sou · GNB3109 · 2000-01-01 00:00:00 — När det sedan gäller frågan om det i något avseende i lagen bör precise- ras vilken information som skall lämnas, menar utredningen att de ovan återgivna argument som regeringen framförde i propositionen om hälso- data- och vårdregister (prop. 1997/98:108 s. 80 f.) i och för sig mycket väl kan appliceras även på en lagstiftning som den aktuella. Å andra sidan framgår det, som inledningsvis redovisats, ganska klart av de rela- tivt utförliga bestämmelserna i 25 och 26 §§ personuppgiftslagen vad informationen skall innehålla. Det kan därför vara onödigt att i lag när- mare reglera detta. Vid en samlad bedömning anser utredningen att övervägande skäl ta- lar för att det i lagen inte närmare bör preciseras vad informationen till den registrerade skall omfatta. Personuppgiftslagens bestämmelser om detta får anses vara tillräckliga. Inget hindrar naturligtvis att man inom lämnar mer utförlig information om behandlingen av per- sonuppgifter än som krävs med hänsyn till personuppgiftslagen. – i den mån det saknas särskilda regler antingen i förordningsform eller i form av generella föreskrifter från Datainspektionen – bli en fråga för respektive personuppgiftsansvarig. 6.11Säkerheten vid behandling och tillsyns- myndighetens befogenheter Utredningens bedömning : Personuppgiftslagens (1998:204) be- stämmelser om säkerheten vid behandlingen och tillsynsmyndighetens befogenheter skall gälla också när personuppgifter behandlas inom . Några särskilda bestämmelser därutöver behövs inte. Datainspektionen skall vara tillsynsmyndighet även enligt denna lag. Enligt 31 § personuppgiftslagen (1998:204) skall den personupp- giftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstad- komma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna, och hur pass känsliga de behandlade uppgifterna är. Uppräkningen av de faktorer som skall beaktas är sålunda relativt kortfattad och mycket allmänt hållen. I förarbetena till personuppgiftsla- 196 En ny lag om behandling av personuppgifter... SOU 1999:109 gen uttalade regeringen (prop. 1997/98:44 s. 92) att uppräkningen likväl på ett bra sätt beskriver de överväganden som måste göras i fråga om säkerhetsåtgärder. Regeringen framhöll dock att den som regel inte ger tillräcklig vägledning för den person uppgiftsansvarige för att a vgöra vilka säkerhetsåtgärder som bör vidtas i det enskilda fallet. Avsikten är, uttalade regeringen, att regeringen eller myndighet som regeringen be- stämmer skall meddela närmare föreskrifter om säkerhetsåtgärder som behövs. Enligt 5 0 § b personuppgiftslagen får regeringen eller m yndighet som regeringen bestämmer meddela närmare föreskrifter om vilka krav som ställs på den personuppgiftsansvarige vid behandlingen av person- uppgifter. Regeringen har i personuppgiftsförordningen (13 §) bem yndi- gat Datainspektionen att meddela sådana föreskrifter. Några föreskrifter har emellertid ännu inte utfärdats. Regeringen nämnde i förarbetena till personuppgiftslagen även att t illsynsmyndigheten i rimlig utsträckning bör lämna råd i säkerhetsfrågor (a. prop. Däremot har Datain- spektionen innan personuppgiftslagen trädde i kraft i allmänna råd om ADB-säkerhet angett sin uppfattning om innebörden av datalagens krav på ADB-säkerhet. Dessa råd, som inte är bindande, är f.n. föremål för översyn men är alltjämt gällande. Datainspektionen har utarbetat ett för- slag till Allmänna råd om IT-säkerhet vid behandling av personuppgifter vid tillämpning av person uppgiftslagen. Datainspektionen har berett vis- sa myndigheter, organisationer och företag tillfälle att lämna synpunkter på förslaget, innan inspektionen fattar beslut om råden. Eventuella syn- punkter på förslaget skall lämnas . Personuppgiftslagen innehåller vidare vissa bestämmelser om t ill- synsmyndighetens befogenheter. Innan utredningen redogör för innehållet i dessa