sou · GQB32 · 2003-01-01 00:00:00 — Mot bakgrund härav är det utredningens uppfattning att Data- inspektionen mer aktivt bör stimulera alla slag av organisationer i sam- hället att ta ett självständigt ansvar för sin behandling av personupp- gifter genom att utveckla olika former av självreglering. Med själv- reglering avses här rekommendationer eller regler för behandling av personuppgifter, som t.ex. ett företag eller en bransch skapar för att stärka integritetsskyddet och förebygga eller lösa problem i förhållande till konsumenter eller andra kunder. Datainspektionen har enligt personuppgiftsförordningen som särskild uppgift att avge yttrande över förslag till branschöverens- kommelser vad avser behandling av personuppgifter inom en viss bransch eller ett visst område. Detta är en viktig uppgift för integri- tetsskyddet och rutinmässigt bör enligt utredningens mening frågor om branschöverenskommelser och annan form av självreglering väckas i samband med myndighetens inspektionsverksamhet. Att de personuppgiftsansvariga i samarbete med Datainspektionen lägger fast principer för sin behandling av personuppgifter kan skapa ett värdefullt förtroende hos allmänheten och ett förstärkt integritets- skydd i samhället i stort. innebär sådana initiativ att det all- männa medvetandet om integritetsskydd i samband med behandling av personuppgifter höjs. När det gäller att motivera olika organisationer i samhället att ta ett självständigt ansvar för integritetsskyddet i samband med behandling av personuppgifter pekar utredningen särskilt på att det arbete som dataskyddsmyndigheten i utför kan tjäna som förebild för Datainspektionen. Utredningen har mycket noggrant övervägt möjligheterna att finansiera Datainspektionens verksamhet med avgifter. Utredningen har härvid kommit till den slutsatsen att det inte är lämpligt att finansiera hela Datainspektionens verksamhet med avgifter, utan denna måste till största delen finansieras genom skattemedel. De främsta skälen till att Datainspektionens verksamhet inte lämpar sig för en finansiering via avgifter är att det är svårt att peka ut såväl de uppgifter som myndigheten kan ta betalt för som vem som skall betala avgifterna. Dessutom kan den principiella frågan om vem som egent- ligen har nytta av Datainspektionens verksamhet tas upp som ett argu- ment mot att avgifter skall tas ut. Datainspektionen har till uppgift att värna om skyddet för den personliga integriteten. Det kan alltså hävdas att det är alla människor i , och inte de företag och myndigheter som kan bli föremål för avgifter, som har den egentliga nyttan av Datainspektionens verksamhet. I vissa avseenden är sambandet mellan Datainspektionens verksam- het och nyttan för dem som skall betala dessutom så svagt att det enligt utredningens mening är uteslutet med en avgiftsfinansiering. Det gäller myndighetens internationella arbete inom t.ex. EU samt arbetet med remisser, föreskrifter och allmänna råd. Utredningen anser att frågan om en eventuell avgiftsfinansiering i första hand bör bedömas utifrån den utgångspunkten att avgifterna skall ha en styrande effekt. Avgifter bör användas för att åstadkomma en önskvärd effektivisering och prioritering av Datainspektionens verk- samhet. Ett avgiftssystem bör också ha till syfte att påverka person- uppgiftsansvariga att utse personuppgiftsombud och i övrigt behandla personuppgifter korrekt och i enlighet med god sed. Det är enligt utredningens mening i första hand verksamhet som efterfrågas fri- villigt, t.ex. genom anmälningar och ansökningar om tillstånd, samt myndighetens renodlade inspektionsarbete som bör komma i fråga för avgiftsbeläggning. Övriga verksamheter bör även fortsättningsvis finansieras helt med skattemedel. Anslagsfinansiering bör också utgöra basen för myndighetens verksamhet i dess helhet, med eventuella avgiftsintäkter som komplement. Utredningen lämnar inga konkreta förslag om avgiftsfinansiering