sou · GQB32 · 2003-01-01 00:00:00 — Förutom dessa inspektionsresor, som förbereds och anmäls till inspektionsobjekten, utför Datainspektionen också oanmälda inspek- tioner. Detta sker t.ex. när inspektionen får kännedom om att något oegentligt pågår som man snabbt vill informera sig om och eventuellt kunna sätta stopp för. En särskild form av inspektionsinsats som Datainspektionen utför sedan den senare är temainspektioner. En tema- inspektion omfattar en bred och djup granskning av en bransch eller sektor. En sådan granskning tar mer tid och större resurser i anspråk än en sedvanlig inspektion. Temainspektionerna genomförs både som fältinspektioner och som skrivbordsinspektioner. inspektioner sammanställs i rapporter som sprids till berörda branscher och sektorer. I rapporterna ger Datainspektionen också rekommenda- tioner till andra personuppgiftsansvariga inom samma bransch eller sektor. Datainspektionen har t.ex. gjort temainspektioner av sjukvård- ens patientjournalsystem, resebyråers och transportföretags boknings- system samt teleoperatörers och bankers datorsystem. Datainspektionen har också i en enkät till statliga myndigheter undersökt i vilken omfattning de säljer uppgifter från sina register. Vid inspektionerna kontrolleras även IT-säkerheten av inspektörer med teknisk kompetens. Kontrollen omfattar rutinmässigt fysisk säkerhet, tillträdes- och behörighetskontroll, behandlingshistorik, säkerhetskopi- ering, datakommunikation, utplåning, reparation och service. Kontroll sker även av skydd mot skadliga program. Även inspektioner som avser uteslutande IT-säkerheten före- kommer. Sedan personuppgiftslagen trätt i kraft har Datainspektionen i sin tillsynsverksamhet strävat efter att finna inspektionsobjekt som utför behandlingar enligt personuppgiftslagen. Vid inspektioner enligt data- lagen har de registeransvariga regelmässigt tillfrågats om de också behandlar eller snart kommer att påbörja behandling av personuppgifter enligt personuppgiftslagen. Inspektionens tillsynsinsatser har visat att så sent som hade de flesta ännu inte börjat utföra några behandlingar enligt personuppgiftslagen, eller att det i vart fall inte skedde i någon större utsträckning. Övergångstiden mellan datalagen och personuppgifts- lagen innebar alltså inte någon successiv övergång till de nya reglerna utan personuppgiftslagen kom i full tillämpning först . En ny uppgift i Datainspektionens tillsynsverksamhet i och med inför- andet av personuppgiftslagen är hanteringen av obligatoriska anmäl- ningar om förhandskontroll av särskilt integritetskänsliga behandlingar. Anmälan om förhandskontroll är obligatorisk när det gäller vissa behandlingar för forskningsändamål och när det gäller behandling av personuppgifter om genetiska anlag som framkommit efter genetisk undersökning. Därutöver skall vissa behandlingar som polisen, tullen eller skattemyndigheterna utför anmälas för förhandskontroll. Ären- dena kräver skyndsam hantering, eftersom inspektionen skall lämna yttrande om behandlingen är laglig. I samband med anmälan om förhandskontroll har Datainspektionen både muntlig och skriftlig kontakt med den personuppgiftsansvarige och kan också besöka den som gjort anmälan för att sätta sig in i de aktuella frågorna. –inkom det sammanlagt 56 anmälningar om förhandskontroll, varav 39 avsåg behandlingar för forskningsändamål och 17 var anmälningar från polisen. 4.4.5Inspektionsverksamhetens omfattning och inriktning Som beskrivits har Datainspektionens verksamhet präglats av handläggning av tillstånd och licenser vilket medfört att tillsynsverksamhet fått stå tillbaka. har dock en successiv ökning av antalet inspektioner skett. I detta avsnitt ges en översiktlig beskrivning av omfattningen av Datainspektionens inspek- tionsverksamhet och –2001, och en del exempel på vilka tillsynsobjekt som har inspekterats. Uppgifterna är i huvudsak hämtade från Datainspektionens årsredovisningar. Med inspektioner avses här de åtgärder som inneburit att Data- inspektionen