bestämmelser, bör något sägas om tillsynsmyndigheten som så- dan. Enligt personuppgiftslagen (3 §) är t illsynsmyndigheten den myn- dighet som regeringen utser för att utöva tillsyn. Regeringen har i perso- nuppgiftsförordningen (1998:1191, 2 §) utsett Datainspektionen att vara tillsynsmyndighet enligt personuppgiftslagen. Det finns visserligen inget som hindrar att regeringen utser olika tillsynsmyndigheter för skilda om- råden, t.ex. skulle man kunna tänka sig att utse en annan tillsynsmyndig- het för den behandling av personuppgifter som sker inom , eller för vissa delar av den behandlingen. Det saknas dock, menar utred- ningen, anledning att överväga en sådan ordning i denna lag. Datain- spektionen skall följaktligen vara tillsynsmyndighet även enligt lagen om behandling av personuppgifter inom . I 32 § sägs att tillsynsmyndigheten i enskilda fall får besluta om vilka säkerhetsåtgärder som den personuppgiftsansvarige skall vidta. T ill- synsmyndigheten har enligt personuppgiftslagen (43 §) också rätt att för sin tillsyn på begäran få tillgång till de person uppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter SOU 1999:109 En ny lag om behandling av personuppgifter... 197 och säkerheten vid denna, och tillträde till sådana lokaler som har an- knytning till behandlingen av personuppgifter. har vidare vissa möjligheter att förelägga vite och att förbjuda den person- uppgiftsansvarige att fortsätta att behandla personuppgifter på annat sätt än genom att lagra dem (44 och 45 §§). har också möjlighet att hos domstol ansöka om att personuppgifter som har be- handlats på ett olagligt sätt skall utplånas (47 §). Enligt utredningens uppfattning bör personuppgiftslagens bestämmel- ser om säkerheten vid behandling av personuppgifter och t illsynsmyn- dighetens befogenheter gälla även när personuppgifter behandlas inom . Några särskilda regler därutöver behövs inte i denna lag. Det bör dock i sammanhanget framhållas att de uppgifter som finns och kommer att finnas inom mycket ofta kommer att vara av integritetskänslig natur. Utredningen vill därför understryka betydel- sen av att det bedrivs ett aktivt arbete i syfte att vidmakthålla en hög säkerhetsnivå. Det kan också, vilket berörts i det föregående, förväntas att Datainspektionen med stöd av 13 § personuppgiftsförordningen kommer att meddela närmare föreskrifter om de säkerhetsåtgärder som behövs. Som regeringen uttalade i prop. 1997/98:108 om hälsodata- och vårdregister (s. 86) rör säkerhetsfrågor ofta sådana områden som behö- righetskontrollsystem, förvaring av datamedia, säkerhetskopiering, m.m., dvs. frågor med klar inriktning på teknik. Sådana frågor lämpar sig, me- nade regeringen, mindre väl för en reglering på lag- eller förordningsnivå och bör i stället – liksom – hanteras på myndighetsnivå. Avslutningsvis kan något sägas om vad dessa säkerhetsåtgärder kan innebära i praktiken. Det kan röra sig om åtgärder som avser t.ex. åt- komstskydd, säkerhetskopiering, behörighetskontroll, loggning, data- kommunikation, utplåning samt reparation och service. I det följande berörs närmare en del av dessa åtgärder. Det som därvid sägs är i hu- vudsak hämtat från Datainspektionens mall till föreskrifter som inspek- tionen vanligen brukade ge i beslut om tillstånd enligt datalagen. Med åtkomstskydd avses att man skyddar personuppgifterna mot obehörig användning, obehörig påverkan, stöld och utplåning. Ett grundläggande skydd kan vara att förse lokaler där datorutrustning och lagringsmedier förvaras med tillträdesskydd. Ett alternativ kan vara att låsa in datorutrustning och lagringsmedier så att obehöriga inte kan komma åt dem. Om det inte är möjligt att ordna ett fysiskt skydd – t.ex. då en bärbar dator används – kan uppgifterna be höva krypteras. En dator med personuppgifter bör alltid ha ett s kydd mot obehörig inloggning. Används datorn av mer än en person måste man