sou · GQB32 · 2003-01-01 00:00:00 — En del av myndighetens verksamhet som man kan överväga att avgiftsbelägga är Datainspektionens uppgifter som tillsynsmyndighet enligt personuppgifts-, kreditupplysnings- och inkassolagarna samt inom det internationella polis- och tullsamarbetet. Datainspektionen har även att utöva tillsyn över verksamhet som bedrivs med stöd av ett stort antal registerförfattningar hänförliga till olika myndigheters verksamheter. Datainspektionens framtida finansiering 225 När det gäller avgift för tillsynsverksamhet återkommer problemet att det inte alltid finns ett direkt samband mellan den som betalar avgiften och den statliga verksamheten. Det kan däremot ofta finnas ett samband mellan en myndighets verksamhet och den grupp av företag som genom sina avgifter eventuellt finansierar verksamheten. Kollek- tivet svarar för sambandet, inte de enskilda företagen. När Datainspektionens verksamhet tidigare finansierades genom avgifter var dessa kopplade till tillstånds- och licenssystemet. Det fram- står som mer befogat att ta ut avgift, när en myndighet eller ett företag på eget initiativ vänder sig till Datainspektionen för att utnyttja dess tjänster, även om det rörde sig om en lagreglerad skyldighet för att få behandla personuppgifter. Detta krav finns kvar och avgifter för handläggning har också avskaffats i Data- inspektionens verksamhet. Enligt kreditupplysnings- och inkassolagarna gäller emellertid alltjämt att kreditupplysnings- och inkassoverksamhet som huvudregel inte får bedrivas utan myndighetstillstånd. När det gäller verksamhet enligt dessa båda lagar bör det därför vara möjligt att ta ut en avgift kopplad till ansökan om tillstånd. En sådan avgift bör kunna täcka myndighetens hela kostnad för handläggning av ärenden enligt lagarna. Personuppgiftslagen ställer som nämnts inte något krav på tillstånd för att behandla personuppgifter. Andra vägar får då sökas för att ta ut avgifter för myndighetens verksamhet enligt den lagen. Med den tidigare nämnda utgångspunkten att avgift bör betalas av den som föranleder Datainspektionen arbete och kostnader, ligger det närmast till hands att ta ut avgifter för de anmälningar om behandling av personuppgifter som skall lämnas in till Datainspektionen enligt personuppgiftslagen. Vidare bör det övervägas om Datainspektionen kan ta ut avgifter för den renodlade tillsynsverksamhet som myndigheten utför enligt person- uppgiftslagen, i form av inspektioner av personuppgiftsbehandlingen hos myndigheter och företag. I myndigheters verksamheter behandlas stora mängder av ofta känsliga personuppgifter. Generellt sett medför dessa myndigheters behandling sådana risker för intrång i den personliga integriteten som Datainspektionen särskilt bör fokusera sina insatser på. Utifrån denna utgångspunkt kan det vara befogat att Data- inspektionen tar ut en avgift för sin tillsynsverksamhet. Särskilt bör detta gälla i fråga om de myndigheter inom vilkas områden Datainspek- tionen har ett uttryckligt ansvar för tillsynen, t.ex. inom polis- och tullområdet. Om avgifter skall tas ut för Datainspektionens inspektionsverk- samhet, bör avgifterna enligt utredningens mening endast betalas av dem som Datainspektionen har inspekterat på plats. 226 Datainspektionens framtida finansiering avgiftssystem kan en direkt kostnadskrävande arbetsprestation från Datainspektionens sida pekas ut för den avgift som tillsynsobjektet blir skyldigt att betala. 