sou · GQB32 · 2003-01-01 00:00:00 — Datainspektionen prövar frågor om tillstånd och utövar tillsyn enligt kreditupplysningslagen och inkassolagen. inspekterades bl.a. samtliga företag som bedriver tillståndspliktig kreditupplysning. Därutöver har Datainspektionen utfärdat föreskrifter om tillstånd enligt 2 § inkassolagen och allmänna råd om tillämpningen av inkassolagen. Tillsyn över personregister inom polis- och tullsamarbetet Datainspektionen är nationell tillsynsmyndighet och ingår i en gemen- sam tillsynsmyndighet enligt Europolkonventionen. Datainspektionen skall kontrollera att utbyte av personuppgifter till och från Europol sker i enlighet med nationell lag och att enskildas rätt inte kränks. är operativ medlem enligt . Datainspektionen skall utöva tillsyn över det nationella registret i Schengens informationssystem (SIS) och ingår också i den gemensamma tillsynsmyndigheten, vars uppgift är att övervaka den för Schengenstaterna gemensamma tekniska funktionen. Inspektionen skall kontrollera att behandling och utnyttjande av uppgifter som upptagits i SIS inte skadar den enskildes rättigheter. Datainspektionen har vidare medverkat i det förberedelsearbete som pågått för att inrätta en gemensam tillsynsmyndighet för ett informa- tionssystem för tullsamarbete (TIS) och förväntas bli nationell tillsyns- myndighet inom systemet. 36 Datainspektionens verksamhet och organisation Datainspektionen utarbetar egna författningar med generella före- skrifter och allmänna råd. Datainspektionens föreskrifter ges ut i Data- inspektionens författningssamling (). Dessutom ger inspektionen som remissinstans synpunkter på utredningsbetänkanden och förslag från regeringen. Vanligt förekommande är även s.k. delningar av t.ex. utkast till lagrådsremisser, propositioner och förordningar för synpunkter under hand. Datainspektionen deltar också i kommittéer, arbetsgrupper och annat utredningsarbete. I inspektionens uppgifter ingår vidare att bedöma s.k. branschöverenskommelser enligt 15 § personuppgifts- förordningen (1998:1191). Informationsverksamheten syftar till att sprida kunskap om integritets- skyddsreglerna till allmänheten, företag, myndigheter, organisationer och massmedia. Sedan tillkomsten av personuppgiftslagen har som särskild målgrupp för Datainspektionens informationsverksamhet till- kommit de s.k. personuppgiftsombuden. Datainspektionens informationsspridning sker genom t.ex. före- läsningar och konferenser, hos olika myndigheter och företag eller genom egen försorg. Datainspektionen har en egen webbplats där nyhetsnotiser läggs ut och frågor besvaras. Inspektionens call-center är bemannat med två jurister som besvarar frågor via telefon och e-post. Datainspektionen lanserade även en egen periodisk skrift, magazin DIrekt, med reportage, nyheter och kommentarer i anslutning till Datainspektionens intresseområden. Utöver det internationella arbetet inom ramen för Europol-, Schengen- och ingår Datainspektionen i den s.k. 29-gruppen. Detta är en arbetsgrupp som har inrättats med stöd av dataskydds- direktivet och vari företrädare för EU-staternas nationella tillsyns- myndigheter ingår. Gruppen skall bl.a. se till att direktivet tillämpas enhetligt i de olika medlemsstaterna, avge yttranden till kommissionen om skyddsnivån i olika länder utanför EU samt ge råd till kommis- sionen i fråga om förslag till ändringar i direktivet. Datainspektionens verksamhet och organisation 37 Vidare sker samarbete genom att cheferna för de olika dataskydds- myndigheterna runt om i världen träffas för att diskutera dataskydds- frågor. Detta sker vid ett internationellt datachefsmöte, ett EU- datachefsmöte samt ett nordiskt datachefsmöte. I bilaga 4 redovisas Datainspektionens verksamhet – i timmar och procent fördelade på olika områden. I kapitel 2 beskriver utredningen de uppgifter Datainspektionen har en- ligt sin instruktion och inom vilka verksamhetsområden myndigheten arbetar. I kapitel 3 är det utredningens avsikt att