sou · GQB32 · 2003-01-01 00:00:00 — Ett företag kan t.ex. genom att frivilligt ansluta sig till ett integritetsprogam som erbjuds av en del organisationer, på sin hemsida få ett intyg som visar att det hanterar personuppgifter enligt vissa principer. Ett viktigt skäl till att självreglering används är alltså att skapa för- troende hos konsumenter på Internet. Oro för intrång i den personliga integriteten kan medföra att enskilda undviker att vända sig till ett visst företag. Detta förhållande ger möjlighet för Datainspektionen att stimu- lera till ett frivilligt integritetsskydd. Självreglering som är utformad i samarbete med Datainspektionen kan medföra goodwill och ett större förtroende genom myndighetens auktoritet. Det är viktigt att Datainspektionen tar varje tillfälle i akt att upp- muntra till olika former av självregleringar. Genom Datainspektionens aktivitet på fältet, bl.a. i form av inspektioner av behandling av personuppgifter, kan myndigheten få underlag till bedömningar av inom vilka områden det är lämpligt med självreglering. I den mån det är lägligt bör Datainspektionen även vid själva inspektionstillfället utnyttja möjligheten att uppmuntra till självreglering. Branschöverenskommelser är i detta sammanhang en betydelsefull form av självreglering. Det är emellertid viktigt att begreppet själv- reglering uppfattas som betydligt vidare än så. Alla former av organisationer, allt från tydliga branschorgan, och mer löst samman- satta organisationer till enskilda företag, bör uppmuntras att se över sin behandling av personuppgifter och att utarbeta en målsättning och helst regler för skyddet för den personliga integriteten. Det är viktigt att påpeka att detta gäller i lika hög grad för myndigheter inom både den statliga och kommunala sektorn. Vidare kan formerna för kontrollen av Integritetsskydd genom olika former av självreglering 213 personuppgiftsbehandlingen bestå i allt från mer eller mindre fullständiga regelverk till utseendet av ett personuppgiftsombud. Det bör vara naturligt för varje organisation att utse ett person- uppgiftsombud, framför allt bör detta krav kunna ställas på offentliga organ. Varje sådan form av övervägande kring behandlingen av person- uppgifter kommer att leda till att skyddet för den personliga integriteten stärks. Enligt utredningens mening är det mycket viktigt att det allmänna medvetandet om integritetsskydd i samband med behandling av personuppgifter höjs. En form av självreglering är vidare de olika tekniska lösningar som skapas i samband med användningen av Internet, t.ex. möjligheter att vara anonym. Särskilt i har man valt att inte enbart reglera den nya tekniken juridiskt, utan även försökt att hitta olika tekniska lös- ningar som skyddar den personliga integriteten. I stället för att koncen- trera sig på de rättsliga aspekterna av den nya tekniken inriktar man sig i allt större utsträckning på att ta fram och lansera ny teknik som skyddar den personliga integriteten. Datainspektionens möjligheter att aktivt stimulera utvecklingen av frivilligt integritetsskydd genom olika former av självreglering har på detta sätt en mycket nära anknytning till inspektionens ansvar för att aktivt följa teknikutvecklingen ur ett integritetsperspektiv. Vad gäller det sistnämnda ansvaret kan man i och för sig hävda att Datainspektionen i första hand är en juridisk myndighet som inte kan ha kontroll över den omfattande tekniska utvecklingen i informations- samhället. medför dock den tekniska utvecklingen, med både hot mot och möjligheter till skydd för den personliga integriteten, att Datainspektionen med sin uppgift att skydda människors personliga integritet måste ha mycket goda tekniska kunskaper. Dessa tekniska kunskaper måste naturligtvis omfatta såväl vilka hot mot den personliga integriteten som den tekniska utvecklingen för med sig som vilka tekniska möjligheter till skydd som utvecklas på marknaden. Personuppgiftsombuden har som kontrollanter av att de