sou · GNB3105d1 · 2000-01-01 00:00:00 — Redan nu bör dock slås fast att vi anser det viktigt att för- fattningsreglering som bland annat syftar till att underlätta myndigheters användande av datorer för att uppnå effektivi tetsvinster i olika sam- hällsfunktioner, inte får utformas på ett sådant sätt att integritets skyddet för enskilda urholkas eller försämras på ett oaccep tabelt sätt. 4.3Behandling av personuppgifter och andra uppgifter i myndighetsverksamhet bör författningsregleras särskilt Vårt förslag: All behandling av personuppgifter i verksamhet inom skatteför valtningen, exekutionsväsendet och hos skall för- fattningsregleras särskilt. Behandling i administrativ verksamhet skall dock inte omfattas av lagstiftningen. Regleringen skall omfatta behandling av såväl personuppgifter som uppgifter vilka kan hänföras endast till juridiska personer. För- fattningarna skall tillämpas på all automatiserad behandling av upp- gifter. På behandling skall författningarna tillämpas endast om personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling av uppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Personuppgifter skall få behandlas i enlighet med de grundlägg- ande bestämmelser som finns i personuppgiftslagen. I varje för fatt- ning görs en uttrycklig hänvis ning till de bestämmelser i personupp- giftslagen som är tillämpliga. Eftersom särskilda krav ställs på be- handling av personuppgifter inom olika verksamhetsområden, kom- mer varje författning att innehålla vissa uttryckliga bestämmelser som avviker från personuppgiftslagen. I författningarna skall främst de grundläggande principerna för behandling av personuppgifter och andra uppgifter regleras. Detalj- regler skall meddelas av regeringen eller den myndighet som rege- ringen bestämmer. Övergripande frågor o ch principer 201 Olika myndigheters verksamheter ställer olika krav på de regelverk som sätter upp riktlinjer för verksamheternas bedrivande. Detta gäller även behandling av personuppgifter, och då främst automatiserad be handling. Personuppgiftslagen gäller generellt, vilket innebär att det för olika myndigheter kan behövas bestäm melser som avviker från vad som anges i den lagen. Det kan gälla i såväl skärpande riktning av inte gritetsskäl, som i mildrande riktning av effektivitetsskäl. Avvägningen mellan integritet och effektivitet kan inte nödvändigt vis bedömas med samma mått stock för olika verksamheter. Som exempel kan nämnas skatteförvaltningen och exekutionsväsendet. Flera av de register som förs av Riks skatteverket och skattemyndigheterna omfattar i stort sett hela befolkning, medan kronofogdemyndig- heternas register endast omfattar den del av befolkningen som av olika skäl har eller har haft betalningssvårigheter eller på annat sätt har kommit i kontakt med kronofogden. Eftersom redan omfattningen av uppgifter i ett datoriserat register påverkar bedömningen av integritets- frågorna, kan det finnas anledning att på den grunden ha olika bestäm- melser för olika verksamheter. Härutöver finns flera andra orsaker till att behoven av bestämmelser om behandling av personuppgifter varierar. Det är enligt vår mening därför nöd vändigt att komplettera person- uppgiftslagen med särskilt anpassade regelverk för olika verk samheter. 4.3.2Så få författningar som möjligt I förra avsnittet pekar vi på att olika verksamheter ställer olika krav på de regelverk som sätter upp riktlinjer för verksamheternas bedrivan de. Det är naturligt att det i vissa avseenden behövs andra bestämmel ser för behandling av personuppgifter inom skatteförvaltningen än inom exekutionsväsendet. Hos behövs ytterligare andra reg ler. Det är dock inte så enkelt att reglera personuppgiftsbehandlingen inom en komplex myndighetsorganisation, att det med säkerhet är tillräckligt med en enda lag för skatteförvaltningen och en annan för exe kutionsväsendet. Skattemyndigheterna arbetar med så vitt skilda före teelser som beskatt- ning och folkbokföring. Även inom skatte förvalt ningen finns det alltså anledning att ha olika bestämmelser i vissa avseenden. Detsamma gäller för exekutionsväsendet, som har att hantera frågor om såväl utsökning som betalningsföreläggande och konkurs tillsyn. Verksamheten hos är mer homogen, men icke desto mindre finns det områden som har olika behov och därför ställer olika krav på vilka regler som skall gälla för behandling av person uppgifter. 