sou · GNB3105d1 · 2000-01-01 00:00:00 — Det finns enligt vår mening inte nå gon anledning att ställa krav på anmälningsskyldighet för be handlingar som utförs med stöd av den av oss föreslagna lagstiftningen. Den personuppgiftsansvarige har enligt 36 § personuppgiftslagen även möjlig het att utse ett personuppgiftsombud. Vår bedöm ning är att det bör ålig ga den person- uppgiftsansvarige att ta ställning till frågan om ett personuppgiftsombud skall inrättas hos myndigheten eller inte. Om ett sådant ombud utses, skall bestämmelserna i 38–40 §§ personuppgiftslagen om ombudets skyldigheter tillämpas. Regeringen har enligt 41 § personuppgiftslagen möjlighet att före- skriva att vissa särskilt känsliga behandlingar skall anmälas till Datain- spektionen för för handskontroll oavsett om det finns ett personuppgifts- ombud eller inte. Denna möjlighet bör regeringen enligt vår me ning ha även i fråga om sådana behandlingar som regleras i den av oss föreslagna lagstiftningen. befogenheter (43 och 47 §§) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot personuppgifts- ansvariga. Vi anser att den möjlighet som inspektionen har enligt 43 § personuppgiftslagen att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler bör finnas även när den person uppgiftsansvarige är en myndighet. Däremot är det inte möjligt för Data inspektionen att vid vite förbjuda en personuppgifts ansvarig statlig myndighet att behandla personuppgifter, eftersom vite som sanktionsmedel enligt allmänna rättsgrundsatser inte bör användas me llan statliga myndigheter. Hänvis- ning behöver därför inte göras till bestäm melserna om vite i 44 och 46 §§ personuppgiftslagen. Inte heller finner vi det nödvändigt att i spe- cialförfattningarna hän visa till 45 §, vari anges att Datainspektionen om den konstaterar att personuppgifter behandlas felaktigt skall försöka åstadkomma rättelse genom påpekanden e.d. Det torde vara självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse när brister i myndigheternas hantering upptäcks. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän för valtningsdomstol ansöka om att sådana uppgifter som har SOU 1999:105 Allmänna bestämmelser om behandling av personu ppgifter 221 behandlats på ett olagligt sätt skall ut plånas. Bestämmelsen har sin grund i dataskyddsdirektivets artikel 28.3, där det anges att varje natio- nell tillsynsmyndighet skall ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndig he- terna på dessa överträdelser. Vi kan inte se att det i den av oss fö reslag- na lagstiftningen finns utrymme för att underlåta att uppfylla direk tivets krav i den delen. Därför bör 47 § personuppgiftslagen vara tilllämplig även vid behandling enligt vår lagstiftning. Straff (49 §) Personuppgiftslagens bestämmelser om straffansvar bör omfatta även den myndighetsverksamhet som omfattas av vårt uppdrag. Bestämmel- serna bör vara tillämp liga även när personuppgifter behandlas med stöd av den av oss föreslagna special lagstiftningen. Vårt förslag: En myndighet skall vara personuppgiftsansvarig för den behandling som ankommer på myndigheten att utföra. Personuppgiftsansvarig är enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och med len för behandling av personuppgifter. För att undvika oklarheter vid för- fattningsreglerad behandling av personuppgifter i myndighetsverksamhet bör placeringen av personuppgifts ansvaret regleras uttryckligt i specialförfatt ningarna. De myndigheter som kan bli aktuella som personuppgiftsansvariga vid behandling i de för oss aktuella verksamheterna är och , de regionala skatte- och kronofogdemyndigheterna samt länsstyrelserna. utgör numera en enda myndighet, varför några problem med fördelning av personuppgiftsansvaret inte upp står i tullverksamheten. Det är däremot inte möj ligt att för ett kom plext system för databehandling inom sådana myndig hetsorganisationer som skatte- förvalt ningen och exekutionsväsendet, i lag närmare bestämma vilken myndighet som bör vara ansvarig för olika specifika behand lingar. Vi anser i stället att det är lämpligt att för dessa myndighets organisationer utforma regleringen så att den myndighet på vilken det ankommer att utföra en viss be handling skall vara ansvarig för just den be handlingen. 