sou · GLB339d4 · 1998-01-01 00:00:00 — Man kan tänka sig ett samhälle där den personliga integriteten inte alls respekteras när det gäller insamlande av personuppgifter, DDR ut- gör ett näraliggande historiskt exempel. I ett sådant samhälle riskerar personer att förlora sin känsla av att vara unika, att vara autonoma eller med andra ord sin moraliska personlighet. I ljuset av detta exempel framstår respekten för personlig integritet som ett nödvändigt villkor för att personers autonoma jag eller moraliska personlighet skall kunna utvecklas. 2)Det finns en utbredd oro hos allmänheten att myndigheter samlar upp- gifter om dem som kan användas för att kontrollera dem. Denna oro talar för att det upplevs negativt av personer att veta eller att misstänka att deras personliga integritet blir kränkt. 3)Den som har kunskap om en person kan därigenom få makt över per- sonen. Om integritetskänsliga uppgifter om en person sprids till obe- höriga personer kan dessa utsätta personen för påtryckningar och tvång. Till obehöriga personer kan här, förutom enskilda individer, också exempelvis arbetsgivare räknas. Som utredaren av skyddet för personers genetiska integritet påpekar kan en arbetsgivare som har till- gång till en anställds genetiska information använda denna kunskap mot den enskildes intresse vid beslut om avskedanden eller liknande. Genetisk information kan också användas av försäkringsbolag på ett sätt som strider mot den enskildes intresse.523 4)I ett samhälle där det finns fördomar mot vissa vanor eller personliga egenskaper kan det medföra att personer utsätts för trakasserier eller blir till åtlöje om upplysningar om sådana vanor och egenskaper sprids till obehöriga. Vi finner således att det finns flera starka skäl för ståndpunkten att det är viktigt att respektera personers integritet och därmed se den personliga in- tegriteten som en rättighet. Det är dock knappast rimligt att se rättigheten till personlig integritet som absolut. Det kan ju tänkas att det finns situa- tioner där andra moraliska värden står på spel och som skulle motivera att 522Kant, I, Grundlegung zur , 1965, s. 52. SOU 1997: 39 Bilaga 4: Personlig integritet – Rapport av 801 den enskilde individens personliga integritet sätts åt sidan. Vi ska illustrera detta med ett fiktivt exempel: En person A är bärare av en sjukdom som vid hudkontakt utsätter en annan person för förgiftning som, om inte motåtgärder vidtas, dödar personen inom . A antecknar i sin dagbok vilka personer han träffar men han vägrar att lämna ut dessa anteckningar. Onekligen innebär det en kränkning av As personliga integritet att mot As vilja med list eller tvång ta reda på innehållet i dagboken. Här verkar det dock rimligt att hävda att det finns andra och överordnade värden som motiverar en kränkning av detta slag: Det är oskyldiga människors liv som står på spel. Med den engelske filosofen kan vi se rättigheten till person- lig integritet som en prima facie-rättighet524. Den är en giltig och välgrun- dad rättighet som dock i en konkret handlingssituation kan sättas ur spel om den kommer i konflikt med någon annan rättighet som väger tyngre. 5Behandling av personuppgifter och rättigheten till personlig integritet En övergripande fråga inför utvecklingen av ett datasamhälle är om det är önskvärt att allt fler och mer omfattande dataregister upprättas. Vilka följ- der får detta för samhällsklimat, demokrati och medborgarnas förtroende för politiker och myndigheter? Dessa viktiga socialetiska frågor kommer jag inte här att ta upp. I stället är det den mer begränsade frågan hur en av- vägning mellan å ena sidan värdet av olika typer av personregistrering och sambearbetning och å andra sidan det eventuella hotet mot individers per- sonliga integritet som kommer att behandlas. Ett argument mot att upprätta datoriserade personregister kan vi kalla polisstatsargumentet. Argumentet innebär att man inte bör upprätta per- sonregister därför att de i en annan tänkbar politisk situation där diktatur råder kan användas av makthavarna för att förfölja medborgarna. Visst skulle systemet i DDR fungerat ännu effektivare och mer förtryckande med en utbyggd datoriserad personregistrering. Å andra sidan kan polisstatsargumentet användas mot många verksamheter i samhället. Även polismakten, militären, tidningar och TV kan i en annan politisk si- 524 , W D, The and the Good, 1988. 