på plats undersökt behandlingen av personuppgifter. Under /92 genomförde Datainspektionen sammanlagt 26 fältinspektioner. Ett mycket omfattande tillsynsärende avsåg forskningsregister vid socialmedicinska institutionen vid . slutförde Datainspektionen också omfattande tillsynsaktiviteter hos de två marknadsledande kreditupp- lysningsföretagen, UpplysningsCentralen och Soliditet. Företagen hade i sina register uppgifter om samtliga människor i , dvs. omkring 7 miljoner personer. Dessutom ingick uppgifter om ungefär en halv miljon juridiska personer. Inspektionerna ledde till att Datainspektionen meddelade kompletterande föreskrifter om bl.a. bearbetning, utlämnande, gallring och ADB-säkerhet. Under /93 ökade antalet inspektioner med till sammanlagt 66. Inom den offentliga sektorn genomfördes bl.a. fem kontrollinspektioner av länsarbetsnämnder. tioner framkom att otillåtna uppgifter registrerades och Datainspek- tionen anmälde en mot datalagen. I övriga fall anmodades länsarbetsnämnderna att ta bort de otillåtna uppgifterna ur registren. Inom den privata sektorn gjordes ett femtontal inspektioner hos inkassoföretag. De vanligaste avvikelserna från god inkassosed gällde dels att inkassoföretaget inte tagit hänsyn till gälde- närernas invändningar i sak, dels att inkassokrav ställts till fel gäldenär. En tredjedel av inspektionerna ledde till att Datainspektionen med- delade straffsanktionerade föreskrifter i dessa avseenden. Vid en inspektion var bristerna så stora vad avsåg omdöme och sakkunskap att inkassotillståndet drogs in. /94 uppgick antalet genomförda fältinspek- tioner till 85. slogs de två enheterna som handlade ärenden från den offentliga respektive privata sektorn samman till en enhet. Under /95 utfördes sammanlagt 141 egen- initierade inspektioner. Grupper på sex inspektörer granskade i genom- snitt 15 objekt . Under /96, som omfattade 18 månader, genomfördes sammanlagt 249 egeninitierade inspektioner. Omräknat på 12 månaders-basis innebar det en ökning under verksamhetsåret. Huvuddelen av inspektionerna var kontroller av att datalagens bestämmelser och Datainspektionens föreskrifter efter- levdes. Vissa inspektioner var inriktade på områden där det kunde vara aktuellt att införa generella föreskrifter, andra ägnades åt att kontrollera effekten av generella föreskrifter som redan trätt i kraft. synes huvudintrycket från Datainspektionens inspektioner vara att merparten av de registeransvariga känner till innehållet i lagarna och försöker efterleva dem. av inspektionerna under 95/96 avslutades utan anmärkningar. I de fall brister kunde konstateras var de ofta av mindre allvarligt slag. Mera allvarliga brister framkom främst beträffande ADB-säker- heten, såsom att känslig information kommunicerades i okrypterad form och att det saknades skydd för personuppgifter när service hade utförts av utomstående. Andra allvarliga brister var bristande behörig- hetskontroll och bristande uppföljning av loggning. De konstaterade bristerna berodde främst på okunnighet om datalagens bestämmelser i kombination med att besked om reglerna och Datainspektionens beslut inte hade nått ut i organisationen. I samtliga fall åtgärdades bristerna efter påpekanden från inspektörerna och inga anmärkningar föranledde anmälan till åklagare. Datainspektionen kontaktade centrala myndigheter och branschorganisationer för att informera om påträffade brister och för att få hjälp med att i förebyggande syfte sprida information. Under utfördes sammanlagt 154 egeninitierade inspektioner, 85 inom den offentliga och 69 inom den privata sektorn. genomfördes inspektioner i samtliga landets residensstäder. genomförde Datainspektionen en tredagarsinspektion i en residensstad. Inspektionens tekniker och jurister besökte då ca 15 myndigheter, offentliga organisationer och privata företag. Under utfördes sammanlagt 113 inspektioner (11 temainspektioner, 53 andra fältinspektioner och 49 enkätinspektioner). Resultaten av de genomförda temainspektionerna har