsi den nu aktuella propositionen fram förslag till lagstiftningvarigenom regeringen ges möjlighet att bemyndigaDatainspektionen att utfärda generella föreskrifter ompersonregister inom bestämda verksamheter. Register som inrättasoch förs i enlighet med sådana regler skall enligt propositionenundantas från tillståndsplikt.Vidare föreslås några åtgärder som inte är beroende avutgången i grundlagsärendet. Skyldigheten att begäraDatainspektionens yttrande inför inrättande av personregistersom beslutas av eller regeringen föreslås sålunda bliavskaffad. Datainspektionen föreslås få möjlighet att förenaföreskrifter och förbud med vite. Vidare föreslås attDatainspektionens beslut enligt datalagen inte längre skallöverklagas till regeringen utan till allmän förvaltningsdomstol.Normgivningsmakten på dataskyddsområdetBakgrundDen grundläggande bestämmelsen om skyddet för den enskildespersonliga integritet finns i 1 kap. 2 § tredje stycketregeringsformen. Där föreskrivs att det allmänna skall värna denenskildes privatliv och familjeliv.Enligt 2 kap. 3 § andra stycket regeringsformen skall varjemedborgare i den utsträckning som närmare anges i lag skyddasmot att hans personliga integritet kränks genom att uppgifter omhonom registreras med hjälp av automatisk databehandling (ADB).Detta innebär att det skall finnas en datalagstiftning tillskydd för den personliga integriteten i samband med ADB och attden närmare omfattningen av skyddet får regleras i vanlig lag.Enligt 2 kap. 20 § första stycket 2 regeringsformen likställsutlänningar med svenska medborgare i fråga om detta skydd.I datalagen (1973:289) finns bestämmelser som syftar till attskydda den enskilde mot sådant otillbörligt intrång i denpersonliga integriteten som kan bli följden av dataregistreringav personuppgifter hos det allmänna eller hos enskilda. Medpersonuppgifter avses register, förteckning eller andraanteckningar som förs med hjälp av ADB och som innehållerpersonuppgift som kan hänföras till den som avses med uppgiften.För att inrätta och föra särskilt integritetskänsligaADB-register, dvs. personregister som innehåller ömtåligauppgifter om enskilda personer, krävs normalt tillstånd avDatainspektionen (2 §). Kravet på tillstånd gäller dock intepersonregister som inrättas genom beslut av ellerregeringen -- s.k. statsmaktsregister. I sådana fall skallyttrande från Datainspektionen inhämtas innan beslut fattas (2 a§). Datainspektionen skall vid sin tillståndsgivning beaktaintegritetsintressena (3 §) och har möjlighet att meddelaföreskrifter om ändamålet med registret och om inhämtande ochutlämnande av uppgifter (5 och 6 §§).Har förandet av personregister lett till otillbörligt intrångi personlig integritet eller finns anledning att anta att sådantintrång skall uppkomma, får Datainspektionen meddelaföreskrifter i nämnda avseenden eller ändra föreskrift somtidigare meddelats (18 § första stycket). Kan skydd mototillbörligt intrång i personlig integritet inte åstadkommas påannat sätt, får Datainspektionen förbjuda fortsatt förande avpersonregister eller återkalla meddelat tillstånd (18 § andrastycket).När datalagen trädde 1973 innehöll den ettgenerellt krav på tillstånd för att få föra i princip alla typerav personregister med ADB. Den ökade datoriseringen av samhälletledde snart till att Datainspektionen fick en tilltagande strömav ansökningar att få inrätta och föra personregister.Tillståndsprövningen tog stora resurser i anspråk och antaletinspektioner, som hade legat på en låg nivå, minskadekraftigt.PropositionenRegeringen anför att ordningen med tillståndskrav enligtdatalagen med tiden har kommit att framstå som alltmerohanterlig. Datainspektionen tvingas med hänsyn tillintegritetsaspekter lägga ned onödiga resurser påtillståndsprövning. Förutom att de registeransvariga mångagånger nog inte inser omfattningen av den detaljerade prövningsom datalagen förutsätter i tillståndsförfarandet, tar enansökan enligt regeringen ofta på grund av kompletteringar m.m.lång tid att behandla.Regeringen anser att det nuvarande systemet innebär attinspektionen inte kan avsätta önskade resurser förtillsynsverksamheten. Enligt regeringen leder detta till attinspektionens tillsyn över den ständigt ökande datoriseringen isamhället och därigenom också den alltmer