närmare belysa Data- inspektionens uppgifter genom att beskriva myndighetens ansvarsom- råden utifrån de författningar inspektionen har att tillämpa i sin verk- samhet. Dessa regelområden utgör grunden för Datainspektionens ansvar, uppgifter och befogenheter. Syftet med kapitel 3 är således att beskriva den miljö Datainspektionen verkar i. Datainspektionens verksamhet kännetecknas av att myndigheten har ett omfattande och i flera avseenden komplext regelverk att tillämpa. Härtill kommer att myndigheten skall värna om skyddet för den pers- onliga integriteten vilket är ett diffust och i många sammanhang svår- definierat begrepp. Utredningen återkommer till begreppet personlig integritet i kapitel 6. Datainspektionens ansvarsområden regleras av många olika författ- ningar, från den generella lagstiftningen om behandling av personupp- gifter i personuppgiftslagen till de olika särskilda registerförfattningar som reglerar viktigare register inom det offentliga området. Data- inspektionen har i anslutning till sin uppgift att värna om skyddet för den personliga integriteten även särskilda uppgifter enligt kreditupp- lysnings- och inkassolagarna. Myndigheten har emellertid inte bara det nationella regelsystemet att beakta utan har också uppgifter till följd av åtaganden enligt internationella konventioner och inom ramen för EU. Här märks särskilt Datainspektionens uppgift som tillsyns- myndighet inom det internationella polis- och tullsamarbetet. Dessa Datainspektionens ansvarsområden beskrivs alla i förevarande kapitel. Även om datalagen numera har upphört att gälla inleds kapitel 3 med en översiktlig beskrivning av denna lag. Avsikten härmed är att teckna en bakgrund till dataskyddslagstiftningen och varför det har ansetts angeläget att ha en särskild reglering till skydd för den personliga integriteten i samband med automatiserad behandling av personuppgifter. Datalagens utveckling och övergången till personupp- giftslagen är också av väsentlig betydelse för de förändringar som skett i Datainspektionens verksamhet. Det bör vidare betonas att det finns lagstiftning som inte kommer att beröras närmare i detta sammanhang men som ändå är av stor betydelse för Datainspektionen, eftersom inspektionen har att tillämpa denna i sin verksamhet. Detta gäller i första hand lagar och andra författningar som direkt eller indirekt reglerar myndigheters hantering av personupp- gifter. Gemensamt för dessa är att de skall tillgodose viktiga samhälls- intressen av olika slag, t.ex. den enskildes insynsrätt enligt tryckfrihets- förordningen och skyddet för ömtåliga uppgifter om enskilda enligt sekretesslagen. Sekretesslagstiftningen och regler om tystnadsplikt har stor betydelse för skyddet för den personliga integriteten. Denna lagstiftning ger även viss uppfattning om vilken information som i olika situationer skall betraktas som känslig. I 8 § personuppgiftslagen finns en bestämmelse som klargör att reglerna i 2 kap. tryckfrihets- förordningen om utlämnande av allmänna handlingar tar över bestämmelserna i lagen, och i 7 § finns motsvarande erinran beträffan- de bestämmelserna om tryck- och yttrandefrihet i tryckfrihets- förordningen och yttrandefrihetsgrundlagen. När den nya datorteknikens inverkan på samhället började diskuteras var det i första hand dess inverkan på offent- lighetsprincipen och de allmänna handlingarnas offentlighet som kom att ställas i fokus. Debatten gällde då om de maskinläsbara medierna skulle jämställas med handlingar i vanlig bemärkelse och således även de omfattas av reglerna i tryckfrihetsförordningen. Frågan löstes dock med tiden genom rättstillämpning och lagstiftning på sådant sätt att offentlighetsprincipen nu omfattar inte bara handlingar av traditionellt slag utan även tekniska upptagningar. Först något senare började frågor med direkt anknytning till skyddet för den personliga integriteten att bli aktuella. Mot bakgrund av de möjligheter att hantera information som den nya tekniken