sammanställts i särskilda rapporter. av inspektionerna avslutades utan anmärkning. De brister som upptäcktes var oftast av mindre all- varlig karaktär och åtgärdades efter påpekande från inspektörerna. Datainspektionen anmälde flera brott till polis- eller åklagarmyndighet. Det rörde i samtliga fall publicering av integritetskränkande uppgifter på Internet. genomfördes sammanlagt 167 inspektioner, varav 101 avsåg offentliga och 66 privata tillsynsobjekt. En av tema- inspektionerna avsåg apotekens registrering av kundupp- gifter. Inspektionen avslutades med att Datainspektionen uppmanade att se över sin hantering av personuppgifter så att den överensstämmer med receptregisterlagen (1996:1156). Datainspek- tionen tillskrev också regeringen och påtalade behovet av en lagändring så att registrering av s.k. dosexpediering blir tillåten. En annan av temainspektioner avsåg skyddade uppgifter i folkbokföringen. I den rapport som har upprättas över resultatet från inspektionerna har Datainspektionen angivit vad den som hanterar spärrmarkerade personuppgifter bör tänka på för att undvika att upp- gifterna lämnas ut till obehöriga. kom det in 58 anmälningar om förhandskontroll. De flesta avsåg behandling av personuppgifter om genetiska anlag som framkommit efter genetisk undersökning. Sju anmälningar avsåg förhandskontroll enligt polisdataförordningen Vad gäller inspektionsverksamheten noterar Datainspek- tionen att den var mer omfattande än de två föregående åren. Antalet tillståndsärenden minskade och resurser kunde föras över från till- ståndshanteringen till inspektionsverksamheten. 183 inspektioner, varav 76 avsåg offentliga och 107 privata tillsyns- objekt. Totalt ökade antalet tillsynsärenden till 521 jämfört med 434 . En av temainspektionerna avsåg överföring av personuppgifter mellan olika huvudmän inom vården och omsorgen av äldre. Inspektionen visade på brister i den information som krävs enligt lagen (1998:544) om vårdregister. IT-säkerheten var dock i allmänhet bra. En annan av temainspektionerna avsåg behandling av person- uppgifter om genetiska anlag, som kommit fram efter genetisk under- sökning. Informationen till de registrerade följde i vissa fall inte data- skyddsreglerna. I inspektionsrapporten har Datainspektionen lämnat rekommendationer till ledning för den som behandlar personuppgifter om genetiska anlag. Datainspektionen utförde inspektion av Rikspolis- styrelsens nationella enhet för Schengens informationssystem (SIS) för att få information om den behandling av personuppgifter som är under uppbyggnad med anledning av . Datainspektionen inspekterade också för att kontrollera den behandling av personuppgifter som sker med stöd av lagen (1997:1058) om register i brottsbekämpande verksamhet. Inspektionen visade att inte fullt ut hade anpassat behand- lingen av personuppgifter till reglerna i lagen. Datainspektionen uppmanade att se över sin hantering av personuppgifter så att den överensstämmer med lagstiftningen. Datainspektionen genomförde 41 inspektioner av inkassoverksamhet hos kommuner som driver in sina egna fordringar och hos inkassobolag som i egenskap av ombud driver in fordringar åt andra. En temainspektion omfattade samtliga företag som bedriver tillståndspliktig kreditupplysningsverksamhet. IT-säkerhetsinspektioner utfördes av inspektörer med särskild teknisk kompetens. I samtliga fall där brister konstaterades har de personuppgiftsansvariga förklarat hur bristerna kommer att avhjälpas. Datainspektionen utfärdade nya allmänna råd om säkerhet för personuppgifter och kommer att följa upp en del av inspektionsärendena med nya inspektioner, främst där behandlingar av känsliga personuppgifter utförs. Datainspektionen polisanmälde flera brott mot data- skyddslagstiftningen. Det har rörde sig om integritetskränkande upp- gifter som publicerats på webbplatser. kom det in 77 anmälningar om förhandskontroll Anmälningarna handlades med förtur, eftersom inspektionen måste meddela om den avser att vidta några åtgärder