person- uppgiftsansvariga behandlar personuppgifter i enlighet med personupp- giftslagens regler en mycket viktig funktion att fylla. Person- uppgiftsombudens ansvar torde i de flesta fall borga för ett gott integri- tetsskydd. Personuppgiftsombuden beskrivs ju också som Datainspek- tionens förlängda arm. Ett önskemål är att alla personuppgiftsansvariga vars verksamhet är av viss omfattning utser ett personuppgiftsombud. En utbredd användning av systemet med personuppgiftsombud bör kunna få betydelse för omfattningen av och inriktningen på Datainspektionens tillsynsverksamhet och i förlängningen skapa förutsättningar att 214 Integritetsskydd genom olika former av självreglering begränsa inspektionens resurser utan att integritetsskyddet därigenom äventyras. I synnerhet bör systemet medföra att Datainspektionen kan koncentrera sina resurser på inspektioner hos personuppgiftsansvariga, vars behandling av personuppgifter medför de allra största riskerna för intrång i den personliga integriteten. Ansvar att följa teknikutvecklingen ur ett integritetsperspektiv 215 12Ansvar att följa teknikutvecklingen ur ett integritetsperspektiv Utöver juridiska kunskaper krävs att Datainspektionens personal skall ha god insikt i informationsteknik. Inspektionens tekniska kompetens skall i första hand användas för att sköta de primära uppgifterna i tillsynsverksamheten. Datainspektionen bör bland sina anställda ha personer med examen på högskolenivå inom IT-området. Därutöver bör det finnas åtminstone en person i varje arbetslag inom inspektionsverksam- heten med goda tekniska kunskaper. Det innebär att andelen anställda med teknisk kompetens bör öka i förhållande till läget . En idealsituation är att anställda besitter kunskap inom såväl integritetslagstiftningen som informationstekniken. Nivån på de tekniska kunskaperna skall som utgångspunkt motsvara s.k. beställarkompetens, dvs. Datainspektionen måste veta när den egna kompetensen inte räcker till och externa resurser därför måste anlitas. Inspektionen bör också samråda med andra myndig- heter i frågor som rör IT-säkerhet. Datainspektionens ansvar att följa teknikutvecklingen ur ett integritetsperspektiv innebär en skyldighet för myndigheten att slå larm vid integritetshot och i egenskap av remissinstans bevaka integritetsskyddet i samband med ny lagstiftning m.m. Datainspektionen har bl.a. till uppgift att följa och beskriva utvecklingen inom IT-området när det gäller frågor som rör integritet och ny teknik. I direktiven framhålls att den snabba tekniska utveck- lingen innebär nya integritetsrisker och i många avseenden ändrade förutsättningar för arbetet med att värna enskildas personliga integritet. Utredningen har mot bakgrund härav fått i uppdrag att analysera möjligheterna att ge Datainspektionen ett tydligare ansvar för att aktivt följa teknikutvecklingen ur ett integritetsperspektiv och bedöma i vilken utsträckning en sådan roll kräver förändringar i inspektionens kompetensprofil. 216 Ansvar att följa teknikutvecklingen ur ett integritetsperspektiv Datainspektionen skall enligt sin instruktion följa och beskriva utveck- lingen inom IT-området när det gäller frågor som rör integritet och ny teknik. Enligt regleringsbrevet för myndigheten har Datainspektionen dock inte något särskilt återrapporteringskrav vad gäller utvecklingen inom IT-området, förutom att inspektionen skall avge en allmän bedömning av verksamhetens effekter och eventuella behov av åtgärder. Datainspektionens verksamhet skall vara inriktad på information och inspektion. Ansvaret för att följa utvecklingen inom IT-området är således främst kopplat till att inspektionen har tillräckligt goda tekniska kunskaper för att kunna genomföra sina inspektionsinsatser på ett ändamålsenligt och fullgott sätt och till att myndigheten kan informera om de integritetsrisker som utvecklingen av ny teknik för med sig. Redan i personuppgiftslagen förutsätts Datainspektionen ha goda kunskaper om den tekniska utvecklingen