sou · GNB3105d1 · 2000-01-01 00:00:00 — För ord behandlingen saknas särskilda handlingsregler medan skatteregisterlagens bestämmelser gäller för termi nalbehandlingen. Hur skall det i en lag om behandling av personuppgifter uttryckas att man i motsvarande situationer avser att vissa bestämmelser endast skall gälla för den senare behandlingen och inte den tidigare, som de reglerade uppgiftssamlingarna inte i egentlig bemärkelse är register? Ett alternativ till registerbegreppet som har föreslagits i olika sam- manhang är termen databas. Detta gjordes senast av Skattekriminal- registerutredningen i betänkandet Integritet – Effektivitet – Skattebrott (SOU 1998:9). Förslaget genomfördes emellertid inte, utan i det fortsatta lagstiftningsarbetet – och slutligen även i lagen (1999:90) om behandling av personuppgifter vid skattemyndigheters medverkan i brottsutred- ningar – användes i stället registerbegreppet. Regeringen motiverade detta med att begreppet register används i polisdatalagen och att det är angeläget att det i lagstiftningen finns enhetliga begrepp inom samma område. Det ansågs därför inte då finnas tillräckliga skäl att införa ett nytt begrepp (prop. 1998/99:34 s. 33). Vi anser att det finns behov av ett särskilt begrepp för att beskriva vissa uppgiftssamlingar som är föremål för automatiserad behandling. Eftersom registerbegreppet – enligt vår mening med rätta – har kriti- serats i flera sammanhang, finns det anledning att över- väga om inte begreppet databas är ett bättre alternativ. 210 Övergripande frågor och principer 4.4.3Definitioner av begreppen register och databas Vissa begrepp kan ha varierande betydelse beroende på om man intar rollen av en ur allmänheten eller av fackmannen. Detta gäller inte minst på IT-området där olika begrepp tillkommer. För att få en bild av innebörden av de för oss rele vanta begreppen register och databas, följer här en kort samman ställning hämtad från olika ordböcker, allmänna såväl som fackanknutna. Exempel på definitioner av register: ·Alfabetiskt eller systematiskt ordnad förteckning över personer, fakta e.d.; ofta av mera officiellt slag. ·Förteckning, lista. [ svenska ordbok] ·Lista, innehållsförteckning i (bokstavs)ordning. [ ord- lista] ·Samlad information, vare sig det sköts manuellt eller på dator, exempelvis kundregister och folkbokföringsregister. Register kan även betyda något helt annat, nämligen de små utrymmen som en processor använder internt. [Nya dataordboken, , 1997 ] ·En lagringsenhet som har en begränsad kapacitet, t.ex. en bit eller en byte, och som direkt kan hanteras av processorn. [Lexikon, och utbildning AB, 1997] ·Minne som har en bestämd kapacitet, t.ex. en bit, en bitgrupp eller ett dataord, och som vanligen är avsett för en speciell uppgift. [, i , 1984] Exempel på definitioner av databas: ·Större samling uppgifter som finns lagrade på systematiskt sätt i datamaskin så att enskilda uppgifter snabbt kan återfinnas, t.ex. genom sökning per kategori ( bet.nyans: om själva lagringsmetoden, programmen etc., utan hänsyn till innehållet: databassystem). ·Dataregister, samling av uppgifter lagrade i dator. [svenska ord- bok] ·(Databas) med dataregister. ·Ett intelligent dataregistersystem med eget frågespråk, rapportgenerator eller andra verktyg. Databaser brukar indelas i relationsdatabaser samt de nu nästan försvunna hierarkiska databaserna och nätverksdatabaser. [ Nya dataordboken] ·En systematisk samling av datafiler som kan läsas, samköras, bearbetas och åter lagras. Övergripande frågor o ch principer 211 ·Mängd av data som består av åtminstone en fil och som är tillräcklig för ett visst ändamål eller för ett visst databehandlingssystem. En databas kan utgöra del av en annan mängd data. Av sammanställningen kan den slutsatsen dras att det inte finns någon enhetlig och allmängiltig definition av något av begreppen. Register kan dock närmast definieras som en systematisk sammanställning som kan vara antingen eller teknikberoende, som begreppet kan ha andra specifikt fackliga betydelser. Om databas kan sägas att ordet som sådant, både allmänt och fackligt, anknyter direkt till använ dandet av datorer. Det synes alltså inte finnas någon direkt användning av begreppet databas i samband med sammanställningar av uppgifter. 