sou · GQB32 · 2003-01-01 00:00:00 — Datainspektionen konstaterade att effekterna av lagändringarna bara i begränsad omfattning blivit de avsedda. Bortfallet av tillståndspliktiga ärenden, som tidigare hade kunnat handläggas täm- ligen summariskt, uppvägdes av andra ärenden. Antalet tillstånds- ärenden hade ökat och lett till att en avsevärd del av inspektionens totala kapacitet gick åt för handläggning av ansökningar om tillstånd att inrätta och föra personregister eller att få tillstånd för en ändring eller utvidgning i tidigare meddelade tillstånd. I flertalet fall avsåg dessa ansökningar situationer i vilka Datainspektionen utvecklat en fast praxis för bedömningen. För sådana typsituationer ansåg Data- inspektionen att det ofta fanns goda möjligheter att sörja för skyddet för den personliga integriteten på ett annat och bättre sätt än genom att upprätthålla ett tillståndstvång. Enligt Datainspektionens uppfattning förelåg det ett betydande intresse bland de registeransvariga inom olika sektorer att organisera sitt ADB-stöd så att otillbörliga intrång i personlig integritet undveks. Enligt Datainspektionen betydde de insatser myndigheten kunde göra för att tillgodose krav och förväntningar från de registeransvariga på råd och information mer för skyddet av den personliga integriteten än t.ex. det tillståndstvång som band inspektionens resurser. Genom att engagera bransch- och områdesföreträdare i utvecklingen av normer för personregistreringen på olika områden i samhället ansåg inspektionen att det kunde spridas en fördjupad kunskap om och en större förståelse för integritetsfrågorna. Enligt Datainspektionens uppfattning hade datoranvändningen nått en sådan omfattning att det var nödvändigt att ifrågasätta hela systemet med tillstånd i varje särskilt fall när register som var tillståndspliktiga skulle inrättas. Datainspektionen förutsåg en utveckling där terminaler och persondatorer var lika vanliga arbetsredskap som telefoner. Enligt inspektionens mening måste därför skyddet för den personliga integriteten företrädesvis bygga på andra metoder än förhandsgranskning av varje tilltänkt personregister. Datainspektionen fann det därför nödvändigt att bygga integritets- skyddet på en högre grad av verksamhetsanpassad författningsreglering och branschvis självreglering. Nödvändiga förutsättningar härför var dock enligt inspektionen att datalagens regler om vad den register- ansvarige skulle iaktta för att undvika intrång i den personliga integri- teten förtydligades och skärptes i olika hänseenden samt att underlåten- het att rätta sig efter bestämmelserna ledde till påföljd direkt enligt datalagen. Datainspektionen föreslog i promemorian att myndigheten gavs befogenhet att beträffande vissa slag av personregister föreskriva undantag från lagens krav på tillstånd för att få inrätta och föra register, och att meddela generella föreskrifter för att förhindra intrång i person- lig integritet beträffande de register som undantogs från tillstånds- plikten. Datainspektionens förslag till ändringar godtogs i huvudsak av flertalet remissinstanser. De remissinstanser som anslutit sig helt eller i huvudsak till Datainspektionens förslag till åtgärder betonade överlag behovet av att förenkla Datainspektionens hantering av tillstånds- ärenden och flytta över Datainspektionens resurser till tillsyn och information. De flesta ansåg att en sådan resursöverflyttning innebar en förbättring av integritetsskyddet. 