sou · GNB3105d1 · 2000-01-01 00:00:00 — Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild ut- redare för att göra en översyn av de författningar som reglerar re gis- ter inom skatteförvaltningen och exekutionsväsendet samt tullregister- lagen (1990:173). Utredaren skulle också gå igenom de register som inte är för fattningsreglerade och föreslå en författnings reglering i de fall det bedöms ända målsenligt. Över synen skulle göras med utgångs- punkt i den då föreslagna person uppgiftslagen och EU:s dataskydds- direktiv. förordnade statsrådet kam- marrättslagmannen att fr.o.m. vara särskild utredare. Som experter har fr.o.m. medverkat verksjuristen , verksjuristen , överdirektören , lag mannen , kammarrättsassessorn , kammarrättsassessorn , kammarrätts- assessorn och byrådirektören . Kansli- rådet har medverkat som expert fr.o.m. den 28 sep- tember 1998. Sekreterare åt utredningen har varit kammarrättsassessorn . Utredningen har antagit namnet Registerförfattningsutredni ngen (Fi 1998:02). Härmed överlämnar utredningen sitt betänkande Skatt ž ž Exekution ž Normer för behandling av personuppgifter (SOU 1999:105). Arbetet har bedrivits i nära samråd med experterna, som står bakom de förslag som läggs fram. Betänkandet är därför skrivet i vi- form. Utredningens arbete är härmed avslutat. Förslag till lag om behandling av uppgifter i skatte- Förslag till lag om behandling av personuppgifter i Förs lag till lag om behandling av personuppgifter i verksamhet med val och folkomröstningar ....................... Förslag till lag om behandling av uppgifter i exeku - Förslag till lag om behandling av uppgifter i Tull- Fö rslag till lag om ändring i sekretesslagen (1980:100) .... Förslag till lag om ändring i tullagen (1994:1550) ............ Förslag till lag om ändring i kreditupplysningslagen (1973:1173).................................................................... Förslag till lag om ändring i lagen (1985:146) om avräkning vid återbetalning av skatter och avgifter........... Förslag till lag om ändring i folkbokföringslagen (1991:481)...................................................................... 11Förslag till lag om ändring i sametingslagen (1992:1433) . 12Förslag till lag om ändring i lagen (1993:672) om skatte - reduktion för utgifter fö r byggnadsarbete på bostadshus .. Förslag till lag om ändring i lagen (1994:1563) om Förslag till lag om ändring i lagen (1994:1564) om Förslag till lag om ändring i lagen (1994:1776) om skatt på energi ................................................................ 16Fö rslag till lag om ändring i lagen (1995:439) om beskattning, förtullning och folkbokföring under krig eller krigsfara m.m.......................................................... Förslag till lag om ändring i lagen (1995:1623) om skattereduktion för riskkapitalinvesteringar ...................... Förslag till la g om ändring i lagen (1996:725) om skattereduktion för utgifter för byggnadsarbete på Förslag till lag om ändring i lagen (1996:1231) om skattereduktion för fastighetsskatt i vissa fall vid 1997–taxeringar ............................................... Förslag till lag om ändring i vallagen (1997:157) ............. BAKGRUNDEN TILL VÅRA FÖRSLAG Behandling av personuppgifter m.m............................................ Internationella konventioner m.m..................................... Bestämmelser om när personuppgifter får Information och rättelse m.m. .......................... Överföring av personuppgifter till tredje land... Medlemsländernas nationella lagstiftning ......... Allmänt om lagen och dess tillämpnings - Den registeransvariges skyldigheter ............... Allmänt om lagen och dess tillämpnings - Förutsättningar för behandling av person- Information och rättelse m.m. ........................ Säkerhet vid behandlingen ............................. Överföring av personuppgifter till tredje Datainspektionens befogenheter som till- Anmälan till Datainspektionen m.m. .............. Sekretess i skatteförvaltn ingens, exekutions- väsendets och verksamheter......... Utlämnande av uppgifter till myndigheter Arkivvård och gallring hos statliga myndigheter ............ Register hos skatteförvaltningen, exekutionsväsendet och 3.1Register i skatteförvaltningens beskattningsverk- Alkohol - , tobaks - och energiskatteregistret 3.1.7Projektregister och andra tillståndsregister Register i brottsbekämpande verksamhet........ 3.2Register i skatteförvaltningens folkbokförings verksamhet156 Allmänt om folkbokföringsverksamhe ten ....... 