sou · GQB32 · 2003-01-01 00:00:00 — funktionen är i första hand att kontrollera att avgifterna är beräknande utifrån det ekonomiska mål som gäller för verksamheten, att se till att regler och riktlinjer på avgiftsområdet följs och att enhetliga och vedertagna principer för prissättning tillämpas. En avgiftsbelagd verksamhet kan antingen redovisas i statsbudgeten eller utanför statsbudgeten. Bruttoredovisning innebär att avgifts- inkomster tillförs statskassan och redovisas under en inkomsttitel. Myndigheten får då anslagsmedel för verksamheten enligt samma regler som gäller för skattefinansierad verksamhet. Avgifter som redo- visas utanför statsbudgeten disponeras av myndigheten. Intäkter och kostnader för den avgiftsbelagda verksamheten redovisas i myndig- hetens resultaträkning. Bruttoredovisning tillämpas i normalfallet för offentligrättsliga avgifter. Undantag härifrån kan t.ex. göras i de fall verksamhetsvolymen är så svår att bedöma på förhand att finansiering över anslag framstår som mindre ändamålsenligt. För annan avgifts- finansierad verksamhet som är efterfrågestyrd tillämpas nettoredo- visning om inte särskilda skäl talar för annat. För att en myndighet skall få disponera inkomsterna i den avgifts- belagda verksamheten krävs att statsmakterna har medgivit detta. Offentligrättsliga avgifter bör i regel inte disponeras av myndigheten utan tillföras statskassan och redovisas mot en inkomsttitel. Avgifter som tas ut för frivilligt efterfrågade varor och tjänster disponeras normalt av myndigheten. Rätten att disponera avgiftsinkomsterna framgår i regel av myndighetens regleringsbrev. 5.1.10Förhållandet mellan avgift och skatt med avseende på finansiering av Datainspektionens verksamhet Gränsdragningen mellan skatt och avgift är flytande. Avgörande för om en pålaga skall anses vara en avgift och inte en skatt är om det utgår en direkt motprestation. Vissa av en myndighets varor/tjänster/åtgärder har en tydligare motprestation/nytta för mottagaren än andra. Det ligger därför närmare till hands att beteckna pålagan för dessa som avgift. Men definitionen är också beroende av i vilken utsträckning man kan identifiera mottagaren. Nyttan är mer framträdande ju tydligare man kan identifiera mottagaren. Med utgångspunkt från vilka tjänster Datainspektionen eventuellt skulle kunna ta betalt för kan man schematiskt beskriva förhållandet på följande sätt. 5.2Datainspektionens resursbehov och finansiering 5.2.1Tidigare avgiftsfinansiering av Datainspektionens verksamhet Avgifter har tagits ut i Datainspektionens verksamhet redan från starten . Något ekonomiskt mål för verksamheten hade emellertid inte formulerats då. Detta skedde först då det i regeringens budget- proposition uttalades att avgifterna borde bestämmas så att de täckte kostnaderna för Datainspektionens verksamhet.5 biträdde regeringens uppfattning.6 En ny finansieringsmetod kom emellertid av olika skäl inte att träda i tillämpning förrän i samband med ändringarna i datalagen . Den innebar att Datainspektionen dels debiterade sökande i tillståndsärenden en avgift för handläggningen och dels tog ut en årlig licensavgift av alla registeransvariga. 1978/7:100 s. 22. 6KU 1978/79:22, rskr. Den nya avgiftskonstruktionen infördes genom förordningen (1982:481) om avgifter för Datainspektionens verksamhet. I förord- ningen angavs det ekonomiska mål som godkände , att kostnaderna för Datainspektionens verksamhet skall täckas genom avgifter. Enligt förordningen skulle avgift till Datainspektionen betalas bl.a. av den som erhöll licens och ansökte om tillstånd enligt datalagen eller gjorde ansökan eller anmälan om tillstånd att bedriva kredit- upplysnings- eller inkassoverksamhet. Förordningen upphävdes per när licens- och tillståndssystemet enligt datalagen upphörde i samband med personuppgiftslagens ikraftträdande. ekonomiska vårproposition uttalades att sedan licens- avgifterna försvunnit Datainspektionens verksamhet bör finansieras med ett förvaltningsanslag i statsbudgeten.7 kostade Datainspektionens hela verksamhet ca . Licensintäkterna uppgick till ca och handläggningsavgifterna till ca . Därutöver hade inspektionen intäkter om ca som härrörde från informationsverksamheten. 