erbjöd med- förde bland annat farhågorna års folk- och bostadsräkning att diskussionen även kom att omfatta vilken uppgiftsinsamling från medborgarna som myndigheterna skulle tillåtas att göra och vad de insamlade uppgifterna skulle få användas till. De nya möjligheterna ansågs påtagligt öka myndigheternas makt över de enskilda och därmed även risken för intrång i den personliga integriteten. Debatten ledde fram till en ganska enhetlig syn på integritetsfrågorna och nödvändigheten av en särskild lagstiftning till skydd för den personliga integriteten vid automatisk databehandling (ADB) av personuppgifter. Således tillsattes Offentlighets- och sekretesslagstift- ningskommittén (), med uppgift att utreda frågor om offentlighet och sekretess beträffande allmänna handlingar m.m. Särskild uppmärk- samhet skulle ägnas åt hur offentlighetsprincipen skulle tillämpas på information som tagits upp i annan form än som text eller bild. I första hand avsågs härvid upptagningar för (ADB). Genom tilläggsdirektiv utökades OSK:s uppdrag till att även avse de effekter på enskildas integritet som den nya tekniken kunde medföra. Härigenom kom utredningens uppdrag att omfatta hela frågan om lagstiftning rörande personorienterad ADB-information. I delbetänkandet Data och integritet (SOU 1972:47) redovisade bl.a. ett förslag till datalag. Utgångspunkten för kommitténs förslag var att den enskilde – med de begränsningar som följer av samhällsgemenskapens krav – bör ha tillgång till en fredad sektor, inom vilken han eller hon skall kunna avvisa otillbörlig inblandning från det allmänna eller andra. Utredningen föreslog att ett tillståndstvång för automatisk databehandling av personuppgifter skulle införas, att personregistren skulle underkastas en fortlöpande tillsyn och att dessa uppgifter skulle anförtros en självständig myndighet kallad Datainspektionen. 3.1.2Allmänt om lagen och dess tillämpningsområde Datalagen antogs av och trädde i kraft . trädde systemet med tillstånd för personregister som förs med hjälp av ADB i kraft. Lagens regelsystem innebar i huvudsak att alla typer av personregister som fördes med hjälp av ADB i princip inte fick inrättas eller föras utan tillstånd av Datainspektionen. Bestämmelserna gällde även redan befintliga register. För register som inrättats genom beslut av eller regeringen krävdes dock inte tillstånd. I enlighet med föreskrifter i lagen inrättades Datainspektionen . Inspektionen fick som central förvaltningsmyndighet till uppgift att pröva frågor om tillstånd och utöva tillsyn enligt datalagen, och sedermera även kreditupplysningslagen och inkassolagen. var ett av de länder där frågan om skyddet för privatlivet vid ADB-registrering allra tidigast uppmärksammades. När datalagen antogs 1973 var den inte bara en nyhet på sitt område för svenskt vidkommande utan också en internationell nymodighet. iska länder antogs därefter datalagstiftning som i varierande grad liknade den svenska. I samband härmed inleddes också ett internationellt samarbete, inom bl.a. och , i avsikt att skydda den personliga integriteten från otillbörligt intrång vid automatisk databehandling av personuppgifter. Redan vid tillkomsten av datalagen gjordes flera uttalanden om att lagen inom en ganska snar framtid kunde behöva ändras och kompletteras. började man också diskutera införandet av en generell personregisterlagstiftning. Man insåg redan då att det med den snabba tekniska utvecklingen skulle bli allt svårare att tillämpa datalagen som var begränsad till användningen av ADB- teknik. Det fanns också skäl att räkna med nya tillämpningsområden för datateknik vilka inte nödvändigtvis skulle vara farliga från integritetssynpunkt. tillsattes en kommitté, (), för att göra en allmän översyn av datalagen. I uppdraget ingick också att överväga den rättsliga regleringen av skyddet för den personliga integriteten i samband med registrering i personregister och att utreda dels datoriseringens sätt att påverka