vad gäller skyddet för den personliga integriteten. Den personuppgiftsansvarige skall enligt 31 § personuppgiftslagen vidta de tekniska och organisatoriska åtgärder som krävs för att skydda de personuppgifter som behandlas. Åtgärderna skall företas med beaktande av bl.a. de tekniska möjligheter – fysiska och logiska säkerhetshjälpmedel – som finns tillgängliga på marknaden, och utifrån dessa skall den personuppgiftsansvarige utforma lämpliga rutiner m.m. De allmänt hållna reglerna om säkerhet beskriver de överväganden som måste göras i fråga om säkerhetsåtgärder. Reglerna ger emellertid inte tillräcklig vägledning för den personuppgiftsansvarige att avgöra vilka säkerhetsåtgärder som bör vidtas i det enskilda fallet. Avsikten är därför att Datainspektionen skall meddela de närmare föreskrifter om säkerhetsåtgärder som behövs. Datainspektionen bör också kunna lämna råd i säkerhetsfrågor.1 Enligt 32 § personuppgiftslagen får Datainspektionen således besluta om säkerhetsåtgärder som den personuppgiftsansvarige skall vidta. I förarbetena framhålls att säkerhetsbrister är oacceptabla och att det är viktigt att tillsynsmyndigheten har tydliga befogenheter just när det gäller säkerheten. Genom ett beslut i det enskilda fallet får den personuppgiftsansvarige preciserat exakt vilka åtgärder han eller hon måste vidta för att uppfylla säkerhetskraven.2 Ansvaret för behand- lingen av personuppgifter åvilar dock alltjämt den personuppgifts- ansvarige. 1SOU 1997:39 s. 410. 1997/98:44 s. 92. Ansvar att följa teknikutvecklingen ur ett integritetsperspektiv 217 Datainspektionen har gett ut allmänna råd om säkerhet vid behandling av personuppgifter. Råden riktar sig till dem som behandlar personuppgifter enligt personuppgiftslagen. Råden är inte bindande, men utgör rekommendationer om hur de bindande kraven i person- uppgiftslagen om säkerhet kan uppnås. 12.2Datainspektionens behov av teknisk kompetens inom IT-området Omfattande behandling av personuppgifter sker hos statliga myndig- heter. Det är emellertid inte bara behandlingen hos statliga myndigheter som utgör hot mot den personliga integriteten utan även den omfatt- ande behandling av personuppgifter som sker inom allt fler samhälls- områden och inte minst vid handeln på Internet. Det utvecklas ständigt nya tekniska möjligheter som både medför hot mot och utgör skydd för den personliga integriteten. Det är därför viktigt att Datainspektionen fokuserar på denna utveckling av informa- tionstekniken och att det inom myndigheten finns anställda med goda tekniska kunskaper. Det krävs medarbetare som har förmåga att uppmärksamma de hot mot den personliga integriteten som kan upp- komma vid användning av ny teknik och som kan sprida information om hur man kan skydda sig mot intrång. Mycket viktigt är också att det finns kompetens att snabbt tillgodogöra sig nya tekniska lösningar som skyddar den personliga integriteten. Goda tekniska kunskaper hos Datainspektionen är som framhållits i avsnitt 11.7 även väsentligt för myndigheten i dess uppgift att stimulera till ökad självreglering i samhället. Datainspektionen behöver inte bara rent teknisk kompetens, utan måste också kunna se konsekvenser av teknikutvecklingen och dess påverkan på samhället. Det måste hos inspektionen finnas en förmåga att göra en omvärldsanalys, och att dra slutsatser av den tekniska ut- vecklingen och dess betydelse för integriteten och människors vardag. Det är viktigt att myndigheten kan göra övergripande bedömningar. Den personal som i första hand står för den tekniska kunskapen inom myndigheten skall kunna koppla ihop den tekniska utvecklingen med de risker för den personliga integriteten som denna kan föra med sig. Nya former för behandling av personuppgifter som innebär risker för otillbörliga intrång i den personliga integriteten bör föranleda de tekniskt kunniga att slå larm, så att Datainspektionen tidigt kan vidta nödvändiga åtgärder. 