sou · GQB32 · 2003-01-01 00:00:00 — Ett utbyggt system med personuppgiftsombud bör medföra att ett fullgott skydd för den personliga integriteten kan uppnås i samhället även om omfattning- en av Datainspektionens verksamhet minskar. Enligt utredningens uppfattning bör emellertid även andra aktörer än personuppgiftsombud kunna delta i förebyggandet av intrång i den personliga integriteten, t.ex. revisorer med särskilda kunskaper om personuppgiftsbehandling och integritetsskyddslagstiftning. Det finns anledning att närmare studera om inte en ökad kompetens hos revisionsbyråerna bör kunna medföra att vissa revisorer enligt sina uppdragsgivares önskemål granskar om hanteringen av personuppgifter följer personuppgiftslagens bestämmelser. Arbetet med självreglering i , som beskrivs närmare i kapitel 11, kan här tjäna som förebild för Datainspektionen i detta sammanhang. Företag och andra kan vara måna om att för goodwill och annat kunna peka på att behandlingen av personuppgifter granskats från integritetsperspektiv. Datainspektionen bör därför t.ex. verka för att olika former av frivilliga kontrollorgan tillskapas. Datainspektionen bör också stimulera andra former av egenkontroll och självreglering. Alla åtgärder som innebär att fler engagerar sig i arbetet för att förebygga intrång i den personliga integriteten medför att Datainspektionen kan koncentrera sina resurser till de särskilt viktiga områdena och på så sätt ytterligare effektivisera sin tillsynsverksamhet. Självreglering kan användas på olika sätt. En anmodan om egenkontroll från Datainspektionen kan vara ett incitament för de personuppgiftsansvariga att själva se över sin personuppgiftshantering och förbättra den. Enligt 14 § personuppgiftsförordningen skall Datainspektionen på begäran av en organisation inom en viss bransch eller område avge En effektiv och ändamålsenlig tillsynsverksamhet 181 yttrande över förslag till branschöverenskommelser vad avser behand- ling av personuppgifter inom branschen eller området. Datainspektionen bör på alla sätt stödja olika former av själv- reglering och medverka till att branschöverenskommelser till skydd för den personliga integriteten utarbetas. Ypperliga tillfällen ges att i samband med inspektioner väcka frågor om självreglering. Som Datainspektionen själv vid olika tillfällen uttalat, främjas skyddet för den personliga integriteten bäst om reglerna anpassas till de specifika förhållanden som råder inom olika branscher eller områden i samhället. Genom att engagera bransch- och områdesföreträdare i utvecklingen av normer för personregistreringen sprids en fördjupad kunskap om och en större förståelse för integritetsfrågorna. Det går i ett sådant utvecklingsarbete också att locka fram ett intresse för de etiska aspekterna på personregistrering i den egna verksamheten. Självreglering behandlas vidare i kapitel 11. SOU 2002:2 Datainspektionens tillsyn inom ramen för polis- och tullsamarbetet 183 9Datainspektionens tillsyn inom ramen för polis- och tullsamarbetet Datainspektionen bör även fortsättningsvis vara tillsynsmyndighet vad gäller Europol-, Schengen- och . De tre konventionerna reglerar stora datorbaserade informations- system, som innehåller ansenliga mängder personuppgifter för ett snabbt och effektivt informationsutbyte. En oberoende myndighet skall vara tillsynsmyndighet enligt konventionerna. Ingen myndighet är lämpligare än Datainspektionen i detta avseende. 9.1Europol-, Schengen och TIS- konventionerna Enligt direktiven skall utredningen analysera vilken roll Datainspek- tionen bör ha när det gäller tillsyn inom ramen för polis- och tullsam- arbetet, närmare bestämt Europol-, Schengen- och . Om utredningen finner att sådan tillsyn även fortsättningsvis bör vara en uppgift för Datainspektionen skall möjligheterna till en avgifts- finansiering prövas. Europol-, Schengen- och beskrivs närmare i avsnitt 3.7–3.9. Grunden för de tre olika konventionerna är gemensam. Det rör sig om stora datorbaserade informationssystem som innehåller stora mängder personuppgifter för snabb och effektiv informationsspridning. Informationssystemen är uppbyggda av uppgifter som överförs från motsvarande nationella system inom de olika medlemsländerna. Syftet med informationssystemen är främst att underlätta ingripanden mot allvarlig brottslig verksamhet, motverka negativa konsekvenser av den fria rörligheten för personer och bekämpa brott mot EU:s tull- och jordbrukslagstiftning. 