802 Bilaga 4: Personlig integritet – Rapport av SOU 1997: 39 tuation användas som medel för förtryck. Detta utgör dock knappast ett argument mot att det finns en poliskår, tidningar etc. i ett demokratiskt samhälle där mänskliga fri- och rättigheter respekteras! Ett annat argument mot personregister eller sambearbetning av register innebär att om man tillåter en viss typ av register, t.ex. register över vilka personer som är HIV-positiva, så kommer vi snart ha registrerat alla som är sjuka, vare sig det gäller halsfluss eller blindtarmen. Detta argument be- tecknas ibland the slippery slope argument eller på svenska det sluttan- de planets argument. Inte heller detta argument är särskilt övertygande. Det finns inget logiskt samband mellan den ena typen av register och den andra. Det är ju fullt möjligt att formulera kriterier för vilken typ av regis- ter som bör tillåtas, kriterier som därmed utesluter andra typer av register. Det finns anledning att göra en rad distinktioner när man diskuterar frågan vilken typ av behandling av personuppgifter som kan hota den per- sonliga integriteten. Slutna och öppna system En första distinktion är mellan öppna och slutna system. Öppna system är de system som alla kan ha tillgång till, slutna de som kräver tillgång till en nyckel, dvs. det finns någon form av behörighetskrav för att få tillgång till uppgifter i registret. Det kan förefalla som om denna distinktion löser problemet med hotet mot den personliga integriteten. Om nämligen integritetskänsliga uppgifter om individer samlas i slutna system, så kan endast de personer som har anledning att ta del av dessa uppgifter ha tillträde till de slutna systemen. Erfarenheten visar dock att denna uppfattning inte håller. Genom slarv med säkerhetsrutiner, misstag och avsiktligt intrång kan slutna system öppnas. Då det inte finns några system som med säkerhet är slutna, måste diskussionen om risker för kränkning av den personliga integriteten även föras när det gäller sådana register. Vi måste också skilja mellan den avsikt som finns bakom registeranvänd- ningen och de effekter som registret kan ha. Exempelvis kan avsikten med en sambearbetning av två olika register vara att uppnå något effektivitets- mål för myndigheten medan effekten kan vara att integritetskänsliga upp- gifter får spridning. SOU 1997: 39 Bilaga 4: Personlig integritet – Rapport av 803 Syftet med att registrera personuppgifter kan antingen vara att uppnå ett individmål eller ett samhällsmål. Exempel på individmål är hälsojournaler som upprättas för att vara ett medel för individens hälsa, exempel på sam- hällsmål är att upprätta register som underlättar skatteindrivning. Samtycke – icke samtycke Register kan föras med den registrerades samtycke eller utan. Om ett in- formerat samtycke inhämtats från den enskilde personen är risken mindre att den personliga integriteten kommer att kränkas. Personuppgifter kan antingen föras så att de enskilda personerna går att identifiera genom namn och/eller personnummer eller också kan registret vara avidentifierat. Det går då inte att spåra vilka personuppgifter som gäller en bestämd individ. Dessa s.k. avidentifierade register utgör inte nå- got hot mot personlig integritet. Många personregister är okontroversiella när det gäller risken för integri- tetskränkningar då de inte innehåller någon information som är integritets- känslig. När register som innehåller integritetskänslig information ska upp- rättas uppstår en värdekonflikt mellan å ena sidan värdet av att upprätta registret och å andra sidan den risk för integritetskränkning som uppstår. Vi har tidigare