sou · GQB32 · 2003-01-01 00:00:00 — Förordningen innehåller regler om administra- tivt samarbete mellan tullmyndigheter, och regler om ett datoriserat tullinformationssystem (TIS) för att underlätta informationsutbytet mellan tullmyndigheterna vad avser deras verksamhet med att förebygga, utreda och lagföra överträdelser av medlemsländernas tull- bestämmelser. har tillsammans med de övriga medlemsstaterna i EU, , undertecknat konventionen om användning av informationsteknologi för tulländamål, den s.k. . undertecknades ett provisoriskt tillämpningsavtal. utgör tillsammans med rådets förordning (EG) nr 515/97 den rättsliga grunden för EU:s tullinformationssystem. Syftet med det tullinformationssystem som inrättats genom förord- ningen (EG) nr 515/97 och är att tillgodose behovet av snabb och effektiv informationsspridning för brottsbekämpande verksamhet med anknytning till EU:s tull- och jordbruksreglering. Rådets förordning reglerar förhållandet inom gemenskapens första pelare, medan utgör ett instrument för det mellanstatliga samarbetet inom den tredje pelaren såvitt avser överträdelser av nationell lagstiftning. På grund av juridiska problem både på gemenskapsrättslig och nationell nivå har ännu inte trätt i kraft utan tillämpas provisoriskt, och därmed har inte heller tullinformations- systemet ännu tagits i full drift. Informationsutbyte inom landet och med tullmyndigheter i andra länder är inte någon ny företeelse. Nyheten med EU:s tullinformationssystem är att medlemsstaterna överenskommit om att upprätta en gemensam internationell databas för att underlätta informationsutbytet mellan tullmyndigheterna för deras verksamhet med att förebygga, utreda och lagföra brottslighet som tullmyndigheterna har att bekämpa. Den nya EG-förordningen 515/97 om ömsesidigt bistånd är avsedd att stärka samarbetet mellan medlemsstaterna och mellan medlems- staterna och kommissionen för att bekämpa bedrägerier som rör tullunionen och den gemensamma jordbrukspolitiken och därigenom stärka skyddet för gemenskapens finansiella intressen. Förordningen innehåller bestämmelser om medlemsstaternas myndigheters möjlig- heter och skyldigheter att bistå varandra för att förebygga och utreda överträdelser mot tull- och jordbrukslagstiftningen. I förordningen ingår också bestämmelser om inrättande av tullinformationssystemet som skall tillgodose behovet av snabb och effektiv informations- spridning för bekämpande av överträdelser med anknytning till EU:s tull- och jordbruksreglering. Tullinformationssystemets materiella struktur är avsedd att också användas för det tullsamarbete som medlemsstaterna kommit överens om i . Tullinformationssystemet består av en central databas upprättad av kommissionen. Den centrala databasen skall vara åtkomlig via terminaler i varje medlemsstat och innehålla uppgifter som är nödvändiga för tullmyndigheternas brottsbekämpning avseende brott både mot nationell lagstiftning och mot EG:s tull- och jordbrukslagstiftning. Tullinformationssystemet är tänkt att komma till användning i tull- myndigheternas arbete med att bekämpa brott mot såväl gemenskapens regler på tull- och jordbruksområdet som nationell lagstiftning som ligger under tullens ansvarsområde t.ex. narkotika- och alkohol- smuggling. Informationssystemet kommer därför att tillhöra två olika juridiska system, dels det gemenskapsrättsliga systemet med stöd av förordningen 515/97 om ömsesidigt bistånd och dels med stöd av TIS- konventionen som en mellanstatlig överenskommelse. och förordningens bestämmelser om tullinformationssystemet är därför likartade. har utarbetats för att tullinformationssystemet skall kunna användas främst i tullmyndigheternas arbete med att bekämpa brott mot nationell lagstiftning. Konventionen ger den rättsliga grunden för informationsutbyte som rör misstankar och förslag till åtgärder mot illegal införsel av narkotika och andra varor som är föremål för in- och utförselrestriktioner enligt nationell lagstiftning. Konventionen