4.2.6Förslag till ny datalag påbörjade sitt arbete med att göra en översyn av datalagen från såväl saklig som lagteknisk synpunkt. I delbetänkandet (SOU 1990:61) Skärpt tillsyn – huvuddrag i en reformerad datalag redovisade utredningen överväganden och förslag om principiella utgångspunkter för en framtida datalag, med särskild inriktning på Datainspektionens tillsynsverksamhet. Avsikten med att omfördela Datainspektionens resurser till att i större utsträckning kunna användas för tillsynsverksamhet, framhöll , har varit att detta skulle innebära ett stärkt integritetsskydd. Datainspektionens arbete skulle då kunna inriktas på att mera effektivt kontrollera att skyddet för den personliga integriteten upprätthålls såväl inom den offentliga som den enskilda sektorn. angav att som utgångspunkt för en mera genomgripande förändring av datalagen och renodling av Datainspek- tionens verksamhet mot utökad tillsyn skulle följande gälla. borde, som tidigare, innehålla de grundläggande bestämmelserna för integritetsskyddet, medan den konkreta anpassningen till skilda sektorer och områden borde ske genom en regelutfyllnad från Data- inspektionen och en kontroll från inspektionens sida. Härigenom skulle det vara möjligt, ansåg utredningen, att följa och förekomma den snabba utvecklingen på det informationsteknologiska området på ett sätt som inte skulle gå att genomföra, om datalagen skulle innehålla en fullständig reglering för alla områden och branscher. förslag ledde aldrig fram till en ny datalag eller några mera betydande förändringar av datalagen vad gäller tillståndstvånget och Datainspektionens tillsynsverksamhet. Genom ändringar i regeringsformen och datalagen fick dock Datainspektionen via delegering från regeringen vissa normgivningsbefogenheter att utfärda generella regler på dataområdet vad gäller skyddet för den personliga integriteten vid behandling av personuppgifter. Härigenom kunde Datainspektionen utfärda generella bransch- och sektors- föreskrifter.2 infördes ett undantag från tillståndsplikten för sådana register som inrättades och fördes i enlighet med sådana av Datainspektionen meddelade föreskrifter.3 Ändringen syftade till att minska Datainspektionens tillståndshantering och därigenom lämna mer utrymme för tillsynsverksamheten. Genom ikraftträdandet av personuppgiftslagen, , har fått en teknikoberoende lag som omfattar såväl auto- matiserad som viss behandling av personuppgifter. Datalagens tillståndskrav för behandling av personuppgifter är nu helt borta, och Datainspektionens uppgift att utöva tillsyn har än mer betonats. Lagen innehåller i stället bestämmelser om när behandling av personuppgifter är tillåten. För behandling av känsliga personuppgifter gäller särskilt stränga regler. Automatiserade behandlingar av person- uppgifter måste i princip anmälas till Datainspektionen, men omfatt- ande undantag från denna anmälningsskyldighet medges. Sådana behandlingar av personuppgifter som innebär särskilda risker för otill- börligt intrång i den personliga integriteten skall anmälas till Data- inspektionen för förhandskontroll. Den som bryter mot lagen kan drabbas av ingripanden från Datainspektionen, t.ex. vitesföreläggande, skadestånd eller straff. 1993/94:116, SFS 1994:1480 och 1994:1485. 1993/94:217, SFS 1994:1485. 4.3Datainspektionens uppgifter och befogenheter som tillsynsmyndighet 4.3.1Datainspektionens befogenheter enligt datalagen Enligt reglerna i 15–19 §§ datalagen var det Datainspektionens ansvar att utöva tillsyn över att automatisk databehandling inte medförde otillbörligt intrång i personlig integritet. Som ett övergripande krav för tillsynsverksamheten gällde att den skulle utövas så att den inte vållade större kostnad eller olägenhet än som var nödvändigt. Enligt datalagen hade Datainspektionen rätt att för tillsyn få tillträde till lokal där automatisk databehandling utfördes eller där datamaskin eller utrustning eller upptagning för automatisk databehandling förvar- ades. Inspektionen hade också rätt att få tillgång till handling som rörde automatisk databehandling och att föranstalta om körning av data- maskin. Den registeransvarige eller den som för dennes räkning förde personregister skulle lämna Datainspektionen de uppgifter rörande den automatiska behandlingen som inspektionen begärde för sin tillsyn. Den registeransvarige var vidare skyldig att på Datainspektionens begäran sända in den s.k. § 7 a-förteckningen. Hos den register- ansvarige skulle enligt 7 a § datalagen föras en aktuell förteckning över de personregister som han eller hon var ansvarig för. Datainspektionen hade dessutom under vissa förutsättningar rätt att vid vite ge föreskrifter rörande personregister. Om det inte gick att skydda den personliga integriteten mot otillbörliga intrång på något annat sätt, fick Datainspektionen vid vite förbjuda fortsatt förande av ett personregister eller återkalla ett meddelat tillstånd. Det fanns slutligen möjlighet för domstol att förklara ett person- register förverkat om det inte var uppenbart obilligt. 