sou · GQB32 · 2003-01-01 00:00:00 — Vissa av de befogenheter som enligt dataskyddsdirektivet till- kommer tillsynsmyndigheten regleras i 43–47 §§ personuppgiftslagen. Således innehåller lagen bestämmelser om att Datainspektionen skall ha tillgång till behandlade personuppgifter och dessutom tillträde till lokaler med anknytning till behandlingen. Om lagens regler inte iakttas har Datainspektionen som tillsynsmyndighet bl.a. befogenhet att tillse att rättelse sker och om detta inte hjälper besluta om förbud mot behandling av personuppgifter samt att ansöka hos länsrätt om att personuppgifter skall utplånas. Datainspektionen har även bemyndigats att meddela föreskrifter i anslutning till reglerna i personuppgiftslagen. Enligt sin instruktion skall Datainspektionen även följa och beskriva utvecklingen på IT-området när det gäller frågor som rör integritet och ny teknik. Datainspektionen är också remissinstans när sådana lagar eller andra författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av personuppgifter. Enligt dataskyddsdirektivet är varje medlemsstat skyldig att se till att det utses en eller flera myndigheter som har till uppgift att övervaka tillämpningen av den nationella lagstiftningen till följd av direktivet. I sin egenskap av sådan tillsynsmyndighet ingår Datainspektionen även i den arbetsgrupp, den s.k. 29-gruppen, som inrättats med stöd av direktivet och som har till uppgift att se till att direktivet tillämpas enhetligt i medlemsstaterna. Gruppen skall också avge yttranden till Europeiska kommissionen om skyddsnivån i länder utanför EU samt ge råd till kommissionen om förslag till ändringar i direktivet. Helt eller delvis automatiserad behandling av personuppgifter måste i princip anmälas till tillsynsmyndigheten (36 §). Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen skall föra register över anmälda behandlingar. Personuppgiftslagen har i denna del två motstridiga intressen som utgångspunkt. Det finns å ena sidan ett önskemål om att ta bort anmälningsskyldigheten för automatiserad behandling för att på så sätt koncentrera Datainspektionens verksamhet till att ge råd och sprida kunskap om de materiella reglerna samt att utöva tillsyn över att reglerna efterlevs. Å andra sidan föreskriver dataskyddsdirektivet som huvudregel att den registeransvarige till tillsynsmyndigheten skall anmäla automatiserade behandlingar som skall genomföras. Från denna anmälningsskyldighet får ett medlemsland dock under vissa förut- sättningar föreskriva undantag. I personuppgiftslagen har en principiell anmälningsskyldighet till Datainspektionen införts, som möjligheterna att föreskriva om undantag utnyttjats fullt ut. När det gäller särskilt integritets- känsliga behandlingar föreskrivs dock inga undantag från anmälnings- skyldigheten. Enligt personuppgiftslagen får regeringen eller, efter regeringens bemyndigande, Datainspektionen föreskriva undantag från anmäl- ningsskyldigheten. Sådana undantag föreskrivs i 3 § personuppgifts- förordningen (1998:1191) för behandling av personuppgifter som utförs till följd bl.a. av en myndighets skyldighet enligt 2 kap. TF att lämna ut allmänna handlingar eller som regleras genom särskilda föreskrifter i lag eller förordning i andra fall. Anmälan till Datainspektionen behöver inte göras när ett person- uppgiftsombud har utsetts av den personuppgiftsansvarige (37–40 §§). Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. I första hand skall personuppgiftsombudet påpeka brister i uppgiftsbehandlingen till den personuppgiftsansvarige, men om den ansvarige inte rättar till bristerna är ombudet skyldigt att anmäla förhållandet till Datainspektionen. Särskilt integritetskänsliga behandlingar skall förhandskontrolleras innan de påbörjas (41 §). I personuppgiftslagen finns ett bemyndigande för regeringen att bestämma att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall anmälas till Datainspektionen i förväg. I personuppgiftsförordningen finns bestämmelser om sådana behandlingar. gäller enligt 10 § personuppgiftsförordningen att behandling av känsliga personuppgifter för forskningsändamål utan samtycke från den registrerade och som inte godkänts av en forskningsetisk kommitté samt behandling av personuppgifter om genetiska anlag som framkommit efter genetisk undersökning skall anmälas för förhandskontroll. I 2 § polisdataförordningen (1999:81) finns föreskrifter om anmälan av viss automatiserad behandling enligt polisdatalagen. Beträffande skattemyndigheterna finns bestämmelser om anmälan i 2 § förord- ningen (1999:105) om behandling av personuppgifter vid skatte- myndigheters medverkan i brottsutredningar. För finns föreskrifter om anmälan i 2 § förordningen (2001:88) om behandling av personuppgifter i brottsbekämpande verksamhet.10 Anmälningar till Datainspektionen handläggs med förtur eftersom inspektionen måste meddela om den avser att vidta några åtgärder med anledning av anmälan eller ej. Kravet på förturshantering och det rättsligt komplicerade området, framförallt de 10 () 1998:2 (omtryckt 2001:1). anmälningar som har kommit från polisen, har enligt Datainspektionen gjort handläggningen mycket resurskrävande. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till skadestånd från den personuppgiftsansvarige (48 §). Skadeståndsansvaret är i princip strikt. Den registrerade behöver endast bevisa att det förekommit en felaktig behandling och att denna behandling har skadat eller kränkt honom eller henne. Kan den personuppgiftsansvarige visa att felet inte berodde på honom eller henne får emellertid skadeståndet jämkas i skälig utsträckning. I personuppgiftslagen har i första hand valts andra sanktioner än straff. Vad som återfinns i straffbestämmelsen i personuppgiftslagen är sådana uppsåtliga brott eller oaktsamma förfaranden som är svåra att åtgärda på annat sätt än genom straffbestämmelser (49 §). Det rör sig om att någon lämnar osanna uppgifter i den information till den registrerade som lagen föreskriver eller i anmälan till Datainspek- tionen. Vidare tillämpas straffbestämmelsen om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller låter bli att göra föreskriven anmälan om behandling till Datainspektionen. Personuppgiftslagen trädde i kraft och upphörde datalagen att gälla. I fråga om behandlingar som påbörjades före ikraft- trädandet skall vissa bestämmelser i lagen tillämpas först . Det gäller 9 och 10 §§ som reglerar de grund- läggande kraven på behandling av personuppgifter och när behandling är tillåten samt 13 och 21 §§ om behandling av känsliga person- uppgifter och uppgifter om lagöverträdelser m.m. Datainspektionen har i inspektionens författningssamling () meddelat vissa föreskrifter om tillämpningen av personuppgiftslagen.11 Personuppgiftslagen är generellt tillämplig och omfattar även sådan verksamhet som faller utanför EG-rätten. Om det i en lag eller förordning finns bestämmelser som avviker från personuppgiftslagen, gäller emellertid de bestämmelserna i stället. Detta följer av 2 § personuppgiftslagen. Det innebär att personuppgiftslagen endast inne- håller generella regler och att behovet av undantag och särregler för mer speciella områden tillgodoses genom särskilda författningar. I 8 § personuppgiftslagen finns en bestämmelse som klargör att reglerna i 2 kap. tryckfrihetsförordningen om utlämnande av allmänna handlingar tar över bestämmelserna i lagen, och i 7 § finns motsvar- ande erinran beträffande bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Avvikande särregler i lag eller förordning tar således över bestäm- melserna i personuppgiftslagen. Det finns en stor mängd olika lagar och förordningar som reglerar inrättandet och förandet av viktigare register inom det offentliga området (statsmaktsregister). De lagar