sou · GQB32 · 2003-01-01 00:00:00 — Eftersom skyddet för den personliga integriteten innebär begräns- ningar i tillgängligheten av personuppgifter, är det vanligt att Data- inspektionen i medierna oförtjänt framställs som myndigheten som hindrar den fria debatten. har det till och med talats om censur. Skyddet av personen kommer i konflikt med offentlighetsprincipen. , som har doktorerat på skillnaden mellan svensk och fransk datarätt vid i , bekräftar att Datainspektionen arbetar i motvind, i jämförelse med sin franska motsvarighet.2 De franska medierna har stor makt och de är mycket mer inriktade på personvärn än de svenska. Den franska data- skyddsmyndigheten är mediernas hjälte, medan tidningarna i mest skriver om öppenhet och utmålar Datainspektionen som boven som lägger hinder i vägen. I grunden ligger dock kulturella skillnader; integriteten är enligt viktigare i än i Sverige.3 I flera sammanhang när personuppgiftslagens tillämpning på främst Internet har behandlats i media har lagen, och Datainspektionen som tillsynsmyndighet, beskrivits i negativa ordalag. Detta kan motverka Datainspektionens verksamhet och är ett problem som måste åtgärdas. För en myndighet med en uttalad uppgift att värna om den enskilde 2Integritetsskydd och offentlighetsprincip i IT-eran, en jämförelse av fransk, svensk och europeisk rätt. 3magazin DIrekt 2/2001 s. 2. Datainspektionens framtida verksamhetsinriktning 161 individen och fungera som ett serviceorgan, är det en grundläggande förutsättning för framgång i verksamheten att myndigheten har förtro- ende och respekt hos såväl allmänheten som massmedia. Om Data- inspektionen bidrar till att skapa en positiv bild av syftet med sin verksamhet är det utredningens övertygelse att ett sådant förtroende kan skapas. Personuppgiftslagen är en svårtillgänglig lagstiftning och det har uppkommit många missförstånd i samband med dess tillämpning. Det har också från många håll framförts att Datainspektionen varit otydlig i detta sammanhang. Datainspektionen har därför en viktig uppgift att förklara lagen för allmänheten och detta bör avspegla sig i Datainspek- tionens framtida verksamhetsinriktning. I Datainspektionens informationsuppgift ingår också att meddela gene- rella föreskrifter och allmänna råd om tillämpningen av personuppgifts- lagen och att avge remissyttranden över förslag till ny lagstiftning som påverkar integritetsskyddet. Detta är av flera skäl en viktig uppgift för Datainspektionen och även den kräver att inspektionen deltar i sam- hällsdebatten i frågor som rör informationsteknik, personuppgifter och skyddet för den personliga integriteten. Att användningen av personuppgifter regleras och begränsas är en förutsättning för att skydda den personliga integriteten. Vilken regler- ing och begränsning som då är nödvändig för att skydda den personliga integriteten är till stora delar beroende av rådande värderingar i sam- hället. Sådan användning som enligt dessa värderingar framstår som otillbörliga intrång i annans personliga integritet skall, enligt , så långt som möjligt förebyggas.4 Utredningen ställer sig givetvis bakom denna bedömning. I förarbetena till personuppgiftslagen motiverades närmare varför regeringen eller den myndighet som regeringen bestämmer skall bemyndigas att meddela föreskrifter. Här framhålls att reglerna i personuppgiftslagen är generella och behöver preciseras, att data- skyddsdirektivet innehåller en hel del detaljregler som det skulle vara olämpligt att tynga lagtexten med samt att direktivet medger att det under vissa förutsättningar görs undantag från vissa regler. Data- skyddsdirektivet kräver dessutom att säkerställer att särskilt integritetskänsliga behandlingar av personuppgifter kontrolleras och att det bestäms vilka behandlingar som skall förhandskontrolleras. 4 SOU 1997:39 s. 180. 