202 Övergripande frågor och principer Vår målsättning är att antalet författningar som reglerar personupp- giftsbehandling skall begränsas så långt det är möjligt. Det finns näm- ligen inte något värde i att dela upp en och samma verksamhet på ett sådant sätt att det – vilket kan vara fallet – finns ett stort antal för- fattningar att ta hänsyn till utan att det är sakligt motiverat. Å andra sidan har vi som en utgångspunkt att bestämmelser om behandling av personuppgifter skall bli så enkla som möjligt. Om strävan efter att få ned antalet lagar och förord ningar drivs för långt, kan detta senare mål riskera att bli eftersatt. En författning som består av ett antal huvud- regler och ett betydligt större antal undantag – vilket kan bli fallet om alltför stora verksamhetsområden regleras gemensamt – underlättar inte tillgängligheten och är inte till gagn för någon. Antalet författningar bör alltså vara så litet som möjligt, som reglerna skall vara lätta att förstå. Av skäl som vi redovisar närmare i 8 kap. har vi stannat för en lösning som innebär att det för skatte förvaltningen skall finnas en lag som reglerar beskattningsverksamheten och en annan som reglerar folkbokföringsverksamheten. Den verksamhet som skatteför valtningen bedriver tillsammans med bl.a. länsstyrelserna i samband med val och folkomröstningar är sådan att den motiverar en särskild lag. För exe- kutionsväsendet har vi däremot funnit att det finns förutsättningar för en mer enhetlig reglering av olika verksamhetsområden. På det området föreslår vi därför endast en lag. I fråga om omfattar vårt uppdrag endast ett verksamhetsområde, nämligen det fiskala. Även för den verksamheten föreslår vi en lag. 4.3.3Författningarnas allmänna tillämpnings område Personuppgiftslagen reglerar endast behandling av personuppgifter, dvs. uppgifter om fysiska personer som är i livet. För dataregister eller andra systematiserade uppgiftssamlingar som endast innehåller uppgifter om juridiska personer finns det alltså ingen motsvarande generell reglering av behandlingen. I flertalet av de verksamheter vi skall utreda måste uppgifter om såväl juridiska som fysiska personer behandlas. Det gäller t.ex. beskattnings-, utsöknings- och tullverksamhet. De re gisterförfatt- ningar som reglerar dessa områden – t.ex. skatteregisterlagen (1980:343), utsökningsregister lagen (1986:617) och tullregisterlagen (1990:137) – omfattar registrering och användning av uppgifter om såväl juridiska som fysiska personer. Vi har i den delen inte funnit anledning att göra några förändringar i för hållande till vad som gäller . Vi föreslår alltså att de lagar som skall reglera behandlingen av personuppgifter i skatteförvaltningens, SOU 1999:105 Övergripande frågor o ch principer 203 exekutionsväsendets och verksamheter även skall tillämpas på behandling av andra uppgifter. Det gäller främst uppgifter om juri- diska personer, men även uppgifter om avlidna fysiska personer skall omfattas av reglerna. Personuppgiftslagen omfattar, liksom datalagen, behandling av per- sonuppgifter som är helt eller delvis automatiserad. Till skillnad från datalagen gäller personuppgiftslagen även viss behandling av personuppgifter. Ett krav är dock att den behandlingen avser uppgifter som ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sam manställning enligt särskilda kriterier. I det avseendet anser vi att även speciallag- stiftningen skall ha samma tillämpningsområde. Ett motsatt ställnings- tagande skulle innebära att behandling i strukturerade