prop · GH03217 · 1994-01-01 00:00:00 — Andra pekar på vikten av att integritetskänsliga register inom den offentliga verksamheten författningsregleras. har i detta sammanhang påpekat att det är viktigt att samma bestämmelser gäller, oavsett om uppgifterna registreras i offentlig eller privat regi. och kommuner anser att Datainspektionen inte skall ges förordningsmakt över kommunerna. Enligt medger inte om självstyrelse en sådan ordning. Även , som principiellt motsätter sig att normgivningskompetens delegeras till statliga myndigheter, ifrågasätter om förslaget står i överensstämmelse med denna konvention. och avstyrker en omfattande detaljreglering och ett överdrivet införande av tvingande regler och anför att allmänna råd torde kunna ersätta föreskrifter. Flera remissinstanser, bl.a. och , pekar på vikten av att Datainspektionens föreskrifter tas fram i samråd med den bransch som skall regleras. anser att Datainspektionens föreskriftsmakt även skall omfatta behandling av icke-känsliga personuppgifter. däremot anför att Datainspektionens generella föreskrifter endast bör avse behandling av känsliga uppgifter. Få remissinstanser har berört förslaget att Datainspektionens generella föreskrifter inte skall få gälla gallring. Flertalet av dem, bl.a. Kammarrätten i , och , tillstyrker förslaget. Endast tre instanser, , och , förordar att Datainspektionen skall ha rätt att utfärda generella gallringsföreskrifter. Flera instanser betonar vikten av att arkivlagens bestämmelser efterföljs. Skälen för regeringens förslag: Ordningen med tillståndskrav enligt datalagen har med tiden kommit att framstå som alltmer ohanterlig. Datainspektionen tvingas lägga ned med hänsyn till integritetsaspekter onödiga resurser på tillståndsprövning. Förutom att de registeransvariga nog inte inser omfattningen av den detaljerade prövning som datalagen förutsätter i tillståndsförfarandet, tar en ansökan ofta på grund av kompletteringar m.m. att behandla. Det nuvarande systemet innebär att inspektionen inte kan avsätta önskade resurser för tillsynsverksamheten. Detta leder till att inspektionens tillsyn över den ständigt ökande datoriseringen i samhället och därigenom också den alltmer utbredda registreringen av personuppgifter inte kan prioriteras i önskad omfattning. Följden kan bli en bristande respekt för datalagens regler. Det kan t.ex. nämnas att det finns ca 50 000 meddelade licenser. Enligt beräkningar hade antalet bort vara mellan 500 000 och 1 milj. Otvivelaktigt tyder detta förhållande beträffande datalagens regler om anmälningsskyldighet på att det finns en risk för att även de materiella regler i datalagen som skall skydda de registrerades personliga integritet inte efterföljs. När datalagen trädde 1973 innehöll den ett generellt krav på tillstånd för att få föra i princip alla typer av personregister med ADB. Den ökade datoriseringen av samhället ledde snart till att Datainspektionen erhöll en tilltagande ström av ansökningar att få inrätta och föra personregister. Tillståndsprövningen tog stora resurser i anspråk och antalet inspektioner, som hade legat på en låg nivå, minskade kraftigt. För att underlätta hanteringen av tillstånd införde Datainspektionen med början ett förenklat ansöknings- och tillståndsförfarande för vissa typer av register. Det gäller ansökningar om tillstånd i vilka Datainspektionen utvecklat en fast praxis. De närmare bestämmelserna om vilka register som omfattas och vilka särskilda villkor som måste vara uppfyllda finns i (). Föreskrifter angående förenklat ansökningsförfarande har tagits fram bl.a. för vissa direktreklamregister och statistikregister samt för vissa personregister inom kommunernas och verksamhet. Datainspektionen har också utfärdat föreskrifter för ett förenklat ansökningsförfarande för vissa personregister inom statlig och lands- tingskommunal forskningsverksamhet. Det förenklade förfarandet innebär i praktiken att vissa slag av register inom en sektor