sou · GLB339d2 · 1998-01-01 00:00:00 — har vidare Justitie- kanslern rätt att överklaga Datainspektionens beslut för att ta till vara all- männa intressen. Enligt vår mening bör Datainspektionens beslut enligt den föreslagna persondatalagen – i fråga om annat än generella föreskrifter – kunna över- klagas hos allmän förvaltningsdomstol, dvs. För överklagande av länsrättens domar och beslut till kammarrätten bör det krävas prövnings- tillstånd. Det förefaller i och för sig ändamålsenligt att regeringen – och inte en oberoende domstol – får hantera den osämja som kan uppkomma mellan statens olika skepnader i form av myndigheter. Eftersom EG-direktivet tydligt anger att beslut av tillsynsmyndigheten som går någon part emot skall kunna överklagas till domstol, har vi emellertid inte sett någon möj- lighet att behålla regeln om att regeringen skall slita interna statliga tvister. Om rätten till personlig integritet vid behandling av personuppgifter – så- som enligt EG-direktivet – uppfattas som en grundläggande mänsklig rättighet, är det också naturligt att det är en oberoende domstol och inte ett verkställande politiskt organ som ytterst skyddar rättigheten och gör en avvägning mellan den rättigheten och andra motstridiga grundläggande mänskliga rättigheter. Justitiekanslern har sällan funnit anledning att – mot bakgrund av de intressen han skall ta till vara – överklaga Datainspektionens beslut, och Justitiekanslern anser att det inte finns något egentligt behov av att i en ny persondatalag ta in en sådan möjlighet till överklagande som finns . Vi har därför i vårt förslag inte heller tagit med någon möjlighet för Justitiekanslern att överklaga Datainspektionens beslut. 450 Innehållet i den nya persondatalagen SOU 1997: 39 12.14.3Datainspektionens finansiering och organisation kostar Datainspektionens hela verksamhet . Vid inspektionen finns ungefär 40 anställda. Inspektionen har även andra uppgifter än sådana som direkt omfattas av vårt uppdrag, t.ex. av- seende kreditupplysnings- och inkassoverksamhet. Från dessa andra upp- gifter bortses i det följande. Datainspektionens verksamhet finansieras inte direkt över statsbudge- ten. I stället får inspektionen ta ut dels en årlig licensavgift, dels avgifter för handläggningen av tillståndsärenden och andra ärenden.337 Som exem- pel kan nämnas att vår kommitté måste betala licensavgift om för att få ha det personregister som används främst för att adressera brev till dem som ingår i kommittén. Kommittén var dessutom tvungen att be- tala en handläggningsavgift om för att få lägga ut information om namnen på dem som ingår i kommittén på vår s.k. hemsida på Internet. uppgår licensavgifterna för drygt 50 000 anmälda register till och handläggningsavgifterna till , dvs. sammanlagt de Datainspek- tionens verksamhet kostar . Ungefär en fjärdedel av handläggningsavgifterna betalas av statliga myndigheter. Bara av licensavgifterna betalas av den offentliga sek- torn. Statliga myndigheter betalar bara av de totala li- censavgifterna. Övriga (dvs. den privata sektorn) Det kostar inspektionen uppskattningsvis att driva in licensavgifterna. 337 Se förordningen (1982:481) om avgifter för Datainspektionens verksamhet. SOU 1997: 39 Innehållet i den nya persondatalagen 451 uppskattade att bara av alla li- censpliktiga register anmäldes till Datainspektionen. Det skulle – något tillspetsat – kunna sägas innebära att en laglydig minoritet betalar för in- spektionens arbete med att bl.a. söka rätt på den majoritet som utnyttjar personregister i det fördolda. EG-direktivet kräver att det utses en tillsynsmyndighet med vissa uppgifter och befogenheter. Direktivet hindrar dock inte att den utsedda myndighe- ten har även andra uppgifter och befogenheter. Däremot torde det vara nödvändigt att varje utsedd tillsynsmyndighet inom sitt verksamhetsom- råde har alla de befogenheter och uppgifter som krävs enligt direktivet. Det har i förts fram olika förslag om att föra över Datainspektionens uppgifter på andra