uppgifts- samlingar hos exempelvis endast skulle omfattas av per- sonuppgiftslagen och inte av den för verksamheten särskilt anpas sade lagstiftningen, något som det enligt vår bedömning inte finns sakliga skäl för. Där emot har vi inte funnit några integritetsskäl eller andra skäl för att låta uppgiftssamlingar om juridiska personer omfattas av lagstiftningen. Enligt vår bedömning bör de författningar som skall reglera be- handling av personuppgifter i skatteförvaltningens, exe kutionsväsendets och verksamheter inte omfatta den administrativa delen av myndigheternas verksamhet. Som exempel på administrativa arbets- områden kan nämnas personal- och lokalfrågor. Behand ling av uppgifter som rör sådana frågor, t.ex. i löneregister, skall således inte om fattas av de av oss föreslagna författningarna. För sådan behandling gäl ler i stället personuppgiftslagen. I vissa fall kan det dock vara tveksamt om en uppgift i ett datasystem är hän förlig till den materiella eller den administrativa verksamheten. Det är inte ovanligt att det i ett ärendehanteringssystem, tillsammans med uppgifter om parter och beslut m.m., finns uppgifter om vem som handlägger ett visst ärende och när denna person har semester samt till vilken enhet inom en myndighet som ett ärende hör. Det kan även förekomma uppgifter om t.ex. olika handläggares special kunskaper. Sådana uppgifter används för att få till stånd en smidig hand läggning av de ärenden som myndigheten har att hantera, t.ex. genom automatiserade lottningsför faranden. Den typen av uppgifter är enligt vår uppfattning rent administrativa, dvs. de hänför sig till myn dighetens verksamhet och inte till de enskilda som är föremål för myn dighetens åtgärder. Behandlingen av sådana uppgifter berörs så ledes inte av den av oss före- slagna lagstiftningen. Vissa uppgifter kan emellertid vara av admini- strativ karaktär, som de utgör personuppgifter som an vänds i den materiella verksamheten hos en myndighet. 204 Övergripande frågor och principer nämnas uppgift om i vilken vallokal en röstberättigad skall avge sin röst vid ett val. Uppgiften är av betydelse i den administrativa verksamheten, men den innehåller en upplysning om den enskilde som kan hänföras till verk samheten. Sådana uppgifter skall enligt vår uppfattning omfattas av lagförslagen (se även avsnitt 6.3.4). Personuppgiftslagen är generellt tillämplig på behandling av person upp- gifter. Den kommer därför att gälla i skatteförvaltningens, exeku tions- väsendets och verksamhet, om det inte finns avvikande bestämmelser i lag eller förord ning. Som vi nämner i tidigare avsnitt behövs det avvikande bestämmelser i special lagstiftningen för samtliga de verksamhetsområden som vi skall utreda. Det innebär att det i varje enskild lag kommer att finnas vissa uttryckliga bestämmelser som av- viker från personuppgiftslagen. En annan fråga är hur man skall han tera de regler som generellt inte skall avvika från personuppgiftslagen. I de lagstiftningsärenden som, med anledning av dataskyddsdirektivets tillkomst, varit aktuella i fråga om behandling av personuppgifter har olika varianter förekommit. Ett alternativ, som används i lagen (1998:620) om belastningsregis- ter, är att i en speciallag över huvud taget inte nämna person uppgifts- lagen. Det leder till att i den mån bestämmelserna i speciallagen avviker från personuppgiftslagen, gäller de avvikande bestäm melserna. I 2 § personuppgiftslagen anges nämligen att om det i annan lag eller förordning finns bestämmelser som avviker från den lagen, skall de be- stämmelserna gälla. Frågor som inte alls omfattas av speciallagens be- stämmelser kommer däremot med automatik att omfattas av person- uppgiftslagen. För lag stiftaren är detta onekligen en praktisk lösning, eftersom sambandet mellan speciallagen och personuppgiftslagen – vilket kanske inte är alldeles enkelt att klarlägga – inte uttryckligen be- höver regleras. Nackdelen med modellen är dock att lag tillämparen