sou · GQB32 · 2003-01-01 00:00:00 — För att Datainspektionen skall lyckas uppfylla målsättningen med verksamheten krävs dock att inspektionen har möjlighet att behålla och, i den utsträckning det är nödvändigt, nyrekrytera kvalificerade jurister. Det är emellertid viktigt att åter framhålla att Datainspektionen skall fungera som en utåtriktad myndighet och inte som en traditionell domstol. Myndigheten måste aktivt deltaga i samhällsdebatten och välvilligt ställa upp för massmedia. Både kortsiktigt och långsiktigt vinner myndigheten och integritetsskyddet på det. Enligt instruktionen för Datainspektionen skall inspektionen följa och beskriva utvecklingen inom IT-området när det gäller frågor som rör integritet och ny teknik. Inspektionen behöver därför även av den anledningen ingående teknisk kompetens. Detta är ett område i ständig och mycket snabb förändring. Det går inte att kräva att Data- inspektionen skall kunna ha en fullständig bevakning av utvecklingen inom hela det informationstekniska området. Datainspektionen måste dock ha en s.k. beställarkompetens. Det gäller med andra ord för Data- inspektionen att veta när den egna kompetensen inte räcker till och när inspektionen således är tvungen att anlita externa resurser för att klara de uppgifter som inspektionen själv inte kan utföra på ett fullgott sätt. Vid behov bör alltså Datainspektionen köpa in konsulttjänster. Inspektionen måste ha egen tillräcklig teknisk kompetens för att utföra sina tillsynsuppgifter på ett ändamålsenligt sätt, vilket främst innebär kunskaper om tekniska rutiner och säkerhetsåtgärder för att bedöma integritetsskyddet i samband med behandling av personupp- gifter. Datainspektionen har tre anställda, med olika bakgrund, som har teknisk kompetens. Inspektionen behöver fortlöpande förstärka sin kompetens vad gäller informationsteknik (se vidare kapitel 12). Antalet anställda med teknisk kompetens bör vara fler än . Enligt utredningens mening bör personal med särskild teknisk kompe- tens alltid deltaga vid myndighetens inspektioner på plats. 172 En effektiv och ändamålsenlig tillsynsverksamhet är givetvis att en så stor del av de anställda som möjligt besitter såväl juridisk som teknisk kompetens. Utöver kunskaper i juridik och informationsteknik behöver Data- inspektionens personal särskild insikt i de olika sakområden och branscher inspektionen är satt att övervaka. Goda kunskaper hos personalen om tillsynsobjekten och deras verksamhet är en stor tillgång i framför allt inspektionsarbetet. Datainspektionens personals samlade kompetens skall vara en syntes av informationstekniskt kunnande, juridiskt kunnande och sakområdeskompetens. Personuppgiftslagen medför som redan konstaterats stora förändringar av Datainspektionens verksamhet. Rollen som förhandskontrollerande tillståndsmyndighet har närmast försvunnit och verksamheten koncen- treras i stället på information om de materiella reglerna samt inspektion av att reglerna följs. Datainspektionens nya verksamhetsinriktning som renodlad tillsynsmyndighet ställer naturligtvis krav på att man närmare ser över organisationen och arbetsmetoderna och hur arbetet med information och inspektion kan förbättras. En sådan översyn bör utvisa hur Datainspektionen konkret kan förstärka tillsynen i olika avseenden, och kan leda till att man finner det nödvändigt att redan nu göra förändringar i arbetsformerna och orga- nisationen. För att upprätthålla en god standard i tillsynsarbetet krävs emellertid dessutom att Datainspektionen fortlöpande ser över, utveck- lar och anpassar verksamheten till rådande förhållanden. För att åstadkomma en effektiv och ändamålsenlig tillsynsverk- samhet måste myndigheten enligt utredningens uppfattning ha en förankrad och väl fungerande organisation och en utvecklad metod att arbeta efter, dvs. en hos personalen förankrad strategi som beskriver planering, genomförande, uppföljning och utvärdering av verksam- heten. Viktigast är att man har konkreta mål att