i förväg normerats av Datainspektionen och att den registeransvarige, som vill inrätta ett register på vilka föreskrifterna är tillämpliga, på en särskild blankett ansöker om tillstånd hos inspektionen. Denna ger sedan efter en enkel kontroll tillstånd och beslutar bl.a. att innehållet i föreskrifterna skall gälla såsom särskilda villkor för registret. togs ytterligare ett steg mot att begränsa tillståndshanteringen hos Datainspektionen. Genom ändringar i datalagen slopades det generella tillståndskravet för att inrätta och föra personregister med hjälp av ADB. I stället infördes en skyldighet för dem som vill föra personregister att anmäla detta till Datainspektionen som utfärdar en licens. Tillståndskravet begränsades till register som innehåller uppgifter av känslig art, avser personer som saknar anknytning till den registeransvarige eller innehåller uppgifter som hämtas från ett annat personregister. Huvudsyftet med ändringarna var att begränsa mängden tillståndsärenden och därigenom göra det möjligt för Datainspektionen att koncentrera sig på de mest integritetskänsliga registren och kunna intensifiera sin tillsynsverksamhet. Effekten av dessa åtgärder i syfte att minska tillståndshanteringen har dock endast i begränsad omfattning kunnat uppnås, eftersom antalet tillståndsärenden hos Datainspektionen med den tilltagande datoriseringen i samhället fortsatt att öka. Att pröva tillståndsansökningar innebär inte endast att säga ja eller nej utan även att, när tillstånd lämnas, förena detta med nödvändiga föreskrifter i det enskilda fallet. Även om Datainspektionen genom rationalisering och betydande arbetsinsatser lyckats hålla tillståndshanteringen på en någorlunda rimlig nivå tar denna del av verksamheten alltför stor andel av inspektionens resurser. Detta har lett till att den för integritetsskyddet så viktiga delen av Datainspektionens verksamhet som består i tillsyn inte kan prioriteras i önskvärd omfattning. Av bl.a. dessa skäl är det angeläget att sträva efter att tillståndshantering av personregister i ökad utsträckning skall ersättas av ett tillsynsförfarande. Regeringen har därför i prop. 1993/94:116 Normgivningsfrågor på dataskyddsområdet, m.m. föreslagit en ändring i regeringsformen (RF) som skall skapa möjligheter för Datainspektionen att utfärda generella föreskrifter för databehandling av personuppgifter. Förslaget syftar till att ytterligare minska området för Datainspektionens tillståndshantering och därigenom skapa förutsättningar för en mer intensifierad tillsyn av databehandlingen av personuppgifter. I propositionen anges att grundlagsändringen kommer att följas upp med ett förslag till ändringar i datalagen där det noga anges inom vilka ramar normgivningsmakten skall kunna delegeras. Bestämmelsen i 2 kap. 3 andra stycket RF sätter en gräns för i vilken utsträckning normgivningsmakten kan delegeras till Datainspektionen. Enligt bestämmelsen skall varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av ADB. Av förarbetena framgår att bestämmelsen riktar sig till lagstiftaren som åläggs att vara aktiv genom att stifta och vidmakthålla en datalagstiftning. Det uttalas vidare att grundlagsbestämmelsen inte hindrar regeringen och andra myndigheter från att meddela dataskyddsbestämmelser (prop. 1987/88:57 s. 11). Grundlagsbestämmelsen anger den yttre ramen för den normgivningskompetens som kan delegeras till Datainspektionen. Enligt bestämmelsen skall integritetsskyddet vid databehandling av personuppgifter anges i lag. Den normgivningskompetens som delegeras till Datainspektionen bör således inskränkas till att avse en regelutfyllnad av datalagens bestämmelser. Föreskrifterna från Datainspektionen är således att betrakta som ett komplement till datalagens skydd för den personliga integriteten. Utgångspunkten är att generella föreskrifter inte skall medföra ett sämre integritetsskydd än vid tillståndsprövningen. Detta medför att föreskrifterna måste vara