utbreddaregistreringen av personuppgifter inte kan prioriteras i önskadomfattning. Regeringen anför att följden kan bli en bristanderespekt för datalagens regler och nämner som exempel att det förnärvarande finns ca 50 000 meddelade licenser medan antaletenligt beräkningar hade bort vara mellan500 000 och 1 miljon. Enligt regeringen tyder detta förhållandebeträffande datalagens regler om anmälningsskyldighetotvivelaktigt på att det finns en risk för att även demateriella regler i datalagen som skall skydda de registreradespersonliga integritet inte efterföljs.I propositionen beskriver regeringen olika åtgärder somvidtagits för att begränsa tillståndshanteringen hosDatainspektionen. Regeringen konstaterar att effekten av dessaåtgärder i syfte att minska tillståndshanteringen dock endast ibegränsad omfattning har kunnat uppnås, eftersom antalettillståndsärenden hos Datainspektionen med den tilltagandedatoriseringen i samhället fortsatt att öka.Att pröva tillståndsansökningar innebär inte endast att sägaja eller nej utan även att, när tillstånd lämnas, förena dettamed nödvändiga föreskrifter i det enskilda fallet. Även omDatainspektionen genom rationalisering och betydandearbetsinsatser lyckas hålla tillståndshanteringen på ennågorlunda rimlig nivå tar denna del av verksamheten enligtregeringen alltför stor andel av inspektionens resurser.Regeringen menar att detta har lett till att den förintegritetsskyddet så viktiga delen av Datainspektionensverksamhet som består i tillsyn inte kan prioriteras i önskvärdomfattning. Av bl.a. dessa skäl är det enligt regeringenangeläget att sträva efter att tillståndshantering avpersonregister i ökad utsträckning skall ersättas av etttillsynsförfarande. Regeringen erinrar om att den därför iproposition 1993/94:116 Normgivningsfrågor på dataskyddsområdet,m.m. har föreslagit en ändring i regeringsformen som skall skapamöjligheter för Datainspektionen att utfärda generellaföreskrifter för databehandling av personuppgifter. Som nämnts idet inledande avsnittet antog som vilande dettaförslag under föregående riksmöte.I den nu aktuella propositionen föreslås att det i datalagentas in en föreskrift av innebörd att regeringen eller, efterregeringens bemyndigande, Datainspektionen får meddela närmareföreskrifter för personregister.Bestämmelsen i 2 kap. 3 § andra stycket regeringsformen sätteren gräns för i vilken utsträckning normgivningsmakten kandelegeras till Datainspektionen. Enligt bestämmelsen skallintegritetsskyddet vid databehandling av personuppgifter anges ilag. Regeringen anför att den normgivningskompetens somdelegeras till Datainspektionen således bör inskränkas till attavse en regelutfyllnad av datalagens bestämmelser.Föreskrifterna från Datainspektionen är därför enligt regeringenatt betrakta som ett komplement till datalagens skydd för denpersonliga integriteten. Utgångspunkten är att generellaföreskrifter inte skall medföra ett sämre integritetsskydd änvid tillståndsprövningen. Detta anges medföra att föreskrifternamåste vara tämligen detaljerade och i sak ligga nära enskildatillståndsbeslut. I första hand kommer enligt regeringen degenerella föreskrifterna att avse sådana register som ärtillståndspliktiga. Detta utesluter inte att det iregelgivningen kan uppstå situationer där även tillståndsfriaregister omfattas av en generell föreskrift. Regeringen anseratt det är naturligt att Datainspektionens normering tar siktepå områden och verksamheter där det finns många och likartadepersonregister. Bemyndigandet i datalagen bör därför enligtregeringen avse grupper av sådana register som ofta förekommeroch som är av en enhetlig karaktär. Regeringen anser att ensådan normering ökar förutsebarheten om vilka krav som urintegritetsskyddssynpunkt ställs på de registeransvariga och attden även skapar förutsättningar för en jämn och hög nivå påskyddet för de registrerades personliga integritet.Möjligheter till en generell normgivning leder enligtregeringen också till att Datainspektionens tillsyn underlättaspå breda områden. Regeringen anser dock att en generellreglering som endast avser några enstaka personregister däremotinte bör förekomma. Regeringen föreslår därför att dennormgivningskompetens som skall kunna delegeras tillDatainspektionen skall begränsas till