med anledning av anmälan eller ej. Kravet på förturshantering och rättsligt komplicerade frågor, gjorde enligt Datainspektionen handläggningen mycket resurskrävande. Datainspektionen har utfört sammanlagt 136 inspektioner. Av dessa har 66 avsett datalagen, 15 kreditupplysningslagen, 38 inkasoolagen och 17 personuppgifts- lagen. Omfattningen av Datainspektionens inspektionsverksamhet beskrivs närmare i bilaga 3. har ett stort inspektionsprojekt tillsammans med slutförts. Arbetet var fokuserat på registrering av personuppgifter i offentliga register och hur uppgifterna förs vidare till kreditupplysningsföretagen. Datainspektionen studerade hur uppgifter samlas in, registreras, bearbetas och rättas i de offentliga registren och hos kreditupplysningsföretagen. studerade hur uppgifterna används av kreditgivarna. Myndigheterna föreslog i rapporten att en beloppsgräns återinförs i kronofogdemyndigheternas register, för att motverka den kraftiga ökningen av registrerade skulder till staten och den samtidiga ökningen av framställningar om rättelse i kronofogdemyndigheternas register. Därutöver uppmanades och andra myndigheter att rätta tekniska fel som orsakar att skulder felaktigt regi- streras. Tydligare information och rutiner för påminnelser ansågs också behövas för att undvika att registrering av skulder sker av misstag. Upplysningscentralen, UC, har i anledning av inspektionsprojektet skärpt sina rutiner för rättelser. Alla uppgifter som raderas i krono- fogdemyndigheternas register tas nu bort även hos UC. Banker och andra kreditinstitut har ansvar för att löpande utvärdera hur antalet kreditförfrågningar om en privatperson påverkar kreditvärdigheten. Av allmänna råd 2001:8 framgår numera att enbart den omständigheten att en kund har fått en s.k. betalningsanmärkning inte bör utgöra tillräcklig grund för banken att neka kunden bankkonto med betaltjänster. Datainspektionens tillsynsverksamhet bedrivs som framgått inte enbart i form av inspektioner och kontroll av behandlingen av person- uppgifter. Ett viktigt komplement till myndighetens inspektionsverksamhet är arbetet med att informera och ge råd till personuppgiftsansvariga för att förebygga att integritetsskyddet åsidosätts av misstag eller okunnighet. De tillsynsprojekt som inspektionen har genomfört visar att detta arbete är betydelsefullt, såväl inom den offentliga som den enskilda sektorn. Datainspektionen framhåller att genom en uppsökande verksamhet från inspektionens sida kan misstag ut och rutiner anpassas, som erfarenheterna från fältet ger inspektionen ett värdefullt underlag för att se över behovet av ytterligare bransch- eller sektorsanpassade föreskrifter. Sedan personuppgiftslagens tillkomst har enligt Datainspektionen mycket resurser lagts ned på information till personuppgiftsombuden. En annan del i det förebyggande arbetet för att värna om integritets- skyddet är Datainspektionens roll som remissinstans. Inspektionens möjlighet att lämna synpunkter på utredningsbetänkanden och förslag från regeringen, som rör integritetsfrågor är av central betydelse för att sådana frågor skall beaktas fullt ut. Datainspektionen har härutöver ett ökande antal internationella åtaganden. Datainspektionens informationsverksamhet bedrivs på många olika sätt. Myndigheten anordnar konferenser, ger föreläsningar, håller presskonferenser, ger ut informationsbroschyrer, svarar på frågor och lämnar information via en egen webb-sida. Datainspektionens konferensverksamhet har naturligen främst haft anknytning till den nya personuppgiftslagen. anordnade Datainspektionen fyra konferenser som handlade om personuppgiftsombud, personuppgiftslagen i praktiken och IT-säkerhet. Två konferenser anordnades , också om personuppgiftslagen och personuppgiftsombud. Därutöver var Datainspektionen värd för de europeiska dataskyddschefernas årliga konferens. Fram till och med oktober har Datainspektionen anordnat två heldagskonferenser i ämnena Vad händer dagen PuL och Integritet i