tämligen detaljerade och i sak ligga nära enskilda tillståndsbeslut. I första hand kommer de generella föreskrifterna avse sådana register som är tillståndspliktiga. Detta utesluter inte att det i regelgivningen kan uppstå situationer där även tillståndsfria register omfattas av en generell föreskrift. Det är naturligt att Datainspektionens normering tar sikte på områden och verksamheter där det finns många och likartade personregister. Bemyndigandet i datalagen bör därför avse grupper av sådana register som ofta förekommer och som är av en enhetlig karaktär. En sådan normering ökar förutsebarheten om vilka krav som ur integritetsskyddssynpunkt ställs på de registeransvariga. Den skapar även förutsättningar för en jämn och hög nivå på skyddet för de registrerades personliga integritet. Möjligheter till en generell normgivning leder också till att Datainspektionens tillsyn underlättas på breda områden. En generell reglering som endast avser några enstaka personregister bör däremot inte förekomma. Regeringen föreslår därför att den normgivningskompetens som skall kunna delegeras till Datainspektionen skall begränsas till att avse personregister som ofta förekommer inom en viss verksamhet och för ett visst ändamål. Vad som närmast åsyftas är föreskrifter som skall gälla för personregister som förs för ett visst ändamål inom olika branscher och sektorer. Som exempel på personre- gister som kan komma i fråga kan nämnas sjukhusens patientregister, forskningsregister, direktreklamregister samt register inom försäkringsbranschen och bankväsendet. Normgivningsrätten bör dock inte inskränkas till enbart en reglering av personregister för vissa branscher och sektorer. I vissa fall förs samma typ av register inom flera branscher eller sektorer. Exempel på en sådan bransch- och sektorsövergripande registrering av personuppgifter som sker för ett visst ändamål är arbetsgivarnas löne- och personaladministrativa system och de adressregister som förs av myndigheter och företag. Visserligen är flertalet sådana register inte tillståndspliktiga. Det kan dock inte uteslutas att det uppkommer behov av att använda dessa register för andra ändamål eller tillföra dem ytterligare uppgifter vilket skulle medföra att de blir tillståndspliktiga. Ett exempel på att nya användningsområden för tidigare tillståndsfria register kan uppkomma är de ändringar som infördes beträffande arbetsgivarnas ökade ansvar för de anställdas rehabilitering. I sam- band med det ändrades datalagens tillståndsregler för arbetsgivarnas personal- administrativa register (prop. 1991/92:126, bet. 1991/92:KU 22, rskr. 1991/92:290). Genom att Datainspektionen ges möjligheter att utfärda generella regler för personregister som förs inom en viss verksamhet och inte enbart för vissa branscher och sektorer skapas således förutsättningar för att Datainspektionen skall kunna möta de integritetsskyddsproblem som uppkommer genom den ständigt ökande datoriseringen i samhället och därigenom den alltmer utbredda registreringen av personuppgifter. Datalagens regler kan i vissa fall anses utgöra ett hinder mot utvecklingen av den moderna informationsteknologin. Bl.a. innebär de ökade möjligheterna att sprida information via data- och telenäten att stora mängder personuppgifter kan överföras från en dator till en annan på ett snabbt och billigt sätt. Detta leder till att frågor om tillstånd enligt datalagen erfordras för att föra ett visst register aktualiseras i en allt vidare krets. Som ett exempel på behovet av en ökad spridning av personuppgifter på datamedium kan nämnas att i syfte att bl.a. informera allmänheten om beslut och dess beslutsfattare gjorde informationssystemet Rixlex tillgängligt för allmänheten. Rixlex innehåller bl.a. riksdagstrycket och information om riksdagsledamöterna. I de avtal om abonnemang på Rixlex som träffas mellan och kunderna har intagits en klausul där kunden förbinder sig att inte använda personuppgifter från Rixlex