att avse personregistersom ofta förekommer inom en viss verksamhet och för ett visständamål. Vad regeringen närmast åsyftar är föreskrifter somskall gälla för personregister som förs för ett visst ändamålinom olika branscher och sektorer. Som exempel på personregistersom kan komma i fråga nämner regeringen sjukhusenspatientregister, forskningsregister, direktreklamregister samtregister inom försäkringsbranschen och bankväsendet.Normgivningsrätten bör enligt regeringen dock inte inskränkastill enbart en reglering av personregister för vissa branscheroch sektorer. I vissa fall förs samma typ av register inom flerabranscher eller sektorer. Som exempel på en sådan bransch- ochsektorsövergripande registrering av personuppgifter som sker förett visst ändamål anger regeringen arbetsgivarnas löne- ochpersonaladministrativa system och de adressregister som förs avmyndigheter och företag. Visserligen är flertalet sådanaregister inte tillståndspliktiga. Det kan dock enligtregeringen inte uteslutas att det uppkommer behov avatt använda dessa register för andra ändamål eller tillföra demytterligare uppgifter vilket skulle medföra att de blirtillståndspliktiga. Ett exempel på att nya användningsområdenför tidigare tillståndsfria register kan uppkomma är enligtregeringen de ändringar som infördes beträffandearbetsgivarnas ökade ansvar för de anställdas rehabilitering. Isamband med det ändrades datalagens tillståndsregler förarbetsgivarnas personaladministrativa register (prop.1991/92:126, bet. 1991/92:KU22, rskr. 1991/92:290).Genom att Datainspektionen ges möjligheter att utfärdagenerella regler för personregister som förs inom en vissverksamhet och inte enbart för vissa branscher och sektorerskapas enligt regeringen således förutsättningar för attDatainspektionen skall kunna möta de integritetsskyddsproblemsom uppkommer genom den ständigt ökande datoriseringen isamhället och därigenom den alltmer utbredda registreringen avpersonuppgifter.Regeringen anser att möjligheterna för Datainspektionen attutfärda dataskyddsföreskrifter måste syfta till att skapaenhetliga regler för ett starkt integritetsskydd oavsett varregistreringen av personuppgifter sker -- inte minst motbakgrund av det ökande informationsflödet i samhället. Detligger enligt regeringen också ett stort värde i att systemet ärså beskaffat att det inte råder några oklarheter ikonstitutionellt hänseende om i vilken utsträckningDatainspektionen har rätt att utfärda föreskrifter tilldatalagen. Regeringen menar att möjligheterna att kunna delegeranormgivningskompetensen på integritetsskyddsområdet således börgälla såväl privat som statlig och verksamhet.Regeringen poängterar att möjligheten till en delegeradnormgivningskompetens på integritetsskyddsområdet inte kommeratt påverka den nuvarande inriktningen på att ta fram särskildaregisterförfattningar för integritetskänsliga personregister.Regeringen erinrar om att det i proposition 1990/91:60 omoffentlighet, integritet och ADB uttalas att en målsättning börvara att register med ett stort antal registrerade och ettsärskilt känsligt innehåll skall regleras i lag. Närpropositionen behandlades av i betänkande1990/91:KU11 anförde utskottet att det allmänt sett är av storbetydelse att en författningsreglering av ADB-register kommertill stånd i syfte att stärka skyddet för de registreradesintegritet i samband med nödvändig registrering av känsligauppgifter i myndighetsregister. Utskottet delade den uppfattningsom framfördes i propositionen om att register hos kommunerna,landstingskommunerna, och Socialstyrelsenbör regleras i särskilda registerlagar. Likaså ansåg utskottetatt det krävs ingående överväganden i fråga om vilka registerinom dessa områden som bör lagregleras. Regeringen anför attarbetet med att ta fram registerlagar för integritetskänsligapersonregister fortgår och pekar på att regeringen senast den 23september 1993 med utgångspunkt i de återgivna uttalandena harbeslutat tillkalla en kommitté för att utreda och lägga framförslag till en författningsreglering av personregister inomhälso- och sjukvårdens område (dir. 1993:111).Normgivningskompetens för Datainspektionen skall enligtregeringen inte ses som en ersättning för dessaregisterförfattningar utan som ett komplement till dem.Utskottets