5.2.2Nuvarande kostnader och intäkter Av Datainspektionens årsredovisning för framgår att kostnaden för myndighetens verksamhet uppgick till . Av detta belopp stod kostnader för personal för . Myndigheten finansierar sin verksamhet till övervägande del med intäkter från anslag, . Övriga intäkter är avgifter och andra ersättningar från framförallt utbildningar och konferenser, , och finansiella intäkter. tilldelades Datainspektionen ett anslag om 26 644 000 kr.8 föreslår regeringen att anslaget för Datainspektionens verksamhet skall uppgå till . och 2004 beräknas anslaget uppgå till respektive 30 693 000 kr.9 1997/98:150 s. 100. 2000/01:01 Utgiftsområde 1, bet. 2000/01:KU1, rskr. 2000/01:63. 2001/02:1 Utgiftsområde 1 s. 20. 5.3Datainspektionens förslag till finansiering av Datainspektionens tillsynsverksamhet Regeringen beslutade att Datainspektionen skulle utreda och föreslå ett system för avgiftsfinansiering av den tillsyn som myndigheten skall utföra efter genomförandet av dataskyddsdirektivet i svensk lagstiftning. Av förslaget skulle framgå antalet tillsynsobjekt som skulle betala avgift samt hur objekten skulle identifieras, kriterier för att göra en eventuell differentiering av avgiftsnivån, beräknade avgiftsnivåer och administrationskostnader. Regeringens utgångspunkt för uppdraget var att kostnader för tillsyn som bedrivs av staten i princip skall belasta dem som orsakar att tillsynen behövs. Det skulle vara enkelt att identifiera dem som skapar riskerna, avgiften borde variera med graden av risk och avgiftssystemet skulle kunna administreras utan att kostnaderna blev för stora i förhållande till avgiftsintäkten. Det skall uppfattas som rättvist och vara lätt och billigt att admini- strera. Ett litet företag med få behandlingar av känsliga personuppgifter skall inte behöva betala samma tillsynsavgift som en stor statlig myndighet som har en omfattande hantering av personuppgifter. Vem som skall betala Tillsynsavgift skall med vissa begränsningar betalas av alla dem som behandlar personuppgifter helt eller delvis automatiserat. Datainspek- tionen ansåg anmälningsskyldigheten för vissa automatiserade behand- lingar inte vara en tillräcklig grund för ett avgiftsuttag, eftersom det finns omfattande undantag från skyldigheten och tillsyn kommer att bedrivas mot alla som omfattas av personuppgiftslagen oavsett om de gör någon anmälan till Datainspektionen eller inte. Ett finansieringssystem som bygger på antalet anställda Det sätt som Datainspektionen föreslog för att identifiera och dela in dem som skulle finansiera tillsynsverksamheten var att utgå från antalet anställda. Man förutsatte helt enkelt att de som har anställda behandlar personuppgifter, och ju fler anställda man har desto fler person- uppgifter behandlar man. Med anställda skulle då avses antalet anställda per föregående år för vilka kontrolluppgift lämnas till skattemyndigheten såvida den sammanlagda årsinkomsten översteg ett basbelopp. En sådan definition skulle enligt förslaget medge en enkel kontroll mot antingen det allmänna företagsregistret () eller Patent- och registreringsverkets register. Avgiften för statliga myndigheter, kommuner och landsting skulle vara relativt sett högre, eftersom de i stor utsträckning utför behandlingar av känsliga personuppgifter. För att göra schablonsystemet mera rättvist föreslogs att de som har färre än tio anställda helt skulle undantas från tillsynsavgift. Det diskuterades också att man även kunde beakta t.ex. i vilken omfattning behandlingar som är känsliga från integritetssynpunkt utförs. Eftersom sådana uppgifter inte finns tillgängliga ansågs emellertid det admi- nistrativa krångel en sådan differentiering skulle medföra att