offentlighetsprincipen, dels utnyttjandet av datorer inom administration och näringsliv som en internationell företeelse. Kommitténs arbete resulterade i betänkandet Personregister – Datorer – Integritet (SOU 1978:54). DALK föreslog bl.a. att i vissa fall ersätta kravet på tillstånd med ett anmälningsförfarande. Som en följd av kommitténs översyn av datalagen gjordes vissa smärre ändringar som trädde i kraft den 1 juli 1979.1 Bland annat undantogs från tillståndskravet personregister som fördes med viss bestämd utrustning om det med hänsyn till utrustningens art och till utförandet av den automatiska databehandlingen framstod som uppenbart att otillbörligt intrång i registrerads personliga integritet inte skulle uppkomma. En annan nyhet var att reglerna om den registeransvariges underrättelse- skyldighet till enskild preciserades. Någon mera genomgripande förändring av de grundläggande principerna för tillståndsförfarandet blev det emellertid inte, och något anmälningssystem kom inte heller att införas. avlämnade DALK promemorian Författnings- reglering av Statens adress- och personregister (SPAR) m.m. (Ds Ju 1979:19). Förslagen i promemorian ledde till att grundläggande regler om SPAR togs in i datalagen, vilka kompletterades med en särskild registerförordning om SPAR.2 Lagstiftningen innebar att alla som 1978/79:109, SFS 1979:334. 1980/81:62, SFS 1980:1074. begärde att få uppgifter ur en myndighets personregister för ett sådant ändamål som kunde tillgodoses genom SPAR skulle hänvisas till detta register. ändrades också reglerna om registrerads rätt till insyn i personregister enligt 10 § datalagen.3 De grundläggande principerna för tillståndsförfarandet kvarstod oförändrade . DALK hade i betänkandet kommit till slutsatsen att man borde överväga att införa en generell personregisterlagstiftning, vilken uppfattning regeringen delade. fick också DALK genom tilläggsdirektiv i uppdrag att utreda om en generell personregisterlagstiftning, som inte i första hand var inriktad på registertekniken, borde ersätta datalagen på . Det visade sig dock snart att det fanns behov av att vidta vissa åtgärder för att reformera Datainspektionens verksamhet redan på kort sikt, vilket bl.a. Datainspektionen själv påpekade. Genom ytterligare tilläggsdirektiv fick DALK därför i uppdrag att med förtur undersöka möjligheterna att bl.a. begränsa tillståndsplikten. lämnade DALK promemorian Tillstånd och tillsyn enligt datalagen – förslag och åtgärder på kort sikt m.m. (Ds Ju 1981:15 och 16). I promemorian lämnades förslag på åtgärder som skulle göra att Datainspektionens resurser kunde användas mer effektivt och därmed skapa möjlighet till en omprioritering av verksamheten. Avsikten var att Datainspektionen skulle kunna koncentrera sina resurser på sådant som verkligen var betydelsefullt från integritetsskyddssynpunkt, och att man skulle förenkla förfarandet för de registeransvariga. DALK förordade en ordning som byggde på att tillståndsplikten begränsades till särskilt integritetskänsliga register och att det för övriga register skulle vara tillräckligt med en anmälan. DALK:s förslag ledde till betydande ändringar i datalagen, vilka trädde i kraft den 1 juli 1982.4 Ändringarna innebar att kravet på tillstånd för att föra personregister begränsades till register som innehåller särskilt integritetskänsliga uppgifter, t.ex. uppgifter om sjukdomar, brott, politisk uppfattning och religiös tro eller uppgifter som innehåller omdömen om den registrerade. För de personregister som inte var tillståndspliktiga kom i stället att gälla att dessa inte fick föras utan att en anmälan gjorts till Datainspek- tionen och att inspektionen på grund av anmälan utfärdat en licens. En sådan licens berättigade den registeransvarige att föra ett eller flera personregister som inte omfattades av tillståndsplikten. Ansökan om licens var av enkel beskaffenhet och blev inte föremål för någon materiell prövning hos Datainspektionen. 1980/81:20 bil. 1, SFS 1980:1025. 