218 Ansvar att följa teknikutvecklingen ur ett integritetsperspektiv Informationstekniken utgör emellertid ett område i ständig och mycket snabb förändring. Det går inte att kräva att Datainspektionen skall ha en fullständig bevakning av utvecklingen inom hela det informationstekniska området eller spetskompetens inom varje del av området. Det kan inte vara Datainspektionens uppgift att ligga i frontlinjen när det gäller kunskap om den tekniska utvecklingen. Denna uppgift bör i första hand ligga på landets universitet och högskolor. Det finns naturligtvis också företag som ligger långt fram inom detta område och som kan fylla en viktig funktion när det gäller att följa och beskriva den tekniska utvecklingen. Utöver traditionell rättslig sakkunskap behöver Datainspektionen i första hand insikter i informationsteknik och informationssystem, särskilt med tonvikt på informationssäkerhet. Nivån på Datainspektionens tekniska kompetens bör i första hand motsvara s.k. beställarkompetens. Det gäller med andra ord för Datainspektionen att veta när den egna kompetensen inte räcker till och när man således är tvungen att anlita externa resurser för att klara de uppgifter man själv inte kan utföra på ett fullgott sätt. Vid behov bör Datainspektionen hyra in konsulter. Det är vidare viktigt att Datainspektionen utnyttjar den kompetens som finns hos andra offentliga organ. Användningen av informations- teknik är utbredd och alla myndigheter är tvungna att ha ingående kunskaper om den teknik och de olika system som används inom den egna verksamheten. Inspektionen bör därför använda möjligheten att samråda med andra myndigheter, bl.a. i frågor som rör IT-säkerhet. Inspektionen måste emellertid bland sina anställda ha personer som har informationsteknisk kompetens som motsvarar examen på hög- skolenivå. Datainspektionen har endast tre anställda, med olika bakgrund, som har teknisk kompetens. Enligt utredningens mening bör Datainspektionen förstärka sin kompetens vad gäller informations- teknik. Andelen anställda med teknisk kompetens bör således vara större än . Ett önskemål är givetvis att en så stor del av de anställda som möjligt besitter såväl juridisk som teknisk kompetens. Jurister med rättsinformatik som sitt specialområde kan därför var en lämplig grupp att rekrytera personal från. I större utsträckning bör också inspektioner genomföras av personal med teknisk kompetens. Informationstekniskt kunnig personal bör all- tid finnas med vid inspektionerna. Inspektioner bör endast i undantags- fall utföras av enbart juridiskt kunnig personal. Den tekniska kompetensen är viktig för att undersöka hur olika datorsystem fungerar och hur personuppgiftsbehandlingen rent faktiskt går till. torde det vara lämpligt att den tekniskt kunniga Ansvar att följa teknikutvecklingen ur ett integritetsperspektiv 219 personalen utför inspektioner själv. Med det underlag som personalen sedan presenterar i form av rapporter och dylikt kan myndighetens jurister i efterhand fatta beslut om vilka åtgärder som eventuellt måste vidtas. En jämförelse kan göras med skattemyndighetens sätt att arbeta. När en skattemyndighet i sin verksamhet reviderar företag genomförs detta regelmässigt av skatterevisorer och andra ekonomer. Skattemyndig- hetens beslut i anledning av den genomförda revisionen fattas sedan med upplysningar från revisionen som underlag. De juridiska bedöm- ningarna görs med andra ord i efterhand av jurister som inte varit med på fältet. På liknande sätt arbetar för övrigt dataskyddsmyndigheten i , jämför avsnitt 4.6.8. Datainspektionens framtida finansiering 221 Datainspektionens verksamhet bör till stor del finansieras genom skattemedel, eftersom sambandet mellan vissa verksamheter och de som skulle kunna komma ifråga att betala är för svagt för att avgifter skall kunna tas ut. Verksamheten kan dock delvis finansieras genom avgifter som tas ut av dem som drar nytta av myndighetens verksamhet och av dem som föranleder inspektionen arbete. Utredningen lämnar emellertid inget