bedömningSom anförs i propositionen är det angeläget att sträva efteratt tillståndshanteringen av personregister i ökad utsträckningkan ersättas med ett tillsynsförfarande. En förutsättning för ensådan ordning är att Datainspektionen får meddela föreskrifter iregeringsformens mening. har därför beslutat att antasom vilande en ändring i regeringsformen som innebär att det igrundlagen öppnas en möjlighet att delegera sådanföreskriftsrätt till Datainspektionen (1993/94:KU36). Utskottethar föreslagit att slutligt anta ändringen(1994/95:KU7). I detta ärende fullföljs nu denna tanke genom enändring i datalagen av innebörd att regeringen ges möjlighet attbemyndiga Datainspektionen att utfärda föreskrifter ompersonregister inom bestämda verksamheter. Register som inrättasoch förs i enlighet med sådana regler undantas fråntillståndsplikt. Utskottet har inga erinringar mot regeringensförslag. Utskottet vill dock särskilt understryka att dennamöjlighet till delegation inte får påverka inriktningen på attta fram särskilda registerförfattningar förintegritetsskyddskänsliga personregister. Normgivningskompetensför Datainspektionen skall, som regeringen anför, inte ses somen ersättning för dessa registerförfattningar utan som ettkomplement till dem.Yttranden enligt 2 a § datalagenBakgrundSom framgått av det föregående måste statsmakterna enligt 2 a§ datalagen inhämta Datainspektionens yttrande innan de inrättarpersonregister. Denna skyldighet fanns med redan då datalageninfördes . Enligt förarbetena till lagen förutsåg man dåatt statsmaktsregister skulle inrättas endast i sådana fall dådet var starkt motiverat med hänsyn till registrets betydelseeller med hänsyn till övriga omständigheter (bet. KU 1973:9).PropositionenRegeringen anför att utvecklingen under de allra senaste årenhar gått mot en ökad omfattning av statsmaktsregister.Regeringen pekar på att denna utveckling har stöd i uttalandenfrån regeringen och där det har angetts som enmålsättning att vissa myndighetsregister med känsligt innehållbör författningsregleras (jfr prop. 1990/91:60 och bet.1990/91:KU11).Regeringen erinrar vidare om att den i proposition 1993/94:116Normgivningsfrågor på dataskyddsområdet, m.m. har anfört att dennuvarande skyldigheten att inför inrättandet avstatsmaktsregister inhämta inspektionens yttrande enligt 2 a §datalagen bör avskaffas i syfte att minska Datainspektionensarbetsbörda. Regeringen menar att inte bara arbetsbesparandeskäl talar för att skyldigheten avskaffas. Integritetsaspekternakan nämligen bli tillgodosedda även utan detta obligatorium.Datainspektionen får oavsett 2 a § datalagen tillfälle att avgesynpunkter innan regeringen eller fattar sitt beslut.Detta anges följa av den skyldighet som regeringen har attenligt 7 kap. 2 § regeringsformen inhämta behövliga upplysningaroch yttranden från berörda myndigheter. Regeringen anför att detdärför är naturligt att regeringen inhämtar yttranden från bl.a.Datainspektionen vid inrättandet av statsmaktsregister som ärsärskilt känsliga ur integritetssynpunkt. Det är enligtregeringen också vanligt att Datainspektionen deltari beredningsarbetet än i den form som är angiveni 2 a § datalagen. Inspektionen anlägger därvid samma aspektersom myndigheten gör i sitt obligatoriska yttrande. Till dettakommer att Datainspektionen regelmässigt är remissorgan i delagstiftningsärenden som innefattar datarättsliga överväganden.Det förhållandet att stora, integritetskänsliga registerenligt vad statsmakterna uttalat bör lagregleras, innebär enligtregeringen i sig alltså att ett nogsamt beredningsarbete föregårregistrens inrättande. Regeringen anser att även den internaberedning som sker inom inför inrättandet avstatsmaktsregister innebär att integritetsaspekterna får en godgenomlysning.Sammantaget framstår den nuvarande ordningen enligt regeringenibland som onödigt stelbent och formell. Det förekommer ocksåatt Datainspektionen ett yttrande inhämtas i ettremissvar tillstyrkt den ändring som föreslås. Regeringen anföratt ett avskaffande av yttranden enligt 2 a § datalagen på intetsätt innebär någon lättnad i kravet på remissbehandling avförslag till nya statsmaktsregister. Det är därför regeringensuppfattning att de angelägna integritetsaspekterDatainspektionen har att bevaka väl så bra kan