184 Datainspektionens tillsyn inom ramen för polis- och tullsamarbetet SOU 2002:2 Europol är en europeisk polisbyrå som har till uppgift att vara ett kriminalunderrättelseorgan för de brottsbekämpande myndigheterna i medlemsländerna inom EU. Medlemsländerna tillhandahåller Europol uppgifter ur sina nationella register, vilka uppgifter sammanställs, bearbetas och analyseras hos Europol. Den sammanställda informa- tionen skall sedan kunna återställas till medlemsländerna. Den centrala beståndsdelen i Europol är dess datorbaserade informationssystem, som omfattar tre olika register. Det är i detta informationssystem som uppgifterna från medlemsländerna samman- ställs. Med hänsyn till den stora mängd personuppgifter som behandlas i informationssystemet innehåller Europolkonventionen ett antal regler som tar sikte på enskildas integritetsskydd och skydd för känsliga personuppgifter. Det finns en gemensam tillsynsmyndighet som består av företrädare för de nationella tillsynsmyndigheterna och som har till uppgift att kontrollera att handhavandet av personuppgifter överensstämmer med konventionens regler. I varje medlemsland skall det dessutom finnas en nationell tillsynsmyndighet som har motsvarande uppgift i förhållande till de nationella enheternas verksamhet. Regeringen har utsett Datainspektionen till svensk tillsynsmyndighet enligt Europolkonven- tionen. har som grundläggande syfte att främja den fria rörligheten för personer inom unionen. För att denna fria rörlighet inte också skall leda till ökad internationell brottslighet har en del åtgärder som syftar till ett ökat polisiärt och rättsligt samarbete vidtagits. Ett viktigt hjälpmedel i detta sammanhang är Schengens informations- system, SIS. SIS består av en nationell enhet för varje medlemsstat och en central teknisk stödfunktion, som är gemensam för . Varje Schengenstats nationella enhet innehåller uppgifter som är identiska med uppgifterna i de övriga ländernas nationella enheter. Beträffande uppgifter om personer får registreringen i SIS endast avse vissa identi- tetsuppgifter, och uppgifter får bara föras in för vissa i konventionen angivna ändamål. Varje Schengenstat skall utse en myndighet som har till uppgift att självständigt utöva tillsyn över det och att kontrollera att behandling och utnyttjande av uppgifter som införts i SOU 2002:2 Datainspektionens tillsyn inom ramen för polis- och tullsamarbetet 185 SIS inte skadar den enskildes rättigheter. I är det Data- inspektionen som har utsetts till nationell tillsynsmyndighet enligt kon- ventionen. Företrädare för de nationella tillsynsmyndigheterna ingår i en gemensam tillsynsmyndighet som har till uppgift att utöva tillsyn över den tekniska stödfunktionen i Schengens informationssystem. Inom ramen för det internationella tullsamarbetet har EU:s medlems- stater kommit överens om att inrätta ett tullinformationssystem. Informationssystemet är en gemensam internationell databas avsedd att underlätta informationsutbytet mellan tullmyndigheterna i deras verk- samhet med att förebygga, utreda och lagföra brottslighet som tull- myndigheterna har att bekämpa. Tullinformationssystemet består av en central databas upprättad av . Den centrala databasen skall vara åtkomlig via terminaler i varje medlemsstat och innehålla uppgifter som är nödvänd- iga för tullmyndigheternas brottsbekämpning vad gäller brott både mot nationell lagstiftning och mot EU:s tull- och jordbrukslagstiftning. Endast vissa kategorier av personuppgifter får