bet · GM01KU15 · 1999-03-02 00:00:00 — SomDatainspektionen framhöll i sina skrivelser tillregeringen är detangeläget att kommuner och även andra myndigheterfår fortsatt möjlighet att lämna ut vissapersonuppgifter ur sina informationsdatabaser påInternet och att också enskilda personer kan fålämna ut s.k. harmlösa personuppgifter på Internet.Vi tycker att det är bra att regeringen har svaratpå Datainspektionens skrivelser genom att geinspektionen i uppdrag att närmare utreda de härfrågorna. Datainspektionen skall redovisa uppdragettill regeringen . Jag harför ändamålet tillsatt en särskild arbetsgrupp inominspektionen.När det gäller Internetproblematiken - i förstahand då samtyckesfrågan - vill jag först deklareraatt jag anser att Datainspektionen för tiden föreden , dvs. när endast datalagen gällde påområdet, lyckades få till stånd en rimlig lösning.Detta kunde ske genom att:1. tillämpa Datainspektionens föreskrifter omprotokollsregister för kommuner och landsting,2. kommuner och myndigheter efter särskildatillstånd från Datainspektionen har anförtrotts attsjälva, inom vissa ramar, se till attintegritetskränkande och otillbörligapersonuppgifter inte lämnas ut på Internet,3. tillämpa Datainspektionens föreskrifter förpersonregister på webbsidor,4. i vissa fall använda ett s.k. presumerat ellerhypotetiskt samtycke samt5. begreppet personregister i datalagen inteomfattar all behandling av per-sonuppgifter.Enligt övergångsbestämmelserna i personuppgiftslagenskall datalagen tillämpas t.o.m. den 30 september2001, dvs. Det gäller när det ärfråga om behandling av personuppgifter som harpåbörjats före ikraftträdandet ellerbehandling som utförs för ett visst ändamål ombehandlingen för ändamålet har påbörjats föreikraftträdandet.Jag vill här särskilt tillägga att Datainspektionenanser att det måste vara fråga om en lagligbehandling för att det skall kunna räknas somkvalificerande för övergångsperioden.Genom tillämpning av övergångsbestämmelserna har del av kommunernas, och även andra myndighetersoch enskildas, Internettrafik på webbsidor kunnatfortgå som tidigare.När det gäller behandling som har påbörjats efterden finns det dock, som vi ser det, förnärvarande inte någon som helst möjlighet att kommaifrån kravet på otvetydigt samtycke. Vi påDatainspektionen ser helst att det som hargällt, bortsett då förstås från tillståndsplikten,skall kunna permanentas, dvs. gälla även efterutgången av övergångstiden. Vi anser inte att detskulle medföra några som helst integritetsrisker.När det gäller Datainspektionens tillsynsverksamhetkan jag meddela att vi inte har företagitnågra åtgärder med tillämpning avpersonuppgiftslagen. Jag har inte ansett detlämpligt eller ens möjligt att försöka kontrolleravilka harmlösa, dvs. inte integritetskränkande,personuppgifter som eventuellt i strid motpersonuppgiftslagens bestämmelser florerar på olikawebbsidor på Internet.Givetvis kommer Datainspektionen att ingripa närdet gäller integritetskränkande personuppgifter. Isådana fall brukar det vara så att den kränktepåkallar vår uppmärksamhet. Jag vill inte säga attvi agerar helt enligt den s.k. missbruksmodellen,men av resursskäl och efter praktiska övervägandeninriktar vi vår tillsynsverksamhet på missbrukeneller övertrampen, dvs. när någon har fått ettotillbörligt intrång i sin integritet.Utöver vad jag nu har anfört harpersonuppgiftslagen inte medfört någrastörre problem för Datainspektionen vidtillämpningen.Det som några befarade, nämligen attDatainspektionen skulle överhopas av anmälningar ombehandling av personuppgifter som är helt ellerdelvis automatiserade har inte blivit av.Det torde bero på de undantag frånanmälningsskyldigheten som enligt PUL gäller om denpersonuppgiftsansvarige har utsettpersonuppgiftsombud och har anmält det tillDatainspektionen samt de undantag frånanmälningsskyldigheten som har stadgats ipersonuppgiftsförordningen och i om undantag när det gäller anmälan ombehandling av personuppgifter. Till har viendast fått 134 