3.3Register i skatteförvaltningens och länsstyrelsernas verksamhet med val och folkomröstningar ..................... Allmänt om verksamheten med val och Register i exekutionsväsendets verksamhet .................... Allmänt om exekutionsväsendets verk - Betalningsföreläggande - och handläg g - Konkurstillsynsregister och andra till - Register i verksamhet.................................. Allmänt om verksamhet ............... Register i brottsbekämpande verksamhet ........ Övergripande frågor och principer ........................................... Behovet av datorstöd i myndighetsverksamhet ............... Skyddet för personlig integritet ...................................... Behandling av personuppgifter och andra uppgifter i myndighetsverksamhet bör författnings regleras Så få författningar som möjligt Författningarnas allmänna tillämpnings - Detaljreglering bör inte göras i lag Databaser .......................................i stället för register Det behövs ett särskilt begrepp för vissa Definitioner av begreppen register och Databasbegreppet underlättar en teknik- Det kan fortfarande finnas utrymme för Allmänna bestämmelse r om behandling av personuppgifter ..... Olika former av uppgiftsbehandling............................... Allmänt tillämpliga bestämmelser .................................. Allmänna bestämmelser i personuppgifts - Bestämmelser om behandling som inte sker i data- Behandling av känsliga personuppgifter Bevarande och gallring av uppgifter Behandling i databaser............................................................... Vad är ........................................................en databas? Databaser för automatiserad behandling Gemensam användning av uppgifter Koncept och minnesanteckningar m.m Ändamålen .......................................med behandlingen Behovet av klara ändamål Primära och sekundära ändamål Vilka ...................uppgifter får behandlas i en databas? Personer om vilka uppgifter får behandlas Uppgifter som får behandlas Administrativa och tekniska uppgifter Vad är elektroniska dokument, handlingar Inordnande av ärendehantering i databaser Känsliga personuppgifter m.m. i elektro - Begränsade sökmöjligheter i ärende - Inhämtande ...............................................av uppgifter Utlämnande ..............................................av uppgifter Allmänt om utlämnande av personuppgifter Utlämnande på medium för automatiserad Direktåtkomst är känsligt från integritets - Behandlingsändamålen bör vara styrande Direktåtkomst inom en myndighets - Direktåtkomst utanför en myndighets - Enskildas direktåtkomst till egna uppgifter ..... Bevarande och gallring av uppgifter ............................. Behovet av bestämmelser om gallring ............ Alternativa metoder för reglering av bevarande och gallring .................................. Olika metoder för olika databaser .................. Myndigheternas avgiftsuttag vid utlämnande av uttag inom offentlig sektor Regeringens syn på avgiftsuttag Regeringsbeslut om avgiftsuttag inom skat - När bör avgi fter få tas ut? En lagreglerad rätt att ta ut avgifter Information om elektroniska handlingar i När, hur och av vem skall rättelse göras? Särskilda bestämmelser för olika verksamheter ........................ En särskild lag för beskattningsverksam- Ändamålen med behandling i beskattnings- Uppgifter som får behandlas i databasen ........ Direktåtkomst till databasen .......................... Gallring av uppgifter i databasen................... En särskild lag för folkbokföringsverk- Ändamålen med behandling i folkbok - Uppgifter som får behandlas i databasen........ Direktåtkomst till databasen .......................... Sökning i databasen ...................................... Gallring av uppgifter i databasen................... Verksamhet med val och folkomröstningar .................... En lag för verksamhet med val och folk - Ändamålen med behandling i val- och Uppgifter som får behandlas i databasen ........ Direktåtkomst till databasen .......................... Sökning i databasen ...................................... Gallring av uppgifter i databasen................... En lag för exekutionsväsendet ........................ Ändamålen med behandling i utsöknings- Uppgifter som får behandlas i utsöknings- Gallring av uppgifter i utsöknings- och Ändamålen med behandling i betalnings - föreläggande- och handräckningsdatabasen .... Uppgifter som får behandlas i betalnings- föreläggande- och handräckningsdatabasen .... Gallring av uppgifter i betalningsföre- läggande- och handräckningsdatabasen .......... Ändamålen med behandling i skuldsane - Uppgifter som får behandlas i skuldsane - Gallring av uppgifter i skuldsanerings - Ändamålen med behandling i konkurstill - Uppgifter som får behandlas i konkurstill - Gallring av uppgifter i konkurstillsyns - Gemensamma bestämmelser om direkt - åtkomst till databaser .................................... Gemensamma bestämmelser om sökning i En lag för fiskala verksamhet ...... Ändamålen med behandling i tulldatabasen Uppgifter som får behandlas i databasen ........ Direktåtkomst till databasen .......................... Gallring av uppgifter i databasen ................... Skatteuppgifter .................................................i SPAR SPAR i förhållande till dataskyddsdirek - Integritetsaspekter på användandet av Behandling av personuppgifter vid taxeringsrevi- Den tidigare regleringen och personupp - Bruttoavisering ............................inom folkbokföringen Vad är bruttoavisering? Sekretess ................................inom exekutionsväsendet Problem med det svaga sekretesskyddet Bakgrund till nuvarande reglering 9.4.4Utvecklingen efter sekretesslagens till- 9.4.5Möjliga förändringar av sekretessen inom Ett omvänt skaderekvisit ............................... 9.4.7Verksamhet som bör omfattas av sekre- 9.4.8Uppgifter som inte bör omfattas av sekre 9.4.9Den förändrade sekretessens betydelse för 9.5Utlämnande av uppgifter på medium för automati- serad behandling för kreditupplysningsverksamhet ......... Kronofogdemyndigheternas tillgång till uppgifter 9.7Den externa mottagningsfunktionen i tulldatasyste- 9.8Användning av uppgifter ur tulldatasystemet i brotts- Ikraftträdande- och övergångsbestämmelser ............................. Lagstiftning om behandling av personuppgifter.............. Bestämmelser om ikraftträdande .................... Konsekvenser av våra förslag .................................................... 12.1Förslaget till lag om behandling av uppgifter i 12.2Förslaget till lag om behandling av personuppgifter i skatteförvaltningens folkbokföringsverksamhet ............ 12.3Förslaget till lag om behandling av personuppgifter vid val och folkomröstningar ......................................... 12.4Förslaget till lag om behandling av uppgifter i 12.5Förslaget till lag om behandling av uppgifter i 12.6Förslaget till lag om änd ring i sekretesslagen (1980:100) 422 Förslaget till lag om ändring i tullagen (1994:1550) ....... 12.8Förslaget till lag om ändring i kreditupplysnings- lagen (1973:1173)......................................................... 12.9Förslagen till lagar om ändring i lagen (1994:1563) om tobaksskatt, lagen (1994:1564) om alkoholskatt samt lagen (1994:1776) om skatt på energi ............................ Exempel på utformning av förordning om behandling uppgifter i skatteförvaltningens beskattningsverk- Några allmänna utgångspunkter för uppdraget trädde personuppgiftslagen (1998:204) i kraft. upphörde datalagen (1973:289) att gälla. Personupp giftslagen har sin utgångspunkt från och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Vi har haft i uppdrag att med utgångspunkt från personuppgiftslagen och dataskyddsdirektivet, göra en översyn av de författningar som reglerar register inom skatteförvalt- ningen och exekutionsväsendet samt hos . Översynen har inte omfattat register som förs i brotts bekämpande verksamhet. I uppdraget har ingått att även gå igenom de register som inte är författ nings- reglerade, utan som förs med stöd av tillstånd av Datainspek tionen. Vårt arbete har bedrivits från vissa givna utgångs punkter. En ut- gångspunkt för utred ningsarbetet har varit att skapa enkla och lätt- begripliga regler som är anpassade efter den tekniska utvecklingen och därvid beakta statistikens och forskningens behov. En annan utgångs- punkt har varit att anpassa regleringen så att den tillgodoser det gene- rella behovet av datorstöd i myndigheternas ärende hantering. Vi har även haft att utreda vissa frågor särskilt. Bland dessa kan nämnas omfattningen av direktåtkomst till myndigheternas register, om- fattningen av och formerna för utlämnande av uppgifter från skatte- och utsökningsregistren, myndigheternas skyldighet att lämna registerutdrag samt arkivering och gallring av ADB-material. I uppdraget har också ingått att överväga om sekre tesslagens (1980:100) bestämmelser behöver ändras för att effek tivisera skatte- och kronofogdemyndigheternas verk- samhet, med hänsyn till den stora skillnad som finns i sekretes- skyddet mellan beskattningsverksamheten och den exekutiva verksam- heten. Lagar om behandling av personuppgifter m.m. i skatte- förvaltningens, exekutionsväsendets och verksamheter De senaste decenniernas snabba datorutveckling inom myndighetsom- rådet visar att den lagstiftning som reglerar användandet av datorstöd måste vara teknikoberoende och flexibel, för att inte hindra den effekti- visering av verksamheterna som kontinuerligt pågår. Detta är inte minst påtagligt inom skatteförvaltningen, exekutions väsendet och