och förordningar som reglerar sådana statsmaktsregister kallas vanligen registerförfattningar, även om författningen i första hand reglerar annat än ett register. I förarbetena till personuppgiftslagen uttalar regeringen att register med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras i särskild författning. Anledningen härtill är att det anses sär- skilt viktigt med ett starkt integritetsskydd när det gäller uppgifter inom all offentlig verksamhet.12 Olika myndigheters verksamheter ställer olika krav på de regelverk som sätter upp riktlinjer för verksamheternas bedrivande. Detta gäller även behandling av personuppgifter. Personuppgiftslagen gäller gene- rellt, vilket innebär att det för olika myndigheter kan behövas bestäm- melser som avviker från vad som anges i den lagen. Avvägningen mellan t.ex. integritet och effektivitet kan inte alltid bedömas med samma måttstock för olika verksamheter. Eftersom redan omfattningen av uppgifter i ett datoriserat register påverkar bedömningen av integri- tetsfrågorna, kan det vidare finnas anledning att redan på den grunden ha olika bestämmelser för olika verksamheter. Det är bl.a. med hänsyn 11DIFS 1998:2 (omtryckt 2001:1) och 1998:3. 1997/98:44 s. 41. 62 Datainspektionens ansvarsområden SOU 2002:2 härtill nödvändigt att komplettera personuppgiftslagen med särskilt anpassade regelverk för olika verksamheter. Datainspektionens tillsyn omfattar all helt eller delvis automatiserad behandling av personuppgifter. Inspektionen har härvid att i första hand tillämpa personuppgiftslagen. I den mån Datainspektionens tillsyn avser särreglerade områden skall därutöver även de särskilda register- författningarna beaktas. Personuppgiftslagen är generellt tillämplig på behandling av personuppgifter. Den gäller således i varje myndighets verksamhet om det inte finns avvikande bestämmelser i lag eller förordning. I varje enskild särreglering kan det finnas bestämmelser som i större eller mindre utsträckning avviker från personuppgiftslagen. Antalet särskilda registerförfattningar är mycket stort. Det pågår dessutom ett ständigt anpassnings- och översynsarbete av de befintliga registerförfattningarna och fortlöpande överväganden om vilka särreg- leringar i övrigt som skall gälla i förhållande till personuppgiftslagen. Som exempel på de registerförfattningar som Datainspektionen har att tillämpa kan nämnas N socialförsäkringsregisterlagen (1997:934), N lagen (1998:527) om det statliga personadressregistret, N lagen (1998:544) om vårdregister, N polisdatalagen (1998:622), N lagen (1999:90) om behandling av personuppgifter vid skatte- myndigheters medverkan i brottsutredningar, N lagen (1998:938) om behandling av personuppgifter om total- försvarspliktiga, N lagen (2000:344) om Schengens informationssystem, N lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet, N lagen (2001:181) om behandling av uppgifter i skatteförvaltningens beskattningsverksamhet, N lagen (2001:184) om behandling av uppgifter i kronofogde- myndigheternas verksamhet, och N lagen (2001:185) om behandling av uppgifter i verksamhet. Före fanns det en uttrycklig regel om att särskilt yttrande skulle hämtas in från Datainspektionen, innan det inrättades ett statsmaktsregister med känsliga personuppgifter. I syfte att minska inspektionens arbetsbörda togs denna skyldighet bort. Avsikten var emellertid inte att avskaffandet skulle innebära någon lättnad i kravet på remissbehandling av förslag till nya statsmaktsregister. I motiven uttalades att Datainspektionen ändå bör få tillfälle att avge synpunkter, bl.a. mot bakgrund av den skyldighet som regeringen har enligt 7 kap. 2 § regeringsformen att inhämta vissa upplysningar och yttranden från myndigheter under beredningen av regeringsärendena. Vidare anfördes att det är vanligt att inspektionen deltar i beredningsarbetet inför inrättandet av statsmaktsregister