4.4.4Databasbegreppet underlättar en teknikoberoende lagstiftning Det finns ingen klar allmän definition av begreppen register och databas. Vad som dock kan konstateras är att databas rent språkligt har mer naturlig anknytning till automatiserade sammanställningar av uppgifter. Redan detta är ett argument för att den termen är att föredra framför det traditionella registerbegreppet. Det bör emellertid påpekas att begreppet register kan ha sin naturliga plats i lagstiftningen, t.ex. i lagen (1998:621) om misstankeregister, lagen (1968:620) om belastningsre- gister samt lagen (1998:543) om hälsodataregister. Dessa lagar reglerar nämligen register i en mer traditionell mening. I våra lagförslag där emot avses med begreppet databas något annat än egentliga register. En databas består av en uppgiftssamling av varierande slag, ofta rörande såväl juridiska som fysiska personer. Den innehåller regelmässigt ett an- tal egentliga register, men också uppgifter som inte alls kan inordnas i ett traditionellt register, såsom elektroniska handlingar i ett ärendehante- ringssystem. En av våra målsättningar har varit att skapa ett regelverk som är mer teknikoberoende än de registerförfattningar som finns . Detta kan göras genom att begreppet databas ges inne börden av en samling upp- gifter som med hjälp av automatiserad behandling används gemensamt inom en verksamhet. Av redovisningen nedan kommer att framgå att detta skulle innebära att ett nytt sätt att se på auto matiserad hantering av uppgifter införs i lagstiftningen. Med utgångspunkt i vår grund läggande syn på vikten av teknikoberoende lagstiftning är registerbegreppet enligt vår uppfattning inte lämpligt, dels på grund av den mer allmängiltiga betydelsen av begreppet (se föregående avsnitt), dels på grund av att en 212 Övergripande frågor och principer ny begreppsbildning kan underlätta förståelsen för en förändrad rättslig ordning. En definition av begreppet databas som den angivna skulle utesluta register och göra det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en dator från behandlingar i databaser som är särskilt reglerade till sitt innehåll och användning (se om detta i avsnitt 6.1). Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organi- serad. Det innebär att om flera register – i egentlig bemärkelse – är sammanlänkande och samtliga uppgifter i de olika registren på ett ge- mensamt sätt är till gängliga för sök ning med automatiserad behandling inom en avgränsad verksamhet, så utgör dessa register en databas. Med andra ord skulle automatiserade register kunna sägas vara en special- form av databaser, nämligen databaser vars innehåll är systematiserade på ett visst sätt enligt sär skilda kriterier. En databas kan således inne- hålla flera mindre databaser, varav en del kan vara regelrätta register. Översatt till skatteförvalt ningens verksamhet skulle detta kunna innebära att en beskattningsdatabas består av ett eller flera skatteregister, taxeringsuppgiftsregister och fastighetstaxeringsregister m.m. Regle- ringen av en beskattningsdatabas skulle alltså inte innehålla bestäm mel- ser om indelningen av uppgifterna i databasen. Om samtliga uppgifter finns samlade i en enda server på och är tillgängliga för olika myndigheter enligt vissa kriterier (behörighetskoder o.d.) eller om uppgifterna delas upp så att de rent tekniskt förvaras i olika servrar – och i form av flera register – hos de regionala skattemyndigheterna, saknar alltså betydelse. Det väsentliga är att uppgifterna inom skatteför- valtningen är gemensamt tillgängliga för beskattnings verksamheten. De ovan redovisade tankegångarna har