162 Datainspektionens framtida verksamhetsinriktning generella principer som personuppgiftslagen innehåller och som bygger på dataskyddsdirektivet är tämligen beständiga, medan behov av närmare preciseringar och undantag av naturliga skäl kommer att växla över tiden och kan uppkomma hastigt. Detta beror bl.a. på den snabba tekniska utvecklingen, framväxten av nya, oförutsägbara sätt att samla in och utnyttja personuppgifter och värderingsförändringar. En ordning som innebär att varje liten justering i det kompletterande regelverket kräver en sedvanlig lagstiftningsprocess framstår därför som onödigt omständlig och ohanterlig. Det finns alltså ett behov av att delegera normgivningskompetensen på området.5 Lagstiftarens avsikt med att delegera normgivningskompetens är följaktligen att såväl de risker och möjligheter den tekniska utveck- lingen för med sig som rådande värderingar om vilka skyddsvärda intressen som skall iakttas vid behandling av personuppgifter, skall beaktas av Datainspektionen vid utformningen av föreskrifter och allmänna råd. Även denna uppgift ställer således krav på inspektionen att aktivt informera sig i teknikfrågor och att delta i samhällsdebatten i frågor som rör informationsteknik och skyddet för den personliga integriteten vid behandling av personuppgifter för att utröna vilka värderingar som råder. Det skall dock i och för sig beaktas att personuppgiftslagen ger Datainspektionen mindre utrymme för självständiga uppfattningar än datalagen som byggde på att i första hand inspektionen mer eller mindre självständigt skulle bestämma för vilka ändamål person- registrering fick ske och vilka villkor som skulle gälla för registrer- ingen. Personuppgiftslagen innehåller fler materiella regler än data- lagen och ställer upp en ram inom vilken den kompletterande regler- ingen måste hålla sig. Mer finns alltså reglerat i lag enligt person- uppgiftslagen än vad som var fallet enligt datalagen.6 Datainspektionen har tidigare själv framhållit betydelsen av norm- givning för att effektivisera inspektionens verksamhet och för att värna om skyddet för den personliga integriteten. Genom Datainspektionens möjligheter att t.ex. meddela föreskrifter om undantag från skyldig- heten att anmäla behandling av personuppgifter kan inspektionen effektivisera sin verksamhet och ägna mindre ansträngningar åt sådant som är tämligen ofarligt från integritetssynpunkt och i stället koncentrera sina resurser till det viktiga inspektionsarbetet. Här bör förutom Datainspektionens möjlighet att meddela före- skrifter och allmänna råd särskilt framhållas myndighetens uppgift att stimulera till olika former av självreglering. I ett system med ett 1997/98:44 s. 56 f. 1997/98:44 s. 57. Datainspektionens framtida verksamhetsinriktning 163 decentraliserat ansvar för integritetsskyddet är det mycket värdefullt med tillsynsmyndighetens medverkan vid utformningen av bl.a. branschöverenskommelser. Härigenom kan Datainspektionen tydlig- göra de problem som är aktuella inom olika områden och undanröja risker för intrång i den personliga integriteten vid vissa typer av behandlingar av personuppgifter. Förutom att myndigheten kan se till att branschöverenskommelserna uppfyller vissa kvalitetskrav medför dess medverkan vid utformningen av regleringen dessutom förtroende hos allmänheten. Att branscher och andra organisationer tar ett sådant eget ansvar för skyddet för den personliga integriteten ger vidare Datainspektionen förutsättningar för att effektivisera sin verksamhet genom att myndigheten kan koncentrera sina insatser till de behand- lingar av personuppgifter där störst risk för otillbörligt intrång föreligger. I kapitel 11 tar utredningen upp behovet av självreglering närmare. Till regelgivning kan man hänföra ytterligare en uppgift för Datainspektionen, nämligen rollen som remissinstans. Inspektionens möjlighet att lämna synpunkter på utredningsbetänkanden och förslag från regeringen, som rör integritetsfrågor, är av betydelse för att sådana frågor skall beaktas fullt ut. Det har ett