arbetslivet. Datainspektionens personal håller föreläsningar på såväl egna som andras konferenser och även i andra sammanhang. Antalet föreläs- ningar uppgick till 137 stycken och till 149 stycken. kommer Datainspektionen att hålla ca 165 föreläsningar. Till denna verksamhet åtgår ca två årsarbetskrafter. Som ett komplement till konferensverksamheten håller Datainspek- tionen särskilda seminarier för personuppgiftsombud. hölls fyra sådana seminarier för bl.a. kommuner. gått till ända kommer Datainspektionen att ha hållit sju särskilda seminarier för personuppgiftsombud. En viktig del av Datainspektionens informationsverksamhet är myndighetens call-center. Funktionen inrättades för att koncentrera telefonfrågorna till två erfarna handläggare och på så sätt effektivisera verksamheten. Datainspektionens erfarenhet är att tidsåtgången för allmänna frågor härigenom har minskat. Inspektionens call-center får ca 15 000 samtal. En del telefonfrågor leder till att det skapas regelrätta ärenden. Datainspektionen har en egen webb-sida där aktuell information ständigt förmedlas. Inspektionen lägger på webb-sidan bl.a. ut samtliga de skrifter som myndigheten producerar. Allteftersom praxis utvecklas är det myndighetens ambition att förmedla fler frågor och svar via hemsidan. Myndigheten producerar alla sina skrifter själv, såsom årsredo- visningar, informationsbroschyrer och allmänna råd m.m. Inspektionen ger också ut en egen tidskrift, magazin Direkt. I informationsverksamheten ingår vidare att anordna presskon- ferenser, ge ut pressmeddelanden och samla in pressklipp. Datainspek- tionen har , till och med oktober, anordnat två press- konferenser och sänt ut sex pressmeddelanden. 4.5.2Remisser i siffror och internationellt arbete Datainspektionen används som remissinstans av såväl regeringen som andra myndigheter när det gäller förslag som rör integritetsfrågor. Därutöver tillkommer att stort antal delningar från regeringen beträff- ande sådana förslag. svarade Datainspektionen på sammanlagt 71 remis- ser och var antalet 96. Fram till och med har Datainspektionen svarat på sammanlagt 56 remisser. Av dessa kom 36 från departement och 20 från andra myndigheter. I den senare siffran ingår framställningar om yttranden från polis, åklagare och domstol samt diverse enkäter. Antalet s.k. delningar under samma per- iod var ca 50 stycken. Datainspektionen har härutöver bl.a. utarbetat egna föreskrifter och allmänna råd, samt yttrat sig över två branschöverens- kommelser avseende behandling av personuppgifter. Datainspektionen deltar också med experter i kommittéväsende. Datainspektionens internationella åtaganden har ökat . Det internationella arbetet sker bl.a. i de gemensamma tillsynsmyndigheterna inom ramen för det internationella polis- och tullsamarbetet och i den s.k. 29-gruppen som skall finnas enligt dataskyddsdirektivet. Därutöver äger också i andra sammanhang kontakter rum med utländska dataskyddsmyndigheter. För att beskriva omfattningen och ökningen av det internationella arbetet kan som jämförelse nämnas att kostade verksamheten och motsvarade av total arbetad tid. uppgick den internationella verksamheten till av totalt arbetad tid och kostade myndigheten . Myndighetens internationella verksamhet under de tre första kvartalen kostade och motsvarade sammanlagt av totalt arbetad tid. Enligt direktiven skall utredningen informera sig om hur tillsynen enligt dataskyddsdirektivet är organiserad och bedrivs i övriga . Utredningen har i anledning härav utformat en enkät som ställts till Datainspektionens motsvarigheter i samtliga EU-länder samt och . I enkäten ställs vissa allmänna frågor om inriktningen och omfatt- ningen av myndigheternas tillsyn enligt dataskyddsdirektivet och inom det internationella polis- och tullsamarbetet. Enkäten i sin helhet är intagen i betänkandet som bilaga 2. Utredningen har inte fått svar från samtliga de länder som enkäten ställts till och de svar som erhållits skiljer sig åt i omfattning och innehåll. Mot bakgrund