som utgångspunkt att en lag om behandling av personuppgifter inte skall reglera hur uppgifterna tek- niskt organiseras, utan endast utgöra en ram för vilka uppgifter som får behandlas och på vilket sätt de får användas för att bl.a. säkerställa ett gott integritetsskydd. Detta innebär att regleringen av en beskatt- ningsdatabas kan innehålla bestämmelser om behandling av samtliga de uppgifter som finns i olika register inom ett visst verksamhets- område, utan att för den sakens skull reglera hur upp gifterna skall orga- niseras eller delas in i grupper. Om det, för att återigen anknyta till skatteförvaltningens verksamhet, i en lag anges att en beskattnings- databas får innehålla samtliga uppgifter som finns i olika register (skatteregister, fastighetstaxeringsregister, punktskatteregister, projekt- register osv. ), så tar man därigenom inte ställning till den tek niska utformningen. Det kan alltså i princip bli fråga om ett fåtal stora cen- trala eller regionala register eller flera små lokalt anordnade register. Övergripande frågor o ch principer 213 väsentliga är att de krav lagen ställer på behandlingen för att säker ställa enskildas integritet kan efterlevas. 4.4.5Det kan fortfarande finnas utrymme för registerbegreppet Som framgår ovan anser vi att databas, inom det område som omfattas av vårt uppdrag, är ett lämpligt begrepp för en rättsligt av gränsad sam- ling uppgifter som behandlas gemensamt på automatiserad väg inom en viss verksamhet. Vår tanke är att en lag om behandling av personupp- gifter skall reglera just behandlingen och inget annat, och då i huvudsak de övergripande principer som bör gälla. Om uppgifter i automatiserade samlingar är uppdelade i flera lokala register – som ofta är fallet enligt registerförfattningarna – eller om de finns i ett fåtal större register, är inte direkt en fråga om behandling av uppgifterna och sådana bestäm- melser bör alltså inte finnas i den övergripande lagstift ningen. Det kan dock finnas skäl – såväl sakliga som pedagogiska – för att närmare definiera och avgränsa de olika uppgifterna i en databas. Re- geringen bör därför ges möjlighet att föreskriva om hur en databas skall vara indelad. Som exempel kan nämnas folkbokföringsverksamheten. I en förordning skulle regeringen kunna före skriva att samtliga uppgifter som får finnas i en folkbokföringsdatabas skall fördelas på och finnas i lokala register, motsvarande vad som gäller . Regeringen skulle vidare kunna föreskriva att vissa av uppgifterna i databasen skall finnas i ett centralt register och att de uppgifter som får lämnas ut för t.ex. avi- seringsändamål skall finnas i ett centralt aviseringsregister. Organisa- toriskt (och tekniskt) får man då samma system med register som , med den skillnaden att alla grundläggande frågor om behandlingen, dvs. ändamål, personuppgiftsansvar, direktåtkomst och gall ring m.m. regleras för sig. Härigenom kan den organisatoriska eller tekniska in delningen förändras utan att den grundläggande lagstiftningen för den sakens skull behöver ändras. Det kan även finnas anledning att för vissa uppgifter i en databas ha särregler för t.ex. gallring och utläm nande. Det kan därför finnas skäl att rättsligt – och möjligen tekniskt – avgränsa vissa register på ett sådant sätt att de är klart urskiljbar inom databasen. En sådan indelning av en databas i olika register kan underlätta vid utformandet av gallringsbestämmelser och utlämnandebestämmelser m.m. Lagen blir alltså här igenom teknik- och organisationsoberoende, som en uppdelning i olika register kan behållas i de fall det anses motiverat. Som vi nämner i avsnitt 4.4.2 är dock register enligt vår upp fattning över huvud taget inte ett lämpligt be grepp för omfattande auto matiserade uppgiftssamlingar som innehåller elektroniska handlingar i ett ärende- 214 Övergripande frågor och principer Begreppet register bör i stället förbehållas så dana automatiserade uppgiftssamlingar som faktiskt