särskilt värde att Datainspektionen kan komma in på ett tidigt stadium och påverka lagstiftningen. Denna uppgift måste emellertid hållas inom rimliga gränser så att den inte tar för stora resurser från vad som är den egentliga kärnverksamheten för inspektionen, jfr. I detta sammanhang kan nämnas ändringen av 2 a § datalagen, genom vilken skyldigheten att begära Datainspektionens yttrande inför inrättandet av personregister som beslutas av riksdag eller regering avskaffades. Ändamålet med ändringen var bl.a. att minska Datainspektionens arbetsbörda med remisser.7 Enligt utredningens mening skall Datainspektionen, såvitt avser kontakterna med , i första hand fungera som remissinstans. Utredningens erfarenhet är att använder myndigheten i större utsträckning än att bara vara regeringens remiss- instans. Datainspektionen fungerar även i viss utsträckning som en resurs åt bl.a. när det gäller lagstiftningsfrågor och internationellt arbete vid sidan av det som regeringen ålagt inspektionen att utföra. Utredningen är medveten om att Datainspek- tionens medverkan i dessa sammanhang fyller en funktion, dels när det gäller att uppmärksamma integritetsskyddet i samband med lagstiftning dels för att myndigheten skall kunna följa med i utvecklingen. 7 SFS 1994:1485, Prop. 1993/94:217 s. 22 f. 164 Datainspektionens framtida verksamhetsinriktning inspektionens medverkan såvitt nu är i fråga får dock enligt utred- ningens mening inte inskränka myndighetens möjligheter att bedriva en effektiv och ändamålsenlig informations- och inspektionsverksamhet. Enbart information, innefattande rådgivning och regelgivning, är inte tillräckligt för att uppnå ett fullgott skydd för den personliga integriteten. Informationen måste kompletteras med en tillsynsfunktion med långtgående befogenheter för att övervaka tillämpningen av gällande bestämmelser. Genom inspektioner kan Datainspektionen på ett konkret och grund- ligt sätt göra en översyn av nivån på integritetsskyddet vid behandling av personuppgifter och kontrollera att reglerna efterlevs. Vetskapen om att man kan bli utsatt för inspektion och att en sådan kan leda till rättsliga ingripanden av olika slag, medför ytterligare ett viktigt incita- ment för de personuppgiftsansvariga att behandla personuppgifter lag- ligt, korrekt och enligt god sed. Det har allt sedan Datainspektionen inrättades förutsatts att inspek- tioner hos de personuppgiftsansvariga är vad som bäst främjar skyddet för den personliga integriteten. Utredningen delar denna uppfattning. Det är därför mycket viktigt att Datainspektionen utför fler och allt effektivare inspektioner av behandlingen av personuppgifter i sam- hället. En mycket stor del av Datainspektionens resurser bör användas till inspektionsverksamheten. I bilaga 3 redovisas den totala tid Datainspektionen lagt ned på inspektioner inom samtliga sina ansvarsområden . Av bilagan framgår att Datainspektionen totalt lagt ned på sin inspektionsverksamhet. Med en normal årsarbetstid motsvarar detta 5,3 årsarbetskrafter. Datainspektionen räknar med en produktiv tid på per anställd, vilket motsvarar eller att totalt 7,1 årsarbetskrafter ägnats åt inspektionsverksamhet. Oavsett hur man räknar ägnar myndigheten enligt utredningens mening allt för små resurser åt inspektioner, särskilt som tillsyns- och tillståndsenheten har omkring 18 personer knutna till sig. Speciellt anmärkningsvärt är att endast en halv årsarbetskraft lagts ned på fältinspektioner enligt personuppgiftslagen och datalagen. Datainspektionen förklarar det låga antalet inspektioner med att det har varit stora problem med sjukdomar och att personal slutat, särskilt . Enligt inspektionen arbetade i snitt Datainspektionens framtida verksamhetsinriktning 165 endast 10,2 personer på tillsyns- och tillståndsenheten . Genom en effektiv inspektionsverksamhet kommer en betydelsefull insats att göras för integritetsskyddet i samhället. Myndigheten blir på så