förslag till avgiftsfinansiering utan presenterar endast de modeller för finansiering som utredningen anser vara mest acceptabla. En avgiftsfinansiering av Datainspektionens tillsynsverksamhet kan ha mycket positiva styrningseffekter. Det kan därför finnas skäl för Datainspektionen att debitera en avgift för den renodlade inspektionsverksamheten och att ta ut en avgift för anmälningar enligt personuppgiftslagen om behandling av personuppgifter. Tillstånds- och tillsynsverksamheten enligt kreditupplysnings- och inkassolagarna kan också finansieras genom avgifter. Även i fortsättningen bör avgifter tas ut för myndighetens informationsmaterial, konferenser och föreläsningar. Datainspektionens verksamhet har tidigare kunnat finansieras genom det system med licens- och tillståndsavgifter som tillämpades i an- slutning till datalagen. I och med personuppgiftslagen har licens- och tillståndssystemet upphört och därmed finns denna finansieringskälla inte längre. Datainspektionen har tidigare också tagit ut avgifter för handläggning av tillståndsärenden enligt kreditupplysnings- och inkassolagarna. Även denna form av finansiering upphörde i samband med att avgifterna för handläggningen enligt datalagen avskaffades. 222 Datainspektionens framtida finansiering I direktiven anges särskilt att utredningen skall analysera formerna för den fortsatta finansieringen och möjligheterna att helt eller delvis finansiera Datainspektionens framtida verksamhet med avgiftsintäkter. Bakgrund till utredningens överväganden i fråga om finansieringen av Datainspektionens verksamhet finns i kapitel 5. Utredningen har därutöver haft underhandskontakter med vad gäller frågor om vilka krav som måste vara uppfyllda för avgifts- finansiering i allmänhet, för- och nackdelar med avgiftsfinansiering och lämpligheten av de överväganden som utredningen presenterar i detta kapitel. 13.2Allmänna förutsättningar för avgiftsfinansiering av Datainspektionens verksamhet Vid en prövning av förutsättningarna för finansiering av Datainspek- tionens verksamhet på annat sätt än genom anslag via statsbudgeten uppkommer flera frågor. För att avgöra om en avgiftsfinansiering är möjlig bör ställning särskilt tas till vem som skall betala avgifterna och för vilka delar av sin verksamhet Datainspektionen kan ta betalt. Man måste mot bl.a. den bakgrunden också överväga om det ur principiell synvinkel är lämpligt att alls finansiera Datainspektionens verksamhet med avgifter. Svaren på frågorna visar om det finns förutsättningar för att finansiera hela eller kanske bara delar av myndighetens verksamhet via avgifter. 13.2.1Av vem och för vad kan avgifter tas ut? Av vem kan Datainspektionen ta ut avgifter? Vid bedömningen av om det finns förutsättningar för avgifts- finansiering är den första frågan som bör ställas vem som bör betala för Datainspektionens verksamhet. Det framstår som naturligt för utred- ningen att Datainspektionens verksamhet bekostas av dem som utnyttjar inspektionens tjänster eller förorsakar myndigheten arbete och kostnader. När Datainspektionen tillhandahåller informationsmaterial och håller konferenser eller föreläsningar, är det lätt att identifiera dem som utnyttjar inspektionens tjänster. Det är betydligt svårare att definiera vem som utnyttjar tjänsterna i Datainspektionens tillsynsverksamhet. Datainspektionens framtida finansiering 223 vid mening kan man säga att de företag och myndigheter m.fl. som blir föremål för inspektioner eller annan tillsyn drar nytta av verksamheten, genom att de får information om brister i hanteringen av person- uppgifter och råd om hur dessa kan rättas till. Det är emellertid svårt att med detta som enda utgångspunkt argumentera för att de skall betala avgifter till Datainspektionen, inte minst mot bakgrund av att de inte själva har begärt inspektion eller annan tillsyn och att sådan verksamhet kan uppfattas som en belastning för de inspekterade även om de också drar nytta av den. Det är enligt utredningens