arbeta mot och att man noggrant kan utvärdera i vilken utsträckning man lyckats uppnå dessa mål. En välgrundad målsättning och en genomarbetad metod för genomförande och utvärdering av målsättningen främjar Data- inspektionens tillsynsverksamhet. Som tidigare framhållits är det inte utredningens avsikt att i betänkandet i detalj tala om hur Datainspektionen skall organisera sitt arbete. Mål och strategier för verksamheten skall utarbetas i samspel mellan regeringen och myndigheten. Utredningen vill med detta avsnitt i första hand framhålla betydelsen av att myndigheten utarbetar En effektiv och ändamålsenlig tillsynsverksamhet 173 ändamålsenliga strategier för sin verksamhet. Särskilt viktigt är detta med ett så omfattande ansvarsområde som Datainspektionen har. Det är viktigt för en organisation att fastställa övergripande mål och visioner för verksamheten, lika viktigt är det att dra upp riktlinjer och strategier för hur dessa mål skall nås. Om en vision eller verksamhetsidé fastställs kan detta utgöra en grund för att dra upp riktlinjer för hur målsättningen med verksamheten skall förverkligas. I detta arbete bör myndigheten utgå från den egna verksamheten och studera vilken styrka och vilka svagheter som organisationen har. Genom att göra en omvärldsanalys kan tänkbara möjligheter, hot och framtidsutsikter urskiljas. Utifrån denna analys kan sedan lämpliga strategier formuleras. Oavsett utformningen av myndighetens strategi för verksamheten måste denna vara väl förankrad hos personalen för att maximal effektivitet skall kunna uppnås. En framgångsrik myndighetsverk- samhet förutsätter att alla känner delaktighet och ansvar för organisa- tionen man arbetar i. Arbetsmetoder och målsättningar bör därför utarbetas i samarbete mellan myndighetens olika enheter och med deltagande av samtliga personalkategorier. Alla medarbetare bör känna sig delaktiga i processen med att formulera mål och strategier. Vid planering och formulering av mål för verksamheten bör man också vända sig utåt mot samhället för att ta in synpunkter från externa intressenter och avnämare, för att erhålla en koppling till hur effekterna blir ute i samhället av genomförd verksamhet. Målstyrning bör karaktäriseras av att mätbara mål formuleras för verksamheten. Utfallet skall sedan kunna jämföras med uppsatta mål. För att målstyrningen skall kunna fungera tillfredsställande, krävs att antalet mål inte är allt för omfattande. Väsentliga områden bör identi- fieras och myndigheten bör prioritera och fokusera på kärnverksam- heten. För Datainspektionens del gäller det att prioritera informations- och inspektionsverksamheten. Den målsättning för Datainspektionen som formulerats, främst i regleringsbrev, är att antalet inspektioner skall ligga på minst samma nivå som de två föregående åren. Det kan emellertid finnas flera nackdelar med en målsättning som inte är mer preciserad och som endast är inriktad på produktion. Det kan lätt bli kvantitet i stället för kvalitet. kan det även saknas analys innan man går till handling. Framtidsperspektivet tappas liksom prioriteringar utifrån myndighetens roll och mål. Risk finns också att det brister i 174 En effektiv och ändamålsenlig tillsynsverksamhet uppföljning och utvärdering av olika projekt och insatser. Inspektions- verksamheten måste enligt utredningens uppfattning inriktas på de verksamheter där det föreligger störst risk för intrång i den personliga integriteten och där det behandlas stora mängder personuppgifter. En ändamålsenlig verksamhetsstrategi bildar underlag för att kunna göra nödvändiga prioriteringar i verksamheten. En strategi för Datain- spektionens tillsynsinsatser bör ha sin grund i den framtida verksam- hetsinriktningen, och hur de två huvuduppgifterna information och inspektion skall samverka. Verksamhetsstrategin med visioner och mål bör bl.a. omfatta frågor som organisation, vilka riskområden tillsynen skall fokusera, vilka arbetsmetoder som skall användas, hur arbetet skall