beaktas utan ettså formaliserat förfarande som den nuvarande regleringeninnebär. Av dessa skäl föreslår regeringen att det obligatoriskainhämtandet av ett särskilt yttrande från Datainspektionen införinrättandet av statsmaktsregister avskaffas.Utskottets bedömningUtskottet tillstyrker regeringens förslag.ViteBakgrundAv 18 § första stycket datalagen framgår att om ett förande avpersonregister lett till otillbörligt intrång i personligintegritet eller om det finns anledning anta att sådant intrångskall uppkomma, får Datainspektionen i mån av behov meddelaföreskrifter i sådant avseende som anges i 5 eller 6 § ellerändra föreskrifter som tidigare meddelats. Sådana föreskrifterfår såvitt avser statsmaktsregister bara meddelas omföreskriften inte står i strid med beslut av ellerregeringen.Enligt 18 § andra stycket datalagen får Datainspektionen, omskydd mot otillbörligt intrång i personlig integritet inte kanåstadkommas på annat sätt, förbjuda fortsatt förande avpersonregister eller återkalla meddelat tillstånd. Befogenhetenatt förbjuda fortsatt förande gäller alltså register för vilkatillstånd inte behövs. Statsmaktsregister är emellertidundantagna.PropositionenRegeringen anför att dess förslag om ökade möjligheter förDatainspektionen att reglera databehandlingen inom branscher ochsektorer genom generella föreskrifter kommer att leda till enminskad tillståndshantering och att fler register således kommeratt föras utan tillstånd. Det är enligt regeringen inteuteslutet att detta kan leda till en ökad tillämpning av18 § andra stycket datalagen. Regeringen hänvisar tillproposition 1993/94:116 Normgivningsfrågor på dataskyddsområdet,m.m. vari anfördes att för att skapa förutsättningar förinspektionen att på ett effektivt och kraftfullt sätt kunnaförhindra pågående integritetsintrång bör inspektionen hamöjlighet att förena ett förbud mot fortsatt förande avpersonregister enligt 18 § andra stycket datalagen med ettvitesföreläggande.Utdömande av ett förelagt vite förutsätter till skillnad frånstraff varken uppsåt eller oaktsamhet hos den som brutit mot enföreskrift eller ett förbud. Ett vitesföreläggande är enligtregeringen därför i många fall mer effektivt än ettstraffstadgande. Regeringen menar att vitesmöjligheten såledesbör skapa avsevärt bättre förutsättningar än attsätta stopp för otillbörliga intrång i personlig integritet.Regeringen föreslår därför att Datainspektionens befogenheteratt meddela föreskrifter för ett enskilt register och förbud motfortsatt förande av personregister enligt 18 § datalagenkompletteras med en möjlighet att förena en sådan föreskrifteller ett sådant förbud med ett vitesföreläggande.Utskottets bedömningUtskottet tillstyrker regeringens förslag.ÖverklagandeBakgrundEnligt 25 § datalagen överklagas Datainspektionens beslutenligt datalagen hos regeringen. Justitiekanslern får överklagaett sådant beslut för att tillvarata allmänna intressen.Redan vid datalagens tillkomst förekom diskussioner om tillvilken instans Datainspektionens beslut borde överklagas. Avförarbetena (prop. 1973:33 s. 150) framgår att någraremissinstanser ansåg att inspektionens beslut borde överklagastill Regeringsrätten. JO för sin del fann det yttterst angelägetmed en möjlighet att få domstolsprövning av inspektionensställningstaganden i tillståndsärenden och ärenden omföreläggande och föreskrifter. Föredragande statsrådet medgavatt vissa skäl, bl.a. sambandet med offentlighets- ochsekretessreglerna, talade för att Datainspektionens beslutskulle kunna överklagas hos Regeringsrätten men framhöll att deavgöranden som det kunde bli fråga om huvudsakligen var av sådannatur att de inte lämpligen borde prövas av domstol. Han menadeatt det i första hand var fråga om att avgöra hur man bäst skallförebygga riskerna för otillbörligt intrång i personligintegritet och att det vidare i vissa fall måste ske enavvägning mot samhällsekonomiska intressen.PropositionenRegeringen hänvisar till att den i proposition 1993/94:116Normgivningsfrågor på dataskyddsområdet, m.m. som sinuppfattning har angett att Datainspektionens beslut böröverklagas till allmän förvaltningsdomstol och att en sådanordning ligger i linje med bl.a. det arbete som sedan flera årpågår inom i syfte att minska regeringensbefattning med förvaltningsärenden.