samt att inspektionen regelmässigt är remissorgan i sådana lagstiftningsärenden.13 Kreditupplysningslagen (1973:1173) innehåller regler för den yrkesmässigt bedrivna kreditupplysningsverksamheten. Lagen syftar i första hand till att undanröja riskerna för att kreditupplysning skall medföra otillbörligt intrång i de omfrågades personliga integritet eller leda till skada genom oriktiga eller missvisande uppgifter. är lagen avsedd att bidra till en effektivt fungerande kreditupplysnings- verksamhet. Lagen trädde i kraft . De första större ändringarna i kreditupplysningslagen genomfördes . Datainspektionen hade på uppdrag av regeringen dels upprättat två promemorior om inspektionens erfarenheter från tillämpningen av kreditupplysningslagen och inkassolagen dels utfört en utredning om inkassokostnader. På grundval av Datainspektionens promemorior och utredning utarbetades inom promemorian Kreditupplysning och inkasso (Ds Ju 1979:8). Arbetet låg till grund för regeringens förslag.14 Ändringarna i kreditupplysningslagen innebar att enskildas integritetsskydd förbättrades i en del hänseenden. Bland annat genom att tidsgränsen för hur gamla uppgifter som fick tas med i s.k. personupplysningar sänktes från fem till . Vidare ålades kredit- upplysningsföretagen att underrätta den som avses med en person- upplysning om vem som begärt upplysningen. En sådan upplysnings- skyldighet infördes också för enskilda näringsidkare. genomfördes också vissa ändringar av kredit- upplysningslagen. tillkallades en särskild utredare för att se över kreditupplysningslagen, (dir. 1991:69 och 1993:41). Utredaren presenterade sitt arbete i delbe- tänkandet EES-anpassning av kreditupplysningslagen (SOU 1992:22) och i slutbetänkandet Integritet och effektivitet på kreditupplys- ningsområdet (SOU 1993:10). 1993/94:217 s. 22 f. 1980/81:10, SFS 1981:737. De flesta av förslag har resulterat i lagstiftning.15 Ändringarna innebar bl.a. att systemet med en s.k. frikrets, inom vilken förmedling av kreditupplysningar är undantagen från lagens tillämpningsområde, avskaffades. I frikretsen ingick bl.a. bankerna och Upplysningscentralen. Lagen blev härigenom tillämplig på all kreditupplysningsverksamhet. I anslutning till att frikretsen avskaffades bestämdes att banker och andra kreditinstitut skulle ha rätt att bedriva kreditupplysningsverk- samhet med stöd av sin grundläggande auktorisation utan särskilt tillstånd från Datainspektionen. Därutöver togs särskilt upp frågan om tillsyn över kreditupplysningsföretagen och det bestämdes att Data- inspektionen även i fortsättningen skall utöva tillsyn över lagens efterlevnad. Ändringarna trädde i kraft . Med hänsyn till då pågående arbete lämnades dock frågor som behandlas i dataskyddsdirektivet eller som annars hade beröring med arbete utanför lagstiftnings- ärendet. En fråga som inte togs upp var om kreditupplysningslagen bör fullständigt reglera vad som skall gälla på kreditupplysningsområdet eller om lagen bör samverka med andra lagar, särskilt personuppgifts- lagen. En annan fråga som inte behandlades var frågan om data- säkerhet. Utanför lagstiftningsärendet lämnades också frågan om uppgifter skall få samlas in och lagras i kreditupplysningsverksamhet utan att den berörda personen har lämnat sitt samtycke till det. uppdrog regeringen åt Datainspektionen att utreda vilka uppgifter om näringsidkare som bör få användas i kreditupplysningar. Datainspektionen redovisade uppdraget i en rapport . I propositionen 2000/01:50 behandlar regeringen de förslag som lämnats i promemorian Kreditupplysningslagen – anpassning till dataskyddsdirektivet (Ds 1998:44), kvarstående förslag från Kreditupp- lysningsutredningen samt de frågor som berörs i Datainspektionens rapport. Propositionen innehåller förslag till ändringar i kreditupplys- ningslagen. Förslagen syftar i första hand till att anpassa kreditupplys- ningslagen