hävdat att personlig integritet är en prima facie-rättighet. Det innebär att individer har moraliskt välgrundade anspråk att deras per- sonliga integritet skyddas. Med beaktande av svårigheten att skydda per- sonuppgifter i register kan en utgångspunkt för diskussionen om person- register vara att villkor för att få upprätta register där det finns integri- tetskänslig information är att dessa är avidentifierade eller baserade på in- formerat samtycke. Om dessa villkor inte kan uppfyllas måste det finnas starka skäl för att upprätta register. De mål som kan uppnås genom person- register kan då inte inom ramen för rimliga kostnader uppnås på annat sätt. Vid beslut om behandling av personuppgifter, exempelvis genom upp- rättandet av dataregister, är det också nödvändigt att göra någon form av sannolikhetsbedömning av risken för integritetskränkning. Värdet av de mål som uppnås genom registrering måste vägas mot en bedömning av värdet av skyddet för den personliga integriteten och den sannolika risk 804 Bilaga 4: Personlig integritet – Rapport av SOU 1997: 39 som föreligger att integritetskänsliga personuppgifter läcker ut ur systemet. Diskussionen om ett systems legitimitet gäller därför förutom frågan vilka känsliga uppgifter som ingår också frågan vilken säkerhet som är möjlig att uppnå och vilket eller vilka värden som systemet kan realisera. Vilka värdekonflikter ger upprättandet av personregister upphov till? Vilka värden eller rättigheter är det som står emot varandra? Dessa frågor bör ställas och svaren preciseras inför varje upprättande av register och inför varje sambearbetning av registeruppgifter. Här ska jag endast antyda några värdekonflikter på en mer generell nivå. Tre huvudtyper av register som gett upphov till offentlig diskussion kommer att behandlas. Register förs bl.a. av samhällsekonomiska skäl, av hälso- och sjukvårdsskäl och för brottsbekämpning. Register med identifierbara personuppgifter upprättas för att upprätt- hålla en god skatteförvaltning och för att sociala förmåner och bidrag skall utbetalas på ett korrekt sätt. I det moderna, storskaliga samhället har denna typ av dataregister blivit nödvändig för att hushålla med begränsade eko- nomiska resurser på ett optimalt sätt. Skattesystemet motiveras också av att det är ett medel att omfördela resurser i samhället för att uppnå en ökad jämlikhet. De värden som ligger till grund för denna typ av register är så- ledes både ekonomisk utveckling och jämlikhet. Även om enskilda personer kan uppleva det som integritetskränkande att uppgifter om deras inkomst eller förmögenhet registreras är det svårt att uppfatta denna upplevelse som sakligt grundad. Det föreligger således knappast någon objektiv kränkning och därmed inte heller någon värde- konflikt. Utifrån vårt förslag till precisering av begreppet personlig integritet kan en person som är berättigad till socialbidrag eller arbetslöshetsersättning uppleva det som en kränkning att han eller hon för att få bidrag måste re- gistreras som bidragsmottagare respektive arbetslös. Onekligen kan vissa typer av offentliggörande av sådana uppgifter om den enskilde innebära en integritetskränkning. I detta sammanhang, när uppgifterna registreras i slutna register, kan man se det som en registrering som den enskilde ger sitt samtycke till, en registrering av detta slag är ju en nödvändig förut- sättning för bidragssystemen och det finns därmed inte skäl för den regist- rerade att uppleva registreringen som kränkande. Datoriserade journaler är ett exempel på behandling av personuppgifter inom hälso- och sjukvårdsområdet. Journaler innehåller ofta integritets- känsliga uppgifter. Dessa system har ett instrumentellt värde genom att de kan förbättra vården och därmed patienternas hälsa. SOU 1997: 39 Bilaga 4: Personlig integritet – Rapport av 805 patienterna får information om hur datajournalen används kan även denna form av behandling av personuppgifter legitimeras utifrån ett informerat samtycke. Den som inte vill finnas