utan redovisar endast i grova drag tänkbara modeller. Enligt utredning- ens mening skulle Datainspektionens verksamhet delvis kunna finans- ieras genom avgifter som tas ut av dem som drar nytta av myndighetens verksamhet och av dem som föranleder inspektionen arbete. Det kan därför finnas skäl att debitera en avgift för den renodlade inspektionsverksamheten och att ta ut en avgift för anmälningar enligt personuppgiftslagen om behandling av personuppgifter. Även i fortsättningen bör avgifter tas ut för myndighetens informations- material, konferenser och föreläsningar. Om en avgiftsfinansiering enligt utredningens modeller skulle genomföras – dvs. avgifter tas ut för informationsmaterial och för anmälningar och inspektioner enligt personuppgiftslagen – borde den enligt utredningens bedömning kunna bidra med upp till tjugo procent av Datainspektionens totala budget. Tillstånds- och tillsynsverksamheten enligt kreditupplysnings- och inkassolagarna lämpar sig enligt utredningens mening väl för avgifts- finansiering, oberoende av om verksamheten enligt utredningens förslag flyttas över till eller inte. Utredningen anser inte att en generell avgiftsfinansiering skall införas vad gäller Datainspektionens tillsyn inom det internationella polis- och tullsamarbetet. Polis- och tullmyndigheter bör dock kunna betala för Datainspektionens renodlade inspektionsverksamhet som sker på plats hos den personuppgiftsansvarige enligt den avgiftsmodell utredningen presenterar, oavsett om den sker enligt personuppgifts- lagen eller som ett led i arbetet med tillsyn över polis- och tullmyndig- heternas behandling av personuppgifter enligt konventionerna om internationellt polis- och tullsamarbete. BAKGRUNDEN TILL UTREDNINGENS FÖRSLAG Utredningen har i uppdrag att göra en översyn av Datainspektionens uppgifter och verksamhet mot bakgrund av personuppgiftslagen och den snabba tekniska utvecklingen. Syftet med uppdraget är att analy- sera behoven av förändringar i verksamhetsinriktning och arbetsformer och lämna de förslag som behövs när det gäller inriktning, omfattning och finansiering av den fortsatta verksamheten. Den främsta anledningen till att översynen skall göras är den nya personuppgiftslagen (1998:204), som trädde i kraft och som i fråga om automatiserad behandling av personuppgifter gäller fullt ut fr.o.m. . Genom lagen genomförde och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter (dataskyddsdirektivet). Utredningen skall analysera vilka krav som den nya personuppgiftslagen ställer på förändringar i Datainspek- tionens verksamhetsinriktning och arbetsformer. Datainspektionen är central förvaltningsmyndighet med uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och för att god sed iakttas i kreditupplysnings- och inkassoverksamhet. Datainspektionen är till- synsmyndighet i med uppgift att övervaka tillämpningen av den nationella lagstiftningen till följd av dataskyddsdirektivet. Utred- ningen skall utvärdera den hittillsvarande tillsynsverksamheten samt se över i vilka former och med vilken inriktning en framtida effektiv och ändamålsenlig tillsyn bör bedrivas i anslutning till personuppgiftslagen. Bland de frågor som utredningen enligt direktiven särskilt skall undersöka är de nya tillsynsuppgifter som successivt har tillförts Data- inspektionen inom ramen för polis- och tullsamarbetet. Utredningen skall pröva vilken roll Datainspektionen i fortsättningen bör ha när det gäller denna form av tillsyn och hur den bör finansieras. Som utgångs- punkt för utredningens överväganden i denna del gäller att tillsyns- verksamheten skall säkerställa de tillsynsfunktioner som enligt de internationella konventioner som gäller på området är skyldigt att upprätthålla. Datainspektionen är vidare tillstånds- och tillsynsmyndighet enligt kreditupplysningslagen (1973:1173) och inkassolagen (1974:182). Utredningen skall särskilt överväga om Datainspektionen även i