anmälningar om behandling avpersonuppgifter. Det är anmälningar som vi endastregistrerar och inte hanterar på något annat sätt.Naturligtvis finns det också de som helt enkeltstruntar i anmälningsskyldigheten. Man kan utgå frånatt det rör sig om ungefär samma krets som inteheller brydde sig om att söka licens eller tillståndenligt datalagen. Men av erfarenhet vet vi påDatainspektionen att de känsligaste, och därmed frånintegritetsskyddssynpunkt viktigaste, behandlingarnasker hos myndigheter och seriösa organisationer ochföretag. De är angelägna om att efterleva gällanderegler.Från företagarhåll har man framhållit att det kanbli svårt att efterleva personuppgiftslagensbestämmelse att på begäran lämna besked om huruvidapersonuppgifter som rör sökanden behandlas eller ej.Svårigheten skulle bestå i att det skulle krävasalltför detaljerade uppgifter och att det skullevara svårt och kostsamt att ha rutiner för sådantförfarande.Om det kan jag säga att skyldigheten att lämnabesked om behandling av personuppgifter givetvisblir mer betungande än när det är fråga om s.k.registerutdrag enligt datalagen eftersom begreppetbehandling i personuppgiftslagen omfattar mer änbegreppet personregister i datalagen. Men jag troratt vi kan nå en praktisk tillämpning i den härfrågan. Det är inte meningen att denpersonuppgiftsansvarige skall behöva göraoproportionerligt stora insatser.Farhågor har också uttryckts för att vissa nyabegrepp och konstruktioner förekommer ipersonuppgiftslagen och att det kan medföra problemvid tillämpningen. Jag skall då nämna det som harberörts här tidigare, behandling av personuppgiftersom sker uteslutande för journalistiska ändamål.På sådan behandling skall personuppgiftslagen iprincip inte tillämpas. Bortsett från attbestämmelsen medför att vissa får en slags vidgadyttrandefrihet på icke grundlagsskyddade områden,t.ex. Internet, så medför bestämmelsen naturligtvisproblem vid den praktiska tillämpningen. Jag trorinte att man kan vara så liberal i tolkningen säger att envar är sin egen journalist. Dåskulle ju stadgandet inte få någon egentliginnebörd. Var gränsen skall sättas åt andra hålletvet jag inte . Frågan torde kunna fålösas i den s.k. rättstillämpningen.En viktig följd av den nya lagstiftningen är attDatainspektionen till följd av den minskadetillståndshanteringen och i enlighet med sininstruktion särskilt kan inrikta sin verksamhet påatt informera om gällande regler och ge råd ochhjälp åt personuppgiftsombuden.Datainspektionen har utvidgat sininformationsavdelning. Vi har avdelat särskildpersonal att på olika sätt ta hand ompersonuppgiftsombuden. Vi har fått in 235anmälningar om personuppgiftsombud.Vidare skall Datainspektionen på begäran av enorganisation som företräder en bransch eller ettområde avge yttrande över förslag till enöverenskommelse avseende behandling avpersonuppgifter inom branschen eller området. Någrabranschföreträdare har redan tagit kontakt med oss idet syftet. Ett sådant förfarande har alltså satt igång.Slutligen vill jag säga att vi på Datainspektionentror att personuppgiftslagen kan bli ett bra redskapför att nå det viktiga syftet att skydda enskildapersoner mot kränkningar av den personligaintegriteten vid behandling av personuppgifter idatorer. Men detta är under förutsättning att detgår att åstadkomma en rimlig lösning på det som jaghär har kallat för Internetproblematiken.Det är inte tillfredsställande att man vid denpraktiska tillämpningen av en lag skall behöva hankasig fram med mer eller mindre speciella och friatolkningar av en övergångsbestämmelse. Det är inteheller tillfredsställande, tycker vi, att så mycketkraft läggs ned på frågor som egentligen inte medförrisker för den personliga integriteten.Ordföranden: för detta! Vi gör på samma sätthär som i den förra avdelningen, dvs. att vi tarfrågor till de båda introduktörerna på en gång. Vihälsar alltså välkommen tilltalarstolen.Ann-Marie : Herr ordförande! Riksdagsmän!Damer och herrar! Tack för att jag får komma hit ochberätta