registeras och då bara sådana som avser personer som på grund av faktiska bevis misstänks för grova överträdelser. Varje medlemsstat skall utse en eller flera nationella tillsynsmynd- igheter som skall övervaka personuppgiftshanteringen och att använd- ningen av personuppgifterna inte kränker berörda personers rättigheter. Enligt förordningen (1998:64) om tillämpning av Europeiska unionens tullinformationssystem är Datainspektionen svensk tillsynsmyndighet i anslutning till förordningen (EG) 515/97. Datainspektionen kommer med största sannolikhet att utses till nationell tillsynsmyndighet även enligt genom att denna uppgift förs in i myndig- hetens instruktion. Frågan handläggs inom . Företrädare för de nationella tillsynsmyndigheterna skall ingå i en gemensam tillsynsmyndighet, som dock ännu inte formellt inrättats. Att tullinformationssystemet ännu inte tagits i drift fullt ut beror på juridiska komplikationer på både nationell och gemenskapsrättslig nivå vad gäller tillämpningen av . 186 Datainspektionens tillsyn inom ramen för polis- och tullsamarbetet SOU 2002:2 9.2Vilken myndighet skall utöva tillsyn över polis- och tullsamarbetet? Enligt varje enskild konvention, Europol, Schengen och TIS, skall det som framgått finnas en oberoende nationell tillsynsmyndighet som med beaktande av konventionens bestämmelser och nationell rätt utövar kontroll av att behandlingen av personuppgifter i de olika datasystemen inte medför intrång i de registrerades personliga integritet. Datainspektionen har utsetts till nationell tillsynsmyndighet enligt Europol- och . Vad gäller tullinformationssys- temet är Datainspektionen tillsynsmyndighet i anslutning till förord- ningen (EG) 515/97 och kommer med största sannolikhet att utses till sådan myndighet även enligt . Den senare frågan handläggs som nämnts just nu inom . Det förhållandet att de tre konventionerna förutsätter övervakning av en oberoende tillsynsmyndighet och att det rör sig om tillsyn över behandling av stora mängder känsliga personuppgifter talar för att Datainspektionen skall ha den centrala rollen när det gäller tillsyn inom ramen för det nu berörda polis- och tullsamarbetet. Datainspektionen har en lång erfarenhet av tillsyn över dator- baserade informationssystem. Myndighetens huvuduppgift är dessutom att skydda enskildas personliga integritet vid behandling av person- uppgifter. Det är också Datainspektionen som rent faktiskt utövar tillsyn över de datasystem som tagits i bruk. Enligt utredningens bedömning är det svårt att se någon myndighet som är bättre lämpad att utföra nu aktuella uppgifter, och att skapa en ny oberoende myndighet för ändamålet framstår inte som rationellt. Vid ett sådant ställningstagande åligger det utredningen att pröva möjligheterna till en avgiftsfinansiering av Datainspektionens verksam- het enligt de tre konventionerna. Denna fråga behandlas i kapitel 13. SOU 2002:2 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet 187 10Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet Datainspektionen skall i fortsättningen vara en renodlad tillsyns- myndighet vad gäller skyddet för den personliga integriteten i samband med behandling av personuppgifter. Tillstånds- och till- synsuppgifterna enligt kreditupplysnings- och inkassolagarna bör därför tas över av en annan myndighet. Tänkbara myndigheter i detta sammanhang är Finansinspek- tionen, och . Övervägande skäl talar för att uppgifterna skall flyttas över till . Datainspektionen skall givetvis behålla tillsynen enligt personupp- giftslagen inom kreditupplysnings- och inkassoområdena. Frågan om finansiering av tillsyns- och tillståndsverksamheten inom kreditupplysnings- och inkassoområdena behandlas i kapitel 13. Enligt direktiven skall utredningen överväga om Datainspektionen även fortsättningsvis skall ha tillstånds- och tillsynsuppgifter när det gäller kreditupplysnings- och inkassoverksamhet eller om detta ansvar kan överföras till någon annan myndighet, och i så fall till vilken myndig- het. Som bakgrund till utredningens överväganden ges i avsnitt 10.1 och 10.2 en översiktlig beskrivning av den kreditupplysnings- och inksasso- verksamhet som bedrivs i , och grunderna för att dessa verksamheter skall stå under statlig tillsyn samt omfattas av ett krav på tillstånd. En närmare redogörelse för bestämmelserna i kreditupp- lysnings- och inkassolagarna finns i avsnitt 3.5–3.6. 