fort- sättningen skall ha dessa uppgifter eller om ansvaret kan överföras till någon annan myndighet, och i så fall föreslå vilken myndighet som bör ta över uppgifterna. En annan fråga som utredningen skall analysera är den utveckling som pågår mot olika former av självreglering för att skydda den personliga integriteten framför allt i anslutning till den kraftigt ökande användningen av Internet. Det förutsätts i direktiven att en sådan själv- reglering utgör ett värdefullt komplement till personuppgiftslagen och kan bidra till ett förstärkt integritetsskydd. Utredningen skall överväga möjligheterna för Datainspektionen att mera aktivt stimulera utveck- lingen av olika former av självreglering. Utredningen skall också överväga om Datainspektionen bör ges ett tydligare ansvar för att aktivt följa teknikutvecklingen ur ett integritets- perspektiv och om ett sådant ansvar kräver förändringar i inspektionens kompetensprofil. Datainspektionens verksamhet har tidigare kunnat finansieras gen- om det system med licensavgifter som tillämpades i anslutning till datalagen. I och med att datalagen upphävts och licenssystemet därmed upphört finns denna finansieringskälla. För att lösa den fortsatta finansieringen har utredningen därför fått i uppdrag att analysera möjligheterna att helt eller delvis finansiera den framtida verksamheten med avgiftsintäkter. Direktiven i sin helhet framgår av bilaga 1. Utredningens arbete har bedrivits med målsättningen att ta reda på vilken inriktning, omfattning och finansiering Datainspektionen skall ha . Mot bakgrund av den begränsade utredningstiden har utredningen valt att i första hand skapa sig en bild av inspektionens verksamhet genom befintligt material i form av inspektionens egen dokumentation och beskrivningar av verksamheten i den mån sådana varit tillgängliga. Utredningen har också haft personliga kontakter med myndigheten och dess företrädare. Som ett viktigt led i arbetet har utredningen vid olika tillfällen besökt Datainspektionen. Utredningens sekreterare har besökt Data- SOU 2002:2 Uppdraget 27 inspektionen för att samla in grundläggande information om myndig- hetens hittillsvarande verksamhet. Härvid har bl.a. myndighetens verk- samhetsberättelser, årsredovisningar, anslagsframställningar och bud- getunderlag gåtts igenom. Utredaren och sekreteraren har vidare i möte med generaldirektören fått information om hur Datainspektionens verksamhet bedrivs, särskilt med inriktning på inspektionsverksam- heten. Därutöver har ett av utredningens sammanträden med experter varit förlagt till Datainspektionen, där ett ömsesidigt utbyte av informa- tion och synpunkter mellan utredningen och Datainspektionens ledning, enhetschefer och företrädare för arbetstagarorganisationer ägde rum. Utredningen har också haft kontakter under hand med anställda på Datainspektionens olika sakenheter. Enligt direktiven har det ålegat utredningen att ta kontakt med de myndigheter som på olika sätt berörs av de frågeställningar som uppdraget omfattar. Utredningen har därvid besökt , varvid särskilt frågor om avgiftsfinansiering samt tillstånd och tillsyn vad gäller kreditupplysnings- och inkassoverksamhet berördes. Utredningen har genom en enkät ställd till Datainspektionens motsvarigheter i samtliga EU-länder samt och , informerat sig om hur tillsynsverksamheten i anknytning till dataskyddsdirektivet bedrivs i övriga . Även underhandskontakter med vissa av länderna har ägt rum. i har särskilt bidragit med information som rör självreglering. När det gäller frågor som rör finansieringen av Datainspektionens verksamhet har samråd skett under hand med en tjänsteman på . Utredningen har även samrått med (Ju 2000:06). Datainspektionens verksamhet och organisation 29 2Datainspektionens verksamhet och organisation 2.1Översikt över Datainspektionens uppgifter Enligt den ursprungliga regleringen av Datainspektionens verksamhet, förordning (1973:292) med