1981/82:189, SFS 1982:446. Vissa nya regler om vad alla registeransvariga, oavsett tillstånds- plikt, måste iaktta infördes. De registeransvariga ålades också att föra en förteckning över sina personregister. Personregister som fördes av enskilda och uteslutande för privat bruk undantogs från anmälnings- skyldigheten och tillståndsplikten. Eftersom någon enighet inom kommittén inte kunde uppnås i frågan om en generell personregisterlag, beslutade regeringen sedermera att DALK:s arbete skulle upphöra och en ny kommitté tillsättas, Data- och offentlighetskommittén (DOK). Denna fick i upp- drag att utreda användningen av personnummer inom den offentliga sektorn och de problem som är förknippade med offentlighets- principens tillämpning på ADB-upptagningar. DOK lämnade sammanlagt fyra betänkanden och en promemoria om integritetsskyddet i informationssamhället.5 Förslagen i betänkan- dena ledde dock endast till vissa mindre ändringar i datalagen, bl.a. om ökat ansvar för den registeransvarige att rätta felaktiga uppgifter i ett personregister.6 DOK avslutade sitt arbete och lämnade sitt slut- betänkande . tillsattes en ny utredning med uppdrag att göra en översyn av datalagen från såväl saklig som lagteknisk synpunkt. Utredningen, som påbörjade sitt arbete , antog namnet . I delbetänkandet Skärpt tillsyn – huvuddrag i en reformerad datalag (SOU 1990:61) redovisade utredningen överväg- anden och förslag om principiella utgångspunkter för en framtida datalag. I en andra etapp behandlade utredningen vissa frågor som rörde integritetsskyddet i samband med personregistrering och automatisk databehandling inom områdena för forskning och statistik samt för massmediernas och arbetslivets del. Övervägandena i denna del redo- visades i betänkandet Personregistrering inom arbetslivs-, forsknings- och massmediaområdena m.m. (SOU 1991:21). I ett tredje delbetänkande, Vissa särskilda frågor beträffande integri- tetsskyddet på ADB-området (SOU 1991:62), behandlade utredningen framför allt begreppen personregister och registeransvarig, liksom frågor om straff och skadestånd samt fullföljd mot Datainspektionens beslut. I sitt slutbetänkandet En ny datalag (SOU 1993:10) redovisade ett förslag till ny datalag. Innehållet i Datalags- utredningens förslag var sammanfattningsvis följande. Utredningen föreslog att datalagens tillämpningsområde skulle ändras från att knyta 5SOU 1986:24, SOU 1986:46, Ds Ju 1987:8, SOU 1987:31 och SOU 1988:64. 1986/87:116, SFS 1987:990. an till begreppet personregister till att omfatta varje behandling av personuppgifter med hjälp av automatisk databehandling. Lagen skulle i princip enbart gälla behandling som sker med hjälp av automatisk databehandling men i vissa fall även omfatta hanteringar, eftersom det föreslogs att begreppet behandling skulle innefatta även insamling av personuppgifter som avses bli föremål för automatisk databehandling. Tillståndsförfarandet enligt datalagen borde enligt utredningen avskaffas och förutsättningarna för att få behandla personuppgifter skulle framgå direkt av lagen. Enligt utredningen skulle det i stället för tillstånd krävas en anmälan till Datainspektionen för behandling av känsliga personuppgifter. Anmälningarna skulle sedan ligga till grund för inspektionens tillsynsverksamhet. Anmälningsavgifterna skulle dessutom finansiera inspektionens verksamhet. Detta medförde i sin tur enligt utredningen att man direkt i lagen måste ta in tydliga och utförliga bestämmelser som reglerar behandlingen av personuppgifter för att det skulle bli möjligt för en enskild att avgöra om den behandling som planeras eller utförs uppfyller lagens krav eller ej. Definitionen av begreppet personuppgift skulle enligt förslaget anpassas bättre till internationella regler. Bestämmelserna om vem som är persondataansvarig borde enligt utredningen utformas på ett sådant sätt att det blev lättare att avgöra hos vem ansvaret låg. All behandling av personuppgifter skulle, liksom