till dataskyddsdirektivet och personuppgiftslagen. Änd- ringarna skall stärka den enskildes integritetsskydd, och innebär bl.a. att uppgifter om fysiska personer får samlas in endast för kreditupp- lysningsändamål och att personuppgiftslagens krav på behandling av personuppgifter skall gälla också i kreditupplysningsverksamhet. I propositionen görs vidare bedömningen att uppgifter också i fortsättningen bör få behandlas utan att den enskilde har gett sitt samtycke till behandlingen, och det föreslås en uttrycklig bestämmelse 1996/97:65, bet. 1996/97:FiU23 och 27, rskr. 1996/97:274, SFS 1997:556. Det föreslås även bestämmelser om datasäkerhet för uppgifter om juridiska personer. Lagändringarna trädde i kraft den 1 juni 2001.16 Regeringen angav därutöver sin avsikt att återkomma i vissa frågor som innebär ytterligare ändringar i kreditupplysningslagen. Register- författningsutredningen (SOU 1999:105) har föreslagit vissa ändringar vad gäller sekretessen inom exekutionsväsendet som får betydelse för kreditupplysningsverksamhet. Utredningens förslag till lagstiftning trädde i kraft den 1 oktober 2001.17 Vidare har lämnat förslag (SOU 1998:47) som även det berör kreditupplysnings- verksamhet. Regeringen anser också att det bör göras en analys av förhållandet mellan reglerna i kreditupplysningslagen och reglerna i tryckfrihetsförordningen och yttrandefrihetsgrundlagen.18 3.5.2Lagens tillämpningsområde (1–3 §§) Kreditupplysningslagen gäller i första hand sådan kreditupplysnings- verksamhet som innebär att någon lämnar kreditupplysningar i mer än enstaka fall mot ersättning eller som ett led i näringsverksamhet. Med kreditupplysning avses uppgift, omdöme eller råd som lämnas till ledning för bedömning av annans kreditvärdighet eller veder- häftighet i övrigt i ekonomiskt hänseende. Lagen avser främst att reglera sådan verksamhet som bedrivs av kreditupplysningsföretag. Sådan kreditupplysningsverksamhet som bransch- och företagarorganisationer erbjuder sina medlemmar faller också under lagens tillämpningsområde. Enstaka kreditupplysningar som t.ex. advokat- eller revisionsbyråer lämnar till sina kunder omfattas inte av lagen. Inte heller omfattas kreditupplysningar mellan företag inom samma koncern, utom i de fall då det företag som lämnar upplysningen är ett kreditupplysningsföretag som behöver särskilt tillstånd för verksamheten, eller när myndighet lämnar ut uppgifter med stöd av lag, förordning eller särskilt beslut av regeringen eller en myndighet som regeringen bestämt. 2000/01:33 och SFS 2001:200. 2000/01:50 s. 12 och 18. 3.5.3Tillstånd (3 och 4 §§) Den kreditupplysningsverksamhet som omfattas av lagen får bedrivas endast efter tillstånd från Datainspektionen. Banker och vissa andra kreditinstitut som bedriver kreditupplysningsverksamhet med stöd av sin grundläggande auktorisation behöver dock inte Datainspektionens tillstånd. Istället gäller att verksamheten skall anmälas till inspektionen. Tillstånd får meddelas om det kan antas att verksamheten kommer att bedrivas på ett sakkunnigt och omdömesgillt sätt. Kravet på sakkunnighet har av Datainspektionen tolkats till att avse erfarenhet från kreditupplysningsbranschen och kunskaper om lagstiftning som berör kreditupplysningsverksamhet. Datainspektionen har möjlighet att förena ett tillstånd med villkor om hur verksamheten skall bedrivas och om skyldighet att anmäla ändrade förhållanden av betydelse för tillståndet. Tillstånd till kreditupplysningsverksamhet gäller tills vidare. Om förutsättningar för tillstånd inte längre föreligger får Datainspektionen återkalla tillståndet. 