13.2.2Allmänna synpunkter om avgiftsuttag För att ett system med avgiftsuttag skall införas måste vissa grund- läggande krav på utformningen av systemet vara uppfyllda. Allmänt gäller att ett avgiftssystem skall uppfattas som rättvist och vara enkelt och billigt att administrera. Avgifterna bör vara utformade så att de styr de avgiftsskyldiga i önskvärd riktning och systemet skall även i övrigt främja myndighetens verksamhet på bästa sätt. Ett system för avgifts- uttag kan ha både fördelar och nackdelar. Det måste därför vara en helhetsbedömning som ligger till grund för om Datainspektionens verk- samhet skall avgiftsfinansieras eller inte. Fördelar och nackdelar med avgiftsuttag i Datainspektionens verksamhet Avgifter kan ha positiva effekter i flera avseenden. För det första kan ett avgiftssystem som utformas på ett bra sätt innebära att det uppstår önskvärda styrningseffekter för såväl den myndighet som tar ut avgiften som för dem som skall betala. Vad gäller Datainspektionen kan t.ex. avgifter som riktas mot de tillsynsobjekt som inte har ett personuppgiftsombud medföra att fler företag och myndigheter utser sådana ombud, något som utredningen anser vara önskvärt. En sådan styrningseffekt skulle även avgifter för anmälningar till Data- inspektionen enligt personuppgiftslagen kunna ha, eftersom de som har personuppgiftsombud nästan helt slipper att göra sådana anmälningar. Positiva styrningseffekter kan även uppstå för Datainspektionens del om avgifter tas ut i tillsynsverksamheten, eftersom det ekonomiska utfallet av verksamheten kan fungera som en måttstock på myndighetens effektivitet. Inom ramen för Datainspektionens uppdrag enligt regeringens regleringsbrev, kan avgifter även uppmuntra till ökade inspektionsinsatser. Även detta är enligt utredningen efter- strävansvärt, då det är av stor betydelse för integritetsskyddet i sam- hället att Datainspektionen prioriterar bl.a. inspektioner av särskilt integritetskänsliga behandlingar av personuppgifter. Det kan emellertid även uppstå oönskade styrningseffekter till följd av att viss verksamhet avgiftsbeläggs. De personer som berörs av en viss myndighetsverksamhet kan exempelvis undvika kontakter med Datainspektionens framtida finansiering 227 myndigheten för att därigenom undgå avgifter. Det kan få till följd att information från myndigheten inte når ut och att det uppstår problem med att få kännedom om skilda företeelser i samhället. För Datainspek- tionens del skulle avgifter i samband med tillsyn och anmälningar kunna få till följd att personuppgiftsansvariga företag inte ger sig till känna, för att på så sätt undvika att betala anmälningsavgifter och att bli föremål för inspektion, som kan leda till fler avgifter. En positiv effekt med avgifter vid myndighetsutövning kan natur- ligtvis vara att statskassan tillförs pengar. Detta ställer dock krav på att avgiftssystemet är utformat på ett administrativt effektivt sätt. Ett tungrott system kan innebära att de ekonomiska vinsterna uteblir, men också att en alltför stor del av Datainspektionens arbetstid måste avsättas till att sköta administrationen av avgiftssystemet. När avgifter uppbärs från andra myndigheter genereras det i och för sig inte några pengar till statskassan, men som skäl för ett sådant avgiftsuttag kan anföras att det tydliggör var inom statsförvaltningen kostnaderna verkligen ligger och att man därigenom erhåller en korrekt fördelning av ansvaret för finansieringen. Ett väl utformat avgiftssystem som uppfattas som rättvist kan ha fördelar genom att skattebetalarnas kostnader minskar och att kostnaderna för Datainspektionen i stället läggs på dem i samhället som är orsak till dessa. En risk är att alla som borde betala inte blir föremål för inspektion och att kostnaden därför, på ett sätt som kan uppfattas som orättvist, endast drabbar en del företag och myndigheter. Det kan också uppfattas som orättvist om de personuppgiftsansvariga som sköter behandlingen av personuppgifter på ett bra sätt måste betala samma avgifter efter en inspektion som de som har misskött sig. Sammanfattningsvis kan som skäl för avgiftsfinansiering av delar av Datainspektionens verksamhet nämnas att det är rimligt att den som utnyttjar en verksamhet också betalar för den, att avgifter kan öka kostnadsmedvetandet, att avgifter kan ge en positiv statsfinansiell effekt samt att avgifter kan medföra önskvärda styrningseffekter i fråga om de personuppgiftsansvarigas beteende. Som argument mot en eventuell avgiftsfinansiering kan nämnas att avgifter kan medföra negativa styrningseffekter