222 Allmänna bestämmelser om behandling av personuppgifter Genom att personuppgiftsansvaret omfattar vad som ankommer på en myndighet att utföra, markeras att det finns ett ansvar inte endast för att utförd behandling är korrekt, utan även för att be handling faktiskt utförs när den skall ske. För behandling av personuppgifter som inte sker under de särskilt reglerade former som gäller för databaser, t.ex. ordbehandling, kommer den myndighet hos vilken behandlingen görs att vara person uppgifts- ansvarig. Några problem med att peka ut rätt myndighet torde inte upp- stå i de fallen. När det gäller behandling i en databas kan situa tionen komma att bli mer komplicerad. Vår avsikt är som sagt att den enskilda behandlingen skall vara avgörande för personuppgifts ansvarets place- ring. Följden av en sådan bestäm melse blir att den myndighet som avgör om en viss uppgift skall föras in i databasen, kommer att vara an svarig för att den lagrade uppgiften är korrekt. Detta är nöd vändigt eftersom i princip endast den myndigheten har möjlighet att garantera uppgiftens riktighet. För den fortsatta behandlingen av upp giften kan dock andra myndigheter bli ansvariga, eftersom varje myndighet ansvarar för sin behandling. Om exempelvis en registrerad uppgift skulle komma att lämnas ut av en annan myndighet än den som har registrerat uppgiften, skall den utlämnande myndigheten vara ansvarig för den be handling som utgörs av själva utlämnandet. I mer övergripande frågor, t.ex. om sådant som ansvar för att nöd- vändiga tekniska eller organisatoriska säkerhetsåtgärder vidtas, måste personuppgiftsansvarets för delning grundas på vilka myndigheter som har befogenhet och skyldighet att utföra dessa åtgärder. Inom skatte- förvaltningen och exekutionsväsendet kan detta till stor del antas bli en fråga för , men det avgörande måste vara hur organisa- tionen är uppbyggd och hur olika arbetsuppgifter är fördelade. I praktiken torde det inte behöva uppstå några problem i fråga om vem som är personuppgiftsansvarig för olika behandlingar. En förut sätt- ning är dock att det går att fastställa vilka myndigheter som har be- handlat en viss uppgift och hur uppgiften har behandlats. Detta är i huvudsak en fråga om hur systemen utformas tekniskt. En viktig del av personuppgiftsansvaret är skyldigheten att på begä- ran av enskilda tillhandahålla information om vilka uppgifter som be- handlas rörande dem samt skyldigheten att rätta, blockera eller utplåna uppgifter som har behandlats felaktigt. Vi återkommer till dessa frågor i 7 kap. En fråga som knyter an till personuppgiftsansvaret är arkivansvaret enligt arkivlagen (1990:782). Enligt huvudregeln i 3 § arkivlagen har en myndighet arkivansvar fö r de allmänna handlingar som finns hos myn- digheten (se avsnitt 2.6.1). För elektronisk information gäller emel lertid en specialregel. Upptagningar för auto matisk databehandling som är SOU 1999:105 Allmänna bestämmelser om behandling av personu ppgifter 223 tillgängliga för flera myndigheter, och som där igenom utgör allmän na handlingar, skall bilda arkiv endast hos en av dessa myndigheter, i första hand den myndighet som svarar för huvuddelen av upptagningen. Syftet med undantaget är att upptagningar som är tillgängliga för flera myndigheter inte skall behöva arkiveras av samtliga dessa myndigheter, utan endast av den huvudansvariga myndigheten. Som vi har nämnt ovan kan personuppgiftsansvaret för en och sam- ma uppgift i en databas ligga hos flera myndigheter beroende på hur och i vilka sammanhang uppgifterna används. En sådan