myndigheter, och flera lös- ningar kan övervägas i detta hänseende, t.ex. en sammanslagning med exempelvis , eller . I våra utredningsdirektiv nämns dock inte särskilt frågan om Datainspektionens organisation. Vi har för egen del funnit anledning att utgå från att Datain- spektionen bör finnas kvar som en fristående myndighet och att den myn- digheten inte bör ha en utpräglad ombudsmannafunktion. Med det föreslagna systemet blir Datainspektionen huvuduppgifter: N Information och rådgivning i persondataskyddsfrågor i allmänhet och tillämpningen av persondatalagen med anknytande författningar i synnerhet. N Utarbetande av föreskrifter. Uppgifterna för Datainspektionen med det föreslagna systemet får anses mera krävande och kvalificerade än de uppgifter inspektionen utför . En utökad tillsynsverksamhet och en i vart fall inledningsvis omfattande föreskriftsverksamhet ställer andra och större krav på personalen och or- ganisationen än en verksamhet som till stor del går ut på hantering enligt utarbetade mallar av inkomna ansökningar. För en myndighet med tillsynsansvar finns som regel inte någon natur- lig övre gräns beträffande behov av personal och övriga resurser; myndig- heten har i allmänhet inga svårigheter att göra av med alla de pengar den får på tillsynsverksamhet. Det måste därför göras en politisk bedömning av vilka resurser som bör tilldelas myndigheten, varvid myndigheten givetvis 452 Innehållet i den nya persondatalagen SOU 1997: 39 måste få tillräckliga resurser för att kunna upprätthålla en rimlig nivå på verksamheten. Enligt vår mening bör en personalstyrka av ungefär nuva- rande storlek – omkring 40 personer – ge Datainspektionen rimliga förut- sättningar att klara uppgifterna med det föreslagna systemet. Däremot torde det krävas att kompetensnivån hos personalen höjs för att motsvara de ökade krav som det föreslagna systemet innebär. Det kan således inte antas att kostnaderna för Datainspektionens verk- samhet i enlighet med en ny persondatalag skulle – i vart fall inledningsvis – kunna bli mindre än med dagens system. Det torde i stället vara så att inspektionens förändrade uppgifter ställer krav på något ökade resurser i form av bl.a. kompetenshöjning för att klara av den intensifierade tillsyns- verksamheten, den ökade föreskriftsgivningen och de utvidgade informa- tionsbehoven. Vår principiella inställning är att Datainspektionens verksamhet bör bekostas av de som förorsakar kostnaderna, nämligen av de som behandlar personuppgifter. Datainspektionen finansieras huvudsakligen av licensavgifter från privata registeransvariga som har anmält sig till inspektionen. Det nya till- synssystem som vi föreslår (se avsnitt 12.12) innebär att det inte längre bör finnas någon registrering av alla eller ens en betydande del av de personda- taansvariga. Med det nya systemet kan man således inte veta från vilka en avgift kan tas ut för Datainspektionens verksamhet. Frågan är hur man då skall kunna finansiera inspektionens verksamhet. Vi har övervägt olika lösningar på det problemet. Med det föreslagna tillsynssystemet skall Datainspektionen självstän- digt välja ut hos vilka persondataansvariga inspektion skall ske. Det torde därför kunna riktas avgörande principiella invändningar mot att något slags tillsynsavgift tas ut bara från de persondataansvariga som Datain- spektionen själv väljer ut. Att av finansieringsskäl ge Datainspektionen en ombudsmannafunktion med rätt att föra talan mot persondataansvariga som bryter mot den föreslagna lagen om ett allmänt skadestånd eller liknande, som skall betalas inte till de integritetsskadade utan till inspektionen eller statskassan, förefaller också olämpligt. Datainspektionen bör i och för sig i viss utsträckning kunna ta ut avgif- ter för vissa prestationer som enskilda har begärt av inspektionen, t.ex. avgift för skrifter, informationsmaterial, kurser, kvalificerad rådgivning och medverkan vid konferenser. Sådana avgifter torde dock inte på långa vägar räcka till för att