med i en journal kan välja att avstå från sjukvård. Ett av de mest omdiskuterade datoriseringsprojekten är FAS 90. FAS 90 är en förkortning för Framtida ADB-verksamhet för so- cialförsäkringen och därefter. I FAS 90, som på grund av en proteststorm aldrig kom att realiseras, skulle sjukförsäkringsregistret med personuppgifter, sjukfallsregistret för redan pågående fall och historikre- gister för avslutade sjukdomsfall sammanföras med syftet att kunna upp- täcka hälsovådliga arbetsplatser och arbetsmiljöer. De lokala sjukfallsre- gistren, som innehåller mycket integritetskänslig information, skulle finnas att tillgå på lokala socialförsäkringskontor. FAS 90 ställde stora krav på en säker hantering av slutna system. Kriti- ker menade att det skulle vara omöjligt att undvika att uppgifter från ett stort antal lokala register läckte ut, trots stränga säkerhetskrav. Genom FAS 90 skulle kunskapen om skadliga arbetsmiljöer öka och åtgärder för att förbättra dessa kunna vidtagas. Det värde som systemet syftade till att realisera var således en förbättad folkhälsa, vilket mer pre- cist betyder bättre hälsa och minskad risk att dö för ett stort antal individer. Ett ställningstagande till denna typ av register förutsätter en vägning mellan å ena sidan värdet av en förbättrad folkhälsa och å andra sidan möjliga risker för integritetskränkningar. Man bör också ställa frågan om inte folkhälsovärdet kan uppnås på annat sätt. Även frågan om upprättande av register över HIV-positiva individer väcker principiella frågor. Ett register av detta slag har motiverats med att det är nödvändigt för att begränsa spridningen av sjukdomen aids, t.ex. i samband med blodgivning. Det kan onekligen ses som en kränkning av den HIV-positives integritet att bli registrerad på detta sätt. Ser vi person- lig integritet som en prima facie-rättighet finns det dock skäl att hävda att det sociala målet att begränsa spridningen av aids eller med rättighetster- mer; medborgarnas rättighet att inte utsättas för HIV-smitta, väger så tungt att det berättigar att HIV-positiva personer utsätts för denna kränkning. I samband med brottsbekämpning har man i öppna system med integritetskänsliga personuppgifter. Ett exempel är formerna för efterlys- ning av brottslingar. Där kan man på postkontor se fotografier av efterspa- nade brottslingar med personuppgifter. Man har uppenbarligen gjort den bedömningen att brottsbekämpning väger tyngre än respekten för brotts- lingars personliga integritet. I har man gjort en annan bedömning. 806 Bilaga 4: Personlig integritet – Rapport av SOU 1997: 39 Register över brottslingar aktualiserar också en värdekonflikt. Skälet att föra register över brottslingar eller brottsmisstänkta personer är att det är ett viktigt led i brottsbekämpning att i spaningsarbete kunna leta i ett register efter möjlig gärningsman. Ytterst kan detta motiveras av medbor- garnas behov av säkerhet och trygghet för liv och egendom. Ett register över dömda brottslingar kan uppfattas som ett berättigat undantag från integritetsskyddet av ett annat skäl. Den som medvetet begår ett brott har därigenom ställt sig utanför det skyddsnät som omfattas av medborgarna i samhället. Han eller hon kan inte göra anspråk på alla de rättigheter som tillkommer den vanlige medborgaren. Genom att begå brottet har brottslingen själv valt att kunna bli utsatt för en integritets- kränkning av detta slag. Den etiska diskussionen om behandling av personuppgifter har bl.a. hand- lat om det berättigade i att sambearbeta olika register. När Arbetsmark- nadsstyrelsen 1994 önskade sambearbeta register över personer som mottar arbetslöshetsersättning och personer som mottar ersättning från allmänna väckte detta en omfattande debatt. Syftet med sambearbetningen var att kunna spåra personer som fuskar genom att få del av båda typerna av ersättning. Ett motiv som låg bakom sambearbetningen var det som vi sett ligger bakom ekonomiska register över huvud taget, dvs. att uppnå ett så optimalt resursutnyttjande