ordning är inte lämplig i fråga om arkivansvaret. Vår inställning är att arkivansvaret för en viss uppgift i en databas skall ligga hos den myndighet som är ansvarig för att uppgiften förs in i databasen. Att en annan myndighet senare behandlar uppgiften, t.ex. genom utlämnande, och därigenom blir personuppgiftsansvarig för just den behandlingen, innebär inte att den myndigheten även blir arkivansvarig. En sådan ordning överens stämmer med myndigheters skyldighet enligt sekretesslagen att registrera allmänna handlingar som utgörs av upptagningar för automatisk databehandling. Av 15 kap. 1 och 13 §§ sekretesslagen framgår att all- männa handlingar som kommer in eller upprättas hos en myndighet skall registreras utan dröjsmål. Om en upptagning för automatisk data- behandling förs in i ett dataregister som är tillgängligt för flera myn- digheter, är dock endast den myndighet som gör införingen skyldig att registrera den. Den myndighet som enligt sekretesslagen är skyldig att registrera en upptagning för automatisk databehandling, är således även ansvarig för att arkivlagens bestämmelser uppfylls. I princip innebär detta även att den myndighet som är ansvarig för att uppgifter är korrekta, dvs. skyl dig att vidta rättelse enligt personuppgiftslagen, också har ansvaret för att upptagningen tas om hand enligt arkivlagen. 5.3Bestämmelser om behandling som inte sker i databaser 5.3.1Behandling av känsliga personuppgifter m.m. Vårt förslag: Känsliga personuppgifter och uppgifter om lagöver- trädelser m.m. skall få behandlas endast om uppgifterna har lämnats i eller är nödvändiga för hand läggningen av ett ärende. 224 Allmänna bestämmelser om behandling av personuppgifter Enligt 13 § personuppgiftslagen gäller ett principiellt förbud mot be- handling av känsliga personuppgifter. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ur sprung, politiska åsikter, religiös eller filosofisk över tygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Från förbudet att behandla sådana uppgifter görs sedan undantag för vissa situa tioner – t.ex. då den enskilde har samtyckt till behandlingen – som inte är tillämpliga på de för oss aktuella verksamheterna. Genom 21 § personupp giftslagen be- gränsas även rätten att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Sådana upp gifter får behandlas endast av myndigheter. I fortsättningen av detta avsnitt avser vi med be- greppet känsliga personuppgifter för enkelhetens skull även upp gifter om lagöverträdelser m.m. I de verksamheter som omfattas av vårt uppdrag torde det sällan komma i fråga att behandla känsliga personuppgifter, och vi har därför av integritetsskäl övervägt förbud för sådan behandling. I vissa situa tio- ner finns det dock anledning att tillåta behandling av känsliga uppgifter i handläggningen av ärenden. En enskild kan exempelvis i ett skatteärende om förseningsavgift ange sjukdom som skäl för att dek laration inte har lämnats . En sådan uppgift måste rimligen kunna behandlas på auto- matiserad väg i ärendet, även då behandling inte sker i den för databaser särskilt reglerade formen (se avsnitt 6.1 om gränsdragningen mellan behandling i databaser och annan automatiserad behandling). Det vore orimligt att begära att tjänsteanteckningar efter telefonsamtal inte skulle få nedtecknas med hjälp av ordbehandling. Detsamma gäller när känsliga uppgifter är avgörande för utgången av ett ärende. I före drag- ningspromemorior, beslutskoncept och liknande måste sådana uppgifter få finnas, även om handlingarna upprättas med hjälp av ord behandling. Detsamma gäller för manuellt upprättade hand lingar, vilka kan komma att omfattas av våra författningsförslag. Att i detalj reglera vilka uppgifter som får antecknas och i vilka fall detta får ske, är inte möjligt. Det går nämligen inte att förutse de olika situationer som kan uppstå i hanteringen av ärenden. Vi anser dock att det är nödvändigt av