finansiera inspektionsverksamheten. SOU 1997: 39 Innehållet i den nya persondatalagen 453 Det kan i och för sig tyckas naturligt att Datainspektionens verksamhet för att skydda den personliga integriteten i samhället finansieras med skattemedel. Dagens ansträngda budgetläge gör dock att det inte framstår som helt realistiskt att föra fram en sådan lösning utan att kunna peka på från vilka budgetposter pengarna skulle kunna komma.338 Datainspektionens verksamhet skulle kunna finansieras genom att det införs en särskild avgift. Den avgiften borde i så fall utgå på något som brukar ha med behandling av personuppgifter att göra, t.ex. datorer eller medier för lagring av digitala signaler.339 Avgiften borde av effektivitets- skäl betalas av ett ganska hanterligt antal skattesubjekt som har möjlighet att föra kostnaden vidare på flera. Avgiften kunde dock inte tas ut från bara persondataansvariga, eftersom man i sådant fall skulle behöva registrera dessa, vilket man ju enligt vår mening bör undvika. En nackdel med en avgift av föreslagen art är att kostnaderna för att administrera avgiften torde bli stora i förhållande till de jämförelsevis obetydliga belopp som behöver tas ut. Var och en av de angivna finansieringsmöjligheterna är sålunda för- enad med betydande nackdelar. Den minst dåliga förefaller trots allt vara att Datainspektionens verksamhet finansieras över budgeten. Vi har emellertid inte tillräcklig överblick för att kunna föreslå vilka budgetposter som i stället skulle kunna minskas. Frågan torde därför få lösas under den fortsatta beredningen av våra förslag i . 338Jämför också dir. 1994:23. 339Jämför, beträffande ett färskt förslag om civilrättslig ersättning rörande anord- ningar för ljud- och bildupptagningar, Ds 1996:61. 454 Innehållet i den nya persondatalagen SOU 1997: 39 Den nya persondatalagen bör träda i kraft , med de grundlagsändringar vi föreslår. För behandlingar som pågår då bör dock den nya lagen börja tillämpas först . Vissa be- stämmelser i den nya lagen bör emellertid inte tillämpas på pågående ma- nuell behandling av personuppgifter förrän . Dessa be- stämmelser bör inte heller tillämpas på pågående lagring av personuppgif- ter för historisk forskning förrän uppgifterna börjar behandlas på något annat sätt. I artikel 32 i EG-direktivet finns bestämmelser om när direktivets regler skall vara införda i den nationella lagstiftningen och om när den nationella lagstiftningen måste börja tillämpas. Bestämmelserna har berörts närmare i avsnitt 3.20. När de svenska författningar som inför EG-direktivet offentliggörs, skall de innehålla eller åtföljas av en hänvisning till direktivet. Bestämmel- ser om detta finns i i 18 a § författningssamlingsförordningen (1976:725).340 Texten till den lagstiftning som införs i inom det område som omfattas av EG-direktivet skall vidare överlämnas till kommissionen. måste också i vissa andra avseenden lämna infor- mation eller anmälan till kommissionen om genomförandelagstiftningen m.m., se artikel 8.6, 25.3 och 26.3. måste dessutom utse en före- trädare till den kommitté som skall bildas enligt artikel 31, och Datain- spektionen har haft att utse en företrädare till den arbetsgrupp som bildats enligt artikel 29. har, som tidigare nämnts, redan utsett Datain- spektionen till tillsynsmyndighet. Av EG-direktivet följer att de författningar som inför direktivet måste träda i kraft . De behandlingar som påbörjas efter ikraftträdandet måste genast uppfylla alla bestämmelser i genomförandelagstiftningen. 