är i det avseendet ett komplement till förordningen (EG) nr 515/97 om ömsesidigt bistånd som innehåller motsvarande och parallellt gällande bestämmelser om tullinformationssystemet. Avsikten med konventionen är att medlemsstaterna skall skapa och upprätthålla ett gemensamt informationssystem för tulländamål som skall föras med hjälp av automatiserad databehandling. Ändamålet med tullinformationssystemet skall vara att i enlighet med bestämmelserna i konventionen bistå med att förebygga, utreda och lagföra grova överträdelser av nationella lagar genom att påskynda informations- spridningen och därmed öka effektiviteten av samarbets- och kontroll- förfaranden hos tullmyndigheterna i medlemsstaterna. Tullinformationssystemet skall bestå av en central databas och skall vara åtkomligt via terminaler som placerats i varje medlemsstat. Systemet skall endast innehålla uppgifter som är nödvändiga för att uppnå dess syfte. Endast vissa kategorier av personuppgifter får regi- streras och då bara sådana som avser personer som på grund av faktiska bevis misstänks för grova överträdelser. Direkt tillgång till uppgifter i tullinformationssystemet skall vara förbehållen uteslutande de nationella myndigheter som varje medlems- stat utser. Varje medlemsstat skall utse en behörig tullmyndighet som nationellt skall ansvara för tullinformationssystemet. Enligt artikel 17 i konventionen om användning av informations- teknologi skall varje medlemsstat utse en eller flera nationella tillsyns- myndigheter som skall ansvara för dataskydd avseende personuppgifter och dessa myndigheter skall genomföra en oberoende övervakning av sådana uppgifter som införts i tullinformationssystemet. Datainspek- tionen kommer med största sannolikhet att utses till nationell tillsyns- myndighet enligt genom en utvidgning av 4 § förordningen (1998:1192) med instruktion för Datainspektionen. Frågan handläggs inom . Tillsynsmyndigheterna skall i överensstämmelse med sin respektive nationella lagstiftning oberoende övervaka och kontrollera att behand- lingen och användningen av uppgifter som är lagrade i tullinforma- tionssystemet inte kränker de berörda personernas rättigheter. För detta ändamål skall tillsynsmyndigheterna ha tillgång till tullinformations- systemet. får enligt konventionen be varje nationell tillsynsmyndighet att kontrollera uppgifter i tullinformationssystemet som rör den enskilde personen själv och den användning som har gjorts eller görs av dessa uppgifter. Denna rättighet regleras av lagar, förordningar och förfaranden i den medlemsstat där förfrågan görs. Om uppgifterna har införts av en annan medlemsstat skall kontrollen genomföras i nära samarbete med denna medlemsstats tillsynsmyndighet. Företrädarna för de nationella tillsynsmyndigheterna skall ingå i en gemensam tillsynsmyndighet, som dock ännu inte formellt inrättats. Denna gemensamma tillsynsmyndighet skall bestå av två företrädare från varje medlemsstat som kommer från de respektive oavhängiga nationella tillsynsmyndigheterna. Den gemensamma tillsynsmyndig- heten skall fullgöra sina uppgifter i enlighet med bestämmelserna i och Strasbourgkonvention och med beaktande av rekommendationen om skydd för personuppgifter som förs av polismyndighet med hjälp av automatisk databehandling R (87) 15 av som antagits av minister- kommitté. Den gemensamma tillsynsmyndigheten är behörig att övervaka tullinformationssystemets drift, att undersöka alla tillämpnings- och tolkningssvårigheter som kan uppstå under systemets funktion, att undersöka sådana problem som kan uppstå då de nationella tillsyns- myndigheterna i medlemsstaterna oberoende övervakar systemet eller då rätten till enskilda personers tillgång utövas och även att utarbeta förslag till gemensamma lösningar på problem. För att uppfylla sina åligganden, skall den gemensamma tillsynsmyndigheten ha tillgång till tullinformationssystemet. 