dessutom med ett tekniskt system för behörighetskontroll styra åtkomsten till per- sonuppgifterna. Ett behörighets kontrollsystem skall avgränsa åtkomst- 198 En ny lag om behandling av personuppgifter... SOU 1999:109 möjligheten så att varje användare endast kommer åt de personuppgifter som är relevanta för de egna arbetsuppgifterna. Loggning innebär att det i efterhand ges möjlighet att följa upp hur personuppgifter har bearbetats. Loggen är ett nödvändigt hjälpmedel för att utreda felaktig eller obehörig användning av person uppgifter. Det är därför viktigt att loggen är så detaljerad att det framgår vilka eller vilka personers uppgifter som har åtkommits, vem som har haft åtkomst och när det har skett. En logg anses också ha en förebyggande effekt. I Datainspektionens allmänna råd om ADB-säkerhet finns en utförlig redogörelse för inspektionens syn på sådan säkerhet. För ytterligare in- formation om datasäkerhet kan hänvisas till dessa allmänna råd. 6.12Anmälan till tillsynsmyndigheten, m.m. Utredningens bedömning : Bestämmelsen i 3 § 3 person uppgiftsför- ordningen (1998:1191) innebär att den anmälningsskyldighet som följer av 36 § första stycket personuppgiftslagen (1998:204) inte gäl- ler för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Denna undantagsbestämmelse från anmälningsskyldigheten bör gälla även när personuppgifter behandlas med stöd av denna lag. När personuppgifter behandlas automatiserat inom behöver anmälan således inte göras till Datain- spektionen. Personuppgiftslagens bestämmelse (42 §) om att den personupp- giftsansvarige till var och en som begär det skall lämna upplysningar om sådana automatiserade eller andra behandlingar av personuppgif- ter som inte har anmälts till tillsynsmyndigheten, gäller däremot även vid behandling av personuppgifter inom . Enligt 36 § första stycket personuppgiftslagen (1998:204) omfattas be- handling av personuppgifter som är helt eller delvis automatiserad av anmälningsskyldighet. Den personuppgiftsansvarige skall göra en skrift- lig anmälan till tillsynsmyndigheten innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål genom- förs. Denna anmälningsskyldighet är emellertid inte utan undantag. Av personuppgiftslagen följer att anmälan inte be höver göras om den perso- nuppgiftsansvarige har anmält att ett personuppgiftsombud har utsetts och vem det är (37 §). Vidare får regeringen eller den myndighet som regeringen bestämmer enligt 36 § tredje stycket personuppgiftslagen SOU 1999:109 En ny lag om behandling av personuppgifter... 199 meddela föreskrifter om undantag från anmälningsskyldigheten för såda- na typer av behandlingar som sannolikt inte kommer att leda till otillbör- ligt intrång i den personliga integriteten. Sådana föreskrifter finns i 3– 5 §§ personuppgiftsförordningen (1998:1191) och i 4 och 5 §§ i Datain- spektionens föreskrifter (1998:2) i fråga om skyldigheten att an- mäla behandlingar av personuppgifter till Datainspektionen. I 3 § 3 personuppgiftsförordningen föreskrivs, såvitt här är av intresse, att anmälningsskyldigheten enligt 36 § första stycket person- uppgiftslagen inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Denna bestämmelse innebär att behandling av personuppgifter inom som sker med stöd av denna lag inte kommer att omfattas av den nämnda anmälningsskyldigheten. Frågan är om detta är en lämplig ordning eller om man i denna lag bör föreskriva att anmälan skall göras när personuppgifter behandlas inom . T.ex. har regeringen i förordningen (1998:1229) om behandling av personuppgifter om totalförsvarspliktiga i 5 § – med un- dantag från 3 § 3 personuppgiftsförordningen – föreskrivit att anmäl- ningsskyldighet gäller enligt 36 § första stycket personuppgiftslagen för behandling av personuppgifter enligt lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga. Datainspektionen har i de ovan nämnda föreskrifterna närmare