integri tetsskäl att i största möjliga mån begränsa användningen av känsliga personuppgifter. Det bör därför vara tillåtet att behandla sådana uppgifter endast om de har lämnats i ett ärende eller om det är nödvändigt för handläggningen av ett ärende. Det inne bär att användandet av känsliga uppgifter begränsas till sådana till fällen då myndigheten i det närmaste inte har något val, utan måste be handla dem. För behandling i data baser skall särskilda bestämmelser gälla, vilket vi återkommer till i avsnitt 6.3.3. SOU 1999:105 Allmänna bestämmelser om behandling av personu ppgifter 225 5.3.2Bevarande och gallring av uppgifter Vårt förslag: Uppgifter som är föremål för automatiserad behand ling i ett ärende skall gallras senast efter att ärendet har av slutats, medan andra uppgifter skall gallras i enlighet med bestämmelserna i arkivlagen (1990:782). Regeringen eller den myndighet som regeringen bestämmer skall få meddela föreskrifter om att uppgifter skall gallras vid en annan tid- punkt eller att uppgifter skall bevaras. Hur länge personuppgifter får bevaras regleras allmänt i person uppgifts- lagen som ett grundläggande krav på behandling av personuppgifter. I 9 § första stycket i) per sonuppgiftslagen anges att den person- uppgiftsansvarige skall se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med be- handlingen. I fråga om personuppgifter som behandlas i myndighetsverk- samhet tillämpas i första hand bestämmelserna i arkiv lagen. I de re- gisterförfattningar som gäller för statlig verksamhet finns regel- mässigt även särskilda gallringsbestämmelser för uppgifter i person- register. Detsamma är fallet för uppgifter i personregister som förs med stöd av tillstånd från Datainspektionen. För sådan behandling av personuppgifter inom skatteförvaltningen, exekutionsväsendet och som enligt våra förslag skall reg leras särskilt genom bestämmelser för behandling i databaser, är det av bl.a. integritetsskäl ofta nödvändigt att i specialförfattningarna reg lera gallringsfrågor. Vi har dock haft att ta ställning till frågan om det ut över den allmänna regleringen i arkivlagen och personuppgiftslagen även behövs särskilda bestämmelser om bevarande och gall ring för så dan behandling som inte utförs i databaser. Särskilt vik tigt har vi bedömt detta vara i fråga om uppgifter som behandlas på automatiserad väg (se avsnitt 6.1 om gränsdragningen mellan behandling i databaser och annan automatiserad behandling). För personuppgifter som be handlas manuellt och som omfattas av den föreslagna lagstiftningen anser vi att de allmänna bestämmelserna i arkivlagen är till räckliga för att säker ställa ett gott integritetsskydd. För uppgifter som behandlas på auto matiserad väg kan dock svårare integritetsfrågor förväntas upp komma. Med den moderna teknik som används i myndighetsverksamheten , är det vanligt att stora mängder uppgifter lagras elektroniskt även på annat sätt än i reglerade personregister eller databaser. En stor del av det skriftliga material som produceras av myndigheter utarbetas numera i datorer med hjälp av ordbehandlingsprogram. Även i de fall då 226 Allmänna bestämmelser om behandling av personuppgifter SOU 1999:105 slutprodukten skrivs ut på papper och tillfogas akten i ett ärende, sparas informationen vanligtvis genom att lagras elektroniskt. På detta sätt kan det på ganska växa fram omfattande infor- mationsmängder hos en myndighet, information som dessutom ofta är lätt tillgänglig genom olika typer av sökprogram. Med den legal definition av databasbegreppet som vi föreslår (se avsnitt 6.1) kommer dessa infor- mationsmängder i vissa fall inte att omfattas av de bestämmelser som gäller för databaser. Vi bedömer att det i allmänhet saknas starka skäl för att en myn- dighet på elektronisk väg skall tillåtas bevara sådan information, utan att några åt gärder vidtas. Vi föreslår därför generellt att uppgifter som är föremål