sou · GQB32 · 2003-01-01 00:00:00 — Regeringen beslutade att tillkalla en särskild utredare för att göra en översyn av Datainspektionens uppgifter och verksamhet mot bakgrund av den nya personuppgiftslagen (1998:204) och den snabba utvecklingen inom informationsteknikens område. Utredaren skulle också analysera behoven av förändringar i verksam- hetsinriktning och arbetsformer och lämna de förslag som behövs när det gäller inriktning, omfattning och finansiering av den fortsatta verksamheten. förordnade statsrådet kammar- rättslagmannen att vara särskild utredare. Som experter har medverkat byrå- chefen , finansinspektören , enhetschefen , departementsrådet , direktören , chefsjuristen , kammarrättsassessorn , professorn , departementssekreteraren och kriminalkommissarien . Sekreterare åt utredningen har varit kammarrättsassessorn . Utredningen har tagit namnet Utredningen om Datainspektionens framtida verksamhetsinriktning (Ju 2000:16). Härmed överlämnar utredningen sitt betänkande (SOU 2002:2) DATAINSPEKTIONEN Kompetens – Effektivitet – Service. Utredningens arbete är härigenom avslutat. BAKGRUNDEN TILL UTREDNINGENS FÖRSLAG Datainspektionens verksamhet och organisation........................ Översikt över Datainspektionens uppgifter...................................... Datainspektionens verksamhetsgrenar m.m...................... Bakgrunden till datalagstiftningen.................................... Allmänt om lagen och dess tillämpningsområde .............. Allmänt om lagen och dess tillämpningsområde .............. Förutsättningar för behandling av personuppgifter .......... Information och rättelse.................................................... Säkerhet vid behandlingen................................................ Överföring av personuppgifter till tredje land.................. 3.3.7Datainspektionens befogenheter som tillsynsmyndighet.. 57 Anmälan till Datainspektionen ......................................... Ikraftträdande- och övergångsbestämmelser .................... Lagens tillämpningsområde (1–3 §§) ............................... Tillstånd (3 och 4 §§)........................................................ 3.5.4Grundläggande krav på kreditupplysningsverksamhet (5 och 6 §§)....................................................................... (15–18 §§) ...................................... Sanktioner (19–21 §§) ...................................................... Överklagande (23 §) ......................................................... Lagens tillämpningsområde (1 §) ..................................... Tillstånd (2 och 3 §§)........................................................ Grundläggande krav på inkassoverksamhet...................... Sanktioner (17 och 18 §§)................................................. Överklagande (19 §) ......................................................... Grundtanken bakom Europol............................................ Regler om integritetsskydd ............................................... Schengens informationssystem – SIS ............................... Lagen om Schengens informationssystem........................ Det internationella tullsamarbetet .................................................... Tullinformationssystemet i huvuddrag ............................. Rådets förordning (515/97)............................................... 4.2 Från tillstånd till tillsyn.................................................................... Tillståndsprövningen enligt datalagen.............................. Ett förenklat ansöknings- och tillståndsförfarande........... Integritetsskyddet enligt datalagen ................................... Datainspektionens förslag till ändringar i datalagen ........ Förslag till ny datalag ....................................................... 4.3Datainspektionens uppgifter och befogenheter som tillsyns- Datainspektionens befogenheter enligt datalagen ............ 4.3.2Datainspektionens befogenheter enligt personuppgifts- 4.3.3Datainspektionens befogenheter enligt kreditupplys- Datainspektionens befogenheter enligt inkassolagen ....... Skrivbords- och fältinspektioner..................................... Inspektion av IT-säkerhet................................................ Inspektioner enligt personuppgiftslagen......................... Inspektionsverksamhetens omfattning och inriktning .... Datainspektionens övriga tillsynsverksamhet ................................ Informationsverksamheten i siffror ................................ Remisser i siffror och internationellt arbete ................... Tillsynsverksamheten inom EU ..................................................... 