kan ha svårt att få en blick över vilka bestämmelser i person uppgiftslagen som är tillämpliga och i vilken omfattning det i speciallagen finns be- stämmelser som kanske endast delvis avviker från personuppgiftslagens regler. En variant av den nämnda lösningen är att klart ange att spe- ciallagen gäller utöver personuppgiftslagen. En sådan modell – som före- kommer i ett flertal speciallagar, t.ex. polisdatalagen (1998:622) – är dock i praktiken inte skild från en modell där inget alls sägs, eftersom det redan av personuppgiftslagen framgår att så är fallet. Övergripande frågor o ch principer 205 föreslog i sitt betänkande Integri tet – Effektivitet – Skattebrott (SOU 1998:9) en lösning som gick ut på att de bestämmelser i personuppgiftslagen som skulle vara tillämpliga i en lag om behandling av personuppgifter vid skattemyndigheters medverkan i brottsutredningar, i flera fall skulle skrivas ut i klartext i den senare lagen. I vissa fall skulle i stället hänvisas till enskilda bestäm melser i personuppgiftslagen. Fördelen med en sådan lösning är att tilllämparen snabbt får klart för sig vilka bestämmelser som gäller utan att ens behöva gå till personuppgiftslagen, eller i vart fall vet var i den senare lagen han skall titta. En nackdel med att direkt skriva ut bestämmelser som finns i personuppgiftslagen är att man därigenom inför en onödig form av dubbelreglering, eftersom personuppgiftslagens bestämmelser ändå gäller om inget annat anges. Special lagen kan även komma att bli omfattande till formatet. Modellen fick inte heller genomslag i det fortsatta lagstiftningsarbetet, även om flera remissinstanser i grunden var positiva till förslaget eftersom det ansågs bidra till över skådligheten. I stället tillämpades en modell motsvarande den i polisdatalagen. Rege- ringen motiverade det med att regleringen av förhållandet till personuppgiftslagen bör vara enhetlig i fråga om be handling av personuppgifter i brottsutredande verksamhet (prop. 1998/99:34 s. 31). Vi gör bedömningen att det finns ett stort värde i att inte lämna lag- tillämparen utan vägledning när det gäller tolkningen av vilka bestäm- melser i personuppgiftslagen som är tillämpliga även inom de områden som regleras i speciallagarna. Vi föreslår därför att det inled ningsvis i varje lag anges vilka paragrafer i personuppgiftslagen som skall tilläm- pas. Även om det innebär att det är nödvändigt för lagtillämparen att ha personuppgiftslagen till hands, undanröjs en hel del av det merarbete det innebär för denne att gå igenom lagarna parallellt och jämföra olika bestämmelser. Nämnas kan att liknande lösningar finns i flera andra la- gar, t.ex. hänvisar förvaltningsprocess lagen (1971:291) i vissa fall till bestämmelser i rättegångs balken. Den som skall tillämpa förvaltnings- processlagen behöver därmed inte känna till eller ta reda på den exakta lydelsen av samtliga bestämmelser i , utan det är till- räckligt med de bestämmelser som för valtningsprocesslagen hänvisar till. På motsvarande sätt kommer för hållandet att vara mellan de lagar som vi föreslår och personupp giftslagen. 206 Övergripande frågor och principer 4.3.5Detaljreglering bör inte göras i lag Av de registerförfattningar som gäller är flertalet förhållandevis detaljerade i fråga om främst vilka uppgifter som får finnas i ett re gister. Ett exempel på detta är skatteregisterlagen, vilken på grund av just den höga graden av detaljreglering, tillsammans med knytningen till skattelagstiftningen, har ändrats vid ett femtiotal tillfällen sedan införandet . Detta har lett till att lagen är såväl svåröverskådlig som svårtillämpad. Även om de övriga författningar som omfattas av vårt uppdrag inte är fullt så omfattande i sin detaljrikedom, kan det generellt sägas vara så att register lagstiftningen av är otymplig att hantera. Vi anser att en lagreglering av behandling av personuppgifter i första hand bör ha till uppgift att slå fast grundläggande principer för att