för auto matiserad behandling i ett ärende – utan att behand- lingen görs i en databas – skall gallras senast efter att ärendet har avslutats. Bestämmelsen innebär att information inte får lagras utan att på ett konkret sätt an vändas i verksamheten. Det skall med andra ord inte vara tillåtet att i elektronisk form lagra information som kan vara bra att ha . Om där- emot åtgärder vidtas genom att informationen tillförs ett annat, pågående, ärende eller om ett nytt ärende öpp nas med anledning av informationen, får den dock bevaras även efter ettårs fristen som en del av det nya ärendet. Detsamma blir fallet om uppgifterna registreras i en databas enligt de särskilda bestämmelserna därom. Att uppgifterna skall gallras innebär att de kan föras över på papper, var efter den elek- troniska informationen raderas. De uppgifter som finns kvar endast på papper omfattas då inte längre av den ettåriga gallrings tiden som vi föreslår skall gälla för auto matiserad behandling av uppgifter. En särskild fråga i detta sammanhang är hur man skall förfara med automatiserad behandling av uppgifter i samband med revision eller and- ra kontrollåtgärder i beskatt nings- och tullverksamhet. Vi återkommer till den frågan i avsnitt 9.2. Det kan finnas anledning att för vissa uppgifter tillämpa en annan tidpunkt för gallring. Vissa uppgifter av känslig karaktär kan det av in te- gritetsskäl vara lämpligt att gallra , medan andra mindre känsliga uppgifter kan behöva lagras för att inte onödiga effektivitetsförluster skall uppstå i verksamheten. Det bör enligt vår uppfattning åligga regeringen eller att meddela föreskrifter om undantag från den annars gällande ettårsre geln. För vissa verksamheter bedömer vi att det av olika skäl inte är nödvändigt att ha särskilda be stämmelser om gallring över huvud taget. En förutsättning är att det inte föreligger någon nämnvärd risk för otill- börliga integritetsintrång. För verk samheten med val och folkomröst- ningar föreslår vi således inga sådana bestämmelser, utan inom den verk - samheten skall arkivlagens bestämmelser tillämpas. SOU 1999:105 Allmänna bestämmelser om behandling av personu ppgifter 227 folkbokföringsverksamheten tillämpas , och till dess frågan om folklängder är löst, arkivlagens bestämmelser. Vi föreslår inte någon ändring i det avseendet. Behandling i databaser 229 6 Behandling i databaser Vi redogör i 5 kap. för vilka bestämmelser som vi anser skall gälla gene- rellt för behandling av personuppgifter och andra uppgifter i skat te- förvaltningens, exekutionsväsendets och verksamheter. I detta kapitel redovisar vi vår inställning till sådan automatiserad be hand- ling av uppgifter som utförs för gemen samma ändamål inom ett verk - samhetsområde, dvs. behandling i databaser. Från integritetssynpunkt är det viktigt att stora uppgiftssamlingar som hanteras av myndigheter och som ger möjligheter till sammanställningar av en rad olika upp gifter om enskilda personer, omgärdas av särskilda skyddsregler. För behandling av uppgifter i databaser bör därför särskilda bestäm melser gälla på en rad punkter. Det är fråga om vilka uppgifter som får be handlas, vilken åtkomst myndigheter och andra skall ha till uppgifterna samt vilka regler som skall gälla för bevarande och gallring. Dess utom finns det särskild anledning att titta närmare på vad som bör gälla vid behandling av personuppgifter och andra uppgifter i datoriserade ärende- hanteringssystem, eftersom sådana system kan komma att innehålla stora mängder uppgifter av varierande slag i form av handlingar som kommer in till myndigheter från enskilda och beslutshandlingar m.m. som upprättas av myndigheter. 6.1Vad är en databas? Vårt förslag: I en myndighets eller en myndighetsorganisations verk- samhet skall det finnas en samling uppgifter som med hjälp av auto- matiserad behandling används gemensamt i verksamheten för vissa angivna ändamål ( databas). 