instruktion för Datainspektionen, är inspektionen central förvaltningsmyndighet med uppgift att pröva frågor om tillstånd och utöva tillsyn enligt datalagen (1973:289). Genom en ändring av instruktionen tillkom även ansva- ret för tillstånd och tillsyn enligt kreditupplysningslagen (1973:1173) och inkassolagen (1974:182). Därutöver har det sedan starten också ålegat Datainspektionen att särskilt följa utvecklingen i fråga om automatisk databehandling av personuppgifter och användningen av sådana uppgifter i kreditupp- lysnings- och inkassoverksamhet, att hos regeringen lägga fram förslag till åtgärder som är påkallade för att främja de syften inspektionen skall befordra och att inom sitt verksamhetsområde lämna myndigheter, organisationer och enskilda råd och upplysningar. I samband med ändring av datalagen 1982 tillkom uppgiften att utfärda licens enligt datalagen. Genom en ändring i instruktionen 1985 ålades Datainspektionen att fullgöra de skyldigheter som avses i artikel 13 i konven- tion om skydd för enskilda vid automatisk databehandling av person- uppgifter och som rör lämnande av uppgifter till den berörda myndig- heten i en stat som är ansluten till konventionen.1 Enligt artikeln skall varje konventionsstat utse en eller flera myndigheter för samarbetet mellan parterna och även ange varje myndighets behörighet. De myn- digheter som utses i de olika länderna skall tillhandahålla upplysningar om lagstiftning och administrativt förfarande inom dataskyddsområdet m.m. 1 SFS 1985:731. 30 Datainspektionens verksamhet och organisation Genom en ny ändring av instruktionen preciserades Datainspektionens uppgifter med bestämmelsen att inspektionen skall verka för att automatisk databehandling av personuppgifter inte leder till otillbörligt intrång i enskildas personliga integritet och att god sed iakttas i kreditupplysnings- och inkassoverksamhet.2 tillkom också uppgiften för Datainspektionen att utöva tillsyn enligt lagen (1987:1231) om automatisk databehandling vid taxeringsrevision m.m. Sistnämnda lag upphävdes i samband med tillkomsten av den nya personuppgiftslagen.3 har instruktionen ändrats i samband med organisationsförändringar inom Datainspektionen, se vidare avsnitt 2.2. Enligt den nu gällande förordningen (1998:1192) med instruktion för Datainspektionen har inspektionen följande uppgifter. N Datainspektionen är central förvaltningsmyndighet med uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och för att god sed iakttas i kreditupplysnings- och inkassoverksamhet. N Inspektionen skall särskilt inrikta sin verksamhet på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud enligt personuppgiftslagen. N Datainspektionen skall följa och beskriva utvecklingen på IT- området när det gäller frågor som rör integritet och ny teknik. N Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen. N Datainspektionen är tillstånds- och tillsynsmyndighet enligt kreditupplysningslagen (1973:1173) och inkassolagen (1974:182). N Datainspektionen är tillsynsmyndighet enligt artikel 28 i Europa- parlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). N Datainspektionen fullgör de förpliktelser som nämns i artikel 13 i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter när det gäller att lämna uppgifter till behörig myndighet i en stat som är ansluten till konventionen. N Inspektionen är nationell tillsynsmyndighet enligt artikel 23 i konventionen om upprättande av europeisk polisbyrå (Europol- konventionen), och enligt artikel 114 i konventionen om tillämpning av av (). 