som förhindrar att syftet med myndighetens verksamhet uppnås samt att avgifter kan komma att uppfattas som orättvisa av dem som måste betala. Av redovisningen ovan framgår att det inte är enkelt att peka ut vare sig vem som bör betala avgifter till Datainspektionen eller för vad avgifter 228 Datainspektionens framtida finansiering bör tas ut. Mot den bakgrunden framstår inte Datainspektionens verk- samhet som allt igenom lämplig för avgiftsfinansiering. I detta sammanhang kan den principiella frågan om vem som har nytta av Datainspektionens verksamhet tas upp som ett argument mot att avgifter alls tas ut. Datainspektionen har till uppgift att värna om skyddet för den personliga integriteten. Det kan alltså hävdas att det är alla människor i , och inte de företag och myndigheter som kan bli föremål för avgift i anledning av inspektion eller annan åtgärd från myndighetens sida, som har den egentliga nyttan av Datainspektionens tillsynsverksamhet. Med det som utgångspunkt kan det vara naturligt att alla är med och betalar, dvs. att verksamheten precis som finansieras med skattemedel. I vissa avseenden är dessutom sambandet mellan Datainspektionens verksamhet och nyttan för dem som skall betala för den så svagt att det enligt utredningens mening är uteslutet med avgiftsfinansiering. Det gäller t.ex. det omfattande internationella åtagandet inom t.ex. EU. Det är inte heller berättigat att ta ut avgifter för myndighetens arbete med remisser och med föreskrifter och allmänna råd. Utredningen anser därför att det är viktigt att markera att Data- inspektionens hela verksamhet inte kan finansieras genom avgifter och att det enligt utredningens mening är oundvikligt att inspektionen måste få en betydande del av sin kostnader täckta genom anslag i stats- budgeten. Att stora delar av verksamheten bör finansieras av skatte- medel och att det i flera avseenden är svårt att definiera lämpliga avgiftsobjekt, utesluter dock i och för sig inte att en skattefinansiering kan kompletteras med en avgiftsfinansiering. Utredningen har därför i enlighet med sitt uppdrag noggrant övervägt en modell för avgifts- finansiering av Datainspektionens verksamhet. Syftet med redovis- ningen nedan i detta kapitel är emellertid inte att lämna ett konkret och i alla detaljer utarbetat förslag, utan att presentera vad utredningen ser som de mest acceptabla alternativen till en ren skattefinansiering. I kapitel 14 redovisar utredningen de ekonomiska konsekvenser som avgiftsmodellerna skulle kunna få. Enligt utredningens bedömning bör frågan om en eventuell avgifts- finansiering i första hand behandlas med den utgångspunkten att avgifterna skall ha en styrande effekt. Avgifter skall användas för att åstadkomma önskvärd effektivisering och prioritering av Datainspek- tionens verksamhet och för att påverka personuppgiftsansvariga att utse personuppgiftsombud och i övrigt behandla personuppgifter korrekt och i enlighet med god sed. Det är enligt utredningens uppfattning därför i första hand myndighetens renodlade inspektionsverksamhet samt verksamhet som efterfrågas frivilligt, t.ex. genom anmälningar och ansökningar om tillstånd, som kan komma i fråga för avgifts- Datainspektionens framtida finansiering 229 Övriga verksamheter bör även fortsättningsvis finansieras helt med skattemedel. Anslagsfinansiering bör också utgöra basen för myndighetens verksamhet i dess helhet, med eventuella avgiftsintäkter som komplement. 