om hur företagen, och framför allt då IT-företagen, hitintills upplever personuppgiftslagen.Jag tänkte börja med tre utgångspunkter. Branschentycker att det är viktigt att skapa förtroende ochtillit för digital hantering. Det gäller såvälperson-uppgifter som alla fakta som finns i dendigitala världen. Om människor misstror den digitalautvecklingen, har en bristande tillit till fakta ochkänner oro för att de själva kommer att hanterasilla kommer de inte att ta till sig de möjlighetersom finns när det gäller utveckling avinformationsförsörjning, elektronisk handel, hälsam.fl. väldigt viktiga och bra tillämpningar förmänniskor. Dessa saker är faktiskt också viktiga förtillväxt i landet. Bortsett från alla andra skäl attvilja stödja integritet kan man säga att branschenfaktiskt har ett stark kommersiellt intresse av attdet skall vara ett starkt integritetsskydd. Det ären så god kraft som någon när det gäller att drivafram regler för hantering av integritet.Den andra utgångspunkten är att vi är på väg mot enalltmer global värld där det finns globala företag ialla delar av världen. De kittas samman av deinformationssystem som krävs. Den tekniskautvecklingen driver på den här globaliseringen ochmöjliggör ett allt friare flöde av information,oftast med Internet som bas. Det går inte att stängain information. Uppgifter om personer är en del avett väsentligt informationsflöde. Det kommer att bliallt svårare att hävda nationell reglering. Detkrävs globala överenskommelser. Där kan man dåställa sig frågan: Finns det över huvud taget någonförutsättning att tro att och länder i Asienkommer att vilja införa en lag som PUL och träffaglobala överenskommelser om ett globaltintegritetsskydd på den basen?Den tredje utgångspunkten är att den tekniskautvecklingen i sig går allt fortare och innebär ettproblem för all lagstiftning genom att den riskeraratt bli omodern fort. Datalagen blev omodern efterett tag. Det går allt fortare. Vi ser att delar avPUL är omoderna redan när den träder i kraft, trotsatt intentionerna med den här lagen var att skapa enteknikoberoende lag.Informationstekniken påverkar fundamentalastrukturer i samhället på djupet. Vi vet interiktigt vilken typ av lagstiftning som vi behöverinom kort. Den här utvecklingen går allt fortare.Frågan är: Vad kan vi lagstifta om, och vad måste vimer och mer lämna åt frivilliga överenskommelser ochsjälvkontroll av olika företeelser i samhället?Om man tittar på personuppgiftslagen kan man ställasig frågan hur företagen upplever den. Jagtror att okunnigheten är stor. Jag troratt de flesta faller tillbaka på att det finnsövergångsbestämmelser och man behöver inte riktigtta tag i den här frågan . I takt med att man gördet tror jag också att vi kommer att få alltflerinvändningar.De seriösa företag som tänker sig en nyutvecklingoch inte kan leva på dessa övergångsbestämmelser ochdärför tränger in i detta upplever många problem. Deser att lagen är otidsenlig. Vi har tagitInternetutvecklingen till oss. Det är en så välintegrerad del av allting vi gör i företagen.Då blir det obegripligt att det finns en ny lag sominte hanterar den frågan bättre. Man tycker att denär omständlig. Den är inte så effektiv att levaefter, och den är framför allt svår att efterleva.Generellt kan man säga att den hanteringsmodell somlåg till grund för EG-direktivet kanske inte ärförenlig med informationsteknikens möjligheter ochden faktiska användningen . Det är nog önskvärtatt gå över till ett system som reglerarmissbruk i stället.Därför tycker vi att det är viktigt attlagstiftaren ser över personuppgiftslagen för attundersöka om det finns möjligheter inom det nubefintliga EG-direktivet att inrikta lagstiftningenpå reglering av missbruk snarare än hantering avpersonuppgifter. I det här fallet är detnaturligtvis viktigt att titta på hur alla andraländer inom EU anpassar sig till det här direktivet.Framför allt tror jag att det är viktigt att snarastoch med större intensitet påbörja funderingen kringen