hos Tull- verket. Det är ofta näst intill omöjligt för lag stiftaren att hålla jämn takt med den tekniska utvecklingen i samhället, något som är särskilt tydligt inom just dataområdet. För att inte hamna i en situa tion där den tekniska utvecklingen styr den rättsliga regleringen, är det enligt vår mening nödvändigt med en lagstift ning som tar sikte på principiellt viktiga frågor och inte på detaljreglering. En central fråga som särskilt rör lagstiftningen om behandling av personuppgifter är hänsynen till enskildas personliga integritet. Det är inte möjligt att definiera exakt vad som avses med personlig integritet, något som bekräftas av att varken svensk lagstiftning eller doktrin inne- håller någon enhetlig definition. Vissa faktorer är dock särskilt vik tiga att ta hänsyn till när det gäller att bedöma inte gritetskänsligheten vid automatiserad behandling av personuppgifter. Dessa faktorer är arten av personuppgifter som samlas in och registreras och varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är till gängliga för bearbetningar och sammanställningar. Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektro nisk väg och som används vid myndighetsutövning, utgör en påtaglig risk för att enskilda personer skall utsättas för icke acceptabla intrång i den personliga sfären. Statliga myndigheters användande av datorer i sina verksamheter kan alltså i sig utgöra ett hot mot den per sonliga integriteten, något som vi anser måste beaktas vid utformandet av lagstiftningen. En grundläggande utgångspunkt för vårt arbete har därför varit att en för- fattningsreglering, vilken syftar till bl.a. att underlätta myndigheters användande av datorer för att uppnå effektivi tetsvinster i olika sam- hällsfunktioner, inte får utformas så att inte gritetsskyddet för enskilda urholkas eller försämras på ett oaccep tabelt sätt. Vår målsättning har varit att antalet författningar som reglerar per- sonuppgiftsbehandling skall begränsas så långt det är möjligt. Det finns inte något värde i att dela upp sådana bestämmelser om person uppgifts- behandling som rör en och samma verksamhet på flera för fattningar utan att det är sakligt motiverat. Vår målsättning har även varit att be stäm- melser om behandling av personuppgifter skall bli så enkla som möjligt. Om strävan efter att bringa ned antalet lagar och förord ningar drivs för långt, kan emellertid enkelheten riskera att bli eftersatt. En författning som består av ett antal huvudregler och ett betydligt större antal undantag underlättar inte tillgängligheten. Vår ambition har därför varit att begränsa antalet författningar i så stor ut sträckning som möj ligt, som reglerna skall vara lätta att för stå. Den lösning vi har stannat för innebär att det för skatte för valtningen skall finnas en lag som reglerar beskattningsverksamheten och en annan som reglerar folkbokföringsverksamheten. Den verksamhet som skatteför valtningen bedriver tillsammans med bl.a. länsstyrelserna i samband med val och folkomröstningar är såda n att den motiverar en särskild lag. För exe- kutionsväsendet har vi däremot funnit att det finns förutsättningar för en mer enhetlig reglering av olika verksamhetsområden. Vi föreslår där för endast en lag för hela exekutionsväsendets om råde. I fråga om omfattar vårt uppdrag endast ett verksamhetsområde, näm- ligen det fiskala. Även för den verksamheten före slår vi en lag. Vi föreslår att lagstiftningen om behandling av personuppgifter och and- ra uppgifter skall vara tillämplig endast i den materiella verksamheten inom skatteförvaltningen, exekutionsväsendet och . Be hand- ling av uppgifter i administrativ verksamhet skall således inte omfattas av lagstiftningen. Som exempel på administrativa arbetsområden kan nämnas personal- och lokalfrågor. Vid behandling av uppgifter inom sådana områden skall i stället personuppgifts lagen tillämpas. Den föreslagna lagstiftningen om behandling av personuppgifter i skatteförvaltningens beskatt ningsverksamhet samt exekutionsväsendets och verksamheter skall – till skillnad från personuppgifts- lagen – omfatta inte endast behandling av personuppgifter, utan även behandling av uppgifter som kan hänföras endast till juri diska personer eller avlidna personer. För fattningarna skall tillämpas på all automati- serad behandling av uppgifter. Det innebär att såväl vanlig ordbehand- ling som behandling i gemensamma databaser omfattas. På behandling skall författ ningarna vara tillämpliga endast om uppgifterna ingår i eller är avsedda att ingå i en strukturerad sam ling av uppgifter som är tillgängliga för sökning eller samman ställning enligt särskilda kriterier. Varje lag delas in i tre kapitel. I det första kapitlet finns allmänna be- stämmelser