för automatisk databehandling i strid med datalagen. I de fall en enskild person i sin egen dator lagrar uppgifter om riks- dagsledamöternas motioner och avser att använda dem annat än uteslutande för personligt bruk krävs tillstånd av Datainspektionen bl.a. med hänsyn till att motionerna innehåller uppgifter om politisk åskådning (jfr 2 a och 4 datalagen). I detta fall kan det tyckas att datalagens regler är alltför långtgående. Speciellt gäller detta eftersom registrering av uppgift om partibeteckning för en riksdagsledamot torde kunna anses ske med samtycke och i sig inte utgöra någon risk för otillbörligt intrång i ledamotens personliga integritet. I andra fall är dock registrering av politisk tillhörighet en nog så integritetskränkande åtgärd, något som kommer till uttryck genom 2 kap. 3 första stycket RF. Genom att ge Datainspektionen möjligheter att meddela föreskrifter för personregister som förs inom en viss verksamhet skapas förutsättningar för inspektionen att bl.a. utfärda föreskrifter för sådan registrering och bearbetning av t.ex. riksdagsmotioner som inte sker uteslutande för personligt bruk. Regeringens förslag skiljer sig något från förslag. Enligt utredningen skulle Datainspektionens normgivningsrätt begränsas till sådan behandling av känsliga personuppgifter som ofta förekommer inom ett visst område för ett visst ändamål. Med känsliga personuppgifter avsåg utredningen i princip sådana uppgifter som anges i 4 och 6 andra stycket datalagen, dvs. uppgifter om brott, hälsotillstånd, politisk uppfattning, omdömen m.m. förslag att begränsa inspektionens normgivningsrätt till att avse endast känsliga personuppgifter måste dock ses mot den bakgrunden att utredningen föreslog en helt ny datalag. I förslaget strävade utredningen efter att ge en utförlig och fyllig reglering av förutsättningarna för när ADB-hantering av personuppgifter skulle vara tillåten. Enligt utredningen fanns det därför inte något behov av en ytterligare normering av registreringen av de mindre känsliga personuppgifterna. Att inom ramen för det nuvarande regelsystemet i datalagen begränsa Datainspektionens normgivningskompetens till att endast avse behandling av känsliga personuppgifter skulle bl.a. omöjliggöra en generell reglering av personregister som är tillståndspliktiga på den grunden att de innehåller uppgifter om personer som den registeransvarige inte har någon naturlig anknytning till. Detta skulle innebära ett bibehållande av den masshantering av tillstånd som till viss del sker hos Datainspektionen med stöd av det förenklade ansökningsförfarandet t.ex. för direktreklamändamål. Något skäl att från integritetsskyddssynpunkt undanta den typen av mindre känsliga personregister från möjligheterna till en generell reglering finns inte. Snarare torde en generell reglering genom föreskrifter av vissa typer av personregister som innehåller mindre känsliga personuppgifter innebära stora vinster från effektivitetssynpunkt utan att integritetsskyddet åsidosätts. Det förhållandet att personregister som förs med stöd av tillstånd kommer att kunna regleras genom generella föreskrifter skall inte innebära en minskning av integritetsskyddet. Detta innebär att liksom i tillståndsärenden skall det säkerställas att det inte uppstår otillbörligt intrång i den personliga integriteten vid förandet av personregister. Datainspektionens normgivningsrätt bör inte omfatta en rätt att utfärda generella föreskrifter om gallring av allmänna handlingar. Enligt 10 arkivlagen (1990:782) får allmänna handlingar gallras. Gallring skall dock alltid ske med beaktande av att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår tillgodoser vissa ändamål, nämligen rätten att ta del av allmän handling, rättskipningens och förvaltningens behov av information samt forskningens behov. Undantag från huvudregeln om gallring görs dock för det fall att det i en annan lag eller förordning finns avvikande regler om gallring. Dessa