13.3En möjlig avgiftsfinansiering av verk- samheten enligt personuppgiftslagen Om avgifter skall tas ut i Datainspektionens verksamhet bör de dels ha sin grund i de faktiska åtgärder som myndigheten vidtar, dels ha en positivt styrande effekt. Vad som enligt utredningens uppfattning i första hand bör kunna bli föremål för avgiftsfinansiering är Datainspek- tionens renodlade inspektionsverksamhet, dvs. då inspektion sker på plats hos den personuppgiftsansvarige. Såväl myndigheter som privata företag och andra organisationer kan bli föremål för denna form av inspektion och således också avgiftsskyldiga. Datainspektionens inspektionsverksamhet fyller en mycket viktig integritetsskyddande funktion och det är viktigt för allmänhetens förtroende för lagstiftningen att en ändamålsenlig kontroll äger rum. Det kan mot denna bakgrund vara befogat att myndigheten finansierar dessa inspektioner med hjälp av avgifter. Det viktigaste skälet för att införa en avgift för Datainspektionens inspektionsverksamhet på plats, är emellertid att avgiften kan ha en positivt styrande effekt. En sådan avgift kan förmå personuppgifts- ansvariga att på egen hand förvissa sig om att behandlingen av personuppgifter är korrekt, t.ex. genom att utse personuppgiftsombud, för att på så sätt minimera kostnaderna för åtgärder från Datainspek- tionens sida. För att ytterligare stimulera att personuppgiftsombud utses kan man dessutom möjligen utforma avgiftssystemet så att avgiften är lägre för personuppgiftsansvariga som har anmält personuppgifts- ombud. Rent faktiskt har en sådan ordning fog för sig, eftersom en inspektion torde underlätta för Datainspektionen om det finns ett personuppgiftsombud. En fördel med avgifter för Datainspektionens inspektionsverksam- het är vidare att regeringen även kan sätta upp mål för verksamheten med utgångspunkt i tillsynsavgiften. Målen kan preciseras mer detalj- erat och på ett annat sätt än vad som varit fallet i de senaste reglerings- 230 Datainspektionens framtida finansiering breven, i vilka endast angivits att myndighetens tillsynsverksamhet skall bedrivas i minst lika stor omfattning som . Uppsatta mål kan dessutom bli lättare att följa upp. En av de invändningar som kan riktas mot en avgift för Data- inspektionens inspektionsverksamhet är att det är tveksamt om det föreligger ett tillräckligt starkt samband mellan tillsynsverksamheten och den grupp av företag och myndigheter som genom sina avgifter skall finansiera verksamheten. Denna omständighet har enbart betyd- else i förhållande till de privata tillsynsobjekten. Regeringen kan som nämnts alltid bestämma att en myndighet skall ta ut ersättning av andra myndigheter för en viss prestation oavsett om efterfrågan är frivillig eller tvingande. En stor del av Datainspektionens inspektionsverk- samhet riktar sig också mot just myndigheter. Hos myndigheter sker dessutom i regel en omfattande behandling av personuppgifter som ofta är av känslig natur. Datainspektionens kostnad för tillsyn inom de områden där det föreligger en lagreglerad skyldighet för Datainspektionen att utöva tillsyn bör till viss del kunna betalas av de myndigheter som föranleder arbete för inspektionen och drar nytta av tillsynsåtgärderna. Det gäller t.ex. tillsynen inom polis- och tullområdet enligt Europol-, Schengen- och . En finansieringsmodell av denna tillsynsverk- samhet behandlas nedan i avsnitt 13.4. Vad gäller inspektioner inom den privata sektorn kan särskilt noteras att den som betalar avgiften blir föremål för en direkt motprestation i form av faktisk tillsyn. Som framgått tidigare i betänkandet är det enligt utredningens uppfattning av största vikt att Datainspektionen utnyttjar sina resurser på bästa sätt och inriktar sina inspektioner mot de personuppgifts- ansvariga som behandlar speciellt känslig information och mot de verksamheter där det föreligger störst risk för otillbörliga intrång i den personliga integriteten. Det kan därför sägas vara en i viss mån begränsad skara personuppgiftsansvariga som kan komma att bli föremål för inspektion och därmed bli skyldiga att betala avgift för Datainspektionens tillsynsverksamhet. Datainspektionens förslag att koppla avgiftsskyldigheten till antalet anställda accepterades inte med motiveringen att detta förhållande inte är avgörande för risken för integritetsintrång och därmed inte för behovet av tillsyn (se avsnitt 5.3). Genom att risken för integritets- intrång i vid mening bör vara avgörande för vilka personuppgifts- ansvariga som skall bli föremål för Datainspektionens inspektionsinsatser, och