tidigare, ha anknytning till ett visst ändamål för att vara tillåten. Särskilda regler skulle gälla för känsliga personuppgifter. Eftersom tillståndsförfarandet skulle slopas, föreslog utredningen att det i stället skulle tas in en bestämmelse i datalagen, som gav regeringen möjlighet att delegera till Datainspektionen att meddela närmare föreskrifter om tillämpningen av datalagen inom olika branscher eller sektorer. pågick inom EG ett arbete med att ta fram ett direktiv om dataskydd. Strävan var att komma fram till en enhetlig nivå på integritetsskyddet inom hela EG. Det första förslaget som lades fram hade dock mötts av mycket hård kritik. EG- kommissionen lade därför fram ett nytt förslag till direktiv om skydd för enskilda vid behandling av personuppgifter och om det fria flödet för sådana uppgifter. Förslaget var fortfarande under beredning inom en arbetsgrupp under ministerrådet när Datalags- utredningen lade fram sitt slutbetänkande med förslag till ny datalag. Osäkerheten var fortfarande mycket stor om hur direktivet slutligen skulle utformas och det fanns hos medlemsländerna olika uppfattningar om behovet av att anta ett direktiv på området. För del gällde att redan ett deltagande i Europeiska ekonomiska samarbetsområdet (EES) medförde en skyldighet att ha motsvarande reglering som ett eventuellt EG-direktiv på området. Det rådde stor enighet bland remissinstanserna om att det behövdes en ny datalag och att tillståndssystemet borde avskaffas till förmån för ett renodlat tillsynsförfarande. Huvuddelen av remissinstanserna ansåg dock att en ny lag borde avvakta det kommande EG-direktivet, och så blev också fallet. förslag kom aldrig att leda till någon ny datalag. Regeringen konstaterade att om förslaget genomfördes fanns det en risk för att skulle besluta om en ny datalag ganska innan man visste hur EG skulle agera på området, vilket i sin tur kunde leda till behov av ändrade regler inom en relativt nära framtid. Att efter införandet av en ny datalag på nytt genomföra stora ändringar ansågs inte försvarbart. Regeringen ansåg därför att frågan om att stifta en ny datalag borde anstå till dess ett slutligt ställningstagande av EG var för handen. Regeringen stannade i stället för att i anledning av Datalagsutred- ningens slutbetänkande föreslå att Datainspektionens tillståndsprövning skulle minskas genom att inspektionen gavs möjlighet att utfärda generella bransch- och sektorsföreskrifter. Genom en ändring i regeringsformen öppnades en möjlighet för regeringen att efter bemyndigande i lag delegera normgivningskompetensen i fråga om ADB-behandling av personuppgifter till Datainspektionen.7 En bestämmelse härom togs också in i datalagen. I övrigt genomfördes endast vissa mindre ändringar i datalagen som byggde på arbete i avvaktan på att frågan om en ny datalag kunde beredas vidare. Register som fördes i enlighet med Datainspektionens föreskrifter om personregister inom bestämda verk- samheter undantogs från tillståndsplikt. Skyldigheten att begära Data- inspektionens yttrande inför inrättandet av personregister som beslutas av riksdag eller regering avskaffades, men förutses ändå fortsätta med hänsyn till kravet på beredning av regeringsärenden. Datainspektionen gavs möjlighet att förena föreskrifter och förbud med vite. Vidare skulle i fortsättningen Datainspektionens beslut enligt data- lagen inte överklagas till regeringen utan till allmän förvaltnings- domstol. Reglerna trädde i kraft den 1 januari 1995.8 1994/94:116, SFS 1994:1480 och 1994:1485. 1993/94:217, SFS 1994:1485. Internationella riktlinjer har meddelats för automatisk databehandling av personuppgifter. Bestämmelser av betydelse finns i bl.a. Europa- rådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonventionen). Konventionens innehåll kan ses som en precisering av skyddet vid användning av automatisk databehandling enligt artikel 8 i den europe- iska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europa- konventionen).