3.9.4Rådets förordning (515/97) I förordningen fastställs hur de administrativa myndigheter som i medlemsstaterna är ansvariga för genomförandet av tull- och jord- brukslagstiftningen skall samarbeta med varandra och med kommis- sionen för att säkerställa att denna lagstiftning efterlevs inom ramen för ett gemenskapssystem. Förordningen är således avsedd att stärka samarbetet mellan medlemsstaterna och kommissionen för att bekämpa bedrägerier som rör tullunionen och den gemensamma jordbruks- politiken och därigenom stärka skyddet för gemenskapens finansiella intressen. Förordningen innehåller bestämmelser om de nationella myndigheternas möjligheter och skyldigheter att bistå varandra för att förebygga och utreda överträdelser mot tull- och jordbrukslag- stiftningen. Förordningen innehåller också bestämmelser om tull- informationssystemet och vilka uppgifter som får införas i systemet. Enligt artikel 37 i förordningen skall varje medlemsstat utse en eller flera nationella tillsynsmyndigheter som skall ansvara för dataskydd avseende personuppgifter och dessa myndigheter skall genomföra en oberoende övervakning av sådana uppgifter som införts i tull- informationssystemet. Datainspektionen har genom förordningen (1998:64) om tillämpning av Europeiska unionens tullinformations- system utsetts till nationell tillsynsmyndighet i för skydd av personuppgifter i tullinformationssystemet. Datainspektionen har i fråga om tullinformationssystemet, om förordningen (EG) nr 515/97 inte föreskriver annat, samma befogenheter som enligt personuppgifts- lagen. I förordningen (1998:64) om tillämpning av Europeiska unionens tullinformationssystem ges också kompletterande bestämmelser till rådets förordning 515/97. Av förordningen framgår att , svenska polismyndigheter, , och är de myndigheter i som får använda uppgifter ur tullinformationssystemet, och att är register- ansvarigt för tullinformationssystemet i . Europeiska unionens råd har antagit en förordning om inrättande av Eurodac. Eurodac är ett system för jämförelse av fingeravtryck och syftar till en effektiv tillämpning av . Dublinkon- ventionen rör bestämmandet av den ansvariga staten för prövning av en ansökan om asyl som framställts i en av medlemsstaterna i EG. Förordningen om Eurodac gäller direkt och kräver inte trans- formering till svensk rätt. Eurodac kommer att medföra ytterligare arbetsuppgifter för Datainspektionen, eftersom det på motsvarande sätt som inom det internationella polis- och tullsamarbetet skall finnas såväl en nationell som en gemensam tillsynsmyndighet som övervakar systemet. I förordningen om Eurodac framhålls att det för tillämpning av är nödvändigt att kunna fastställa den asyl- sökandes identitet och identiteten hos personer som grips i samband med att de olagligen passerar gemenskapens yttre gränser. För att säkerställa en effektiv tillämpning av är det också önskvärt att tillåta varje medlemsstat att kontrollera om en utlänning som befunnits uppehålla sig olagligen på dess territorium har ansökt om asyl i en annan medlemsstat. Eftersom fingeravtryck utgör ett viktigt inslag för att exakt fastställa personers identitet, har det befunnits vara nödvändigt att inrätta ett system för att jämföra uppgifter om fingeravtryck. Eurodac skall bestå av en central enhet, en elektronisk central databas, i vilken uppgifter om fingeravtryck m.m. skall behandlas för jämförelse mellan fingeravtryck från asylsökande och de kategorier av utlänningar som omfattas av förordningen. Den centrala enheten skall inrättas inom kommissionen som skall ansvara för driften av den centrala databasen. Förordningen om Eurodac kräver att alla medlemsstater skyndsamt tar fingeravtryck av alla fingrar på varje utlänning som är eller äldre och som grips av de behöriga kontrollmyndigheterna i samband med att utlänningen olagligen passerar en medlemsstats yttre gräns och inte avvisas. Uppgifter om ursprungsmedlemsstat med plats och datum för ansökan om asyl och uppgifter om fingeravtryck och kön m.m. skall skyndsamt överföras till den centrala enheten. Uppgifter som