rättvisan skulle bli omotiverat dyr. De sammanlagda avgifterna för statliga myndigheter, kommuner och landsting skulle därmed uppgå till ca , och för övriga till ca . Administrationskostnaderna skulle uppgå till Årlig avgift skulle faktureras av Datainspektionen och betalningsskyldigheten och avgiftsgrunderna skulle framgå av lag. Det senare därför att den föreslagna avgiftsmodellen ansågs ha karaktären av skatt. () som hade svårigheter att se ett direkt samband mellan antal anställda i en organisation och behovet av tillsyn avstyrkte Datainspektionens förslag till finansiering. Avgörande för behovet av tillsyn måste enligt RRV i stället vara risken för integri- tetsintrång. Behovet av tillsyn är enligt RRV större i en liten orga- nisation som behandlar en stor mängd personuppgifter med stor risk för integritetsintrång än i en stor organisation med behandling av få personuppgifter med relativt liten risk för intrång. RRV ansåg slutligen att Datainspektionens förslag inte överens- stämde med de förutsättningar regeringen angivit. Det förelåg enligt RRV:s uppfattning inte ett sådant samband mellan det föreslagna avgiftssystemets utformning och riskerna för integritetsintrång att kostnader för tillsyn på ett tydligt sätt skulle belasta dem som orsakar att tillsynen behövs. Om detta samband inte upprätthålls i någon närmare utsträckning framstår systemet närmast som en beskattning i stället för en avgiftsbeläggning av tillsynsverksamheten. Regeringen har valt att inte gå vidare med Datainspektionens förslag till avgiftsfinansiering av myndighetens verksamhet. ekono- miska vårproposition uttalar regeringen som ovan nämnts att sedan licensavgifterna försvunnit bör verksamheten finansieras med ett förvaltningsanslag i statsbudgeten (prop. 1997/98:150 s. 100). 5.4Datalagskommitténs överväganden avseende Datainspektionens finansiering ansåg att Datainspektionens verksamhet bör bekos- tas av de som förorsakar kostnaderna, nämligen av de som behandlar personuppgifter. Det kan dock, enligt kommittén, riktas avgörande principiella invändningar mot att ta ut tillsynsavgift bara från de person- uppgiftsansvariga som Datainspektionen väljer ut. Att vid brott mot personuppgiftslagen ett allmänt skadestånd eller liknande skulle betalas, inte till de integritetsskadade utan till Datainspektionen eller statskassan, föreföll enligt kommittén också olämpligt. Utredningen ansåg att Datainspektionen skall kunna ta ut avgifter för vissa prestationer som enskilda har begärt av inspektionen, t.ex. avgift för skrifter, informationsmaterial, kurser, kvalificerad rådgivning och medverkan vid konferenser. konstaterades att sådana avgifter dock inte på långa vägar torde räcka till för att finansiera inspektionsverksamheten. Kommittén diskuterade också alternativet att finansiera Datainspek- tionens verksamhet med en särskild avgift som utgår för något som brukar ha med behandling av personuppgifter att göra, t.ex. datorer eller medier för lagring av digitala signaler. Avgiften borde betalas av ett ganska hanterligt antal skattesubjekt som har möjlighet att föra kostnaden vidare till flera. En nackdel med en sådan avgift ansågs dock vara att kostnaderna för att administrera avgiften torde bli stora i förhållande till de jämförelsevis obetydliga belopp som behöver tas ut. Kommittén fann sammanfattningsvis att alla angivna finansierings- möjligheter var förenade med betydande nackdelar, och att den minst dåliga var att Datainspektionens verksamhet finansieras över stats- budgeten. Utredningen ansåg det därför naturligt att Datainspektionens verksamhet med att skydda den personliga integriteten i samhället finansieras med skattemedel. Datainspektionen och skyddet för den personliga integriteten 135 6Datainspektionen och skyddet för den personliga integriteten Datainspektionen är, och bör även fortsättningsvis vara, central förvaltningsmyndighet med uppgift att verka för att människor i skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. I