global hantering av de här frågorna. Det handlarinte bara om EU. Det handlar om hela världen.I dag kan man konkret se tre områden där företaghar praktiska problem och där det kan finnaslösningar inom räckhåll för den befintligalagstiftningen.I första hand tror jag att det saknas mycketpreciseringar. Det saknas preciseringar närbehandling av personuppgifter är tillåten. Exempelpå detta är uttolkning av intresseregeln i 10 § samtprecisering av när företag får använda personnummer.Vi tror att det mesta av affärsverksamheten går atthantera även om det blir mindre effektivt äntidigare inom ramen för den här lagen. Men ettpraktiskt problem är naturligtvis det stora kravetatt informera självmant. Det är hanterbart i vissafall, men inte i andra, framför allt inte när mananvänder tredjehandsuppgifter. I det här falletskulle naturligtvis en tillämpning avmissbruksmodellen underlätta väsentligt.Det tredje området är självfallet överföring avuppgifter till tredje land. Där är detta ganskaohållbart, eftersom det även gäller personnamn somnämns i löpande text. Där kommer efterlevnaden avdenna lag att vara ytterligt begränsad eftersomdetta inte stämmer med det sätt som jag tror attmånga människor i har lärt sig ochvant sig vid att arbeta.Den svenska lagen är i stora delar en direktimplementering av texterna i EG-direktivet. Därförfinns det naturligtvis små möjligheter att anpassalagstiftningen helt och hållet efter enmissbruksmodell. Men man kan ju fundera översanktionssystemet. Kan man göra detta enklare medsanktionssystemet? Det skulle innebära att om detinte är missbruk blir sanktionerna ungefär som närman går mot röd gubbe, dvs. Det ärytterligare en väg som vi tycker att man skallöverväga.I IT-branschen har vi vant oss vid attarbeta med självreglerande åtgärder. Ett exempel pådet är IT-företagens etiska regler som reglerar påvilket sätt som företag som är medlemmar hos ossskall förhålla sig till kund, intressent ochmarknadsföring mot konsument. Om man missbrukardetta kan man uteslutas från föreningen. Vi vet attdetta är ett effektivt sätt att hålla en egensjälvreglering inom olika områden, och det gälleräven områden som tangerar integritetsfrågor. I avtalför webbhotell kräver vi publiceringsregler av demsom skall lämna sin information via det härwebbhotellet. Vi överväger också att ha ett systemför att reglera och märka kvaliteten på webbsidor,och därmed också ange något system för hur deföretagen hanterar den information om individer somde får på sina webbsidor.Den här typen av branschöverenskommelser tror jagär en framkomlig väg. måste det absolutses som ett betydligt starkare komplement tilllagstiftning. Där är vi intresserade av att nyttjade möjligheter som lagen ger att tillsammans medDatainspektionen kunna utröna om man kan kommalängre inom det här området.Ordföranden: Där tror jag att vi måste säga tacktill dig.Barbro : Jag tycker att det var entydlig och fin information vi fick frånDatainspektionen. Det handlar om den praktiskatillämpningen och möjligheten att hitta en rimliglösning. Jag är en av de hårt prövade lagstiftarna idet här sammanhanget. Jag har tittat tillbaka tillmina egna noggrant förda anteckningar från det mötesom hade med Datainspektionenvid ert besök . Dåvarandegeneraldirektören sade då, men stor förväntan somjag uppfattade det då, att den kommandepersonuppgiftslagen blir en bra lag som blirflexibel och teknikoberoende. Vidare sadegeneraldirektören att vi i praktiken kan använda densom en missbrukslagstiftning. Det var alltsåförväntansfulla och positiva omdömen då innan dethade fattats beslut om lagen.När jag nu lyssnar på och uppfattar jag att omdömet i huvudsak är attdet var viktigt med den här nya lagen därför att dengamla var otidsenlig och medförde många problem.Egentligen mynnar det här inte ut i en fråga utanmer i ett konstaterande att den här nya lagen varnödvändig som den innebär problem. Detsaknas en del preciseringar, och arbetet går vidare.Jag vet inte om ni vill kommentera det. Jag