188 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet SOU 2002:2 Med kreditupplysning avses i kreditupplysningslagen uppgift, omdöme eller råd, som lämnas till ledning för bedömning av annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. En kreditupplysning består framför allt av ekonomisk information om en person. Även andra uppgifter kan ingå, t.ex. om en person är gift eller har utvandrat. En upplysning innehåller dessutom inte bara fakta. Omdömen och råd kan också lämnas som ledning för en ekonomisk bedömning. Den svenska kreditupplysningsmarknaden domineras av fem stora företag, varav de två största är och . Båda de senare företagen har kontor i och bedriver verksamhet över hela landet. UC ägs av bankerna och tillkom som ett samordningsorgan för bankernas interna kreditupplysningsverksamhet. Därutöver finns ytterligare tio kreditupplysningsföretag i landet. Sammanlagt finns det alltså 15 före- tag som har Datainspektionens tillstånd att bedriva kreditupplysnings- verksamhet. Bank- och kreditmarknadsföretag vars grundläggande tillstånd omfattar kreditupplysningsverksamhet behöver inte Datainspektionens tillstånd att bedriva sådan verksamhet. Innan verksamheten påbörjas måste dock detta anmälas till Datainspektionen. Det finns endast ett företag som har lämnat in en sådan anmälan och detta bedriver enligt Datainspektionen inte kreditupplysningsverksamhet i egentlig mening. Datainspektionens tillsyn enligt kreditupplysningslagen är koncen- trerad till de fem stora kreditupplysningsföretagen och då främst UC som i sammanhanget är störst och behandlar flest personuppgifter. Kreditupplysningsföretagen tillhandahåller olika typer av kredit- upplysningar. Vissa upplysningar innehåller endast faktauppgifter, medan andra kompletteras med olika slag av råd och omdömen. Redovisningen av fakta kan också vara mer eller mindre omfattande. Merparten av kreditupplysningar lämnas ut till kunder som abonnerat på företagens tjänster. Utlämnandet sker vanligen via datoruppkoppling men även via brev, fax och telefon. Kreditupplysningsföretagen inhämtar uppgifter från ett stort antal källor. Merparten av uppgifterna inhämtas från offentliga källor och register. Uppgifterna samlas in med stöd av offentlighetsprincipen men överförs efter överenskommelse med myndigheterna ofta på elektronisk väg . De stora kreditupplysningsföretagens register innehåller uppgifter om i stort sett hela vuxna befolkning. SOU 2002:2 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet 189 Vissa offentliga register, som används av kreditupplysnings- företagen, har som ändamål att vara allmänheten till upplysning och hjälp. innehåller t.ex. uppgifter om fastighetsägare och inteckningar till hjälp för dem som vill förvärva fast egendom. Från aktiebolagsregistret kan exempelvis uppgifter inhämtas om vem som företräder ett aktiebolag. Det finns också register som inrättats särskilt för försäljning av uppgifter till allmänheten. Så är fallet med det statliga person- och adressregistret (SPAR). Andra offentliga register är främst avsedda för myndigheternas egen verksamhet. Det gäller t.ex. register hos , skattemyndigheterna och kronofogdemyndigheterna. I begränsad omfattning inhämtas uppgifter från privata källor. Som exempel kan nämnas bankers rapportering av missbrukade krediter till UC. SPAR används för att aktualisera, komplettera och kontrollera personuppgifter. Från SPAR inhämtar kreditupplysningsföretagen bl.a. uppgifter om namn, personnummer adress och civilstånd. Från inhämtas i huvudsak uppgifter som har samband