överförs till den centrala enheten används för att kontrollera om utlänningen har lämnat in en ansökan om asyl i en annan medlemsstat. Förordningen innehåller bestämmelser om överföring av uppgifter om fingeravtryck till den centrala enheten, om registrering av sådana uppgifter och andra relevanta uppgifter i den centrala databasen, om lagring av sådana uppgifter, om jämförelse av uppgifterna med andra uppgifter om fingeravtryck, om överföring av resultaten av sådana jämförelser samt om blockering och radering av de registrerade uppgifterna. Förordningen reglerar också kommissionens ansvar i fråga om den centrala enheten respektive medlemsstaternas ansvar i fråga om upp- gifternas användning, datasäkerhet samt tillgång till och korrigering av registrerade uppgifter. Dataskyddsdirektivet är tillämpligt i fråga om medlemsstaternas och den centrala enhetens behandling av personuppgifter inom ramen för Eurodacsystemet. Medlemsstaterna skall tillse att den nationella tillsynsmyndigheten enligt dataskyddsdirektivet helt oberoende och i enlighet med nationell lagstiftning kontrollerar att den berörda medlemsstatens behandling av personuppgifter, däribland överföringen av uppgifterna till den centrala enheten, sker på ett lagligt sätt i enlighet med förordningen. Medlems- staterna skall säkerställa att dess nationella tillsynsmyndighet har till- gång till rådgivning från personer som har tillräckliga kunskaper om fingeravtryck. I kommer således dessa uppgifter som tillsyns- myndighet enligt Eurodac att åligga Datainspektionen. Det skall även inrättas en oberoende gemensam tillsynsmyndighet som skall ha till uppgift att övervaka den centrala enhetens verksamhet för att säkerställa att de registrerades rättigheter inte kränks genom behandling eller användning av de uppgifter som den centrala enheten förfogar över. Dessutom skall tillsynsmyndigheten övervaka att den centrala enhetens överföring av personuppgifter till medlemsstaterna sker på ett lagligt sätt. Datainspektionen är som nationell tillsyns- myndighet representerad i den gemensamma tillsynsmyndigheten med två tjänstemän. Den gemensamma tillsynsmyndigheten kommer endast att finnas och skall upplösas när det oberoende övervakningsorganet Protection Supervisor inrättas. Den nationella tillsynsmyndigheten i varje medlemsstat skall bistå den registrerade med att utöva sina rättigheter enligt förordningen. Den nationella tillsynsmyndigheten i den medlemsstat som överförde uppgifterna och den nationella tillsynsmyndigheten i den medlemsstat där den registrerade vistas skall vidare bistå och på begäran ge råd till denne när han eller hon utövar sin rätt att korrigera eller radera uppgifter. Den registrerade får också begära bistånd hos den gemen- samma tillsynsmyndigheten. De första provkörningarna av Eurodac påbörjades , och är preliminärt bokad för provkörningar . Ambitionen är att samtliga medlemsstater skall vara operativt anslutna . När det gäller befinner sig databehandlingsutrustningen hos och verket svarar även för hanteringen av personupp- gifter och torde således anses vara personuppgiftsansvarig för Eurodac enligt personuppgiftslagen. Förordningen (2001:720) om behandling av personuppgifter i verk- samhet enligt utlännings- och medborgarskapslagstiftningen innehåller visserligen bestämmelser om nationella svenska fingeravtrycksregister, men regelverket kan inte anses direkt tillämpligt vad gäller Eurodac. aviserar att arbetet med tillämpningsföreskrifter m.m. kan vara aktuellt att ta upp inom . Datainspektionen har som central förvaltningsmyndighet till uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och för att god sed iakttas i kreditupplysnings- och inkassoverksamhet. Inspektionen skall infor- mera om gällande regler och följa och beskriva utvecklingen på IT- området när det gäller frågor som rör integritet och ny teknik. Data- inspektionen är tillsynsmyndighet enligt bl.a. personuppgiftslagen och dataskyddsdirektivet och prövar frågor om tillstånd och utövar tillsyn enligt kreditupplysningslagen och inkassolagen. Datainspektionen har tidigare också haft till uppgift att utfärda licens samt att pröva frågor om tillstånd och utöva tillsyn enligt data- lagen. 