340 Jämför också Statsrådsberedningens PM 1996:4 s. 22 ff. SOU 1997: 39 Innehållet i den nya persondatalagen 455 Genomförandelagstiftningen behöver inte tillämpas på sådana behand- lingar som redan pågår när lagstiftningen träder i kraft förrän efter ikraftträdandet. Bestämmelserna i artikel 6–8 i EG-direktivet – dvs. de bestämmelser om grundläggande krav på all behandling av personuppgifter och om när sådan behandling är tillåten som berörts i avsnitt 12.4 och 12.5 – behöver dock inte tillämpas förrän på sådana uppgifter som redan finns i register när genomförandelagstift- ningen träder i kraft. måste emellertid i sådant fall ge den registre- rade rätt att på begäran – särskilt när han eller hon utövar rätten att få till- gång till uppgifterna – få rättelse, utplånande eller blockering av uppgifter som är ofullständiga, felaktiga eller lagrade på ett sätt som inte är förenligt med de legitima ändamål som den persondataansvarige vill uppnå. får vidare föreskriva att de nämnda bestämmelserna i arti- kel 6–8 i EG-direktivet inte behöver tillämpas på uppgifter som bara beva- ras för historisk forskning. I sådant fall måste det i dock också finnas lämpliga skyddsåtgärder. Den svenska lagstiftning som inför EG-direktivet skall enligt direktivet träda i kraft . Trots att den nuvarande datalagen är så föråldrad att den i och för sig bör ersättas , anser vi att det finns betydande fördelar med att den föreslagna persondatalagen träder i kraft som de grundlagsändringar och övriga följdändringar som vi föreslår; de författ- ningsförslag som vi lämnar kan ses som en enhet. Av konstitutionella och praktiska skäl bör grundlagsändringarna träda i kraft . Vi anser att det – trots åtaganden gentemot EU – borde vara möj- ligt att låta också den föreslagna persondatalagen, jämte anknytande för- fattningsändringar, träda i kraft . Det kan för övrigt behövas ganska gott om tid för alla berörda att sätta sig in i det nya systemet för persondataskydd. Vi föreslår således att den nya persondatalagen skall träda i kraft . 456 Innehållet i den nya persondatalagen SOU 1997: 39 12.15.2.2Behandling som pågår vid ikraftträdandet Den föreslagna persondatalagen bör således ersätta den nuvarande datala- gen per . Behandling av personuppgifter – automatisk eller – som pågår vid det tillfället bör dock – i enlighet med vad som är tillåtet enligt EG-direktivet – inte omfattas av några bestämmelser i den föreslagna lagen förrän . får behand- lingen i förekommande fall alltjämt regleras av datalagen. Därmed får per- sondataansvariga en behövlig respit för att anpassa sin behandling av per- sonuppgifter till de nya bestämmelserna. Detta innebär också – på grund av den bestämmelse om företräde för avvikande lagstiftning som såväl den nuvarande datalagen som den föreslagna persondatalagen innehåller (se avsnitt 8.2.2) – att den föreslagna persondatalagen inte kommer att tilläm- pas ens subsidiärt förrän på sådan behandling enligt särskilda registerförfattningar som pågår . Därmed finns det tid att anpassa de särskilda registerförfattningarna till EG-direktivet. Det framgår inte av EG-direktivet vad som närmare avses med en be- handling som redan pågår när lagstiftningen träder i kraft. Om person- uppgifter nyårsaftonen 1998 bara behandlas genom att de lag- ras, skulle man med en snäv tolkning kunna säga att den nya lagen skall börja tillämpas när arbetet med att behandla uppgifterna på andra sätt – t.ex. genom sökningar, ändringar och kompletteringar – påbörjas (eller återupptas). Enligt vår mening bör man dock kunna använda en betydligt vidare tolkning. Har väl en serie behand- lingar påbörjats före ikraftträdandet, bör den behandlingsserien kunna fort- sätta oberörd av den nya lagen ända till , trots att bara viss typ av behandling – t.ex. insamling – utförts före ikraftträdandet. På motsvarande sätt bör man kunna resonera när en persondataansvarig inom ramen för en serie behandlingar, som påbörjats före , därefter registrerar uppgifter om personer som inte tidigare varit registre- rade, t.ex. när uppgifter om nya brottslingar tillförs ett kriminalregister. En konsekvens av den föreslagna övergångsordningen är att det kan komma att gälla skilda regelsystem för olika aktörer. För aktörer med befintliga register gäller de tillstånd och villkor som har meddelats enligt datalagen, medan nya aktörer kan oberoende av sådana tillstånd och villkor inrätta nya register i enlighet med den föreslagna nya lagstift- ningen. Även den som har ett