med näringsverksamhet, exempelvis uppgifter om aktiebolag samt handels- och kommanditbolag. Från exekutionsväsendet inhämtar kreditupplysningsföretagen upp- gifter om restförda skatter och avgifter. Dessa restföringar har inkom- mit från ett antal myndigheter, t.ex. , Centrala studiestöds- nämnden, Radiotjänst i och försäkringskassorna. Uppgifter om restföringar överförs elektroniskt till kreditupplysningsföretag . Uppgift om en gäldenärs totalskuld (skuldsaldo) lämnas ut . Vidare lämnas uppgifter om registrerade slutliga utrednings- rapporter, företagsrekonstruktion, skuldsanering, konkurser och upp- gifter angående verkställighet i återtagningsmål. finns ca 500 000 registrerade gäldenärer hos och Kronofogdemyndig- heten. trädde lagen (2001:590) om behandling av uppgifter i kronofogdemyndigheternas verksamhet i kraft. I lagen regleras ett antal databaser, bl.a. utsöknings- och indrivningsdatabaser, betalningsföreläggande- och handräckningsdatabaser samt skuldsane- ringsdatabaser. I samband med ikraftträdandet av lagen stärktes sekretessen inom exekutionsväsendet. Detta medförde vissa konse- kvenser för kreditupplysningsföretagen.1 2000/01:33 s. 185 ff. 190 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet SOU 2002:2 Med inkassoverksamhet avses indrivning av egen eller annans fordran genom krav eller annan inkassoåtgärd. Med inkassoåtgärd förstås åtgärd som innebär annan påtryckning på gäldenären än angivande av tid för betalning eller uppgift om att fordringen, om den inte betalas, kommer att överlämnas till någon annan för inkasso. Inkassoverksamhet, som avser indrivning av fordringar för annans räkning eller fordringar som har övertagits för indrivning, får enligt huvudregeln bedrivas endast efter tillstånd av Datainspektionen. Det finns 230 företag i som har Datainspektionens tillstånd att bedriva inkassoverksamhet. Dessa företag har knappt 2 miljoner gäldenärer registrerade. Stor del av den inkassoverksamhet som bedrivs i är dock sådan som inte omfattas av kravet på tillstånd från Datainspektionen. Det gäller då s.k. egeninkasso, med vilket avses att företag, kommuner och statliga myndigheter som vid sidan av annan verksamhet driver in fordringar för egen räkning. Denna verksamhet måste emellertid även den bedrivas i enlighet med god inkassosed och följa inkassolagens regler i övrigt. Sådan verksamhet står också under Datainspektionens tillsyn och svarar för en stor del av inspektionens tillsynsinsatser inom området. Inkassoverksamhet bedrivs dessutom av företag som står under tillsyn och av advokater. Sådana företag och advokater behöver inte Datainspektionens tillstånd och omfattas inte heller av Datainspektionens tillsynsansvar enligt inkassolagen. Kreditupplysningsverksamhet får enligt huvudregeln i 3 § kreditupplys- ningslagen bedrivas endast med stöd av tillstånd från Datainspektionen. Enligt 4 § får tillstånd meddelas bara om verksamheten kan antas bli bedriven på ett sakkunnigt och omdömesgillt sätt. I kreditupplysningslagen finns regler om hur kreditupplysnings- verksamheten skall bedrivas. Datainspektionen utövar tillsyn över att reglerna efterlevs. Verksamheten skall bedrivas på ett sådant sätt att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas. Uppgifter om en persons ras, etniska ursprung, politiska uppfattning, religiösa eller filosofiska övertygelse eller sexualliv får t.ex. över huvud taget inte användas i kreditupplysningsverksamhet. SOU 2002:2 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet 191 Vid lagens tillkomst underströk departementschefen vikten av att kreditupplysningsverksamhet organiseras på ett sätt som ger betrygg- ande garantier för efterlevnaden av de regler som ställts upp till skydd för de kreditsökande. Därvid framhölls vikten av att man så långt som möjligt kan förebygga riskerna för integritetskränkningar och att det därför bör ske en kontroll av de företag som avser att utöva kredit- upplysningsverksamhet samt att det bör finnas en