för behandling av uppgifter. Det andra kapitlet innehåller särskilda bestämmelser om behandling i gemensamma databaser. Det av- slutande kapitlet i varje lag innehåller bestämmelser om vilka rättig heter 18 Sammanfattning SOU 1999:105 enskilda har med avseende på uppgiftsbehandling i myndighets- verksamheten. En allmän utgångspunkt har varit att lagarna i huvudsak skall inne- hålla de grundläggande principerna för be handling av personuppgifter och andra uppgifter i respektive verksamhet. Detaljregler skall inte anges i lag utan i stället meddelas av regeringen eller, i vissa fall, den myndig- het som regeringen bestämmer. Allmänna bestämmelser om behandling av personuppgifter m.m. Lagarna om behandling av personuppgifter m.m. inleds som nämnts med ett kapitel som innehåller allmänna bestämmelser, av vilka vissa skall tillämpas oavsett i vilken form uppgifter behandlas. För dessa bestämmelsers tilllämplighet saknar det alltså betydelse om uppgifter behandlas manuellt eller om de behandlas på automatiserad väg genom ordbehandling eller i särskilt inrättade gemensamma databaser. Personuppgifter skall alltid behandlas i enlighet med de grundlägg- ande bestämmelser som finns i personuppgiftslagen. Eftersom särskilda krav ställs på be handling av personuppgifter inom olika verksamhetsom- råden, kommer emellertid varje författning att innehålla bestämmelser som avviker från personuppgiftslagen. För att undvika oklar heter om i vilka fall personuppgiftslagens regler skall gälla, görs i var je författning en uttrycklig hänvisning till de bestämmelser i personuppgiftslagen som är tillämp liga. Det gäller bestämmelser om definitioner, för hållandet till offentlighetsprincipen, grundläggande krav på behandling, behandling av personnummer, säkerheten vid behandling, överföring av personupp- gifter till tredje land, personuppgiftsombudets uppgifter, tillsynsmyndig- hetens befogenheter samt straff. De myndigheter som kan komma i fråga som personuppgiftsansva- riga vid behandling i de för oss aktuella verksamheterna är Riksskatte- verket och , de regionala skatte- och kronofogdemyndigheterna samt länsstyrelserna. Det är inte möj ligt att för kom plexa datasystem inom så stora myndighetsorganisationer som skatteförvalt ningen och exekutionsväsendet, i lag närmare bestämma vilken myndighet som bör vara ansvarig för olika specifika behandlingar. Vi anser i stället att per- sonuppgiftsansvaret för dessa myndighetsorganisationer skall utformas så att den myndighet på vilken det ankommer att utföra en viss be- handling skall vara ansvarig för just den be handlingen. Det innebär att den myndighet som registrerar en viss uppgift ansvarar för att upp giften är korrekt, medan en annan myndighet som senare lämnar ut uppgiften ansvarar för att utlämnandet sker i överensstämmelse med de regler som gäller för behandlingen. verket utgör numera en enda myndighet, varför några problem med att fastställa personuppgifts ansvaret inte uppstår i tullverksamheten. Genom att det i lag anges att personuppgifts- ansvaret omfattar vad som ankommer på en myndighet att utföra, markeras att det finns ett ansvar inte endast för att utförd behandling är korrekt, utan även för att behandling faktiskt utförs när den skall ske. Förutom de ovan nämnda bestämmelserna om förhållandet till per- sonuppgiftslagen och om personuppgiftsansvar, vilka gäller för all be- handling, innehåller det inledande kapitlet i respektive lag även en be- stämmelse som skall tillämpas vid såväl behandling som sådan automatiserad behandling som inte sker i gemensamma databaser. Be- stämmelsen är således tillämplig på bl.a. ord behandling. Vad som avses är behandling av känsliga personuppgifter m.m. Med känsliga per son- uppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, po- litiska åsikter, religiös eller filosofisk över tygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Med sådana uppgifter likställs i våra författningsförslag personuppgifter om lag över- trädelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Att i detalj reglera vilka känsliga uppgifter som får behandlas i verksamheten och i vilka fall detta får ske, är inte möjligt. Det går nämligen inte att förutse de olika situationer som kan uppstå i hanteringen av ärenden. Vi anser emellertid att det av integritetsskäl är nödvändigt att i största möjliga mån begränsa användningen av känsliga person uppgifter. Det bör där för enligt vår mening vara tillåtet att behandla sådana uppgifter endast om de har lämnats i ett ärende eller om behandlingen är nödvändig för hand- läggningen av ett ärende. Det innebär att användandet av känsliga uppgifter begränsas till sådana till fällen då en myndighet av handlägg- ningsskäl måste behandla dem.