som möjligt. Därutöver motiverades sambearbetningen med att man därigenom kunde motverka fusk och lagbrott, dvs. det fanns både etiska och juridiska motiv bakom sambearbetningen. Är denna typ av sambearbetning av personregister moraliskt berätti- gad? Den som svarar nej på frågan kan hävda att åtgärden motiveras av en misstanke att de som uppbär arbetslöshetsersättning gör sig skyldiga till fusk. Att misstänkas för att ha fuskat innebär en kränkning av den person- liga integriteten. Det som skiljer denna typ av brottsbekämpning från annan är då att man frångår principen om att presumera individens oskuld innan en undersökning vidtas. Den som svarar ja på frågan kan hävda att åtgärden inte föranleds av att varje person som mottar bidrag är misstänkt för fusk, utan att endast denna misstanke gäller några få. Därmed frångår man inte heller principen att presumera individens oskuld, åtminstone inte i större utsträckning än vid SOU 1997: 39 Bilaga 4: Personlig integritet – Rapport av 807 en vanlig polisiär trafikkontroll. Att sambearbeta register på detta sätt inne- bär således inte i sig att de registrerades personliga integritet blir kränkt. Denna typ av etisk konflikt kan naturligtvis enklast lösas genom att man innan man utför välmotiverade sambearbetningar inhämtar de regist- rerades informerade samtycke till att sådana bearbetningar kommer att ge- nomföras. I denna studie har jag hävdat att en kränkning av en persons integritet är en typ av kränkning av personen som sker när det görs ett intrång i personens privata sfär och/eller när det mot hans eller hennes vilja sprids uppgifter om egenskaper, uppfattningar och handlingar som det finns grund för att uppfatta som känsliga. Man har rättighet till personlig integritet i första hand därför att respek- ten för den personliga integriteten är en del av respekten för personen, vil- ket kan uppfattas som en grundläggande plikt, men också för att det med- för negativa följder om personers integritet inte respekteras. Rättigheten till personlig integritet kan dock inte vara absolut. Det finns situationer där andra värden än respekten för personlig integritet bör väga tyngre och därmed avgöra handlingens utfall. SOU 1997: 39 SOU 1997: 39 Bilaga 5: Allmänhetens inställning – Rapport av 811 Syfte, metod och avgränsningar............................................................. Den enskildes uppgiftslämnande............................................................ Användning av uppgifter om enskilda hos myndigheter och SOU 1997: 39 Bilaga 5: Allmänhetens inställning – Rapport av 813 Uppgiftslämnande och dataregistrering. Allmänhetens inställning 1970–1995 I ett modernt samhälle används uppgifter om enskilda individer i en mängd olika sammanhang, både av offentliga och privata användare. Sedan auto- matisk databehandling blev kommersiellt gångbar har bearbetningar av personuppgifter med hjälp av automatisk databehandling ökat mycket kraftigt. Det har inte bara ersatt rutiner eller bear- betningar med annan äldre teknik utan också möjliggjort en ökad behand- ling av personuppgifter över huvud taget. var bear- betning av uppgifter om enskilda med hjälp av automatisk databehandling relativt sällsynt och inskränkte sig till ett litet antal stora datorsystem, före- trädesvis inom den offentliga sektorn men också inom stora företag i den privata sektorn. Tidiga datorsystem inom den offentliga sektorn byggdes ut inom folkbokföring och beskattning, den officiella statistiken och den statliga forskningen, hos polis- och åklagarväsendet samt hos försvaret. Inom den privata sektorn fanns tidigt datorsystem med personregister inom bank- och kreditväsendet. möter den enskilde behandling av person- uppgifter överallt. Många av de stora datorsystemen med centrala person- register är förvisso kvar men antalet mindre användare har också ökat. Tekniken har möjliggjort en både utvidgad och fördjupad användning av personuppgifter med stora möjligheter till utbyte av uppgifter mellan olika personregister. Detta har underlättats genom den utbredda användningen av gemensamma och unika identitetsbeteckningar – personnummer. införde tidigt en dataskyddslagstiftning med syfte att reglera både privat och offentlig användning av automatisk databehandling av per- sonuppgifter och värna den enskildes integritet, datalagen (1973:289). 