skydda enskildas integritet. I och med tillkomsten av dataskyddsdirek- tivet och införandet av personuppgiftslagen innebär det att det främst är ändamålsbestämmelserna som är av vikt. En grundläg gande princip i dataskyddsdirektivet och personuppgiftslagen är nämligen att behandling av personuppgifter inte får vara oförenlig med de ändamål för vil ka de har samlats in. Om de ändamål för vilka person uppgifter och andra uppgifter får använ das är klart angivna och avgränsade i lag, går det enligt vår uppfattning att även utan närmare reglering av vilka upp gifter som får behandlas få till stånd en lagstiftning som ger tillräcklig garanti för att den personliga integriteten hos de registrerade personerna skyddas. Att helt undvika reglering av vilka uppgifter som får registreras skulle dock kunna leda till oklarheter och svårigheter för de till ämpande myndigheterna. Vi anser därför att det i lag bör anges vilka kate gorier av uppgifter som får behandlas, dvs. ramarna för vad som är till låtet. Det bör sedan ligga på regeringen, eller den myndighet som rege ringen bestämmer, att närmare precisera vilka uppgifter myndigheterna får registrera. I de flesta fall torde enligt vår mening respektive vara bäst lämpade att utföra denna skyldighet, eftersom de myndigheterna har bäst kännedom om den löpande verk- samheten och därigenom snabbt kan avgöra om t.ex. förändringar i ma- teriell lagstiftning har betydelse för vilka uppgifter som måste be handlas för att datasystemen skall kunna användas på avsett sätt. I och med att såväl behandlingsändamålen som de behand lingsbara uppgifternas art regleras i lag, föreligger det enligt vår uppfattning inte någon fara i integritetshänseende med en sådan ordning. Övergripande frågor o ch principer 207 4.4Databaser i stället för register Vårt förslag: Det traditionella registerbegreppet skall inte förekom- ma i den grundläggande speciallagstiftningen om behandling av per- sonuppgifter. I stället skall begreppet databas införas som en juridisk beteckning på vissa fastställda automatiserade uppgiftssamlingar som används gemensamt inom en verksamhet och för vilka särskilda hand- lingsregler gäller. Genom datalagens (1973:289) införande introducerades personregister som ett centralt begrepp i svensk datalagstiftning. Med personregister avses register, för teckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Den allmänt använda termen för ADB-baserade uppgifts samlingar har sedan datalagens införande varit register. Ordet återfinns i snart sagt varje författning som reg lerar myndigheters användande av automatisk databehandling i verksamheten. Som exempel kan nämnas några av de författningar som vi har haft i uppdrag att se över, nämligen skatteregisterlagen, utsök ningsregister- lagen och tullregisterlagen. Det traditionella registerbegreppet har kritiserats. En orsak har varit att begreppet även har en teknisk anknytning och där- för kan ha olika innebörd för olika yrkesgrupper. Vidare för det tank arna till på visst sätt organiserade eller systematiserade samlingar av uppgifter. Detta är inte längre ett helt relevant sätt att se på sam lingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostruktu- rerat och oorganiserat i olika filer i en dator, utan att detta för hindrar en effektiv hantering av uppgifterna för olika sammanställ ningar osv. Det finns därför anledning att fundera över om inte regis terbegreppet är föråldrat i vissa sammanhang och om det därför i mo dern lagstiftning bör utmönstras och eventuellt ersättas av något annat mer ändamålsenligt begrepp. Frågan om en sådan nyordning har diskuterats vid ett flertal tillfällen tidigare. Som exempel kan nämnas , vilken i flera betänkanden påtalade problemen med att använda det traditionella registerbegreppet i ADB-sammanhang; se Skärpt tillsyn – huvuddrag i en reformerad datalag (SOU 1990:61, s. 85 f. och 142 ff.), Vissa särskilda frågor beträffande integritetsskyddet på ADB-området (SOU 1991:62, s. 47 ff.) samt En ny datalag (SOU 1993:10 s. 108 ff.). 