angett vad en anmälan enligt 36 § första stycket personuppgiftslagen skall innehålla (6 §). En sådan anmälan skall innehålla a) den personuppgifts- ansvariges namn, adress, telefonnummer och organisationsnummer, b) ändamålet eller ändamålen med behandlingen, c) en beskrivning av den eller de kategorier av registrerade som berörs av behandlingen, d) en beskrivning av de uppgifter eller kategorier av uppgifter som skall behandlas om de registrerade, e) uppgift om mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, f) upplysning om överföringar av uppgifter till tredje land, och g) en allmän beskrivning av de åtgärder som har vidtagits för att trygga säkerheten i behandlingen. En anmälan till Datainspektionen skulle tjäna det syftet att vissa upp- gifter om verksamheten, som inte framgår av lagen om behandling av personuppgifter inom , gjordes t illgängliga för såväl Data- inspektionen som allmänheten, t.ex. en allmän beskrivning av de säker- hetsåtgärder som har vidtagits. Emellertid tillgodoses allmänhetens intresse av information även om behandling av personuppgifter inom är undantaget från kravet på anmälningsskyldighet. Enligt 42 § personuppgiftslagen gäller nämligen att den personuppgiftsansva- rige till var och en som begär det skall lämna upplysningar om sådana automatiserade eller andra behandlingar av personuppgifter som inte har 200 En ny lag om behandling av personuppgifter... anmälts till tillsynsmyndigheten. Upplysningarna skall – med vissa undantag – omfatta det som en anmälan enligt 36 § första stycket personuppgiftslagen skulle ha omfattat. Vidare kan nämnas bestämmel- sen i 15 kap. 11 § första stycket sekretesslagen (1980:100), där det föreskrivs att varje myndighet skall för allmänheten hålla tillgänglig beskrivning av de register, förteckningar eller andra anteckningar hos myndigheten som förs med hjälp av automatisk databehandling (ADB- register). En förutsättning är att registret till någon del utgör allmän handling och att beskrivningen inte är obehövlig från offentlighetssyn- punkt. I bestämmelsens andra stycke anges vad en sådan beskrivning skall innehålla, bl.a. skall beskrivningen ge upplysning om registrets ändamål och vilka typer av uppgifter som m yndigheten har tillgång till och på vilket sätt dessa uppgifter normalt inhämtas. Fördelarna med att föreskriva anmälningsskyldighet för behandling av personuppgifter inom är sålunda, som framgått, inte stora. Vid en samlad bedömning anser utredningen att det inte framkommit tillräckliga skäl för att föreskriva att anmälningsskyldighet skall gälla. Undantaget i 3 § 3 personuppgiftsförordningen skall följaktligen t illäm- pas när personuppgifter behandlas inom . Någon särskild föreskrift om detta behövs inte, eftersom person uppgiftslagen gäller om inget annat sägs (se avsnitt 6.2). Utredningens förslag : Något behov av bestämmelser i fråga om be- varande och gallring som avviker från regleringen härav i andra för- fattningar finns inte. Detta innebär att bevarande och gallring skall ske med beaktande av reglerna i personuppgiftslagen (1998:204) och socialtjänstlagen (1980:620). En bestämmelse härom bör tas in i la- gen. I utredningens direktiv framhålls att modern informationsteknik ger stora möjligheter men att den också kan innebära särskilda risker från integri- tetssynpunkt. Enligt direktiven ligger i utredningens uppdrag att söka de lösningar för integritetsskyddet som minst försvårar ett rationellt utnytt- jande av modern teknik. Om det i delfrågor inte går att undvika att ef- fektivitet och integritetsskydd kommer i ett motsatsförhållande till var- andra, skall utredningen, fortfarande enligt direktiven, söka finna den lämpliga avvägningen mellan dessa båda intressen. Därvid nämns att konsekvenserna av olika lösningar för skilda samhällsintressen såsom En ny lag om behandling av personuppgifter... 