genomföras, verksamhetens omfattning, bemanning, m.m. Verk- samhetsstrategin bör även innefatta organisationsutveckling, utveckling av relationer med omvärlden och personalutveckling. Det behövs såväl långsiktiga som kortsiktiga mål för verksamheten. En långsiktig planering kan innebära att inspektionen arbetar sig igenom olika statliga myndigheter, kommuner eller vissa utpekade branscher i näringslivet. Därutöver behövs naturligtvis även resurser för brandkårsutryckningar, dvs. att man akut kan ta sig an de problem som dyker upp t.ex. via klagomål från allmänheten eller i massmedia. Det är nödvändigt för Datainspektionen att göra prioriteringar i sin verksamhet. Med begränsade resurser och ett så omfattande ansvars- område som innebär att man inte kan kontrollera allt, är det av stor vikt att myndigheten inriktar sina tillsynsinsatser på de områden och företeelser där de största riskerna för intrång i den personliga integriteten finns. Tillsynsverksamheten måste bl.a. fortlöpande kunna anpassas till utvecklingen inom informationstekniken och omfattningen och sättet för behandling av personuppgifter. Tillsynen över behandling av personuppgifter skall vidare vara anpassad till såväl uppdragsgivarna som andra intressenters krav och förväntningar i verksamheten. Datainspektionens kunder i ett vitt perspektiv är riksdag och regering, svenska myndigheter, företag, organisationer och andra som behandlar personuppgifter, samt framför allt de enskilda vars personuppgifter behandlas. Sammanfattningsvis kan man säga att alla människor i är kunder hos Data- inspektionen. Anpassning av verksamheten till intressenternas krav och förvänt- ningar måste ske fortlöpande. Därför bör strukturerade former för dialog, kommunikation och utvärdering för detta finnas. har Datainspektionen ett ansvar att inte bara tillfredsställa de önskemål som dess kunder direkt utrycker. Inspektionen har enligt sitt uppdrag givetvis också ett ansvar att påverka de personuppgiftsansvariga att behandla personuppgifter korrekt samt i enlighet med god sed och de En effektiv och ändamålsenlig tillsynsverksamhet 175 regler och riktlinjer vars efterlevnad inspektionen är satt att upprätthålla och bevaka. Detta innebär att Datainspektionen i sin tillsynsverksamhet inte kan avvakta tydliga signaler från intressenter beträffande önskemål om utveckling av verksamheten, utan själv måste ta initiativet till en utveckling av verksamheten vad gäller inriktning och kvalitet. Enligt utredningens mening är härvid särskilt viktigt att Datainspek- tionen är aktiv i samhällsdebatten och att myndigheten prioriterar att medverka till att olika former av självreglering kommer tillstånd. Uppföljning och utvärdering av verksamheten är viktigt för att kunna planera det fortsatta arbetet. En noggrann utvärdering av olika insatser är en förutsättning för att resultatet av verksamheten skall kunna tas till vara i organisationen på ett ändamålsenligt sätt. Det bör därför finnas särskilda rutiner som säkerställer att resultatet av olika projekt används på ett effektivt sätt i myndighetens verksamhet. Det är viktigt att de mål som formuleras för verksamheten också följs upp efter genomförda åtgärder. Både ordinarie verksamhet och genomförda särskilda projekt måste följas upp på ett ändamålsenligt sätt. Det är dessutom av stor betydelse att medarbetarna kan se resultatet av sitt arbete. Datainspektionen bör följa upp specifika inspektioner för att ut- värdera vilka resultat dessa fått för behandlingen av personuppgifter hos de enskilda tillsynsobjekten. Men också samverkan med informa- tionsinsatserna bör utvärderas, t.ex. om resultaten från inspektionerna nått ut och fått genomslag hos andra personuppgiftsansvariga inom samma bransch eller liknande områden. Utvärdering bör naturligtvis också ske för att kontrollera om de uppställda målen uppfyllts och om arbetsmetoderna är effektiva och ändamålsenliga. En förutsättning för att uppföljning och utvärdering av verk- samheten