3.5.4Grundläggande krav på kreditupplysningsverksamhet (5 och 6 §§) Kreditupplysningsverksamhet skall bedrivas på ett sådant sätt att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de uppgifter som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. Uppgift om någons politiska eller religiösa uppfattning, ras eller etniska ursprung får inte samlas in, lagras eller lämnas ut i kreditupp- lysningsverksamhet. Vissa andra uppgifter av särskilt ömtålig natur få förekomma i kreditupplysningssammanhang endast om Datainspek- tionen medgivit det. Datainspektionen kan sålunda, om synnerliga skäl föreligger, medge att uppgifter om brott, sjukdomar, hälsotillstånd och liknande samlas in, lagras och lämnas ut i kreditupplysningsverk- samhet. 3.5.5Tillsynsmyndigheten (15–18 §§) Datainspektionen utövar tillsyn över den kreditupplysningsverksamhet som omfattas av lagen. Inspektion av att lagens regler efterlevs sker genom fältinspektioner, enkäter eller annan kontroll per telefon eller brev. Den som bedriver kreditupplysningsverksamhet är skyldig att lämna Datainspektionen de uppgifter om verksamheten som inspektionen begär för sin tillsyn. Om den som har Datainspektionens tillstånd att bedriva kreditupp- lysningsverksamhet åsidosätter någon bestämmelse i lagen eller i ett meddelat tillstånd får inspektionen ändra tidigare meddelade villkor eller meddela nytt villkor. Kan rättelse inte åstadkommas på annat sätt, får Datainspektionen återkalla tillståndet. När ett företag som bedriver kreditupplysningsverksamhet utan krav på tillstånd från Datainspek- tionen inte vidtar rättelse skall Datainspektionen underrätta Finans- inspektionen. Om ett kreditupplysningsföretag underlåter att ge en omfrågad person information i samband med en kreditupplysning eller att rätta oriktiga eller missvisande uppgifter, kan Datainspektionen förelägga företaget vid vite att fullgöra sina åligganden. Vitesföreläggande kan också användas av Datainspektionen i syfte att få tillgång till hand- lingar eller uppgifter i samband med tillsynsverksamheten. Regeringen får föreskriva om skyldighet för den som bedriver kreditupplysningsverksamhet att betala avgift för Datainspektionens tillsynsverksamhet m.m. enligt kreditupplysningslagen. Regeringen har dock ännu inte utnyttjat denna möjlighet. 3.5.6Sanktioner (19–21 §§) Den som bedriver kreditupplysningsverksamhet utan tillstånd kan dömas till böter eller fängelse i högst . Straffansvarig är den som är ansvarig för bedrivandet av kreditupplysningsverksamheten. Beträff- ande en juridisk person är det styrelsen och verkställande direktör som får bära ansvaret. Lagen innehåller även regler om förverkande av register och skade- stånd. Den som bedriver kreditupplysningsverksamhet skall ersätta skada som till följd av verksamheten tillfogas någon genom otillbörligt intrång i hans eller hennes personliga integritet eller genom att oriktig uppgift lämnas om honom eller henne, om inte den som bedriver verksamheten kan visa att tillbörlig omsorg och varsamhet iakttagits. 3.5.7Överklagande (23 §) Datainspektionens beslut enligt kreditupplysningslagen får överklagas hos allmän förvaltningsdomstol. Justitiekanslern får föra talan mot Datainspektionens beslut enligt kreditupplysningslagen för att ta till vara allmänna intressen. Regler om hur inkassoverksamhet får bedrivas finns i inkassolagen (1974:182) och inkassoförordningen (1981:956). Inkassolagen syftar främst till att undanröja riskerna för att gäldenärer utsätts för otillbör- liga inkassoåtgärder eller i övrigt tillfogas onödig skada eller olägenhet genom inkassoverksamhet. Det handlar således bl.a. om att skydda grundläggande värden såsom den personliga integriteten och privat- livets helgd. De första större ändringarna i inkassolagen genomfördes . Datainspektionen hade på uppdrag av regeringen dels upprättat två promemorior om inspektionens erfarenheter från tillämpningen av kreditupplysningslagen och inkassolagen dels utfört en utredning om inkassokostnader. På grundval av Datainspek- tionens promemorior och utredning utarbetades inom Justitiedeparte- mentet promemorian Kreditupplysning och inkasso (Ds Ju 1979:8).