201 insyns- och forskningsbehov måste beaktas. Vidare sägs i direktiven att gallringsfrågorna behöver analyseras utifrån bl.a. forskningens behov. I arkivlagen (1990:782) ges grundläggande regler om arkiv hos såväl statliga som kommunala myndigheter samt bestämmelser om vad som ingår i en myndighets arkiv, vården av arkivet och gallring av arkiv. De bestämmelser som gäller för statliga arkiv gäller också för arkiv hos kyrkokommunala myndigheter, vissa organ som jämställs med myndig- heter och allmänna försäkringskassor. De bestämmelser som gäller för kommunala myndigheters arkiv gäller även för arkiv hos sådana juridis- ka personer som avses i 1 kap. 9 § sekretesslagen (1980:100), dvs. ak- tiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kom- muner, landsting eller kommunalförbund utövar ett rättsligt bestämman- de inflytande. Vidare gäller arkivlagens regler om arkivbildning, arkiv- vård och gallring sådana enskilda organ hos vilka allmänna handlingar förvaras med stöd av lagen (1994:1383) om överlämnande av allmänna handlingar till andra organ än myndigheter för förvaring. Enskilda rätts- subjekts arkiv regleras således inte av arkivlagen annat än om offentlig- hetsprincipen gjorts tillämplig på handlingar hos sådana subjekt (jfr 1 kap. 8 och 9 §§ sekretesslagen). I 3 § arkivlagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet och att de skall bevaras, hållas ordnade och vårdas så att rätten att ta del av allmänna handlingar tillgodoses. Dessutom skall behovet av information för rättskipningen och förvaltningen samt forskningens behov tillgodoses. Ett myndighetsarkiv bildas enbart av de allmänna handlingarna från myndighetens verksamhet samt av sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (vissa minnesanteckningar och utkast eller koncept) och som myndigheten beslutar skall tas om hand för arkivering. Upptagningar för automatisk databehandling som är tillgängliga för flera myndigheter, så att de där utgör allmänna handlingar, skall dock bilda arkiv endast hos en av dessa myndigheter. Huvudprincipen enligt arkivlagen är att allmänna handlingar skall bevaras. Enligt 10 § får gallring dock ske. Därvid skall beaktas att arki- ven utgör en del av kulturarvet och att det arkivmaterial som återstår skall kunna tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Arkivlagen medger också att avvikande bestämmelser meddelas i lag eller förordning. Dessa avvikande bestämmelser tar då över arkivla- gens regler om gallring (10 § tredje stycket). I författningar som reglerar integritetskänsliga register finns ofta regler som innebär att materialet skall gallras . Bestämmelserna varierar något, men som den gemensamma principen framträder att materialet skall förstöras , om det inte finns direkta föreskrifter om bevarande. 202 En ny lag om behandling av personuppgifter... särbestämmelser som har berörts finns bl.a. i socialtjänstlagen (60 och 62 §§). Utredningen återkommer i det följande till dessa bestämmel- ser. I praktiken är det fråga om bestämmelser som innebär att handlingar skall förstöras utan de hänsyn som föreskrivs i arkivlagen. I förarbetena till arkivlagen (prop. 1989/90:72 s. 50 ff.) anfördes som skäl att denna om- vända princip är rimlig med hänsyn till de integritetsaspekter som kan före- ligga på de särskilda registerlagarnas område. (s. 52) framhölls vida- re att undantag från denna gallringsskyldighet, som kan förestavas av hänsyn till insynsaspekten, myndighetens informationsbehov och rättssäkerhets- aspekter, som regel bör tas in direkt i den särskilda registerlagen. Sådana frågor kan nämligen normalt regleras genom generella bestämmelser. Där- emot borde, menade departementschefen, konkreta avgöranden av vilka handlingar som bör bevaras med hänsyn till forskningens behov i princip överlåtas på fackkunnigt folk inom arkivmyndigheterna. I de fall då registerlagarna avser handlingar som omhänderhas av statliga