utgör register i en mer strikt betydelse, nämligen när uppgifterna är organiserade på ett systematiskt sätt enligt fastställda kriterier. SOU 1999:105 Allmänna bestämmelser om behandling av personu ppgifter 215 5Allmänna bestämmelser om behandling av personuppgifter Som vi redovisar i inledningen till 4 kap. har samtliga våra förslag till för fattningar som skall reglera behandlingen av personuppgifter och andra uppgifter inom skatteförvaltningen, exekutionsväsendet och Tull- verket en likartad struktur. I ett inledande kapitel i författningarna har vi valt att samla allmänt tillämpliga bestämmelser. Därefter följer ett kapitel som innehåller de bestämmelser som reglerar behandling för ge- mensamma syften inom ett verksamhetsområde, dvs. behandling av uppgifter i databaser. Varje författningsförslag avslutas med ett kapitel som innehåller bestämmelser om enskildas rättigheter gentemot per son- uppgiftsansvariga myndigheter. Redovisningen av våra övervä ganden avseende författningsförslagen följer en likartad ordning. Således behandlar vi i detta kapitel de allmänt tillämpliga bestämmelserna. 5.1Olika former av uppgiftsbehandling De av oss föreslagna författningarna, som skall reglera behandling av personuppgifter och andra uppgifter inom skatteförvaltningen, exeku- tionsväsendet och , omfattar all helt eller delvis automatiserad behandling samt sådan behandling där personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda krite rier (se avsnitt 4.3.3). I det avseendet skiljer sig tillämpningsområdet för våra författnings förslag inte från tillämpningsområdet för person- uppgiftslagen (1998:204). Författningsförslagen har däremot ingen motsvarighet i gällande rätt såvitt avser regleringen av automatiserad behandling av uppgifter i data- baser. I stället för att reglera viss automatiserad behandling av per- sonuppgifter och andra uppgifter inom en verksamhet i ett flertal olika register, vilket ofta är fallet , har vi valt att samordna bestäm- melserna genom att reglera huvuddelen av den automatiserade behand- lingen i en eller ett fåtal gemensamma databaser (se avsnitt 4.4). Det innebär att våra författningsförslag kan sägas omfatta tre olika former 216 Allmänna bestämmelser om behandling av personuppgifter av uppgiftsbehandling, nämligen behandling, automatiserad behandling i databaser samt annan automatiserad behandling. I fråga om avgränsningen mellan och automatiserad be- handling har vi ingen annan avsikt än att samma principer skall gälla för våra författningsförslag som för personuppgiftslagen. Våra över- väganden avseende gränsdragningen mellan automatiserad behandling i databaser och annan automatiserad behandling redovisar vi i avsnitt 6.1, i samband med en ingående redogörelse för vad som av ses med databaser och vilken behandling som omfattas av den särskilda regle- ringen av databaserna. Vi anser att samtliga bestämmelser om behandling av personuppgifter och andra uppgifter inom en viss verksamhet bör inordnas i en enda lag, oberoende av om behandlingen är eller automatiserad och oavsett om den görs inom den rättsliga ramen för en databas eller inte. De bestämmelser som enligt våra förslag kommer att om fatta all behandling inom en viss verksamhet är de som reglerar lagens för- hållande till personuppgiftslagen (1998:204) samt personuppgiftsansva- ret. Därutöver föreslår vi be stämmelser om känsliga personuppgifter m.m. och gallring, som skall gälla all behandling utom sådan som sker inom den rättsliga regleringen för data baser. För behandling av käns liga personuppgifter och gallring av uppgifter i databaser, föreslår vi särskilda bestäm melser (se avsnitt 6.3.3 och 6.8). 