5.1Principer för fördelning mellan skattefinansierad verksamhet och Skatt eller avgift.............................................................. Vem beslutar om skatter och avgifter? Avgift för tillsynsverksamhet ......................................... För och emot avgiftsfinansiering .................................... Vilka kostnader skall ingå i avgiften?............................. Avgiftsbelagd verksamhet i konkurrens ......................... 5.1.7Inomstatlig avgiftsbelagd verksamhet (beställar/utförar- Redovisning av avgiftsbelagd verksamhet...................... 5.1.10Förhållandet mellan avgift och skatt med avseende på finansiering av Datainspektionens verksamhet............... 5.2 Datainspektionens resursbehov och finansiering........................... 5.2.1Tidigare avgiftsfinansiering av Datainspektionens Nuvarande kostnader och intäkter .................................. 5.3Datainspektionens förslag till finansiering av 5.4Datalagskommitténs överväganden avseende Datainspektionens Datainspektionen och skyddet för den personliga Datainspektionens uppgift i informationssamhället....................... Syftet med Datainspektionens verksamhet ..................... Den personliga integriteten ............................................................ Varför skall den personliga integriteten skyddas? En grundläggande mänsklig rättighet ............................. Lagar och internationella konventioner .......................... Underlätta användningen av ny teknik ........................... En ekonomisk nödvändighet........................................... 6.5Hur kan den personliga integriteten skyddas i samband med behandling av personuppgifter?..................................................... Självreglering/Egentillsyn .............................................. Från tillstånd till tillsyn.................................................................. Begreppet tillsyn i Datainspektionens Information och inspektion ............................................................ En effektiv och ändamålsenlig tillsynsverksamhet ................... 8.1Samverkan mellan Datainspektionens två huvudområden – Information och Inspektion............................................................ Personal med hög kompetens......................................................... Mål för verksamheten ..................................................... Uppföljning och utvärdering........................................... Personuppgiftsombud och självreglering....................................... Datainspektionens tillsyn inom ramen för polis- och Europol-, Schengen och ................................ 9.2Vilken myndighet skall utöva tillsyn över polis- och Tillstånd och tillsyn inom kreditupplysnings- och inkasso- Kreditupplysnings- och inkassoverksamhet................................... Tillstånd och tillsyn........................................................................ Vilken myndighet skall meddela tillstånd och utöva tillsyn? 10.3.1 För och emot Datainspektionen ...................................... 10.3.2 För och emot ................................... 10.3.3 För och emot ...................................... 10.3.4 För och emot ........................................ Integritetsskydd genom olika former av självreglering ........... Datainspektionens ansvar för självreglering ......................... Definition av självreglering............................................................ Ändamålet med självreglering ....................................................... Privacy Audit Framework............................................... Behovet av självreglering och annan decentralisering av Ansvar att följa teknikutvecklingen ur ett integritets- Datainspektionens behov av teknisk kompetens inom IT-området 217 Datainspektionens framtida finansiering .................................. Allmänna förutsättningar för avgiftsfinansiering av 13.2.1 Av vem och för vad kan avgifter tas ut? 13.2.2 Allmänna synpunkter om avgiftsuttag ............................ En möjlig avgiftsfinansiering av verksamheten enligt Avgifter för inspektionsverksamheten............................ Finansiering av Datainspektionens tillsyn inom det internationella polis- och tullsamarbetet................................................................ Avgift för tillstånd och tillsyn enligt kreditupplysnings- och Det statliga personadressregistret (SPAR)..................................... 14 Konsekvenser av utredningens förslag ...................................... Bilaga 2 Enkät till dataskyddsmyndigheterna inom EU med flera...... Bilaga 3 Inspektionsverksamheten i timmar........................................ Datainspektionens verksamhet –...... Målsättning för Datainspektionens verksamhet .................... Några allmänna utgångspunkter för uppdraget trädde personuppgiftslagen (1998:204) i kraft. upphörde datalagen (1973:289) att gälla, med undantag för pågående behandlingar av personuppgifter, för vilka lagen gällde till och med . Personuppgiftslagen har sin utgångspunkt i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Dataskyddsdirektivet föreskriver bl.a. att det skall finnas en obero- ende tillsynsmyndighet som övervakar tillämpningen av den nationella lagstiftningen till följd av direktivet. I har Datainspektionen utsetts till sådan myndighet. Datainspektionen är således den tillsyns- myndighet som skall se till att personuppgiftslagens regler efterlevs och att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Utredningen har i uppdrag att göra en översyn av Datainspektionens uppgifter och verksamhet mot bakgrund av den nya personuppgifts- lagen och den snabba utvecklingen inom informationsteknikens område. Utredningen skall analysera behoven av förändringar i verk- samhetsinriktning och arbetsformer och lämna de förslag som behövs när det gäller inriktning, omfattning och finansiering av den fortsatta verksamheten. Utredningen skall därutöver särskilt överväga vilken roll Datain- spektionen bör ha när det gäller tillsyn inom ramen för polis- och tullsamarbetet och om inspektionen fortsättningsvis skall ha tillstånds- och tillsynsuppgifter när det gäller kreditupplysnings- och inkasso- verksamhet eller om detta ansvar kan föras över till någon annan myndighet och i så fall till vilken. Utredningen skall vidare undersöka möjligheterna för Datainspektionen att mera aktivt stimulera utveck- lingen av frivilligt integritetsskydd genom olika former av självreg- lering. En annan särskild uppgift för utredningen är att analysera formerna för den fortsatta finansieringen och möjligheterna att helt eller delvis finansiera den framtida verksamheten med avgiftsintäkter. Skyddet för den personliga integriteten Datainspektionen är, och bör enligt utredningens mening även fort- sättningsvis vara, central förvaltningsmyndighet med uppgift att verka för att människor i skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Avsikten med integritetsskyddslagstiftningen, och därmed Datainspektionens verksamhet, har alltid varit och är alltjämt att undanröja den ökade risk för intrång i den personliga integriteten som automatiserad behandling av personuppgifter kan leda till. Skyddet för den personliga integriteten är en grundläggande mänsklig rättighet som upprätthålls av internationella konventioner, nationell lagstiftning samt kultur och tradition. Ett pålitligt skydd för den personliga integriteten underlättar användningen av ny teknik och det är i många sammanhang av stor ekonomisk betydelse att person- uppgifter behandlas korrekt och i enlighet med god sed. Personuppgiftslagen utgör på många sätt ett nytt regelverk i jämförelse med datalagen. Den för Datainspektionen kanske mest väsentliga förändring som skett genom personuppgiftslagen är att det tillståndskrav för behandling av personuppgifter som gällde enligt datalagen har tagits bort. Enligt personuppgiftslagen skall inspektionen i stället värna om skyddet för den personliga integriteten genom sina befogenheter som en mer eller mindre renodlad tillsynsmyndighet. Förhandsprövningen har i princip ersatts av en efterhandskontroll. En sådan förändring av myndighetens uppgifter måste naturligtvis få konsekvenser för verksamhetens inriktning. För att säkerställa en hög skyddsnivå för den personliga integriteten i samband med behandling av personuppgifter är det enligt utred- ningens mening flera åtgärder som är viktiga och som måste samspela. Av grundläggande betydelse är att information om integritetsfrågor sprids för att åstadkomma en allmän medvetenhet om frågorna och kunskap om de rättigheter och skyldigheter som registrerade respektive personuppgiftsansvariga har. Det är vidare av mycket stor vikt att det genom omfattande och effektiva inspektioner kontrolleras att gällande regler efterlevs. Inte minst viktigt är givetvis att de som behandlar personuppgifter tar ett självständigt ansvar för att lagstiftningen följs och integritetsfrågor beaktas, t.ex. genom att utse personuppgiftsombud och utarbeta olika former av självreglering för sin verksamhet. Även de möjligheter som teknikutvecklingen erbjuder bör utnyttjas för att motverka intrång i den personliga integriteten vid behandling av personuppgifter. Att värna om skyddet för den personliga integriteten är ett ansvar för var och en som behandlar personuppgifter. Datainspektionen har som tillsynsmyndighet ett särskilt ansvar att verka för att människor i skyddas