1998/99:34 s. 67 ff. Datainspektionens verksamhet och organisation 31 N Inom det internationella tullsamarbetet finns ett tullinformations- system bestående av två deldatabaser. Tullinformationssystemet regleras av EG:s konvention om användning av informations- teknologi för tulländamål, den s.k. , respektive Rådets förordning (EG) 515/97 om ömsesidigt bistånd mellan medlemsstaternas administrativa myndigheter och om samarbetet mellan dessa och kommissionen för att säkerställa en korrekt tillämpning av tull- och jordbrukslagstiftningen. Det skall i varje medlemsstat utses en nationell tillsynsmyndighet som har ansvaret för dataskydd avseende personuppgifter som förs in i tullinforma- tionssystemet. Enligt förordningen (1998:64) om tillämpning av Europeiska unionens tullinformationssystem är Datainspektionen svensk tillsynsmyndighet i anslutning till förordningen (EG) 515/97. Datainspektionen kommer att utses till nationell tillsynsmyndighet även enligt genom att denna uppgift förs in i myndighetens instruktion. Frågan handläggs inom . Datainspektionen leds av en generaldirektör som är chef för inspek- tionen och ansvarar för myndighetens verksamhet. Därutöver finns en styrelse med uppgifter enligt verksförordningen (1995:1322) och instruktionen för Datainspektionen. Ledamöter av styrelsen är chefen för inspektionen, som också är styrelsens ordföranden, och åtta andra ledamöter. Styrelsen har bl.a. till uppgift att pröva om myndighetens verksamhet bedrivs effektivt och i överensstämmelse med syftet med verksamheten. Styrelsen skall biträda myndighetens chef och föreslå denne de åtgärder som styrelsen finner motiverade. Antalet ledamöter i styrelsen har varierat men har uppgått till ca tio. Regeringen uttalade vid inrättandet av Datainspektionen att det var angeläget att styrelsemedlemmarna har nära kontakt med den allmänna opinionen genom arbete i eller i någon större organisation. Vidare ansågs det lämpligt att ha en ledamot med särskild kunskap i datateknik och informationsbehandling samt att även personer med erfarenhet av offentlig förvaltning resp. enskild näringsverksamhet var företrädda i styrelsen. finns åtta ledamöter som utses på förslag av riksdagspartierna. Samtliga riksdagspartier är representerade i . Enligt den första instruktionen för Datainspektionen skulle det inom myndigheten finnas två enheter, enheten för tillståndsärenden och 32 Datainspektionens verksamhet och organisation enheten för tillsynsärenden, samt ett sekretariat.4 För vardera enheten och för sekretariatet skulle det finnas en chef. På en av enhetscheferna låg uppgiften att vara ställföreträdare för chefen för inspektionen. skedde den första förändringen av Datainspektionens ursprungliga organisation. I den ändrade instruktionen föreskrevs vad gäller de två sakenheterna att den ena skulle svara för inspektionens uppgifter ifråga om offentlig verksamhet och den andra för inspek- tionens uppgifter i fråga om enskild verksamhet.5 Dessutom skulle det finnas en administrativ enhet. Varje sakenhet skulle förestås av en byråchef, varav den ena även skulle vara generaldirektörens ställföre- trädare. tillkom genom en ändring av instruktionen en ny enhet inom Datainspektionen.6 De två sakenheterna och den administrativa enheten kompletterades med en teknisk enhet. Enheten fick bl.a. till uppgift att utgöra Datainspektionens tekniska stöd för den egna inspek- tionsverksamheten och att utföra tekniska analyser för att påverka leverantörer och andra att utveckla datorsystem där integritetsfrågor beaktades. Nästa förändring av Datainspektionens organisation ägde rum . I instruktionen för Datainspektionen föreskrevs härmed att inspektionen själv fick besluta om sin organisation.7 De enda krav som uppställdes var att det inom inspektionen skulle finnas en chef för tillstånds- och tillsynsverksamheten, som också skulle vara general- direktörens ställföreträdare, och att det inom inspektionen skulle finnas en chefsjurist. Enligt den nu gällande instruktionen för Datainspektionen gäller beträffande organisationen endast att det inom Datainspektionen skall finnas en chefsjurist.8 I övrigt beslutar inspektionen själv om sin organisation. Antalet anställda på Datainspektionen har varit i genom- snitt 39 personer. Flera anställningar är under tillsättning och kommer