fortlöpande tillsyn över verksamheten. Att tillstånd kunde förenas med erforderliga föreskrifter om hur verksamheten skall bedrivas sågs som en fördel. En god preventiv effekt förväntades genom möjligheten att återkalla till- stånd.2 Vid den översyn av kreditupplysningslagen som gjordes ifrågasattes inte om tillståndsplikten skulle vara kvar.3 Även vid den översyn av tillstånds- och tillsynsfrågor inom kredit- upplysningsverksamhet som gjordes i prop. 1996/97:65 Ändringar i kreditupplysningsverksamhet, fann man att övervägande skäl talar för att tillstånds- och tillsynssystemet behålls. Det framhölls att den som vill bedriva kreditupplysningsverksamhet bör ha god kännedom både om kreditupplysningslagens regler och om andra bestämmelser som syftar till att skydda enskilda personers integritet. Kreditupplysnings- verksamhet kan innebära besvärliga avvägningar och ställningstag- anden, vilket förutsätter ett gott omdöme hos den som har att fatta besluten. Såväl enskilda personer som företag kan drabbas hårt om felaktiga eller missvisande kreditupplysningar lämnas om dem. Det är därför viktigt att upplysningarna är korrekta och att den omfrågade snabbt och enkelt kan få rättelse till stånd om ett misstag har begåtts. Genom ett tillståndssystem kan man få vissa garantier för att kredit- upplysningsverksamhet bedrivs av kompetenta personer och på ett seriöst sätt. De uppgifter som för den enskilde är mest integri- tetskänsliga utgör ofta särskilt intressant information från kreditbedöm- ningssynpunkt. Det finns följaktligen ett starkt intresse från kredit- bedömare att få tillgång till sådana uppgifter. är kreditupp- lysningsföretagen angelägna om att kunna erbjuda den information som efterfrågas. Det finns således på kreditupplysningsmarknaden moment som medför att riskerna för intrång i den kreditsökandes integritet är betydande. För att de kreditsökandes intressen skall bevakas på ett effektivt sätt erfordras därför en kontroll från det allmännas sida av att kreditupplysningsverksamhet bedrivs bara av omdömesgilla och kom- petenta personer.4 1973:155 s. 81 f. 1980/81:10. 1996/97:65 s. 32. 192 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet SOU 2002:2 De skäl som anfördes till stöd för tillståndssystemet ansågs, med hänsyn till i första hand enskilda personers integritet, också avgörande i frågan om tillsyn. Det slogs därför fast att även systemet med myndighetstillsyn skulle behållas.5 Inkassoverksamhet kan som huvudregel inte heller bedrivas utan tillstånd. Det krävs således Datainspektionens tillstånd för indrivning av fordringar för annans räkning. Från den allmänna tillståndsplikten görs vissa undantag, t.ex. för personer och företag som står under någon form av tillsyn av annat organ än Datainspektionen, framför allt . Även advokater, som står under tillsyn av , är uttryckligen undantagna från tillståndsplikten. Motsvarande förhållanden som för kreditupplysningsverksamhet gör sig gällande vad avser tillstånd och tillsyn inom inkassoområdet. Redan mängden personuppgifter som behandlas av inkassoföretagen, som har nästan 2 miljoner gäldenärer registrerade, gör att verksamheten får anses integritetskänslig. Även inom inkassoverksamhet behandlas således ett stort antal personuppgifter, som på motsvarande sätt som i kreditupplysningssammanhang måste vara relevanta och korrekta. Vikten av att det skapas betryggande garantier för efterlevnaden av de regler som ställts upp för inkassoverksamheten har motiverat att verksamheten endast skall få bedrivas efter tillstånd och att det skall finnas en fortlöpande tillsyn över verksamheten.6 Även den som bedriver icke tillståndspliktig inkassoverksamhet omfattas av inkassolagens regler om hur verksamheten skall bedrivas och är således skyldig att iaktta bestämmelserna om god inkassosed. Datainspektionens tillsynsansvar gäller också den icke tillståndspliktiga verksamheten med undantag för de företag och personer som står under tillsyn av något annat organ.