sätt en resurs för alla människor i . Enligt utredningens mening ger ovanstående beskrivning av hur mycket tid Datainspek- tionen lagt ned på inspektioner klart stöd för uppfattningen att Data- inspektionen bör ägna mer resurser åt inspektionsverksamheten. Data- inspektionens förklaring till det låga utfallet ger dessutom vid handen att den möjligheten föreligger inom ramen för den nuvarande verk- samheten. I uppställningen i bilaga 3 ingår såväl skrivbords- som fältinspek- tioner. Genomgående lägger Datainspektionen ner störst resurser på skrivbordsinspektioner. Som en jämförelse kan nämnas att har ägnats åt skrivbordsinspektioner enligt personuppgiftslagen och datalagen men endast åt fältinspektioner enligt samma lagar. I tidsangivelsen för särskilda projekt skiljer Datainspektionen inte på skrivbordsinspektioner och fältinspektioner. Mot bakgrund av nämnda förhållanden vill utred- ningen framhålla betydelsen av att Datainspektionen i större utsträck- ning på plats hos de personuppgiftsansvariga kontrollerar behandlingen av personuppgifter. I direkt kontakt med de personuppgiftsansvariga kan Datainspektionen på ett konkret sätt påverka att behandlingen av personuppgifter sker korrekt och i enlighet med god sed och myndigheten kan utan dröjsmål undanröja oklarheter och missförstånd. Detta kan främja såväl effektiviteten i inspektionsverksamheten som den allmänna skyddsnivån för den personliga integriteten. I samband med fältinspektioner ges också tillfälle för myndigheten att hos olika organisationer väcka frågan om självreglering. Enligt utredningens uppfattning bör därför myndighetens klara strävan vara att öka andelen fältinspektioner i förhållande till skrivbordsinspektioner. Utredningen anser att väsentligt fler inspektioner borde kunna genomföras på plats hos personuppgiftsansvariga än vad som är fallet . Utredningen återkommer till frågan om en effektivisering av inspektionsverksamheten i kapitel 13 om Datainspektionens finansie- ring. En effektiv och ändamålsenlig tillsynsverksamhet 167 8En effektiv och ändamålsenlig tillsynsverksamhet Datainspektionens organisation skall vara anpassad till verksamhets- inriktningen på huvudområdena Information och Inspektion (jfr bilaga 5). För att vara en effektiv myndighet krävs att personalen har en hög kompetens vad gäller integritetslagstiftning och informations- teknik. Med nuvarande arbetsuppgifter bör Datainspektionens resurser vad gäller antalet anställda initialt vara oförändrade. Med ett fullt utbyggt system med personuppgiftsombud bör emellertid Datainspektionens personalresurser kunna minska. En tydlig målsättning och en genomtänkt strategi för hur målsättningen skall uppnås bör förankras hos hela personalen och läggas fast för verksamheten. Resultatet av verksamheten skall dokumenteras och på ett lämpligt sätt spridas. En stor del av myndighetens resurser bör användas till att utföra inspektioner. En rimlig utgångspunkt är att minst en tredjedel av myndighetens personalresurser ägnas åt renodlad inspektions- verksamhet. Personuppgiftsombuden bör i enlighet med personuppgiftslagens intentioner användas som en kraftfull resurs i såväl informations- som inspektionsverksamheten. 8.1Samverkan mellan Datainspektionens två huvudområden – Information och Inspektion Med utgångspunkt i syftet med Datainspektionens verksamhet kan en effektiv tillsyn beskrivas som åtgärder som med utnyttjande av minsta möjliga resurser höjer den totala nivån på integritetsskyddet i så stor utsträckning som möjligt. Genom personuppgiftslagens ikraftträdande och det faktum att tillstånds- och licensförfarandet härigenom helt upphört, har 168 En effektiv och ändamålsenlig tillsynsverksamhet Datainspektionens verksamhet renodlats till att enbart avse typiska tillsynsuppgifter. Datainspektionens verksamhet skall inriktas på information om personuppgiftslagen och integritetsfrågor samt inspektion för att kontrollera att bl.a. personuppgiftslagens