208 Övergripande frågor och principer lagsutredningen ansåg bl.a. att utvecklingen av datatekniken hade lett till nya företeelser som inte utan vidare kunde inordnas i de tekniska registerbegreppen, och att detta inneburit att begreppet register hade blivit föråldrat. Som alternativ till registerbegreppet föreslogs begrep pet persondatamängd, vilket inte skulle förutsätta att de elektroniskt lagrade personuppgifterna var ordnade som i ett register eller en förteckning. Förslaget fick dock ett svalt mottagande av remiss instanserna, och det fick inte heller genomslag i lagstiftningen. Även Datainspektionen har varit kritisk mot registerbegreppet. In- spektionen har bl.a. uttalat att utvecklingen på dataområdet – t.ex. över- gången från stordatorbaserad teknik till användarstyrd datorhantering med praktiskt taget obegränsade tekniska möjlig heter till terminal- åtkomst och lokal bearbetning av centralt lagrad information – har revo- lutionerat informationsbehandlingen. Detsamma ansågs gälla för ut veck- lingen av kraftfulla smådatorer och sammankopplingen av stora och små datorer i väldiga nätverk (1988/89, s. 176). Slutsatsen som inspektionen drog av detta vara att nya media ställer traditionella begrepp om uppgiftslagring och uppgiftsåtervinning på huvudet. Det behöver knappast tilläggas att den tekniska utvecklingen på informationsområdet har varit om möjligt än mer explosionsartad . Inte minst har framväxten av Internet inneburit stora för änd- ringar. Behovet av en översyn av traditionella begrepp i ADB-samman- hang, som t.ex. registerbegreppet, har följaktligen inte blivit mindre. 4.4.2Det behövs ett särskilt begrepp för vissa automatiserade uppgiftssamlingar I personuppgiftslagen används inte registerbegreppet. I stället talas det om behandling av personuppgifter. Det skulle enligt vår bedömning vara möjligt att även i spe cialförfattningar undvika be greppet register utan att ersätta det med något specifikt alternativ, dvs. endast tala om behandling av personuppgifter. uttalade dock i sitt betänkande Offentlighet – Integritet – Informationsteknik (SOU 1997:39, s. 340), att det faktum att begreppet register förefaller mestadels skapa tillämpningsproblem, inte hindrar att det som är ett regelrätt datoriserat register också kallas för det. Denna fråga behand lades även bl.a. vid tillkomsten av polisdatalagen. Regeringen tog där upp kritiken mot registerbegreppet, men framhöll att det inte helt bör undvikas eftersom polisen måste ha tillgång till traditionella register för att kunna bedriva sin verksamhet och att det därför även i fort sättningen bör finnas Övergripande frågor o ch principer 209 särskilda bestämmelser rörande upprättandet och för andet av sådana register (prop. 1997/98:97 s. 102). Det kan konstateras att flera samlingar av personuppgifter i elek- tronisk form är att se som register i ordets mer egentliga bemärkelse, dvs. uppgifter förs in på ett syste matiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord e.d. Det finns därför anledning att inte helt frångå registerbegreppet. Å andra sidan är begreppet, som nämnts i föregående avsnitt, inte alltid lämp ligt. Inte minst gäller detta datasystem som innefattar elektronisk ärendehantering, där inkomna handlingar bildfångas och beslut upprättas med automatiserad behand- ling för att sedan lagras elektroniskt tillsammans med uppgifts samlingar av mer registerartad karaktär. Att endast tala om behandling av person- uppgifter kan emellertid i vissa fall föranleda att lagtexter tyngs och blir svårhanterliga, t.ex. när man inte avser behandling i allmänhet utan endast behandling i fastställda samlingar av uppgifter för vilka sär skilda handlingsregler gäller. Som exempel kan nämnas att när en tjänste man inom skatteförvaltningen behandlar personuppgifter på elektronisk väg, kan det göras t.ex. med ordbehandling eller via ter minal i ett skatte- register.