mot att deras personliga integritet kränks. För att inspektionen på bästa sätt skall uppnå målsättningen med sin verk- samhet skall myndigheten enligt utredningens uppfattning koncentrera sina resurser på två huvudområden: Information och Inspektion. Datainspektionen skall informera om personuppgiftslagen och ge råd i integritetsfrågor samt utföra inspektioner för att kontrollera att personuppgiftslagen och annan integritetsskyddslagstiftning efterlevs i praktiken. Förebyggande åtgärder i form av information för att höja det all- männa medvetandet och kunskaperna om alla frågor som rör integri- tetsskydd i samband med behandling av personuppgifter utgör grunden för framgång i Datainspektionens verksamhet. De som berörs av behandlingar av personuppgifter, såväl personuppgiftsansvariga som registrerade, måste göras uppmärksamma på relevanta frågeställningar och hur de skall uppfylla sina skyldigheter och tillvarata sina rättig- heter. Sådana informationsinsatser skall sedan kompletteras med en effektiv och ändamålsenlig inspektionsverksamhet i vilken myndig- heten kontrollerar att gällande regler och god sed efterlevs av dem som behandlar personuppgifter i samhället. Datainspektionen har även andra uppgifter än information och inspektion, som är av betydelse för integritetsskyddet i samhället. Myndigheten är bl.a. remissinstans vid lagstiftningsförslag som rör integritetsfrågor och har ett omfattande internationellt åtagande, t.ex. inom EU. Det är emellertid viktigt att detta arbete inte tillåts inskränka Datainspektionens möjligheter att bedriva en effektiv och ändamåls- enlig informations- och inspektionsverksamhet. Det är av mycket stor betydelse för integritetsskyddet i samhället att en övervägande del av Datainspektionens resurser fortlöpande ägnas åt information och inspektion (jfr bilaga 5). Det är vidare viktigt att myndigheten upprätthåller en stor omfattning av och en hög kvalitet i dessa verksamheter även om myndighetens ansvarsområden utökas och nya uppgifter tillkommer . Kompetens – Effektivitet – Service Uppgiften att som tillsynsmyndighet enligt personuppgiftslagen, genom information och inspektion, värna om människors personliga integritet i samband med behandling av personuppgifter ställer höga krav på Datainspektionen. En sådan verksamhet förutsätter personal med en hög kompetens inom myndighetens hela ansvarsområde, en ändamålsenlig organisation samt en utvecklad strategi för arbetets genomförande. Datainspektionen skall kännetecknas av kompetens, effektivitet och service.1 Myndigheten skall vara aktiv, utåtriktad och delta i samhälls- debatten i frågor som rör behandling av personuppgifter och personlig integritet. Datainspektionen skall vara en myndighet som är välkänd för allmänheten och som inom området behandling av personuppgifter och personlig integritet uppfattas som en kraftfull resurs för alla människor i . Personal med hög kompetens är en förutsättning för att Datainspek- tionen skall lyckas vara en effektiv och serviceinriktad myndighet. För att på ett ändamålsenligt sätt utföra uppgifterna som tillsynsmyndighet krävs goda kunskaper vad gäller integritetslagstiftning och informa- tionsteknik. Särskilt framstår god kännedom om informationsteknik och infor- mationssystem, med tonvikt på informationssäkerhet, som viktigt för den framtida verksamheten. Datainspektionens personal består av ett stort antal jurister och myndigheten är väl tillgodosedd när det gäller kunskap om personuppgiftslagen och anknytande integritets- lagstiftning. Den informationstekniska utvecklingen medför såväl hot som möjligheter för den personliga integriteten. Goda tekniska kunskaper är därför en förutsättning för att myndigheten skall kunna genomföra inspektionsinsatser på ett ändamålsenligt och fullgott sätt och informera om de integritetssrisker som utvecklingen av ny teknik för med sig. Enligt utredningens uppfattning bör därför andelen anställda med teknisk kompetens öka. En idealsituation är naturligtvis att personalen besitter kunskap inom såväl integritetslagstiftning som informationsteknik. I den mån myndighetens egen kompetens är otillräcklig måste externa resurser anlitas. Viktigt är också att Datainspektionen samråder med andra myndigheter i frågor som rör IT-säkerhet och integritet. Med nuvarande arbetsuppgifter bör Datainspektionens resurser vad gäller antalet anställda initialt vara oförändrade. Med ett fullt utbyggt 1 Jämför betänkandets titel. system med personuppgiftsombud bör emellertid Datainspektionens personalresurser kunna minska. Systemet med personuppgiftsombud bör i enlighet med person- uppgiftslagens intentioner utnyttjas kraftfullt för att decentralisera ansvaret för skyddet för den personliga