utredningens uppdrag ingår i första hand att analysera vilka krav som den nya personuppgiftslagen ställer på förändringar i Datainspek- tionens verksamhetsinriktning och arbetsformer. I denna översyn skall särskilt beaktas den snabba utvecklingen inom informationsteknikens område. Under rubriken och skyddet för den personliga integriteten tar utredningen upp det grundläggande syftet med Data- inspektionens verksamhet och på vilka olika sätt ändamålet med verksamheten bäst kan främjas. Detta kapitel skall i första hand ses som en bakgrund till kapitel 7 och 8 i vilka utredningen närmare går in på vilka uppgifter Datainspektionen enligt utredningens uppfattning särskilt skall inrikta sin verksamhet på . I det föreliggande kapitlet diskuterar emellertid utredningen även frågor som på ett mer övergripande plan rör det framväxande informa- tionssamhället och behandlingen av personuppgifter. På så sätt har kapitlet även anknytning till de övriga frågor som omfattas av utred- ningens uppdrag. Kapitel 6 skall således tjäna som en introduktion till utredningens överväganden i sin helhet. 136 Datainspektionen och skyddet för den personliga integriteten 6.2Datainspektionens uppgift i informationssamhället Datainspektionens uppgift enligt personuppgiftslagen belyses bäst genom en beskrivning och jämförelse med förhållandena under data- lagens tid. Detta har tidigare ingående beskrivits i kapitel 3. Det bör emellertid framhållas att den förändring, för Datainspek- tionens del, som har skett genom personuppgiftslagens ikraftträdande inte utgör en skarp skiljelinje mellan två helt olika verksamhetsinrikt- ningar. Målsättningen för inspektionens verksamhet har i stort sett varit densamma och det har varit fråga om en successiv utveckling och förändring av arbetsuppgifterna alltsedan Datainspektionen inrätt- ades . I förarbetena till personuppgiftslagen framhålls särskilt att den nya lagen till skillnad från sin föregångare, datalagen, är teknikoberoende. Någon grundläggande förändring av syftet med lagstiftningen är det dock inte fråga om. Ändamålet med Datainspektionens verksamhet, enligt såväl datalagen som personuppgiftslagen, har varit och är att för- hindra otillbörligt intrång i den personliga integriteten vid automati- serad behandling av personuppgifter. Begreppet teknikoberoende har i motiven till personuppgiftslagen kopplats till att även vissa behandlingar av person- uppgifter omfattas av lagen. Att framhålla bestämmelsernas teknik- oberoende är också ett sätt för lagstiftaren att understryka att lagen är generellt tillämplig.1 Alltjämt är avsikten med lagstiftningen, och därmed också Data- inspektionens verksamhet, att undanröja den ökade risk för intrång i den personliga integriteten som den automatiserade behandlingen av personuppgifter kan leda till. De möjligheter som informationstekniken för med sig ökar risken för otillbörligt intrång i den personliga integriteten och det finns därför ett särskilt behov av skydd vid auto- matiserad behandling av personuppgifter. På så sätt har såväl lagstift- ningen som Datainspektionens verksamhet anknytning till den tillämp- ade tekniken, även om ändamålet är ett generellt skydd för den person- liga integriteten. Den för Datainspektionen kanske mest väsentliga förändring som skett genom personuppgiftslagen är att det tillståndskrav för behandling av personuppgifter som gällde enligt datalagen har tagits bort. Härigenom kan Datainspektionens roll betonas, att som en renodlad tillsynsmyndighet med alla krafter tillvarata och främja skyddet för den personliga integriteten. 1997/98:44 s. 38 ff. Datainspektionen och skyddet för den personliga integriteten 137 Metoden för att skydda den personliga integriteten skall främst vara att myndigheten informerar om den nya lagstiftningen och inspekterar att lagregler och föreskrifter efterlevs i den praktiska tillämpningen. En närmare redovisning av detta följer i kapitel 7. I föreliggande kapitel diskuterar utredningen i första hand själva syftet med Datainspek- tionens verksamhet, hur detta kan uppnås och vad som avses med den personliga integriteten. 