myndigheter bör frågan lösas på följande sätt. I resp. lag slås fast att, ut- över de undantag från gallringsplikten som konkret anges direkt i lagen, ytterligare undantag får föreskrivas av regeringen eller den myndighet som regeringen bestämmer. Dessa bemyndiganden får förutsättas bli an- vända enbart för att bevara material med hänsyn till forskningens behov och då främst ett representativt urval av material. En något annorlunda lösning får användas i det fall att de särskilda gallringsbestämmelserna avser handlingar som omhänderhas av kommu- nala myndigheter. Med hänsyn till bestämmelserna i 8 kap. 5 § rege- ringsformen och att föreskrifter om kommunernas åligganden skall ges lagform framstår ett icke närmare avgränsat bemyndigande för regeringen att meddela föreskrifter om undantag som konstitutionellt tveksamt. I stället bör som ett av undantagen från basregeln om gallring anges att handlingar skall undantas med hänsyn till forskningens be- hov i ett representativt urval av landets kommuner och i övriga kommuner beträffande ett representativt urval av personer. Till en sådan lagregel kan sedan regeringen eller den myndighet som regeringen bestämmer genom verkställighetsföreskrifter precisera vad som utgör ett representativt urval. Det bör i sammanhanget nämnas att gallring inte behöver innebära att möjligheterna till insyn helt försvinner. Informationen kan finnas kvar t.ex. på papper. Gallring innebär visserligen att uppgifterna skall förstö- ras men detta behöver inte innebära att uppgifterna utplånas fysiskt så att de inte kan återfinnas. Enligt föreskrifter och allmänna råd om arkiv hos statliga myndigheter (RA-FS 1991:1, 2 kap. 1 §) räk- En ny lag om behandling av personuppgifter... 203 nas som förstöring av handlingar/uppgifter även överförande till annan databärare om överföringen innebär informationsförlust, förlust av möj- liga informationssammanställningar, förlust av sökmöjligheter eller för- lust av möjligheten att fastställa informationens autenticitet. För de enskilda arkivbildarna, dvs. för företag, organisationer etc. finns inte några allmänna författningsbestämmelser om arkivvård. Per- sonuppgiftslagen gäller dock för dessa enskilda arkivbildare. Vidare finns i 70 a § socialtjänstlagen (1980:620) en bestämmelse om bevaran- de av dokumentation i enskild verksamhet som står under tillsyn. Utredningen återkommer i det följande till denna bestämmelse. Enligt 9 § första stycket i) personuppgiftslagen (1998:204) skall den personuppgiftsansvarige se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med be- handlingen. Därefter måste personuppgifterna avidentifieras eller utplå- nas. I 9 § tredje stycket samma lag sägs dock att personuppgifter får be- varas för historiska, statistiska eller vetenskapliga ändamål än som sagts i 9 § första stycket i). Dock att personuppgifterna i så- dana fall inte får bevaras än vad som behövs för des- sa ändamål. Med behandling för historiska ändamål avses i första hand bevarandet i arkiv av personuppgifter. De nämnda bestämmelserna i personuppgiftslagen har betydelse främst för enskilda arkiv. Myndigheternas arkivering och bevarande av allmänna handlingar har nämligen undantagits från lagens tillämpnings- område genom en bestämmelse i 8 § andra stycket. Där sägs att bestäm- melserna i personuppgiftslagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Som tidigare nämndes finns i socialtjänstlagen vissa bestämmelser som tar över arkivlagens regler om bevarade och gallring. I 60 § social- tjänstlagen föreskrivs att anteckningar och andra uppgifter i en personakt som tillhör socialnämndens personregister i princip skall gallras efter det att sista anteckningen gjordes i akten. I paragrafens andra stycke föreskrivs att uppgifter i personregister som utgör sammanställ- ningar av uppgifter skall gallras efter det att de förhållanden som uppgiften avser har upphört.