regler efterlevs. I en effektiv och ändamålsenlig tillsynsverksamhet samverkar Datainspektionens två huvuduppgifter, information och inspektion, till att skapa en så hög regelefterlevnad och därmed ett så högt integritetsskydd som möjligt. Ju bättre Datainspektionen når ut med sin information och rådgivning om rättigheter och skyldigheter i samband med behandling av personuppgifter desto mindre fel bör myndigheten upptäcka vid sina inspektioner hos de personuppgiftsansvariga. I inspektionsverksamheten kan man på ett konkret sätt nå ut med olika informationsinsatser genom att i direkt anslutning till kontrollen informera om gällande regler och ge råd om hur behandlingen bör ske i praktiken för att vara korrekt och i enlighet med god sed. Datainspektionens verksamhet kännetecknas av att ansvarsområdet för dess tillsynsverksamhet är mycket omfattande. Inspektionen skall verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och myndigheten har som särskild uppgift att utöva tillsyn enligt personuppgiftslagen. Personuppgiftslagen gäller främst för personuppgiftsansvariga som är etablerade i . Den kan emellertid också vara tillämplig när den personuppgiftsansvarige är etablerad i ett land utanför EU eller EES, om utrustning som finns i används för behandlingen av personuppgifter. Personuppgiftslagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad, men också för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Detta framgår av lagens 4 och 5 §§. Lagens tillämpningsområde är således väsentligt vidare än datalagens. Behandling av personuppgifter omfattar varje åtgärd eller serie av åtgärder som vidtas med personuppgifter, oavsett om varje led sker på automatisk väg eller inte. Även om undantag görs för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur faller således all väsentlig behandling av personuppgifter varhelst den sker i landet inom Datainspektionens ansvarsområde. På så sätt omfattas i princip varje myndighet, företag En effektiv och ändamålsenlig tillsynsverksamhet 169 och organisation samt i många fall även privatpersoner av Datainspek- tionens tillsynsansvar. Härigenom skiljer sig Datainspektionen från andra tillsyns- myndigheter. Vanligen har en tillsynsmyndighet ett mer begränsat ansvarsområde, såsom en viss sektor, bransch eller typ av verksamhet. Så är t.ex. ansvar begränsat till den finansiella marknadens kreditinstitut, värdepappersbolag och det enskilda försäkringsväsendet och till kvalitet inom hälso- och sjukvård, smittskydd och socialtjänst. Datainspektionens ansvars- område däremot är i det närmaste obegränsat. Detta innebär att antalet potentiella tillsynsobjekt, särskilt mot bakgrund av den allt större användningen av datorteknik i samhället, är mycket omfattande. Datainspektionens ansvarsområde ställer naturligtvis särskilda krav på inspektionens verksamhet. En myndighet med ett så stort ansvars- område och begränsade resurser måste vara effektiv för att kunna uppfylla målsättningen med verksamheten. Detta kräver i sin tur duktig personal med hög kompetens inom myndighetens alla områden, en ändamålsenlig organisation samt en utvecklad strategi för arbetets genomförande. En viktig slutsats man kan dra av ett så omfattande tillsynsansvar är naturligtvis att allt inte kan kontrolleras. Detta innebär i sin tur att Datainspektionen måste prioritera hur resurserna skall användas. Resurserna måste koncentreras till det som är viktigast för att uppnå målen för verksamheten. Således måste man inrikta tillsynen mot i första hand de behandlingar som utgör störst hot mot den personliga integriteten. Därutöver bör det enligt utredningens mening som ett led i myndig- hetens prioritering eftersträvas att ansvaret för skyddet för den person- liga integriteten delegeras. Personuppgiftsombuden bör därför i största möjliga utsträckning utnyttjas som Datainspektionens förlängda arm. Datainspektionen måste vidare ta varje tillfälle i akt att uppmärksamma myndigheter, företag och organisationer på integritetsfrågor i samband med behandling av personuppgifter och i samband härmed stimulera initiativ till olika former av självreglering. 