4.3.2Datainspektionens befogenheter enligt personuppgiftslagen Reglerna i personuppgiftslagen om Datainspektionens befogenheter motsvarar i stor utsträckning de regler som gällde enligt datalagen. Till följd av skillnaden i utformningen av bestämmelserna i personuppgifts- lagen gentemot datalagen är myndighetens befogenheter enligt person- uppgiftslagen dock knutna till all helt eller delvis automatiserad behandling av personuppgifter och inte enbart förandet av person- register. I 43–47 §§ personuppgiftslagen finns de bestämmelser om Data- inspektionens befogenheter som har ansetts kräva lagform. Endast en del av de bestämmelser om tillsynsmyndighetens befogenheter som finns upptagna i dataskyddsdirektivet har ansetts nödvändiga att ta in i personuppgiftslagen. Vissa av de krav som EG-direktivet uppställer har ansetts uppfyllda redan genom annan lagstiftning eller bedömts kunna genomföras i annan form än genom lag. Avsikten är att regeringen i förordning skall ge föreskrifter om flera av de uppgifter och befogenheter som tillsynsmyndigheten skall ha enligt dataskyddsdirektivet. Utöver de uppgifter för Datainspektionen som följer av dataskyddsdirektivet skall inspektionen särskilt ha till uppgift att informera om gällande regler om behandling av person- uppgifter och att på lämpligt sätt ge råd och hjälp åt såväl registrerade som personuppgiftsansvariga. Dessa Datainspektionens uppgifter framgår av förordningen (1998:1192) med instruktion för Datainspek- tionen. De bestämmelser som tagits in i lagen är de som rör befogenheter, som tillsynsmyndigheten givits för sin tillsyn, och befogenheter för att kunna ingripa mot olaglig behandling. För att Datainspektionen på ett så effektivt sätt som möjligt skall kunna utöva tillsyn över den behandling av personuppgifter som förekommer har myndigheten för sin tillsyn enligt personuppgiftslagen rätt att på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerheten vid denna och tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Rätten att få tillgång till behandlade personuppgifter innefattar naturligtvis en rätt att beordra de körningar och andra åtgärder som behövs för att få fram alla de personuppgifter som behandlas. Möjlighet att förelägga vite För den händelse den personuppgiftsansvarige skulle obstruera och inte ge Datainspektionen det den behöver för tillsynen måste myndigheten ha maktmedel att ta till. Sådan behandling av personuppgifter som omfattas av personupp- giftslagen kan förekomma t.ex. i någons hem eller i en dator som någon bär på sig. Det kan i en och samma dator också förekomma såväl behandling av uppgifter som omfattas av lagen som rent privat behandling av högst personliga uppgifter som inte omfattas av lagen. Det har därför befunnits olämpligt med regler som innebär att myndigheten skulle få genomdriva sina rättigheter med t.ex. polishjälp. Det skulle kunna leda till ett större intrång i den personliga integriteten än det intrång som Datainspektionens tillsynsverksamhet syftar till att förebygga. I personuppgiftslagen föreskrivs i stället att inspektionen vid vite kan förbjuda behandling av personuppgifter. Syftet med Datainspektionens tillsyn och myndighetens rättigheter i samband med den är ytterst att myndigheten skall kunna konstatera om den behandling av personuppgifter som utförs är laglig, dvs. att samtliga bestämmelser i personuppgiftslagen och i andra författningar som