avvikande bestämmelser tar då över arkivlagens bestämmelser om gallring. Arkivlagens bestämmelser gäller dock enligt 10 framför bestämmelserna i 12 datalagen. Enligt 12 datalagen skall personuppgifter som inte längre behövs med hänsyn till registerändamålet utgå ur personregistret om de inte skall bevaras på grund av bestämmelser i författning eller i myndighets beslut som meddelats med stöd av författning. Detsamma gäller då den registeransvarige upphör att föra personregistret. Datainspektionen kan meddela beslut om gallring av personuppgifter i ett visst register med stöd av 6, 6 a eller 18 datalagen. Sådana beslut meddelas dels i enskilda tillstånds- eller tillsynsärenden, dels i av Datainspektionen meddelade föreskrifter om förenklat ansöknings- och tillståndsförfarande. Enligt 12 dataförordningen (1982:480) skall frågor om bevarande och gallring av personuppgifter i myndigheters personregister avgöras av Datainspektionen i samråd med eller i vissa fall . Regeringen anser inte att det finns skäl att nu avvika från den reglering av gallringen av allmänna handlingar som fastlagts i arkivlagen. Principen om att undantag från huvudregeln i 10 arkivlagen skall göras i lag eller förordning bör inte ändras. Datainspektionens normgivningsmakt bör därför inte innefatta en rätt att utfärda generella gallringsföreskrifter avseende allmänna handlingar. Däremot har inspektionen rätt att i de dataskyddsföreskrifter som inte avser myndigheters personregister föra in regler om gallring. Datainspektionen bör samråda med eller i förekommande fall när dataskydds- föreskrifter tas fram för personregister som kan antas vara allmänna handlingar hos statliga myndigheter, så att arkivmyndigheterna kan utfärda gallringsföre- skrifter som passar in i den reglering som inspektionen ämnar utfärda. En regel om samrådsskyldighet mellan Datainspektionen och dessa arkivmyndigheter vid ut- formningen av generella föreskrifter kan beslutas av regeringen genom för- ordning. För att göra tydligt att de föreskrifter med generell verkan som regeringen nu föreslår att regeringen eller Datainspektionen skall kunna utfärda är av annat slag än de föreskrifter som inspektionen meddelar bl.a. med stöd av 5 och 6 datalagen i de enskilda tillståndsbesluten bör vissa justeringar göras i lagtexten. Möjligheterna för Datainspektionen att utfärda dataskyddsföreskrifter måste syfta till att skapa enhetliga regler för ett starkt integritetsskydd oavsett var registreringen av personuppgifter sker. Detta inte minst mot bakgrund av det ökande informationsflödet i samhället. Det ligger också ett stort värde i att systemet är så beskaffat att det inte råder några oklarheter i konstitutionellt hänseende om i vilken utsträckning Datainspektionen har rätt att utfärda föreskrifter till datalagen. Möjligheterna att kunna delegera normgivningskompetensen på integritetsskyddsområdet bör således gälla såväl privat som statlig och verksamhet. Ett par remissinstanser har motsatt sig att Datainspektionen skall ges möjligheter att kunna utfärda generella föreskrifter för kommunerna. En sådan begränsning kan dock inte motiveras från integritetsskyddssynpunkt. Registreringen av de mest integritetskänsliga personuppgifterna sker till stor del inom den kommunala och landstingskommunala verksamheten t.ex. inom och hälso- och sjukvården. Med de pågående organisations- och verksamhetsförändringar i form av decentralisering och konkurrensutsättning som sker inom dessa sektorer anser regeringen i likhet med att det är viktigt att det skapas enhetliga förutsättningar för den närmare regleringen av integritetsskyddet vid registrering av personuppgifter oavsett om uppgifterna registreras i privat eller offentlig regi. Behovet av att förenkla tillståndshanteringen för kommunala personregister har också lett till att Datainspektionen bl.a. utfärdat föreskrifter om ett förenklat ansöknings- förfarande för vissa personregister i verksamhet. Vad det handlar om