6.1.1Databaser för automatiserad behandling används i stor omfattning datorer hos myndigheter. Det gäller allt från enkel ordbehandling till sofistikerade ärendehanteringssystem som i det närmaste innebär en papperslös hantering av ärenden. 230 Behandling i databaser kommer även att beslut fattas automatiskt i ett datasystem utan direkt mänsklig inblandning. Flera myndigheter – däribland de som omfattas av vårt uppdrag – har tillgång till datorbaserade per sonregister som används som informationsdatabaser vid handläggning av ärenden och i vissa fall som lagringsenheter för beslut och andra upprättade eller in- komna handlingar. En väsentlig skillnad mellan databehandling i person- register och vanlig ordbehandling, är att registren utnyttjas gemensamt i verksamheten inom en myndighet eller myndighetsorganisation. Medan ordbehandling kan sägas vara ett hjälpmedel för en hand läggare, eller andra vid en myndighet, i själva upprättandet av handlingar – närmast en avancerad skrivmaskinsfunktion – utgör person registren ett allmänt hjälpmedel vid handläggningen av ärenden m.m. genom att det underlättar framtagandet av underlag för olika beslut. Enligt vår mening måste det för skatteförvaltningen, exekutions väsen- det och finnas särskilda regelverk för sådan automati serad behandling av personuppgifter som inte utgörs av ordbehandling och som inte är av helt tillfällig natur. De stora gemensamma uppgifts- samlingar hos myndigheter som dagens personregister och ärendehan- teringssystem utgör, innebär på grund av de tekniska möjlig heterna att söka i materialet och göra sam manställningar om registrerade personer en påtaglig risk för otillbörliga intrång i enskildas personliga integritet. Den risken blir än större i de fall myndig heter sambearbetar egna upp- gifter med uppgifter från andra myndigheter. Från integritetssynpunkt finns det därför enligt vår mening starka skäl för att skapa tyd liga regler om vad som är tillåtet i fråga om sådan behandling. I och med genomförandet av dataskyddsdirektivet i svensk lagstift- ning har begreppsapparaten vid ADB-hantering ändrats. I den grund- läggande skyddslagstiftningen, personuppgiftslagen (1998:204), talas det inte längre om förande av per sonregister, utan om behandling av personuppgifter. För att särskilja den rätts liga regleringen av sådan auto- matiserad behandling som görs i uppgiftssamlingar för ge mensamt bruk, dvs. personregister och ärendehanteringssystem, från den auto- matiserade behandlingen av uppgifter i allmänhet, t.ex. ordbehandling, har vi valt att införa begreppet databas i lagstiftningen (se av snitt 4.4). Avgörande för vilka gallrings frister som gäller och i vilken omfattning känsliga personuppgifter får behandlas m.m., bör vara om upp gifter behandlas i en databas eller inte. I teorin skulle en databas för en viss verksamhet kunna delas in i två underdatabaser. Databaser, som vi ser dem, kan nämligen sägas bestå av dels en eller flera samlingar av enskilda kortfattade uppgifter som an- vänds för att få fram underlag till beslut i verksamheten (informa tions- databaser), dels handlingar som kommer in eller upprättas i ett ärende och som bearbetas och lagras i ett ärendehanteringssystem (ären- Behandling i databaser 231 Traditionellt har personregister i praktiken utgjorts av egentliga informationsdatabaser, men i och med framväxten av avan- cerade ärendehanteringssystem har även ärendedatabaser inordnats i lag- stiftningen om personregister, t.ex. i skatteregisterlagen. Vi är tvek- samma till en sådan utveckling, vilket är en av orsakerna till vårt förslag att införa begreppet databas i lagstiftningen. Vi har emellertid in te funnit anledning att i den av oss föreslagna lagstiftningen göra nå gon begrepps- mässig åt skillnad mellan olika funktioner i en databas. Däremot finns det enligt vår mening skäl för att i vissa delar ha olika regler för de olika funktionerna.