skall kunna ske är att genomförda insatser dokumenteras på ett enhetligt och korrekt sätt. En sådan dokumentation kan också ligga till grund för spridning av resultaten från genomförda inspektioner till t.ex. berörda branscher, myndigheter eller allmänheten. Datainspek- tionens hemsida på Internet bör här kunna användas i stor utsträckning. Också inspektionens strategi för myndighetens arbete bör samlas på ett lättillgängligt sätt för att underlätta tillämpningen i det praktiska arbetet. Materialet kan också ge stöd och vägledning för den personal som deltar i varje enskilt led av tillsynsprocessen. Ett sådant material kan t.ex. innehålla såväl övergripande mål och beskrivning av 176 En effektiv och ändamålsenlig tillsynsverksamhet inspektionens uppgift som specifika rutinbeskrivningar av tillsynsprocessens olika delmoment och mallar för inspektionsplaner och rapporter. I samband härmed bör också påpekas vikten av att erfarenheter i verksamheten dokumenteras och sprids på ett lämpligt sätt även internt till Datainspektionens medarbetare, för att man skall kunna dra lärdom och slutsatser av genomförda åtgärder för att förbättra och effektivisera den framtida verksamheten. Med ett så diffust ändamål för verksamheten som skyddet för den personliga integriteten är det svårt att utvärdera hur framgångsrik verksamheten verkligen är. Eftersom skydd för den personliga integri- teten är svårt att kvantifiera har ingen accepterad metod kunnat utarbetas för att mäta effekterna av olika tillsynsmetoder/insatser. Detta får dock inte hindra att man anstränger sig för att sätta upp tydliga mål för arbetet utifrån vilka man kan utvärdera och analysera verksam- heten. En effektiv tillsynsverksamhet förutsätter enligt utredningens mening att Datainspektionen sprider kunskap om integritetsskyddslagstiftning och behandling av personuppgifter i allmänhet. Med goda kunskaper om behandling av personuppgifter och integritet kan människorna i se till att frågorna blir uppmärksammade i tillräcklig utsträck- ning och ställa berättigade krav på dem som behandlar personuppgifter att iaktta skyddet för den personliga integriteten. Även teknikens möjligheter att förebygga intrång i den personliga integriteten bör uppmärksammas. Information om system som bidrar till god personuppgiftshantering bör publiceras eller spridas på annat sätt. I informationsverksamheten bör också ingå att t.ex. resultatet av utförda inspektioner kommer andra personuppgiftsansvariga med liknande förhållanden till del. Framför allt massmedia och Internet bör vara två viktiga hjälpmedel i Datainspektionens informationsverksamhet. För att öka allmänhetens och de personuppgiftsansvarigas intresse för integritetsfrågor är det viktigt att föra ut budskapet om personupp- giftshanteringens möjligheter, samt vilka rättigheter och skyldigheter som föreligger. Information i massmedia om integritetsfrågor gör att bevakningsuppgiften sprids till allmänheten och ökar möjlig- heten att genom klagomål till Datainspektionen upptäcka oegentlig- heter i personuppgiftshanteringen som bör bli föremål för inspektion- ens vidare åtgärder. En effektiv och ändamålsenlig tillsynsverksamhet 177 Massmediabevakningen bör även kunna användas av Datainspek- tionen till att stimulera till självreglering och annan form av egen- kontroll. De personuppgiftsansvariga kan genom media varslas om inom vilka områden Datainspektionen anser att de största hoten mot den personliga integriteten finns och var inspektionen har för avsikt att utföra inspektioner . Datainspektionen bör vidare kunna utveckla sin hemsida på Internet ytterligare för att härigenom sprida kunskap till allmänheten. Internet har blivit en allt mer utnyttjad källa för information. Människor vill ofta snabbt och enkelt, direkt när behovet uppstår, kunna få tag i information och använder sig då av Internet som första alternativ. Datainspektionen bör därför satsa på att den information som inspektionen vill komma ut med i så