därmed även avgörande för en eventuell avgiftsskyldighet, anser utredningen att kravet på att det skall finnas ett samband mellan avgiftssystemets utformning och behovet av tillsyn kan iakttas. Datainspektionens framtida finansiering 231 Ändamålet med all tillsyn är att tillgodose ett allmänt intresse, nämligen att den kontrollerade verksamheten sker i enlighet med gällande regler, vilket i det här fallet innebär att enskilda är försäkrade om att behandling av personuppgifter inte medför otillbörligt intrång i deras personliga integritet. Härvid skiljer sig inte Datainspektionens tillsyn från den som sker av andra tillsynsmyndigheter. Till exempel är det huvudsakliga ändamålet med verksamhet, vilken för övrigt är finansierad med avgifter som tas ut av bl.a. bankföretag, att bidra till det finansiella systemets stabilitet och effektivitet. Också Datainspektionens verksamheten ligger i högsta grad i allmänhetens intresse. För att undvika tveksamhet om det är fråga om en offentligrättslig avgift eller inte bör fastställa kriterierna för avgiftsuttaget. Närmare om utformningen av ett avgiftssystem Små organisationer och organisationer som endast i begränsad och en från integritetssynpunkt harmlös omfattning behandlar personuppgifter, bör enligt utredningens mening inte drabbas av tillsynsavgift. Ett avgiftssystem bör därför utformas så att man underlåter att ta ut avgift för inspektioner som inte överstiger viss på plats. Överstiger en inspektion på plats bör avgiften även omfatta tid för efterarbete i form av utformande av rapporter och dylikt. Det förarbete som Datainspektionen lägger ned för bl.a. planering av inspektioner bör inte ingå i underlaget för avgiften. Syftet med ett sådant system är att styra myndigheten att vara ute på fältet i så stor utsträckning som möjligt. Avgift bör utgå för omfattande efterarbete orsakat av brister i personuppgiftshanteringen, för att därigenom ytterligare förstärka den styrande effekten av avgiftsfinansieringen. En alternativ ordning för en eventuell avgiftsfinansiering är en årlig avgift som alla i hela avgiftskollektivet får betala. En sådan avgift förutsätter emellertid att man klart kan definiera alla som kan bli utsatta för tillsyn och att alla dessa får betala avgift. Med hänsyn till att i princip alla människor i i något avseende skulle kunna vara personuppgiftsansvariga, och därmed potentiella tillsynsobjekt för Datainspektionen, är detta enligt utredningens bedömning ogenom- förbart. Som utredningen framhållit bör avgifter tas ut enbart av dem som faktiskt blir utsatta för åtgärd från myndighetens sida. Vidare bör av- giften tas ut enligt en tidtaxa, alltså en avgift som direkt motsvarar den tid som faktiskt lagts ned för att fullgöra uppdraget. Datainspektionen bör debitera en fast timkostnad för faktiskt nedlagd tid. 232 Datainspektionens framtida finansiering bör bygga på en beräkning av genomsnittlig lönekostnad och omkostnad för traktamente, resor och övernattning m.m. Den bör med andra ord vara lika stor oberoende av var i landet en inspektion äger rum. En fördel med tidtaxa är att en sådan sannolikt skulle ha en positivt styrande effekt genom att personuppgiftsansvariga skulle uppmuntras att skaffa personuppgiftsombud, eftersom förekomsten av sådana ombud borde underlätta Datainspektionens arbete på plats. Det är viktigt att en avgift enligt tidstaxa bestäms med utgångspunkt endast i det faktiska inspektionsarbetet. Vid tidsberäkningen får med andra ord inte räknas in tid som, i samband med en inspektion, har använts för allmänna diskussioner eller rent informationsutbyte mellan Datainspektionen och tillsynsobjektet i frågor som inte rör den aktuella inspektionen på plats. Något om omfattningen av dagens inspektionsverksamhet När det gäller vilka avgifter som kan tas ut för Datainspektionens inspektioner bör något nämnas om omfattningen av verksamheten . En mer exakt redovisning finns i bilaga 3. –har Datainspektionen lagt ned sammanlagt på fältinspektion enligt