register som regleras av datalagen kan gi- vetvis efter ikraftträdandet bygga upp ett helt nytt register som då kommer att regleras enbart av den föreslagna nya lagstiftningen, och i den me- SOU 1997: 39 Innehållet i den nya persondatalagen 457 ningen är alla aktörer likställda. Det kan emellertid inte helt uteslutas att det kan finnas en risk för att konkurrensen kan vridas snett när olika regel- system i princip gäller för skilda aktörer som verkar på en och samma marknad. Sådana problem har uppkommit förut när regelsystemet ändrats, och problemen har då i praxis hanterats genom att konkurrensaspekterna har beaktats vid utformningen av villkoren för registret.341 Vi förutsätter att eventuella problem i detta hänseende även nu kommer att hanteras på motsvarande sätt, t.ex. vid bedömningen av en begäran om ändrade villkor för ett befintligt register. 12.15.2.3Manuell behandling som pågår vid ikraftträdandet I har behandling av personuppgifter inte tidigare reglerats av persondataskyddslagstiftningen. Detta talar starkt för att den respit till som EG-direktivet medger för sådan behandling bör utnytt- jas. De bestämmelser i den föreslagna persondatalagen som inför artikel 6– 8 i EG-direktivet – se avsnitt 12.4 och 12.5 – bör således börja tillämpas först på sådan behandling av personuppgifter som pågår . Andra bestämmelser i den föreslagna lagen, t.ex. bestämmelserna om information till den registrerade och om rättelse, bör dock tillämpas redan från i enlighet med den över- gångsbestämmelse som tidigare berörts och som gäller för alla typer av behandlingar som pågår vid ikraftträdandet. I närmast föregående avsnitt har berörts innebörden av kravet att be- handlingen redan pågår . 12.15.2.4Personuppgifter som lagras för historisk forskning Bestämmelserna i artikel 6–8 i EG-direktivet – se avsnitt 12.4 och 12.5 – behöver inte tillämpas på personuppgifter som bara bevaras för historisk forskning, om det finns lämpliga skyddsåtgärder. Detta undantag torde en- bart gälla så länge personuppgifterna bara lagras (bevaras) för (att i framti- 341Se särskilt regeringsbeslut , dnr Ju 93-2947. Ärendet gällde registre- ring av uppgifter om personnummer i ett privatägt telebolags kundregister. Rege- ringen beaktade att ett statsägt sådant bolag opåtalat hade registrerat sådana uppgifter i sitt kundregister och uttalade bl.a.: Det är av största vikt att myndigheternas rättstillämpning inte medför en snedvridning av konkurrensen mellan företag inom samma bransch. 458 Innehållet i den nya persondatalagen SOU 1997: 39 den användas för) historisk forskning. När forskningen sedan påbörjas av- seende de lagrade uppgifterna, måste den behandling av uppgifterna som forskningen innebär vara förenlig även med bestämmelserna i artikel 6–8 i EG-direktivet; en annan tolkning skulle innebära att de uttryckliga special- reglerna i artikel 6 för behandling för historiska och vetenskapliga ändamål vore överflödiga. Det nu sagda kan uttryckas så att de bestämmelser i den föreslagna per- sondatalagen som inför artikel 6–8 i EG-direktivet behöver tillämpas be- träffande personuppgifter som vid ikraftträdandet lagras för historisk forskning först när uppgifterna börjar behandlas på något annat sätt. En övergångsbestämmelse av den innebörden bör införas. Sådan lagring som här avses kan dock regleras av datalagen. Därför bör övergångsbe- stämmelsen kompletteras med en regel om att de bestämmelser i datalagen som motsvarar artikel 6–8 i EG-direktivet skall gälla till dess de nya be- stämmelserna skall börja tillämpas. Om den aktuella behandlingen om- fattas av någon av de två övergångsbestämmelser som tidigare berörts, dvs. om lagringen av uppgifterna pågick , bör dock den övergångsbestämmelse gälla som innebär längst respit med att tillämpa de nya bestämmelserna i den föreslagna persondatalagen. De bestämmelser om säkerheten vid behandling som föreslås i den nya persondatalagen (se avsnitt 12.10) får, tillsammans med de sekretessbe- stämmelser som kan gälla, anses