härav kan det endast ges en översiktlig bild av hur verksamheten bedrivs i de olika länderna. Den mest informativa beskrivningen av sin verksamhet har dataskyddsmyndigheten i lämnat. En närmare beskrivning av dess verksamhet finns i kapitel 10.5. De övriga länder som svarat på enkäten är , , , , , , och . i , Datatilsynet, består av ett råd och ett sekretariat som utövar tillsyn över de behandlingar som omfattas av persondataloven, vilken lag genomför dataskyddsdirektivet i dansk rätt. Rådet beslutar i ärenden av principiell karaktär och av betydande allmänt intresse. Den dagliga verksamheten sköts av sekretariatet som består av ca 30 medarbetare och som leds av en direktör. Datatilsynet har befogenheter i enlighet med dataskyddsdirektivet. Myndigheten kan på eget initiativ eller efter klagomål inspektera om behandling av personuppgifter sker lagenligt, och bl.a. tvinga person- uppgiftsansvariga att upphöra med behandling som inte sker i överens- stämmelse med lagen. Redan i samband med godkännandet av de anmälningar om behand- ling av personuppgifter som lämnas in till myndigheten företas en första kontroll av behandlingens lagenlighet. Som svar på anmäl- ningarna lämnar Datatilsynet ett tillstånd, om anmälan avser privat verksamhet, och ett utlåtande om anmälan kommer från den offentliga sektorn. Datatilsynet kan också avvisa en anmälan t.ex. om den aktuella behandlingen av personuppgifter inte är förenlig med lagen. Myndigheten behandlar ca 200–250 klagomål från allmänheten per Datatilsynet genomför ca 50–75 inspektioner av såväl offentlig som privat verksamhet. Inspektionsobjekten väljs ut bl.a. med hjälp av Datatilsynets förteckning över anmälningar. Inspektionerna utförs av två till tre jurister, ibland i sällskap med myndighetens IT- medarbetare. Datatilsynet är nationell tillsynsmyndighet enligt Europol- och Schengenkonventionerna. Dataskyddsdirektivet har införts i finsk rätt genom personuppgiftslagen som trädde i kraft . I sköts tillsynsmyndighetens uppgifter av Dataombuds- mannen och byrå som bistår med handledning och rådgivning i frågor kring användningen av personuppgifter och som övervakar att lagstiftningen följs. byrå är en självständig myndighet. Byrån leds av en dataombudsman som utses av justitieministern åt gången. Byråpersonalen uppgår till sammanlagt 18 personer. främsta uppgift är att i förebyggande syfte verka för att registerföringen sker lagenligt. Byrån producerar material för handledning och information om personuppgiftslagen både för registeransvariga och registrerade. Dessutom föreläser experterna vid byrån vid kurser och seminarier arrangerade såväl av byrån som olika organisationer. En stor del av verksamheten utgörs av telefon- rådgivning. Handledning och rådgivning i anslutning till olika IT- projekt är ett viktigt verksamhetsområde som växer . ger vid behov råd och handledning vid utformningen av branschspecifika etikregler för registerföring. Utöver allmän rådgivning ger på begäran hand- ledning och råd till registeransvariga och registrerade samt fattar beslut om lagligheten av registerföring och hur registrerades rättigheter skall realiseras. skall höras vid beredningen av lagstiftnings- och förvaltningsreformer som rör behandling av personuppgifter. I praktiken sker detta genom att avger utlåtanden och medverkar i arbetsgrupper som tillsatts för att bereda och övervaka lagstiftningsarbetet. Åklagare skall höra innan åtal väcks om förfaranden i strid med personuppgiftslagen. Likaså skall domstol som handlägger ett sådant ärende bereda möjlighet att yttra sig. byrå ger ut en tidskrift som vänder sig i första hand till registeransvariga. Byrån publicerar också informations- broschyrer och har en egen webb-sida med senaste nytt om dataskydd. är nationell tillsynsmyndighet enligt Europol- och Schengenkonventionerna. I utförs tillsynsmyndighetens uppgifter av The Data Protection Commissioner. På grund av resursbrist har ännu inte några inspektioner av behandling av personuppgifter genomförts.