datalagen och personuppgiftslagen. I tidsåtgången för fältinspektion ingår allt arbete med anledning av en inspektion, dvs. såväl förarbete, restid och själva inspektionen som efterarbete. Datainspektionen har genomfört särskilda projekt enligt personuppgiftslagen som avsett bl.a. direktreklam- branschen, skolor och . Tidsåtgången för detta arbete var . Myndigheten har vidare utfört 17 fältinspektioner enligt kreditupp- lysningslagen samt särskilda projekt enligt samma lag och lagt ned sammanlagt . Antalet fältinspektioner enligt inkassolagen har uppgått till 38, vilka sammanlagt tagit att genomföra. Den totala tillsynsverksamheten över tullens register har under nämnda period omfattat , och arbetet enligt Schengenkonven- tionen har uppgått till . Enligt utredningens uppfattning skall Datainspektionen inte disponera de inkomster som myndigheten uppbär i form av avgifter för inspek- tioner. Myndighetens verksamhet skall alltjämt finansieras genom Datainspektionens framtida finansiering 233 anslag över statsbudgeten och omfattningen av inspektionsverksam- heten skall bestämmas av regeringen i regleringsbrev. Det kommer således inte att finnas något direkt incitament för Datainspektionen att inrikta sina inspektioner på de verksamheter som från avgiftssynpunkt kan inbringa störst intäkter. Mot bakgrund av att grunderna för hur omfattande Datainspek- tionens inspektionsverksamhet skall vara bestäms av regeringen i regleringsbrev, är det i förlängningen regeringen som avgör hur stora intäkter avgiftssystemet kommer att föra med sig. Med ett så stort antal potentiella tillsynsobjekt som är föremål för Datainspektionens verk- samhet, finns det förutsättningar för en mycket omfattande inspektions- verksamhet. Enligt utredningens uppfattning bör som målsättning för Datainspektionens verksamhet gälla att, med nuvarande resurser, ett väsentligt större antal inspektioner skall utföras än de ca 200 inspektioner som genomförs . 13.3.2Avgifter för anmälan om behandling av personuppgifter Innan helt eller delvis automatiserad behandling av personuppgifter vidtas skall den personuppgiftsansvarige enligt personuppgiftslagen skriftligen anmäla detta till Datainspektionen. Om den personuppgifts- ansvarige utser ett personuppgiftsombud och anmäler detta till Datainspektionen, behöver i det stora flertalet fall någon anmälan av behandling av personuppgifter inte göras. Innan en behandling av särskilt integritetskänsliga personuppgifter får göras skall emellertid en anmälan alltid göras i förväg till Datainspektionen för förhandskontroll, oavsett förekomsten av personuppgiftsombud. Enligt utredningens uppfattning skulle dessa former av anmälningar till Datainspektionen kunna vara förenade med en avgift för myndighetens handläggning. Syftet med att avgiftsbelägga dessa typer av anmälningar är som tidigare framhållits de styrande effekter som härigenom kan uppnås. Dessutom får de personuppgiftsansvariga som föranleder arbete för Datainspektionen betala för det. Som tidigare påpekats anser utred- ningen att det är av stor vikt att personuppgiftsansvariga i största möjliga utsträckning utser personuppgiftsombud. Genom att utse personuppgiftsombud undkommer man skyldigheten att göra anmälan om ordinär behandling av personuppgifter. Införs en avgift för sådan 234 Datainspektionens framtida finansiering anmälan motiveras de personuppgiftsansvariga än mer att utse person- uppgiftsombud i sin verksamhet, eftersom man då slipper att betala nämnda avgift. I fråga om särskilt känsliga behandlingar av personuppgifter, för vilka anmälningsskyldighet är obligatorisk även om det finns person- uppgiftsombud, kan styrningseffekter uppnås på så sätt att den person- uppgiftsansvarige noggrant överväger om behandlingen är nödvändig. En tydlig styrningseffekt kan sannolikt uppstå för forskningsprojekt, som har stått för en stor del av de obligatoriska anmälningarna. Det krävs nämligen inte någon anmälan om behandlingen av uppgifter har godkänts av en forskningsetisk nämnd.