4.2Från tillstånd till tillsyn Datalagens tillkomst innebar bl.a. att personregister som fördes med hjälp av automatisk databehandling (ADB) inte fick inrättas eller föras utan tillstånd av Datainspektionen, såvida de inte inrättats genom beslut av eller regeringen. I lagen infördes också bestämmelser om särskilda villkor för tillstånd att föra vissa slag av speciellt känsliga register, skyldigheter för de registeransvariga i fråga om användningen av personregister och om Datainspektionens befogenheter som tillsynsmyndighet. Tillståndsprövningen enligt datalagen avsåg prövning av frågan om otillbörligt intrång i registrerads personliga integritet kunde befaras uppkomma. Vid prövningen beaktades bl.a. omständigheter som arten och mängden av de personuppgifter som skulle ingå i registret, hur och från vem uppgifterna skulle inhämtas samt den inställning till registret som förelåg eller kunde antas föreligga hos dem som kunde komma att registreras. Vidare beaktades särskilt att inte andra uppgifter eller andra personer skulle registreras än som stod i överensstämmelse med ändamålet med registret. Till grund för Datainspektionens prövning låg den registeransvar- iges ansökan om tillstånd. Beviljades tillstånd meddelade Datainspek- tionen beslut om ändamålet med registret. I den mån det behövdes för att förebygga risk för otillbörligt intrång i personlig integritet kunde även meddelas ett eller flera villkor. Förelåg särskilda skäl fick tillståndet begränsas till . Regler om förfarandet vid ansökan om tillstånd fanns intagna i data- förordningen och i verkställighetsföreskrifter som Datainspektionen meddelat. 4.2.2Ett förenklat ansöknings- och tillståndsförfarande För att underlätta hanteringen av tillståndsärendena och förenkla till- ståndsproceduren för den registeransvarige tillämpade Datainspek- tionen alltsedan verksamhetens början ett förenklat ansöknings- och tillståndsförfarande i fråga om mindre integritetskänsliga register. Det gällde ansökningar om tillstånd för personregister för vilka Datainspektionen utvecklat en fast praxis för bedömningen. Närmare bestämmelser om vilka register som omfattades av detta förenklade förfarande och vilka särskilda villkor som måste vara uppfyllda fanns i (). Det formella stödet för föreskrifterna om det förenklade förfarandet var stadgandet i 8 § andra stycket dataförordningen, att Datainspektionen fick medge undantag från de krav som ställdes på en ansökan samt det generella stadgandet i förordningens 14 §, att ytterligare föreskrifter om verkställighet av datalagen meddelades av Datainspektionen. Ansökningar om tillstånd enligt det förenklade förfarandet gjordes på särskilda blanketter och blev inte föremål för någon egentlig pröv- ning. I tillståndsbeslutet som expedierades till den registeransvarige, angavs att som villkor skulle gälla dels vad som angivits i ansökan, dels de bestämmelser som angivits i aktuell såsom villkor för det förenklade förfarandet. Utgångspunkten för integritetsskyddet inom datalagens område var således att Datainspektionen skulle pröva om tillstånd till inrättande och förande av ett personregister kunde beviljas. Även en ändring eller utvidgning av registret krävde tillstånd. När det gäller Datainspektionens verksamhet blev emellertid utvecklingen en annan än man räknat med vid datalagens tillkomst. Bland annat som en följd av den datortekniska utvecklingen visade det sig att antalet tillståndsärenden blev betydligt större än man först trott. Tillströmningen av tillståndsärenden kunde i stora delar också tillskrivas utformningen av datalagens tillstånds- bestämmelser. Trots tillämpningen av det förenklade tillståndsför- farandet blev Datainspektionen tvungen att koncentrera sina resurser på tillståndsverksamheten på bekostnad av