stor utsträckning som möjligt går att inhämta via myndighetens webbplats. Utöver den information som går att få finns en efterfrågan på en allmän rapportering av praxis inom Datainspektionens ansvars- område. I det sammanhanget kan man överväga en utgivning av praxis på CD-romskivor eller i årsböcker i webb-form. Det är i detta sammanhang värt att notera att Datainspektionen i sitt tillsynsarbete inte har kunnat se någon tydlig successiv övergång mellan tillämpning av datalagen och tillämpning av person- uppgiftslagen. Det tyder på att de flesta personuppgiftsansvariga började tillämpa personuppgiftslagen först , när datalagen helt upphörde att gälla. Utredningen anser därför att det kommer att behövas särskilt kraftfulla informa- tionsinsatser vad gäller den nya lagstiftningen. I samband med en sådan större informationskampanj bör Datainspektionen ta tillfället i akt och även mer allmänt informera om integritetsskyddet i samhället. Inspektionsverksamheten är mycket viktig för att förebygga intrång i den personliga integriteten. Utredningen anser att en stor del av Datainspektionens resurser bör användas till att inspektera att person- uppgifter behandlas lagligt och korrekt och i enlighet med god sed. En rimlig utgångspunkt är att minst en tredjedel av myndighetens personalresurser ägnas åt renodlad inspektionsverksamhet. Inspektionsverksamheten skall vara noggrant planerad och bygga på uppsatta mål och strategier. Rutinerna för inspektionsverksamheten bör fortlöpande ses över. Goda kunskaper hos personalen om de olika tillsynsobjekten och deras verksamhet är en stor tillgång i inspektionsverksamheten. 178 En effektiv och ändamålsenlig tillsynsverksamhet effektiv inspektionsverksamhet bör därför bl.a. bedrivas av ett antal arbetslag med olika specialisering. Detta kan ske i form av små själv- ständiga inspektionsgrupper med områdesansvar för vissa branscher, och statliga myndigheter. För Datainspektionen som är en liten myndighet gäller dock att man mellan olika avdelningar kan samarbeta och dra ömsesidig nytta av varandras erfarenheter inom olika verksamheter. I kapitel 13, Datainspektionens finansiering, tas frågan upp om att debitera en avgift för den renodlade inspektionsverksamheten. Även om Datainspektionen skall utföra en omfattande kontroll av hanteringen av personuppgifter i samhället bygger personuppgifts- lagens regler på att ansvaret för behandlingen av personuppgifter ligger hos den för vars verksamhet behandlingen sker. Den personuppgifts- ansvarige kan utse ett personuppgiftsombud som självständigt skall kontrollera behandlingen av personuppgifter. Ansvaret för att behandlingen är korrekt och i enlighet med personuppgiftslagen och god sed ligger dock alltjämt kvar på den personuppgiftsansvarige. Även om Datainspektionen som tillsynsmyndighet har ansvar för att övervaka behandlingen av personuppgifter kan myndigheten, som tidi- gare framhållits, inte kontrollera allt. För att så effektivt som möjligt utnyttja sina resurser till att förebygga intrång i den personliga integri- teten gäller det därför enligt utredningens uppfattning att Datainspek- tionen arbetar för att sprida kontrollen av de personuppgiftsansvariga på så många seriösa aktörer som möjligt. Här har personuppgifts- ombuden och olika former av självreglering en viktig funktion att fylla. Eftersom Datainspektionen inte själv kan kontrollera allt, måste man använda sig av alla goda krafter i samhället för att tillvarata skyddet för den personliga integriteten. Myndigheter, företag, organisa- tioner och privatpersoner måste själva bidra till att uppmärksamma hot mot den personliga integriteten och förhindra intrång i densamma. För att detta skall vara möjligt krävs att dessa grupper har goda kunskaper om personuppgiftslagen och integritetsfrågor i allmänhet. Datainspek- tionens uppgift som informatör och rådgivare i detta sammanhang framstår därmed som oerhört centralt och viktigt. Personuppgiftsombudets uppgift är