utgöra sådana lämpliga skyddsåtgärder som avses i EG-direktivet. När den nya lagen träder i kraft beträffande en behandling som tidigare omfattades av datalagen, bör de tillstånd och föreskrifter som Datainspek- tionen kan ha meddelat i det aktuella fallet anses förlora sin verkan per ikraftträdandedagen. Den anmälan som en registeransvarig gjort enligt datalagen bör inte ha någon verkan enligt den nya lagen; anmälan måste således, i den mån så- dan alls behövs enligt den nya lagen, göras om, bl.a. eftersom delvis andra uppgifter krävs i en anmälan enligt den nya lagen. För att förenkla över- gången till det nya systemet bör dock föreskrivas att en anmälan enligt den nya lagen kan göras före ikraftträdandet. Några licensavgifter bör inte betalas tillbaka. Ett samtycke från den registrerade som uppfyller de krav som ställs en- ligt den nya lagen bör gälla även om samtycket lämnats innan lagen trädde SOU 1997: 39 Innehållet i den nya persondatalagen 459 i kraft för den aktuella behandlingen. Återkallas samtycket före ikraftträ- dandet, bör återkallelsen få verkningar enligt den nya lagen efter ikraftträ- dandet. Har den persondataansvarige före ikraftträdandet offentliggjort en uppgift om att ett sådant persondataombud som avses i den nya lagen ut- setts, bör det offentliggörandet medföra verkningar enligt den nya lagen redan från ikraftträdandet (se avsnitt 12.12.2.4). I den förteckning över be- handlingar som genomförs bör persondataombudet vid ikraftträdandet ta upp alla de behandlingar som pågår då. Bestämmelserna i den nya lagen om skriftligt avtal mellan den person- dataansvarige och ett persondatabiträde bör gälla även avtal som träffats före ikraftträdandet, om det avtalet uppfyller bestämmelserna i den nya lagen. Den nya lagen bör inte omfatta s.k. automatiserade beslut som har fattats före ikraftträdandet. Bestämmelserna i den nya lagen om att den persondataansvarige själv- mant skall lämna information till den registrerade när uppgifterna samlas in från denne eller hämtas in från något annat håll bör gälla bara beträffan- de uppgifter som insamlas eller inhämtas efter ikraftträdandet. En begäran om registerutdrag enligt 10 § datalagen som kommit in före ikraftträdandet men som inte expedierats före ikraftträdandet bör anses vara en sådan ansökan om information som avses i den nya lagen. Den persondataansvarige bör således lämna information efter ikraftträdandet trots att begäran (ansökan) kom in . Om en registrerad före ikraftträdandet har anmält att han eller hon mot- sätter sig behandling för direkt marknadsföring på det sätt som krävs enligt den nya lagen, bör anmälan få verkningar enligt den nya lagen från ikraft- trädandet. Det bör, på det sätt som är brukligt vid införandet av ändrade skade- ståndsbestämmelser, föreskrivas att den nya lagens bestämmelser om ska- destånd bara skall tillämpas om den omständighet som yrkandet hänför sig till har inträffat efter ikraftträdandet; i annat fall skall bestämmelserna i da- talagen tillämpas. Det bör här avslutningsvis åter igen betonas att de särskilda registerför- fattningarna inte omfattas av vårt uppdrag, men att dessa författningar måste ses över och anpassas till den föreslagna persondatalagen och EG- direktivet senast per . Skulle en sådan anpassning till någon del inte hinnas med till dess, bör det – genom en ändring av våra föreslagna övergångsbestämmelser – föreskrivas att behandlingen av per- 460 Innehållet i den nya persondatalagen SOU 1997: 39 sonuppgifter enligt de aktuella registerförfattningarna alltjämt skall regle- ras av den gamla datalagen. SOU 1997: 39 13Regler i datalagen som bör flyttas till andra lagar Regeln om viss dokumentationsskyldighet för myndigheter (14 §) bör flyttas till 15 kap. sekretesslagen, regeln om straff för dataintrång (21 §) till och reglerna om det statliga person- och adressregistret (26– 28 §§) till en ny särskild registerförfattning. I det föregående har vi redogjort för vilka bestämmelser som bör ingå i en ny persondatalag.