tillsynsverksamheten. Frågan om tillståndstvång för alla register var redan vid datalagens tillkomst föremål för diskussion. En förprövning genom tillståndskrav medförde obestridliga fördelar ur integritetssynvinkel, men innebar också en byråkratisk belastning för de registeransvariga som Datainspektionen måste lägga ned mycket arbete på tillståndsprövning inte bara av känsliga register utan även av register som var relativt ofarliga från integritetsskyddssynpunkt. De grundläggande principerna för tillståndsförfarandet kvarstod dock oförändrade talet. avlämnade () promem- orian (Ds Ju 1981:15-16) Tillstånd och tillsyn enligt datalagen. I promemorian lade DALK fram förslag till åtgärder för att rationalisera Datainspektionens verksamhet på kort sikt. DALK antog att antalet tillståndsärenden sannolikt skulle komma att öka än mer . Det ansågs angeläget att Datainspektionens verksamhet i stället försköts i riktning mot ökad tillsynsverksamhet. DALK lämnade därför ett förslag som byggde på att tillståndsplikten begränsades till särskilt integritetskänsliga register och att det för övriga register skulle räcka med en anmälan från den registeransvarige om att denne förde person- register. För de register för vilka en anmälan var tillräckligt skulle vidare gälla att de fick föras först sedan Datainspektionen utfärdat en licens. Avsikten var att Datainspektionen skulle kunna koncentrera sina resurser på sådant som verkligen var betydelsefullt från integritets- skyddssynpunkt, och att man skulle förenkla för de registeransvariga. Reglerna om en begränsad tillståndsplikt och ett anmälningsför- farande med tillhörande licens trädde 1982.1 Den som ville inrätta och föra ett personregister skulle alltså göra en anmälan till Datainspektionen för licens. Varje licens berättigade den registeransvarige att föra ett eller flera personregister som inte omfatt- ades av tillståndsplikten. För licensen betalade den registeransvarige en årlig avgift. Datainspektionen förde sedan ett register omfattande alla licenshavare, benämnt LIRE. Registret tillfördes ett antal nya licenshavare, som ett antal avlägsnades genom att t.ex. verksamheter upphörde eller lades samman. utgjorde bl.a. underlag för inspektionens avgiftsdebitering och eventuella tillsynsåtgärder, antingen individuella eller branschvisa. Registret användes också som underlag för Datainspektionens informationsverksamhet. Antalet licenser ökade –1990 från 8 500 till drygt 38 500. Avsikten med reform var att begränsa mängden tillstånds- ärenden och därigenom göra det möjligt för Datainspektionen att koncentrera sig på de mest känsliga registren och att kunna intensifiera sin tillsynsverksamhet. Effekten av lagändringen blev dock endast i begränsad omfattning den avsedda. Antalet tillståndsärenden fortsatte att öka och antalet inspektioner sjönk. Den viktigaste orsaken till den ökande tillströmningen av ansök- ningar var givetvis den fortgående datoriseringen i samhället. Till- ståndsansökningarna innefattade dessutom både behandling av känsliga uppgifter och behandlingar som från integritetssynpunkt framstod som tämligen harmlösa och det visade sig att det var svårt att dra en klar gräns mellan dessa två kategorier. Följden blev att Datainspektionen kom att ägna en stor del av sin tid åt att granska behandling som egentligen inte borde bli föremål för den relativt omfattande procedur som en tillståndsprövning innebar. 1 SFS 1982:446. 4.2.5Datainspektionens förslag till ändringar i datalagen Datainspektionen överlämnade en skrivelse, Vissa ändringar i datalagen m.m., till med förslag till ändringar som enligt Datainspektionens mening borde genomföras i väntan på en genomgripande översyn av datalagen. I skrivelsen och en bilagd promemoria föreslog Datainspektionen ändringar i datalagen vilka syftade till förenklingar för de registeransvariga och inspektionen i sådana fall då tillståndskravet föranledde resursinsatser som enligt inspektionen inte motiverades av integritetsskyddet.