integriteten. Personuppgifts- lagens regler bygger på att ansvaret för behandlingen av personupp- gifter ligger hos den för vars verksamhet behandlingen sker. Den personuppgiftsansvarige kan utse ett personuppgiftsombud som har till uppgift att självständigt granska om behandlingen av personuppgifter sker korrekt och i enlighet med god sed. Personuppgiftsombud fungerar på så sätt som Datainspektionens förlängda arm. Med hänsyn till ombudens ansvar innebär införandet av personupp- giftsombud en rejäl ambitionshöjning när det gäller nivån på integri- tetsskyddet i samhället. Om alla myndigheter, företag och andra orga- nisationer av någon storlek utser personuppgiftsombud för att övervaka behandlingen av personuppgifter, innebär det en enorm resursförstärk- ning vad gäller skyddet för den personliga integriteten. Ett ändamåls- enligt utnyttjande av systemet med personuppgiftsombud betyder att ombuden tar över en del av det ansvar som vilar på Datainspek- tionen. Enligt utredningens uppfattning bör en sådan förskjutning av ansvaret möjliggöra för Datainspektionen att effektivisera sin tillsyns- verksamhet vad gäller inriktning och omfattning. Inspektionen kan härigenom koncentrera sina insatser till de områden där särskilt käns- liga personuppgifter behandlas och där störst risk för intrång i den personliga integriteten föreligger. Datainspektionen bör därför verka för att så många personuppgiftsansvariga som möjligt utser person- uppgiftsombud. I takt med att personuppgiftsombudens ansvar för integritetsskyddet utvecklas bör enligt utredningens mening förutsättningar skapas för att minska Datainspektionens resurser. Ett utbyggt system med personuppgiftsombud bör medföra att ett fullgott skydd för den personliga integriteten kan uppnås i samhället även om omfattningen av Datainspektionens verksamhet minskar. Tillsyn inom polis- och tullsamarbetet Utredningen har som särskild uppgift att överväga om Datainspek- tionen även fortsättningsvis bör vara tillsynsmyndighet vad gäller Europol-, Schengen- och om polis- och tullsam- arbete. Enligt utredningens uppfattning bör dessa uppgifter alltjämt ligga på Datainspektionen. De tre konventionerna reglerar stora datorbaserade informationssystem, som innehåller ansenliga mängder personuppgifter för ett snabbt och effektivt informationsutbyte konventionsstaterna emellan. En oberoende myndighet skall vara tillsynsmyndighet enligt konventionerna. Ingen myndighet är lämpligare än Datainspektionen i detta avseende. Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet Datainspektionen bör i fortsättningen vara en renodlad tillsyns- myndighet vad gäller skyddet för den personliga integriteten i samband med behandling av personuppgifter. Utredningen anser därför att tillstånds- och tillsynsuppgifterna enligt kreditupplysnings- och inkassolagarna bör tas över av en annan myndighet. Övervägande skäl talar enligt utredningens uppfattning för att upp- gifterna skall flyttas över till . Såväl kreditupp- lysnings- som inkassoverksamhet har ett påtagligt samband med keditbedömning och annan finansiell verksamhet. kunskaper om kreditinstitutens speciella problem och om kredit- marknaden i sin helhet kan här vara av stort värde. har området också samband med konsumentskyddsfrågor där Finans- inspektionen med sitt särskilda ansvar för konsumentskydd kan fylla en viktig uppgift. Datainspektionen skall givetvis behålla tillsynen enligt personupp- giftslagen inom kreditupplysnings- och inkassoområdena. En överflyttning av de aktuella uppgifterna till ger Datainspektionen ökade resurser för information och inspektion enligt personuppgiftslagen samt möjlighet att koncentrera sin verk- samhet till dessa huvuduppgifter och på så sätt förbättra skyddet för den personliga integriteten vid behandling av personuppgifter. Utredningen anser att Datainspektionens resurser initialt skall vara oförändrade även om de aktuella uppgifterna flyttas över till Finans- inspektionen. Detta medför en resursförstärkning totalt sett med omkring 2,5 årsarbetskrafter. Utredningen föreslår att tillstånds- och tillsynsuppgifterna enligt kreditupplysnings- och inkassolagarna i framtiden skall finansieras med avgifter. Om en sådan avgiftsfinans- iering genomförs behöver resursförstärkningen inte finansieras med skattemedel. Datainspektionen har ett mycket omfattande ansvarsområde. Det är inte möjligt för inspektionen att kontrollera allt och alla. Personuppgifts- lagen bygger också på ett från Datainspektionen decentraliserat ansvar för integritetsskyddet i samband med behandling av personuppgifter. Därutöver medför den snabba tekniska utvecklingen att statsmakterna inte i alla delar hinner anpassa lagstiftningen till den faktiska verkligheten.