5.2.1Allmänna bestämmelser i personuppgiftslagen Vårt föreslag: Vissa bestämmelser i personuppgiftslagen skall vara direkt tillämpliga på all behandling enligt specialförfattningarna. Det gäller bestämmelser om: ·förhållandet till offentlighetsprincipen m.m. ·grundläggande krav på behandling ·överföring av personuppgifter till tredje land SOU 1999:105 Allmänna bestämmelser om behandling av personu ppgifter 217 En väsentlig fråga för speciallagstiftning som reglerar behandling av personuppgifter, är i vilken omfattning personuppgiftslagens bestämmel- ser skall vara direkt tillämpliga och i vilken mån avvikande regler skall gälla. Vi har valt att uttryckligt reglera endast de bestämmelser som avviker från personuppgiftslagen och att i övrigt endast hänvisa till de lagrum i den senare lagen som skall vara tillämpliga även inom de olika verksamheter vi har i uppdrag att se över. Redovisningen nedan omfattar inte de tillämpliga bestämmelser i personuppgiftslagen som direkt rör enskildas rättigheter (information, rättelse och skadestånd). De bestämmelserna återkommer vi till i 7 kap. Innehållet i bestäm melserna i personuppgiftslagen har vi kortfattat redogjort för i avsnitt 2.4. Be- stämmelserna kommenteras utförligt i bl.a. förarbetena till per son- uppgiftslagen (prop. 1997/98:44 och betänkande SOU 1997:39). Det kan emellertid finnas anledning att kort redovisa varför vi anser att bestämmelserna bör tillämpas och vilken speci fik betydelse de kan få i den av oss föreslagna lag stiftningen. Definitioner (3 §) Vi har inte funnit någon anledning att i den av oss föreslagna lag stift- ningen definiera där förekommande begrepp på något annat sätt än i 3 § personuppgiftslagen. Tvärtom är det för att undvika miss förstånd viktigt att de begrepp som används i de olika författningarna har sam ma innebörd. Det bör dock anmärkas att person uppgiftsansvaret regleras särskilt i de föreslagna specialförfattningarna. Förhållandet till offentlighetsprincipen m.m. (8 §) Bestämmelsen i 8 § första stycket personuppgiftslagen är en ren upp lys- ning och markering om offentlighetsprincipens företräde. I andra stycket finns dock en materiell regel som anger att 9 § fjärde stycket personuppgiftslagen – där det ställs upp begränsningar i rätten att an- vända sig av personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål för att vidta åtgärder i fråga om den regi- strerade – inte skall tillämpas i fråga om myndigheters användning av personuppgifter i allmänna handlingar. Det undantaget skall gälla även inom de verksamhetsområden som omfattas av vårt uppdrag. 218 Allmänna bestämmelser om behandling av personuppgifter Grundläggande krav på behandlingen av personuppgifter (9 §) En av de väsentligaste bestämmelserna i fråga om behandling av per son- uppgifter finns i 9 § personuppgiftslagen och avser vilka grundläggande krav som ställs på en personuppgiftsansvarig. Dessa krav bör naturligtvis tillämpas även vid behandling av personuppgifter inom sär- skilt reglerad myndighetsverksamhet. Genom de särskilda gallringsregler som föreslås i special författningarna sätts dock bestäm melserna i 9 § första stycket i) och tredje stycket om hur länge uppgifter får be varas ur spel. Behandling av personnummer (22 §) Enligt 22 § personuppgiftslagen får personnummer behandlas endast efter samtycke från den registrerade eller om det är klart motiverat med hänsyn till behandlingens ändamål, vikten av säker identifiering eller något annat beaktansvärt skäl. För behandling inom skatteförvalt ningen, exekutionsväsendet och torde det av rättssäkerhetsskäl ofta vara så att personnummer behöver användas för att eliminera ris ken för fel i handläggningen av ärenden. Vid den särskilt reglerade behandling som sker i databaser är det i de flesta fall nödvändigt att generellt använda personnummer för att kunna säkra identifieringen av en registrerad. För sådan behandling anges därför ut tryckligt i lagstiftningen att uppgifter om en persons identitet, t.ex. personnummer, får användas. Hänvisningen till personuppgifts- lagens bestämmelse får därför praktisk tillämpning endast i fråga om behandling som inte sker i databaser. Även i de fallen torde det dock ofta vara motiverat att använda personnummer för att