rör behandling av personuppgifter följs. Kan Datainspektionen inte på begäran få tillgång till ett tillräckligt underlag för att konstatera att behandlingen är laglig, kan myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta behandla personuppgifter på annat sätt än genom att lagra dem. Den som obstruerar riskerar således att bli förbjuden att i fortsättningen behand- la personuppgifter. Den risken antas medföra att de personuppgifts- ansvariga blir tillräckligt benägna att ge myndigheten det underlag den behöver. Datainspektionen kan på olika sätt få reda på att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. Sådan information kan komma fram i samband med ett tillsynsbesök, framgå av kontakter med ett personuppgiftsombud eller av en insänd anmälan om behandlingen eller av ett klagomål från t.ex. någon registrerad eller konkurrent. Även genom uppgifter i massmedia kan Datainspektionen få sådan information. I dylika fall bör myndigheten i första hand försöka att åstadkomma rättelse genom påpekanden eller liknande förfaranden. Men går det inte att få rättelse på annat sätt, kan som nämnts myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifter på annat sätt än genom att lagra dem. I fråga om Datainspektionens möjlighet att föreskriva vite gäller generellt att den personuppgiftsansvarige skall få tillfälle att yttra sig innan myndigheten föreskriver om vite. Om det är riskfyllt att vänta med beslutet om vite till dess den personuppgiftsansvarige fått möjlighet att yttra sig, kan dock inspektionen fatta ett tillfälligt beslut om vite. Enligt lagstiftaren kan det i vissa undantagsfall vara nödvändigt att tillsynsmyndigheten kan agera snabbt och kraftfullt för att skydda de registrerades personliga integritet. Som exempel nämns när det av en personuppgiftsansvarigs anmälan om behandling av känsliga personuppgifter, som inte alls får utföras enligt person- uppgiftslagen, framgår att behandlingen skall starta redan om någon dag. Möjligheten att innan den personuppgiftsansvarige fått komma till tals meddela ett tillfälligt beslut bör dock utnyttjas bara när saken är klar och så brådskande att yttrandet inte kan avvaktas. Det tillfälliga beslutet om vite skall sedan omprövas när yttrandetiden har gått ut och det finns ett mera fullständigt underlag. Av lagen (1985:206) om viten framgår att frågan om utdömande av ett förelagt vite prövas av länsrätt på ansökan av den myndighet som har utfärdat vitesföreläggandet, i detta fall Datainspektionen. I förar- betena till personuppgiftslagen framhålls att vite inte skall dömas ut, om ändamålet med vitet har förfallit och att Datainspektionen skall återkalla ett meddelat vitesföreläggande så snart den personuppgifts- ansvarige har gjort vad som krävs av honom eller henne. Ett förbud vid vite att behandla personuppgifter på annat sätt än genom att lagra dem kommer alltså att gälla bara till dess den personuppgiftsansvarige har botat den försummelse som föranledde förbudet. Datainspektionen kan fatta beslut om vilka säkerhetsåtgärder som en personuppgiftsansvarig skall vidta. Enligt förarbetena kan den personuppgiftsansvarige genom ett beslut i det enskilda fallet få veta exakt vilka åtgärder han eller hon måste vidta för att uppfylla säkerhetskraven. Om den personuppgiftsansvarige inte följer ett beslut om säkerhets- åtgärder, som har vunnit laga kraft, kan Datainspektionen föreskriva vite för att beslutet skall genomföras. Ett beslut om säkerhetsåtgärder i det enskilda fallet skall riktas till den personuppgiftsansvarige även när ett personuppgiftsbiträde har anlitats. Bestämmelser om säkerhetsåtgärder kan även finnas i annan lag- stiftning, t.ex. arkivlagen (1990:782). Sådana bestämmelser gäller vid sidan av bestämmelser om skyddsåtgärder enligt personuppgiftslagen med anknytande författningar och beslut. Den personuppgiftsansvarige måste således uppfylla alla de regler om säkerhetsåtgärder som kan ha meddelats för hans eller hennes verksamhet. Ansökan