6.2.1Syftet med Datainspektionens verksamhet Utgångspunkten för personuppgiftslagen är att tillförsäkra den enskilde ett fullgott integritetsskydd i IT-samhället som användningen av ny teknik i samhällsutvecklingen inte skall försvåras i onödan. I enlighet härmed anges också allra först i förordningen (1998:1192) med instruktion för Datainspektionen att inspektionen är central förvaltningsmyndighet med uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Detta är det grundläggande och allt överskuggande syftet med Datainspektionens verksamhet. Även personuppgiftslagens föregångare, datalagen, hade som ända- mål att skydda den personliga integriteten. Utgångspunkten för förslaget till datalag var att den enskilde – med de begränsningar som följer av samhällsgemenskapens krav – bör ha tillgång till en fredad sektor, inom vilken han eller hon skall kunna avvisa otillbörlig inblandning från det allmänna eller andra.2 Integritetsskyddet skulle enligt datalagen upprätthållas genom att ett tillståndstvång för automatisk databehandling av personuppgifter infördes och att person- registren underkastades en fortlöpande tillsyn. Dessa uppgifter skulle anförtros en självständig myndighet kallad Datainspektionen. Datainspektionen inrättades således och har haft till uppgift att förhindra kränkningar av den personliga integriteten vid behandling av personuppgifter. Datalagen och Datainspektionen tillkom som namnen anger som en följd av datorernas intåg i det svenska samhället. När den nya datorteknikens inverkan på samhället började diskuteras , var det emellertid i första hand dess inverkan på offentlig- hetsprincipen och allmänna handlingarnas offentlighet som kom att ställas i fokus, inte den personliga integriteten. Först något senare började frågor med direkt anknytning till skyddet för den personliga integriteten att bli aktuella. De möjligheter att hantera information som den nya tekniken erbjöd medförde farhågor 2 SOU 1972:47. 138 Datainspektionen och skyddet för den personliga integriteten hos medborgarna som hade att göra med vilken uppgiftsinsamling myndigheterna skulle tillåtas att göra och vad de insamlade uppgifterna skulle få användas till. De nya möjligheterna ansågs påtagligt öka myndigheternas makt över de enskilda och därmed även risken för intrång i den personliga integriteten. Detta är ur historisk synvinkel inget nytt. Människor tycks alltid ha förknippat ankomsten av ny teknik med hot mot den personliga integriteten. Detta har gällt flera tekniska nymodigheter, såväl kameran och tryckpressen som naturligtvis persondatorn och Internet. Varje sådant tekniskt framsteg har medfört ett förnyat och ökat intresse för skyddet för den personliga integriteten. Det är emellertid inte datortekniken som sådan som Datainspek- tionen, trots namnet, har till huvuduppgift att hålla sitt vakande öga över. Det är i stället de möjligheter att behandla personuppgifter som datortekniken ger och de risker för den personliga integriteten detta för med sig som inspektionen skall koncentrera sig på. Detta sägs för att återigen belysa att det är skyddet för den personliga integriteten som är den huvudsakliga uppgiften för inspektionens verksamhet. Den personliga integriteten har uppmärksammats i många statliga utredningar och varit föremål för analys även i många andra samman- hang. Det genomgående för dessa överväganden har varit att det alltid visat sig lika svårt att precisera innebörden i begreppet personlig integritet. Uppfattningen om vad som omfattas av den personliga integriteten varierar mellan olika människor. Det beror i hög grad på den enskildes subjektiva uppfattning om vad denne anser ingå i den rent personliga sfären. Den enskildes uppfattning kan i sin tur påverkas av t.ex. politisk eller religiös övertygelse. Dessutom