Datainspektionen att ha 43 personer anställda. Datainspektionens verksamhet och organisation 33 På generaldirektörens kansli arbetar åtta personer, på den juridiska avdelningen fem och på ekonomienheten fyra. Till tillstånds- och tillsynsenheten är 16 personer knutna. Informations- enheten har fem personer anställda. svarar för registratur, arkiv, vaktmästeri, personalfrågor, internt IT-stöd samt övrig allmän administration. Kansliet består av en kanslichef och fem medarbetare samt två dataråd som arbetar med särskilda utredningsuppdrag och remisser. Tillstånds- och tillsynsenheten handlägger ärenden enligt personuppgifts-, data-, inkasso- och kreditupplysningslagarna. Enheten handlägger inkomna klagomål, genomför inspektioner och följer upp tillsynsaktiviteter. Dessutom utarbetas förslag till föreskrifter och allmänna råd. Enheten består av en tillsynsdirektör som är chef för enheten, två dataråd varav en är ställföreträdande chef, fem avdelnings- direktörer, två IT-direktörer och en IT-inspektör samt sju handläg- gare/inspektörer. Informationsenheten informerar myndigheter, företag, organisatio- ner, personuppgiftsombud, media och allmänheten om integritets- 34 Datainspektionens verksamhet och organisation skyddsreglerna och Datainspektionens verksamhet. Informations- enheten arrangerar konferenser, föredrag, studiebesök, producerar en periodisk skrift samt ansvarar för inspektionens webbplats. Enheten består av en informationschef, en pressekreterare, en informatör och tre handläggare. Juridiska enheten ansvarar för arbetet med inspektionens regelgiv- ning och remissverksamhet. Enheten biträder inom myndigheten i juri- diska frågor som är av principiell betydelse eller av särskilt kompli- cerad natur. Juridiska enheten svarar för bevakning och samordning av inspektionens internationella arbete. Enheten består av en chefsjurist, som också är generaldirektörens ställföreträdare, två dataråd, ett internationellt dataråd och en avdelningsdirektör med internationella uppgifter. Ekonomienheten svarar för Datainspektionens budget- och ekono- miarbete, löneadministration samt inspektionens reception och telefon- växel. Enheten består av en ekonomichef och tre medarbetare. Datainspektionens verksamhet har varit indelad i fem olika verksamhetsområden, tillsyn, information, regelgivning, tillstånd och internationell verksamhet. I enlighet med regleringsbrevet för delas verksamheten numera in i tre verksamhetsgrenar: N tillsyn över behandlingen av personuppgifter (datalagen och personuppgiftslagen) N tillsyn och tillståndsgivning inom kreditupplysnings- och inkasso- verksamheten (kreditupplysnings- och inkassolagen) N tillsyn över personregister inom polis- och tullsamarbetet (Europol-, Schengen- och tullinformationssystemet). Vid sidan härav föreligger särskilda återrapporteringskrav för bl.a. regelgivningen, informationsverksamheten och den internationella verksamheten. Tillsynen över behandlingen av personuppgifter Datainspektionens tillsyn över behandling av personuppgifter sker genom fältinspektioner och skrivbordsinspektioner. Tillsynsverksamheten i form av fältinspektioner är koncentrerad till att avse s.k. temainspektioner inom områden och branscher där det förekommer behandlingar av personuppgifter som från integritets- Datainspektionens verksamhet och organisation 35 synpunkt är känsliga. En temainspektion omfattar en bred och djup granskning av en särskild bransch eller sektor. Därutöver sker tillsyn i särskilda fall efter t.ex. klagomål från enskilda eller uppgifter i massmedia. koncen- treras inspektionsverksamheten till en viss stad eller kommun utan att inspektionerna har något särskilt tema. Syftet härmed är att ge bredd åt inspektionsverksamheten och att se till att inspektionerna sprids över landet. Mer om Datainspektionens inspektionsverksamhet i kapitel 4. Tillsyn och tillståndsgivning inom kreditupplysnings- och inkasso- verksamheten