säker ställa de berörda parternas identitet. Personnummer bör emellertid inte användas slentrianmässigt när risk inte föreligger för för växling mellan personer eller när andra beaktansvärda skäl saknas. Säkerheten vid behandling (30-32 §§) I 30–32 §§ personuppgiftslagen finns vissa regler om hur den per- sonuppgiftsansvarige skall organisera arbetet med behandling av person- uppgifter för att garantera säkerheten. Det rör sig som instruk tioner till personalen samt tekniska och organisatoriska åtgärder. Dessa be- stämmelser skall vara tillämpliga inom de här aktuella verk samhetsom- rådena, vilket innebär att , och de regionala - myndigheterna (se avsnitt 5.2.2 om personuppgiftsansvaret) måste se till att det finns rutiner för hanteringen av personuppgifter. Detta är inte minst viktigt i fråga om behandling av uppgifter i databaserna, där det SOU 1999:105 Allmänna bestämmelser om behandling av personu ppgifter 219 exempelvis kan behövas såväl tekniska lösningar för datasystemen som olika behörighetsnivåer för per sonalkategorier, för att garantera att den av oss föreslagna lag stiftningen kan efterföljas. Överföring av personuppgifter till tredje land (33–35 §§) Personuppgifter som är under behandling får enligt 33 § personupp- giftslagen inte föras över till tredje land. Från förbudet finns vissa un- dantag i 34 §, bl.a. för överföring till län der som har anslutit sig till Eu- roparådets konvention om skydd för enskilda vid auto matisk databe- handling av personuppgifter. överlämnade regeringen en remiss till lagrådet vari det föreslås att förbudet i personupp giftslagen mot överföring av per sonuppgifter till tredje land skall ändras. Överföring till ett land som inte ingår i EU eller är anslutet till EES skall inte längre vara för bjuden om det tredje landet har en adekvat nivå för skyddet av personuppgifter. Lagändringen föreslås träda i kraft . Enligt 35 § personuppgiftslagen kan regeringen, och i vissa fall den myndighet som regeringen bestämmer, meddela föreskrifter om undantag från förbudet i 33 §. Regeringen har också i per son- uppgiftsförordningen (1998:1191) gett Datainspek tionen möjlighet att meddela föreskrifter om undantag i vissa fall. Vi anser att såväl förbudet mot överföring till tredje land som de un- dantag från förbudet som föreskrivs skall vara tillämpliga på behand ling enligt den av oss föreslagna lagstiftningen. Av betydelse för de myn - digheter som omfattas av vårt uppdrag är vad som anges i dataskydds- direktivet i fråga om överföring av person uppgifter till tredje land av skäl som rör viktiga allmänna intressen. I artikel 25 anges att med- lemsstaterna inte får tillåta över föringar till tredje land som inte har en adekvat skyddsnivå. Från denna regel finns emellertid flera undantag. I artikel 26.1 d anges att medlemsstaterna skall föreskriva att överföring får ske om det är nöd vändigt eller bindande enligt för fattning av skäl som rör viktiga allmänna intres sen eller för att fastslå, göra eller försvara rättsliga anspråk. avseende bl.a. det undantaget att överföring skall kunna med ges när skyddet av väsentliga samhällsintressen kräver det, till exempel vid inter- nationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter. Att 33-35 §§ personuppgiftslagen görs tillämpliga på behandling enligt de av oss föreslagna författningarna, förhindrar således inte att uppgifter i exempelvis en databas lämnas ut till tredje land när det be- hövs för fullgörande av en förpliktelse som följer av en internationell överenskommelse som har tillträtt. 220 Allmänna bestämmelser om behandling av personuppgifter Personuppgiftsombudets uppgifter m.m. (38–41 §§) Automatiserade behandlingar av personuppgifter skall enligt 36 § per- sonuppgiftslagen anmälas till tillsynsmyndigheten (Datainspektionen). Anmälan behöver dock enligt 3 § person uppgiftsförordning en inte göras för behandlingar som regleras genom särskilda fö reskrifter i lag eller förordning.