är närmast att förenkla hanteringen av personregister för bl.a. kommunerna. Som regeringen anfört i prop. 1993/94:116 kan den europeiska konventionen om självstyrelse inte ges en så vid tolkning som framförts av vissa remissinstanser. Konventionen, som syftar till att fastlägga de grundläggande förutsättningarna för självstyrelse, kan inte anses utgöra ett hinder mot att en statlig myndighet ges möjligheter att utfärda föreskrifter på ett område som ligger utanför den kommunala föreskriftsmakten. Möjligheten för Datainspektionen att utfärda föreskrifter för vissa verksamheter bör kombineras med en bestämmelse som från tillståndsplikt undantar de personregister som inrättas och förs i enlighet med föreskrifterna. Datainspektionen kommer också att kunna ersätta eller ändra tidigare meddelade generella föreskrifter med nya föreskrifter. Om en sådan ändring sker i skärpande riktning blir konsekvensen för de registeransvariga som inte för register i enlighet med de nya föreskrifterna, att registret förs i strid med datalagen. De registeransvariga är alltid skyldiga att tillse att registren förs i enlighet med en gällande föreskrift. Av det nu sagda följer också att det kan vara nödvändigt att förena nya föreskrifter med övergångsbestämmelser som gör det möjligt för de registeransvariga att på ett rimligt sätt kunna anpassa sig till de nya reglerna. Regeringen anser inte att det finns skäl att i lagen införa krav på en speciell anmälningsskyldighet till Datainspektionen för de register som inrättas och förs i enlighet med inspektionens föreskrifter. En sådan reglering skulle motverka de syften som undantaget från tillståndsplikt innebär och skapa nya byråkratiska inslag i Datainspektionens arbete. Remissinstansernas kritik av förslag till ett system med anmälningsskyldighet till Datainspektionen för vissa typer av behandling av känsliga personuppgifter visar att ett sådant system inte skulle skapa några direkta vinster ur integritetsskyddssynpunkt. Datainspektionen har i sitt remissvar i den delen bl.a. anfört att den inte ser något behov av en anmälningsskyldighet som underlag för inspektionens tillsynsverksamhet. Framtagandet av föreskrifter om ADB-registrering av personuppgifter förutsätter, som flera remissinstanser påtalat, ett ingående samråd med företrädare för de branscher och sektorer som skall regleras. Utan sådana kontakter med den verksamhet som skall regleras torde det inte vara möjligt för Datainspektionen att kunna utfärda preciserade och fungerande föreskrifter. Ett sådant samrådsförfarande måste även ske enligt reglerna i begränsningsförordningen (1987:1347). I förordningen föreskrivs att en myndighet, innan den beslutar en regel, skall utreda bl.a. dess kostnadsmässiga konsekvenser. Dessutom skall företrädare för dem vars verksamhet berörs av den tänkta regeln beredas tillfälle att yttra sig. Skulle regeln antas leda till inte oväsentligt ökade kostnader, måste myndigheten i princip inhämta medgivande från regeringen. Ett samrådsförfarande tillämpas av Datainspektionen i betydande omfattning. Förutom att samråd bör ske med företrädare för de personregisteransvariga bör Datainspektionen hålla sig underrättad om den utveckling inom informationstekno- logibranschen som kan ha betydelse för föreskriftsverksamheten. Datainspektionen har här en viktig uppgift när det gäller att påverka branschens utveckling av nya produkter som uppfyller rimliga krav på säkerhet och kvalitet som de underlättar för de personregisteransvariga att uppfylla sina skyldigheter enligt gällande föreskrifter. Ett exempel på en sådan påverkan utgör det s.k. "allterminalprojektet" där grundkraven på säkerhet för en persondator som kopp- las upp mot olika datorer har utarbetats av inspektionen i samarbete med andra intressenter. Datainspektionen har i sitt remissyttrande anfört att inspektionen bör ges ett bemyndigande att träffa branschöverenskommelser av samma slag som har inom sitt tillsynsområde.