hadetänkt ställa en fråga, men jag tyckte att jag ficksvar av det ni sade.Ordföranden: bra! Då tar sig ordföranden frihetenatt lägga in en fråga till innan ni får möjlighetatt kommentera detta.Helena : Jag vill ta upp det uttryck somUlf använde. Han talade om otvetydigtsamtycke. Hur skall man tillämpa det begreppet? Depersoner som har Internet har ju också ofta e-post.Vi är ju många som har fått förfrågningar via e-postom detta. Vi som är positiva till att man skall fåanvända våra namn har ju lätt kunnat svara med attvia e-post tala om att våra namn får användas. Manskulle ju kunna tänka sig att man via e-post varjeår gav ett otvetydigt samtycke att mitt namn fåranvändas på Internet. Men hur gör man med depersoner som kan vara intressanta för dem som jobbarmed hemsidor att skriva om som inte har e-post ochinte Internet? Hur skall man få kontakt med dessapersoner? Det är enormt många svåra praktiskaproblem som det vore intressant att få höra om iförsta hand Datainspektionen har funderat litenärmare på. Vad ligger i begreppet otvetydigtsamtycke?Ulf : Ett otvetydigt samtycke skall ju varasärskilt och informerat. Den som ger samtycke skallju veta precis vilken behandling det rör sig om. Detskall vara frivilligt. Jag tror inte att det ärtänkt att man skall ge något slags generellasamtycken till att ens personuppgifter skall fåanvändas i sammanhang som man inte riktigt vet någotom eller kan kontrollera. Hur folk skall få kontaktmed varandra om de inte har e-post har jag ingetsvar på, men det finns ju andra medel.Ordföranden: mig själv precisera frågan. Göralla de datoranvändare som skrivertill ledamöter och anhåller om att fåanvända våra namn i sin konversation rätt eller fel?Ulf : Det var just den saken jag tänkte påegentligen. De gör väl egentligen fel, ochriksdagsmännen gör kanske också fel. Men om desvarar generellt får man väl ha en liberal tolkningav det hela. Det är väl inte sådana saker som vi påDatainspektionen kommer att vara ute och jaga efter.Ann-Marie : Det var naturligtvis viktigt attskrota datalagen. Det var rätt. Det var rätt atttänka sig att börja med den här lagen. Jag tyckeratt det ger en tankeställare att vi så snabbt fåromoderna lagar inom det här området. Frågan är hurvi skall hantera detta för framtiden. Hur skapar viden flexibla lagen? Det arbetet måste sättas i gångnu.Per : Jag skulle vilja fråga omdet här kan tänkas medföra problem på detinternationella planet. Jag tänker på s.k.handelshinder osv. Skulle vår nya lag kunna innebäraatt vissa företag behandlas sämre här än i någotannat EU-land?Sedan skulle jag vilja fråga om detta med manuelltregister, som har varit uppe tidigare. Är det så,för att ta en ytterlighet, att en bunt papper somsorteras in i en pärm innebär att man skall begäratillstånd hos Datainspektionen? Det är enytterlighet, men det kan vara teoretiskt intressantatt få ett svar på det.Sedan skulle jag vilja höra något omgränsdragningen när det gäller vem som ärjournalist. är inte journalist, hörde vi. Mendet är väl så det egentligen är uttryckt: När jag iett ärende säger att jag är journalist har jag denmöjlighet som en journalist har. Jag kan tänka migatt det är svåra gränsdragningar i dessa fall.Ulf : Det enklaste att svara på är frågan omhandelshinder. Det ligger lite över vår horisontsett från Datainspektionens sida, även om det är ettkänt förhållande att kommissionen för samtal medt.ex. företrädare för som är en av de störrehandelspartnerna. Jag kan inte yttra mig närmare omdetta, men det är klart att det i vissa fall kanutgöra hinder. Sedan kanske man får en praktisklösning på det, men detta ligger utanförDatainspektionens bedömande.När det gäller vad som menas med manuellt registerstår det i lagen att det skall vara en struktureradsamling av personuppgifter som är tillgängliga försökning eller sammanställning enligt särskildakriterier. Jag skulle vilja säga att det är vadgemene man vanligen tänker att ett register är. Detär det svar jag kan ge.När jag säger att envar inte kan