om utplånande av personuppgifter Datainspektionen kan också ansöka hos länsrätt om att sådana person- uppgifter som har behandlats på ett olagligt sätt skall utplånas. Den möjligheten kan användas t.ex. när känsliga personuppgifter har behandlats trots att den personuppgiftsansvarige inte alls har haft rätt att behandla sådana uppgifter. Möjligheten att ansöka om utplånande bör bara användas i sådana fall där det inte genom andra åtgärder är möjligt att förena behandlingen av uppgifterna med de regler som gäller. Domstolen får dock inte besluta om utplånande, om det skulle vara oskäligt. Datainspektionens beslut som gäller annat än generella föreskrifter får utan undantag överklagas hos allmän förvaltningsdomstol, dvs. Prövningstillstånd krävs vid överklagande till kammarrätten. Data- inspektionen får bestämma att dess beslut skall gälla även om det överklagas. Eftersom personuppgiftslagen till skillnad från datalagen inte innebär att en tillsynsmyndighet genom sin tillståndsgivning i praktiken skall bestämma vilken personregistrering som skall tillåtas, har det inte ansetts nödvändigt att ta med någon bestämmelse om överklaganderätt för Justitiekanslern i den nya lagen. 4.3.3Datainspektionens befogenheter enligt kreditupplysningslagen Datainspektionen skall utöva sin tillsyn enligt kreditupplysningslagen så att den inte vållar större kostnad eller olägenhet än som är nödvändigt. Inspektionen har rätt att företa inspektion hos den som bedriver kreditupplysningsverksamhet och att ta del av samtliga handlingar som rör verksamheten. Den som bedriver kreditupplysningsverksamhet skall också lämna Datainspektionen de upplysningar om verksamheten som inspektionen begär för sin tillsyn. Om den som har rätt att bedriva kreditupplysningsverksamhet åsidosätter en bestämmelse i kreditupplysningslagen får Datainspek- tionen förelägga honom eller henne att vidta rättelse, besluta om att ändra ett villkor som tidigare meddelats eller meddela ett nytt villkor. Om rättelse inte kan åstadkommas på något annat sätt får Data- inspektionen återkalla tillstånd som Datainspektionen meddelat. Det- samma gäller, om förutsättningarna för tillståndet i övrigt inte längre föreligger. Om ett företag som inte behöver Datainspektionens tillstånd för att bedriva kreditupplysningsverksamhet, t.ex. bank eller kreditmarknads- företag, inte vidtar rättelse skall Datainspektionen underrätta Finans- inspektionen. Om ett utländskt bankföretag eller kreditinstitut inte vidtar rättelse, skall Datainspektionen underrätta den behöriga myndig- heten i företagets hemland. Om rättelse ändå inte sker, får Datainspek- tionen förbjuda företaget att göra nya åtaganden här i landet. Innan förbud meddelas skall dock inspektionen underrätta den behöriga myndigheten i företagets hemland. Endast i brådskande fall får inspek- tionen meddela förbud utan föregående underrättelse till hemlands- myndigheten. Denna skall då i stället underrättas så snart det kan ske. Möjlighet att förelägga vite Om den som bedriver kreditupplysningsverksamhet underlåter att lämna tillgång till handling eller att lämna upplysning som är nöd- vändig för Datainspektionens inspektionsverksamhet får Datainspek- tionen förelägga vite. Om ett kreditupplysningsföretag underlåter att ge en omfrågad person information i samband med en kreditupplysning eller att rätta oriktiga eller missvisande uppgifter, kan Datainspektionen också före- lägga företaget att vid vite fullgöra sina åligganden. Detsamma gäller om företaget underlåter att ge en person besked om huruvida det i kreditupplysningsverksamheten finns uppgifter om honom eller henne och vad de har för innehåll. Datainspektionens beslut enligt lagen får överklagas hos allmän för- valtningsdomstol, dvs. Prövningstillstånd krävs vid över- klagande till kammarrätten. Justitiekanslern får föra talan för att ta till vara allmänna intressen. 