att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt att påpeka eventuella brister. Detta innebär enligt förarbetena att ombudet i vart fall bör granska rutinerna för behandling av personuppgifter och de krav på En effektiv och ändamålsenlig tillsynsverksamhet 179 kvalifikationer, lämplighet och kunskap som den personuppgifts- ansvarige ställer på den personal som tillåts behandla sådana uppgifter. Personuppgiftsombuden är en resurs för integritetsskyddet och fun- gerar med sina uppgifter som Datainspektionens förlängda arm. Med hänsyn till ombudens ansvar innebär funktionen en rejäl ambi- tionshöjning vad gäller integritetsskyddet i samhället. En utbredd användning av systemet med personuppgiftsombud bör därför enligt utredningens uppfattning få betydelse för inriktningen och omfatt- ningen av Datainspektionens tillsynsinsatser. Ett framgångsrikt utnytt- jande av personuppgiftsombuden, som innebär att ombuden övertar en del av det ansvar som vilar på Datainspektionen, kräver emellertid att ombudens kunskaper om integritetsskydd i samband med behandling av personuppgifter ligger på en hög nivå. För att åstadkomma detta kommer det att behövas såväl utbildning som ett fortlöpande stöd åt ombuden med bl.a. samrådsmöjligheter. Även om personuppgiftsombuden således kan avlasta Datainspektionen i dess tillsyn över behandlingen av personuppgifter i samhället kommer ombuden att vara i behov av vissa insatser från myndighetens sida, naturligen inom ramen för myndighetens informationsverksamhet. Detta förutsätter att inspektionen har resurser för sådan verksamhet. Som utredningen framhållit i avsnitt 8.3 bör Datainspektionens personalresurser därför initialt vara oförändrade. De resurser, som tillskapas om ansvaret för kreditupplysnings- och inkassolagarna förs över till (ca 2,5 årsarbetskrafter), kan i ett inledningsskede användas för ifrågavarande verksamhet. kan dock personuppgiftsombuden enligt utredningens upp- fattning medföra minskade kostnader för Datainspektionens verksam- het. Att ansvaret för integritetsskyddet i samband med behandling av personuppgifter har flyttats från Datainspektionen till de person- uppgiftsansvariga och personuppgiftsombuden innebär nya förut- sättningar för Datainspektionen när det gäller myndighetens inspek- tionsverksamhet. Personuppgiftsombudens ansvar att självständigt kontrollera behandlingen av personuppgifter, en kontroll som var en uppgift endast för Datainspektionen, ger möjligheter för myndigheten att genom prioritering effektivisera sin inspektions- verksamhet. Myndigheten bör härmed ytterligare kunna fokusera på de områden där störst risk för intrång i den personliga integriteten före- ligger. I takt med att ombudens ansvar för integritetsskyddet utvecklas, bör enligt utredningens mening Datainspektionens resurser kunna minskas. Det är inte möjligt för utredningen att uttala sig närmare om de konsekvenser för Datainspektionens framtida resursbehov i anledning av de nya förutsättningar för myndighetens verksamhet som personupp- 180 En effektiv och ändamålsenlig tillsynsverksamhet En rimlig utgångspunkt är emellertid att resurs- erna kan minskas i den mån personuppgiftsombuden på ett fram- gångsrikt sätt tar över ansvaret för integritetsskyddet. Som en jämförelse när det gäller frågan om vilka resurser för integritetsskyddet som införandet av personuppgiftsombud innebär kan förhållandena inom polisen nämnas. och samtliga länspolis- myndigheter har utsett 20 personuppgiftsombud, motsvarande ca Lågt räknat innebär detta en årlig kostnad på ca , eller av kostnaderna för hela Data- inspektionens verksamhet. Enbart polisens kostnader för kontroll av organisationens behandling av personuppgifter innebär således en jämförelsevis mycket kraftig förstärkning av resurserna för skyddet för den personliga integriteten. Motsvarande satsningar hos andra myndig- heter, organisationer och företag måste enligt utredningens bedömning ge förutsättningar att minska Datainspektionens resurser.