vara sin egenjournalist menar jag att det inte räcker att sägaprecis vad som helst och sedan säga: Jag ärjournalist. Å andra sidan kan man inte kräva att manmåste vara yrkesverksam journalist, eventuellt påett medieföretag, medlem i ellernågot sådant. Det får väl bli någonstans däremellan,men detta är en sak som jag menar måste överlämnasåt rättstillämpningen. Jag kan inte ge något närmaresvar nu.Inger : Jag har en fråga till frågade om man kunde tro att och villskapa en lag som PUL, och ditt tonfall gjorde att dusvarade på frågan själv. Men då är min fråga: Är detså att din bransch försöker skapa eller hardiskussioner om internationella överenskommelser närdet gäller de etiska regler som t.ex. ni har här iSverige? Pågår det ett sådant arbete?Sedan har jag en fråga till . Om jagsäger till dem som frågar mig om PUL att det inomPUL:s ram finns ett utrymme, utan särskildaundantag, för den vanliga användaren att behandlaharmlösa personuppgifter, är jag ute och cyklar då?Ulf : Ja, du cyklar lite grann. Förnärvarande kan man endast med hjälp avövergångsbestämmelserna, om de är tillämpliga, göraså som du frågade.Inger : Men å andra sidan, om någon gör detta:Hur angelägna kommer ni att vara att beivramissbruk?Ulf : Som jag sade tillämpar vi kanskemissbruksmodellen i praktiken, för vi har intesådana resurser att vi kan kontrollera all trafik påwebbsidorna. Det vore lika omöjligt som om polisenskulle försöka att kontrollera hastigheten påalla vägar i , enskilda och allmänna. Det äralltså orimligt. Man får lita på att någon anmäler.De anmälningar vi har fått till Datainspektionen harvarit av typen att någon har nämnt sin mosters namnpå sin hemsida, och detta är ju mera en provokationför att protestera mot lagen. Vi har inte fört någrasådana anmälningar vidare till åklagare.Ann-Marie : Svaret är ja. Jag berättade om desjälvregleringsinitiativ som finns - Trustee, BetterBusiness och några andra. Detta är sådant som vidiskuterar. Vi utväxlar också information om hur mankan driva etiska regler. Här ligger faktiskt vi iSverige längre fram än övriga , där man intealls har den här sanktionsmöjligheten inbyggd imotsvarande branschföreningar. Som jag ser detväcker dock detta ett allt större intresse, så jagtror att det är en framkomlig väg för framtiden.Ordföranden: mig med ordförandens privilegiumprecisera frågan till : Innebär det dusäger om övergångsbestämmelserna att så länge dessalöper går det att hantera de uppkommandemisshälligheterna på ett någorlunda rimligt sätt,men efter det att de har löpt ut sitter vi i merakuta legala problem?Ulf : Ja, så har jag tolkat det. Men detgäller de fall som passar in på övergångsreglerna,dvs. behandlingar som har påbörjats före den 24oktober. Då klarar vi oss hjälpligt. Sedan får vihoppas att vi kommer med ett hyfsat förslag tillregeringen och att regeringen gör något bra av det.Per : Jag har en kort fråga till hade ju inte gjorts några anmälningar.Har Datainspektionen funderat på att simulerapilotfall eller någonting sådant för att se vad somkan hända när dessa anmälningar kommer in - för dekommer väl förr eller senare?Ulf : Vi har fått anmälningar, dock inga somvi har ansett att vi behövt gå vidare med. Det harrört helt harmlösa uppgifter, och det finnssäkerligen ingen åklagare som skulle inledaförundersökning med anledning av dem. Därför har viinte fört dem vidare till åklagare.Integritetsskydd ur ett europeiskt och nordisktperspektivOrdföranden: Då ber jag att få tacka den andraavdelningen svarande och hälsa professor in från snöovädret. Som du märkte när dukom in har vi börjat med de två avdelningar somskulle ha legat efter dig, och vi låter dig därmedavsluta den första avdelningen med de merprincipiella spörsmål som kan vara viktiga förutskottet att känna till med tanke på bakgrundentill EG-direktivet och, som jag sade vid minintroduktion , de lite olika traditioner somvi lever med i olika delar av . Hjärtligtvälkommen hit till ! Ordet är ditt.Professor : Tusen tack, herr ordförande.