4.3.4Datainspektionens befogenheter enligt inkassolagen Även tillsynen enligt inkassolagen skall utövas så, att den inte vållar större kostnader eller olägenheter än som är nödvändigt. Datainspek- tionens tillsyn enligt inkassolagen omfattar dock inte verksamhet som bedrivs av företag under tillsyn eller av advokater. Datainspektionen har rätt att företa inspektion hos den som bedriver inkassoverksamhet och att ta del av samtliga handlingar som rör verksamheten. Den som bedriver verksamheten skall lämna Data- inspektionen de upplysningar om verksamheten som inspektionen begär för sin tillsyn. Om Datainspektionens tillsyn föranleder det, kan inspektionen med- dela föreskrifter om hur inkassoverksamheten skall bedrivas och om skyldighet att anmäla ändring av förhållanden som har haft betydelse för tillståndet att bedriva inkassoverksamheten. Om den som har fått tillstånd att bedriva inkassoverksamhet åsido- sätter bestämmelse i inkassolagen eller föreskrift som har meddelats med stöd av lagen och rättelse inte vidtas eller om förutsättningarna för tillståndet i övrigt inte längre föreligger, får Datainspektionen återkalla tillståndet. Möjlighet att förelägga vite Om den som bedriver verksamheten underlåter att lämna tillgång till handling eller att lämna upplysning får inspektionen förelägga vite. Också föreskrifter som Datainspektionen har meddelat om hur inkasso- verksamheten skall bedrivas får förenas med vite. Datainspektionens beslut enligt inkassolagen får som beslut enligt kreditupplysningslagen överklagas hos allmän förvaltningsdomstol. Justitiekanslern får föra talan för att ta till vara allmänna intressen. Datainspektionens inspektionsverksamhet bedrivs antingen genom skrivbordsinspektioner eller fältinspektioner. Inspektionerna initieras av klagomål från någon person eller genom att massmedia uppmärk- sammar att behandling av personuppgifter lett till intrång i den person- liga integriteten. Datainspektionen vidtar även inspektioner på helt eget initiativ. Vid skrivbordsinspektioner försöker Datainspektionen få klarhet i hur behandlingen av personuppgifter går till i det aktuella fallet genom att skicka ett föreläggande till den personuppgiftsansvarige och uppmana denne att yttra sig i frågan. Efter att yttrandet inkommit fattar inspektionen beslut i ärendet, vilket kan innebära att den person- uppgiftsansvarige skall rätta eller ta bort uppgifter som denne behand- lar. En stor del av tillsynen löses på detta sätt. Den andra formen av inspektion, fältinspektion, innebär att inspek- törer från Datainspektionen besöker den personuppgiftsansvarige för att på plats gå igenom dennes behandling av personuppgifter. Denna form av inspektion bedrivs efter klagomål från enskild eller på grund av uppgifter i massmedia när Datainspektionen gör bedömningen att en skrivbordsinspektion inte är tillräcklig. Datainspektionen bedriver också fältinspektioner på eget initiativ utan att det uppkommit någon särskild anledning till att inspektera ett speciellt objekt på grund av klagomål eller dylikt. Inspektörer från Datainspektionen har t.ex. besökt vissa städer i , företrädesvis residensstäder. Sådana inspektionsresor har planerats på myndigheten genom att lämpliga objekt valts ut. Objekten har i förväg meddelats om när myndigheten avser att komma på inspektion. Detta har gjorts för att den person- uppgiftsansvarige skall kunna ställa upp med de rätta personerna för att svara på frågor om hur datasystemen används m.m. Vid dessa inspektioner har sex till sju inspektörer från Datainspek- tionen arbetat och inspektionens egna tekniker har alltid deltagit. Det senare för att myndigheten skall kunna tala samma språk som tillsyns- objekten. Inspektionsobjekten har varit såväl myndigheter som företag. Ungefär 15 inspektionsobjekt har besökts . I samband med inspektionsresorna har även tagits kontakt med lokala massmediaföreträdare för att ta tillfället i akt att informera om Datainspektionens inspektionsverksamhet, och om rättigheter och skyldigheter i samband med behandling av personuppgifter.