förändras inställningen till integri- tet över tiden. Värderingar påverkas mycket av den tidsålder och det samhälle man lever i. När det gäller uppgifter som är personliga kan det också ha betydelse i vilket sammanhang de används om den enskilde uppfattar det som att hans integritet har kränkts eller inte. Det kan konstateras att varken svensk lagstiftning eller doktrin inne- håller någon enhetlig definition av begreppet personlig integritet. Så används t.ex. i 1 kap. 2 § tredje stycket regeringsformen (RF) begreppet enskilds privatliv när den grundläggande ambitionen för det allmänna att skydda den personliga integriteten slås fast, efter- Datainspektionen och skyddet för den personliga integriteten 139 som det senare begreppet ansågs svårbegripligt och svårt att avgränsa.3 Begreppet finns emellertid i 2 kap. 3 § andra stycket RF. Oavsett svårigheten att definitivt klarlägga innebörden i begreppet personlig integritet måste man på något sätt ta sig an begreppet i alla sammanhang som rör behandling av personuppgifter och tillämpning av personuppgiftslagen. Det grundläggande syftet med lagstiftningen är skyddet för den personliga integriteten. Såväl de som behandlar personuppgifter som Datainspektionen i sin roll som tillsynsmyndighet måste därför i vart fall ha en föreställning om begreppets innebörd i allmänhet och dess betydelse för den praktiska tillämpningen i det enskilda fallet. Personlig integritet kan vara att slippa få vissa personliga uppgifter om sig själv spridda till andra människor. Svårigheten att definiera begreppet positivt har dock lett till att man i stället försökt att identi- fiera vad som konstituerar en kränkning av den personliga integriteten. En integritetskränkning beskrivs i dessa sammanhang som att förlora kontrollen över sin egen person eller en viss typ av uppgifter om sig själv. När det gäller frågan om vilka förhållanden som generellt sett anses utgöra intrång i annans personliga integritet hänvisas ofta till en av professorn upprättad kränkningskatalog. Som exem- pel ur denna kan nämnas spridande av förtroliga uppgifter, avslöjande inför offentligheten av annans privata förhållanden, utnyttjande av annans namn eller bild och angrepp på annans heder och ära.4 Professorn delar in försöken att precisera innebörden av begreppet personlig integritet i följande kategorier: (a) Sfärteorin Den enskilde har en innersta sfär, där förhållanden, egenskaper och handlingar inte bör vara kända av andra än den enskilde själv. Utanför denna innersta sfär finns andra sfärer med gradvis avtag- ande känslighet och med växande anspråk från omvärlden på att information måste vara tillgänglig. (b) Datakategoriteorin Det finns olika kategorier av data som kan känslighetsgraderas. Exempelvis är adressuppgifter, generellt sett, mindre integritets- känsliga än uppgifter om politisk övertygelse. (c)Situationsteorin Det finns inga kategorier av data som à priori kan anses okäns- liga från integritetsskyddssynpunkt. Intrångsmöjligheterna hänger helt och hållet samman med i vilken situation uppgifter används, 1975/76:209 s. 131. 4SvJT 1971 s. 698 f. 140 Datainspektionen och skyddet för den personliga integriteten av vem, för vilket syfte, tillsammans med vilka andra uppgifter osv. (d) Äganderättsteorin Data om individen är individens egendom. Han eller hon måste alltid samtycka till att andra får del av dem. (e)Autonomiteorin Integritetsskyddets kärna består i en rätt att bli lämnad ifred, att själv få avgöra i vilka sammanhang och under vilka förutsättningar man träder i förbindelse med omvärlden, framför allt med myndig- heter och andra representanter för samhället. (f) Empirteorin Vad som uppfattas som integritetsintrång måste fastställas på statistisk väg. Man måste således hämta vägledning i undersök- ningar av det slag som har utförts av Statistiska centralbyrån.5 Rätten till personlig integritet är vidare inte absolut, utan från tid till annan föremål för inskränkningar.