bedömning rimligt att främst utgå från dem som föranleder Datainspektionen arbete och kostnader i dess tillsynsverksamhet. Datainspektionen är en statlig tillsynsmyndighet som utövar tillsyn över behandlingen av personuppgifter i samhället. De som förorsakar inspektionen kostnader kan då definieras som alla som behandlar personuppgifter på ett sådant sätt att det faller under inspektionens tillsynsansvar. De som bör kunna komma i fråga för avgiftsuttag för Datainspektionens verksamhet är således främst före- tag, myndigheter och andra organisationer. I torde i princip samtliga dessa potentiella tillsynsobjekt behandla personuppgifter i större eller mindre utsträckning. Dessutom kan i vissa fall även enskilda personer utföra behandling av personuppgifter som står under Datainspektionens tillsyn. Som ett grundläggande krav för avgiftsfinansiering av en myn- dighets verksamhet gäller att det skall finnas ett samband mellan myn- dighetens verksamhet och dem som skall betala avgifterna. De som blir skyldiga att betala måste därför vara föremål för någon form av motprestation från myndigheten. Om detta samband är tydligt finns det större skäl för att ta ut avgift än om sambandet är svagt. En avgift som tas ut trots att sambandet mellan myndighetens verksamhet och nyttan för den avgiftsskyldige är svagt, har en tydlig karaktär av skatt. När det gäller att ta ut avgifter av andra myndigheter föreligger inte några statsrättsliga komplikationer. Regeringen kan alltid bestämma att en myndighet skall ta ut ersättning av andra myndigheter för en viss prestation oavsett om efterfrågan är frivillig eller tvingande. I fråga om avgiftsuttag för tillsyn över privaträttsliga organ gör sig däremot statsrättsliga problem gällande. Att t.ex. införa en avgift som skall betalas av alla som behandlar personuppgifter utgör en skatt som måste beslutas av . 224 Datainspektionens framtida finansiering För vad kan Datainspektionen ta ut avgifter? En viktig fråga som måste ställas är för vilka arbetsuppgifter Datainspektionen rimligen kan ta ut avgifter. När det gäller flera av de uppgifter Datainspektionen har, är det enligt utredningens uppfattning svårt att se att de som kan komma att bli betalningsskyldiga har en sådan direkt nytta av verksamheten att det berättigar att en avgift tas ut. I vissa avseenden är sambandet mellan Datainspektionens verk- samhet och nyttan för dem som skall betala för den särskilt svagt. Datainspektionens arbete med remisser, det omfattande internationella engagemanget inom t.ex. EU och myndighetens arbete med föreskrifter och allmänna råd. Inom verksamhetsområdet tillhandahåller Datainspek- tionen diverse tjänster som är frivilliga att utnyttja. För sådana tjänster föreligger inget hinder mot att ta ut avgifter, så länge tjänsterna inte omfattas av den allmänna serviceskyldigheten enligt 4 och 6 §§ förvalt- ningslagen (1986:223). För en del av sitt arbete tar Datainspektionen ut avgifter. Myndighetens verksamhet i form av konferenser, föreläsningar, kon- sultuppdrag och försäljning av publikationer genererade ca i intäkter. Dessa tjänster, som är frivilliga att utnyttja, finansierar således endast en mindre del av myndighetens totala verksamhet. De medel som kommer att disponeras av Datainspektionen för myndighetens verksamhet uppgår totalt till , varav är tilldelat anslag och är beräknade avgiftsintäkter. På en principiell nivå kan det dessutom diskuteras om Datainspektionen skall ta betalt för sådana tjänster som likaväl kan tillhandahållas av privaträttsliga organ på en konkurrensutsatt marknad. Datainspektionen har t.ex. fått kritik för att deras kurser för personuppgiftsombud förstör utbildningsmarknaden, eftersom de är för billiga. Det har också framhållits att en statlig myndighet inte skall bedriva kommersiell verksamhet. ifrågasätts emellertid varför utbildningarna inte är gratis, med motiveringen att det ingår i myndighetens serviceskyldighet att bedriva denna informationsverksamhet.