814 Bilaga 5: Allmänhetens inställning – Rapport av 1997: 39 rättande och förande av personregister krävde tillstånd från Datainspektio- nen. Undantagna var endast personregister vars inrättande beslutats av re- gering eller riksdag. Upptagningar på medium för automatisk databehand- ling hade en osäker status i tryckfrihetsförordningen då det inte klart fram- gick om de var att betrakta som allmänna handlingar. Frågan påkallade en snar lösning eftersom personuppgifter efterfrågades med stöd av offentlig- hetsprincipen av både privata och offentliga användare. Sekretesskyddet hade också allvarliga brister, särskilt när det gällde utbyte av uppgifter om enskilda individer myndigheter emellan. Dessa problem gav upphov till farhågor hos allmänheten om en ökad kontroll och en okontrollerad sprid- ning av personuppgifter i samhället. Syfte, metod och avgränsningar Syftet med denna PM är att redogöra för forskningsläget om allmänhetens inställning till användningen av personuppgifter med hjälp av automatisk databehandling i samhället. I genomgången skall särskilt uppmärksammas hur allmänhetens inställning förändrats och om inställningen vari- erar mellan olika grupper i samhället och mellan olika regioner. I har () undersökt allmänhetens inställning till personregister på data, särskilt med hänsyn till användningen av ADB för framställning av officiell statistik. SCB har även undersökt allmänhetens attityder till som producerar (ansvarade) för mer- parten av den officiella statistiken. Bakgrunden till dessa undersökningar var tilltagande problem med att upprätthålla en hög svarsfrekvens i statis- tiska undersökningar som SCB och andra statistikproducenter samt före- trädare för forskningen började uppleva . I denna redogörelse undersöker jag användningen av personuppgifter i både privat och offentlig sektor. Personuppgifter är uppgifter om enskilda fysiska personer som kan hänföras till enskild person med namn, person- nummer eller annan beteckning som gör det möjligt att identifiera den en- skilde. Jag ansluter mig här till samma definition av begreppet som före- kommer i datalagen (1973:289) och som avses med uppgift om enskild i allmän handling i sekretesslagen (1980:100). Behandling av personuppgif- ter sker i mycket stor utsträckning med hjälp av automatisk databe- handling (ADB). Denna användning har väckt farhågor om de registrera- des personliga integritet. Datalagen har till uppgift att förhindra otillbörliga intrång i de registrerades personliga integritet i samband med inrättande SOU 1997: 39 Bilaga 5: Allmänhetens inställning – Rapport av 815 och förande av personregister. Denna redogörelse handlar uteslutande om behandling av personuppgifter med sådan teknik. Användning av aviden- tifierade eller anonymiserade uppgifter om enskilda faller utanför denna rapport liksom behandling av personuppgifter. Det har diskuterats om inte statistikproduktionen och forskningen i mycket högre grad än kan klara sin verksamhet med användning av sådana uppgifter. Denna fråga liksom frågan om behovet av personregister för olika ändamål be- handlas inte här. Hanteringen av personuppgifter med data för uteslutande privat bruk omfattas inte heller av redogörelsen. Att lämna en redogörelse över kunskapsläget om allmänhetens inställ- ning till behandlingen av personuppgifter i samhället är en mycket om- fattande uppgift. För att ge en bra överblick måste framställningen göras systematiskt. Det faktum att forskningsresultat saknas på vissa områden är av intresse i sig. Till min hjälp har jag ansett det nödvändigt att utveckla begrepp som kan relateras till varandra och analytiskt belysa rapportens frågeställningar.