8.3Personal med hög kompetens Personuppgiftslagens regler är komplicerade och den tekniska utveck- lingen med allt mer sofistikerade metoder att behandla personuppgifter går fort. Detta ställer naturligtvis stora krav på Datainspektionen och dess anställda. Inspektionen måste därför ha en personal som besitter en mycket hög kompetens. 170 En effektiv och ändamålsenlig tillsynsverksamhet Verksamheten kräver att personalen har goda juridiska kunskaper om integritetslagstiftning. Därutöver förutsätter verksamheten insikter i informationsteknik och informationssystem, särskilt med tonvikt på informationssäkerhet. påpekade i sitt betänkande att de förändrade uppgifterna för Datainspektionen enligt personuppgiftslagen får anses mera krävande och kvalificerade än de uppgifter inspektionen utfört tidigare. En utökad tillsynsverksamhet och en i vart fall inledningsvis omfattande föreskriftsverksamhet ställer enligt kommittén andra och större krav på personalen och organisationen än en verksamhet som till stor del går ut på hantering enligt utarbetade mallar av inkomna ansökningar. Kommittén konstaterade att det för en myndig- het med tillsynsansvar som regel inte finns någon naturlig gräns beträffande behov av personal och övriga resurser; myndigheten har i allmänhet inga svårigheter att göra av med alla de pengar den får på tillsynsverksamheten. Enligt borde en personal- styrka på ungefär 40 personer ge Datainspektionen rimliga förut- sättningar att klara uppgifterna med det föreslagna systemet. Däremot torde det krävas att kompetensnivån hos personalen höjs för att motsvara de ökade krav som det föreslagna systemet innebär.1 Även enligt utredningens uppfattning bör med nuvarande arbets- uppgifter Datainspektionens personalresurser initialt vara lika stora som . Det är också inspektionens uppfattning att myndigheten har en väl anpassad personalstyrka för att lösa de uppgifter regeringen givit inspektionen, även om det naturligtvis innebär att det måste ske vissa prioriteringar. Som en jämförelse kan nämnas att Ombudsmän () har omkring 60 anställda. JO granskar statliga och kommunala myndigheter, domstolar och andra vars arbete innebär myndighetsutövning. Datainspektionen, som har ett mer omfattande tillsynsområde med ansvar för att kontrollera behandlingar av personuppgifter i hela samhället, bör enligt utredningens uppfattning med nuvarande arbetsuppgifter inte ha mindre personalresurser än vad som är fallet . Om Datainspektionen får ytterligare uppgifter utöver dagens, måste det givetvis övervägas om inte en ökning av personalstyrkan är nödvändig. Genomförs utredningens förslag att ansvaret enligt kreditupplysnings- och inkassolagarna förs över till (se kapitel 10), bör i detta sammanhang också beaktas att de personer som ägnar sig åt dessa lagar (ca 2,5 årsarbetskrafter) i stället kan syssla med Datainspektionens verksamhet i övrigt. 1 SOU 1997:39 s. 448 f. En effektiv och ändamålsenlig tillsynsverksamhet 171 Enligt utredningens uppfattning bör emellertid ett utbyggt system med personuppgiftsombud få till följd att Datainspektionens personal kan minska i antal. Personuppgiftsombud har att självständigt kontrollera att behandling av personuppgifter sker korrekt och i enlighet med god sed. Personuppgiftsombuden fungerar på så sätt som Datainspektionens förlängda arm och bör därmed kunna avlasta inspektionen och möjliggöra ytterligare prioriteringar i myndighetens verksamhet. När det gäller personalens kompetens kan allmänt sägas att Data- inspektionen redan företagit en successiv anpassning till de högre krav som personuppgiftslagen ställer i förhållande till datalagen. En stor del av juristpersonalen har domarkompetens eller juris kandidatexemen med notariemeritering.