sou · GQB32 · 2003-01-01 00:00:00 — Mot förslaget talar särskilt att endast ett urval blir föremål för inspektioner och att däri kommer att finnas verk- samheter som visar sig sköta sin personuppgiftsbehandling klanderfritt. Risken är stor för bristande förståelse för avgifterna bland person- uppgiftsansvariga och för bad-will för inspektionen, vilket motverkar inspektionens verksamhet. I vart fall bör inte statsmakterna ta slutlig ställning till frågan om avgiftsfinansiering förrän förslag till författ- ningsreglering av avgifterna har utformats och därmed har övervägts delfrågor som är väsentliga för helheten av ett godtagbart avgifts- system. När det gäller Datainspektionens resursbehov till följd av förslagen om verksamhetens inriktning i olika delar anser jag att kostnadskonse- kvenserna sammantagna inte har beaktats fullt ut. Med oförändrade resurser är det inte möjligt att bli en kraftfull resurs för alla människor i och öka inspektionsinsatserna ytterligare, inte heller om tillstånd och tillsyn för kreditupplysnings- och inkassoverksamhet flyttas. Vid oförändrad resurstilldelning måste sättas gränser för den i sig goda tanken om långtgående informations- och serviceåtaganden gentemot befolkningen. Datainspektionens tillsynsverksamhet bör i sin helhet vara anslags- finansierad. Hänsyn måste tas till att de berörda myndigheterna inte har någon möjlighet att påverka avgifternas storlek och att det kommer att leda till att annan angelägen verksamhet måste stå tillbaka. Detta kommer att bli särskilt märkbart i polisorganisationen som i flera olika sammanhang behandlar känsliga personuppgifter och som därför kan tänkas komma att bli föremål för en frekvent tillsyn från inspektionens sida. Därtill kommer att ett avgiftssystem kommer att skapa ett betyd- ande administrativt merarbete för både inspektionen och inspekterade myndigheter. Översyn av Datainspektionens verksamhet och finansiering Beslut vid regeringssammanträde . En särskild utredare skall göra en översyn av Datainspektionens uppgifter och verksamhet mot bakgrund av den nya personuppgifts- lagen (1998:204) och den snabba utvecklingen på informations- teknikens område. Utredaren skall analysera behoven av förändringar i verksamhetsinriktning och arbetsformer och lämna de förslag som behövs när det gäller inriktning, omfattning och finansiering av den fortsatta verksamheten. Datainspektionen är central förvaltningsmyndighet med uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och för att god sed iakttas i kreditupplysnings- och inkassoverksamhet. Datainspektionen är tillsynsmyndighet när det gäller Europa- parlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter (EGT nr L281, 23.11.1995, s. 31, Celex 395L0046),det s. k. dataskyddsdirektivet, som genomförts i svensk rätt genom personuppgiftslagen. Datainspektionen har fram till också ett tillsynsansvar i de fall den gamla datalagen (1973:289) skall tillämpas enligt övergångsbestäm- melserna till personuppgiftslagen. Inspektionen är också tillstånds- och tillsynsmyndighet enligt kreditupplysningslagen (1973:1173) och inkassolagen (1974:182). Vidare har inspektionen utsetts till att vara nationell tillsynsmyndighet enligt Europolkonventionen (EGT C316, 27.11.1995, s. 2, Celex 41995A1127/01) och konventionen om använd- ning av informationsteknologi för tulländamål (EGT C316, 27.11.1995, s. 34, Celex 41995A1127/02), den s.k. . Inspektionen har också utsetts till nationell tillsynsmyndighet enligt Schengen- konventionen. Uppgifter i anslutning till datalagen och personuppgiftslagen Datainspektionen inrättades 1973 då datalagen trädde i kraft. Datalagen ersattes av personuppgiftslagen, som bygger på de gemensamma regler som har beslutats inom EU genom dataskydds- direktivet. fram till tillämpas dock båda lagarna. Datalagen tillämpas för behandlingar av personuppgifter som har påbörjats före och personuppgiftslagen för behandlingar som påbörjats efter detta datum. Enligt dataskyddsdirektivet är varje medlemsstat skyldig att se till att det utses en eller flera myndigheter som har till uppgift att övervaka tillämpningen av den nationella lagstiftningen till följd av direktivet. Datainspektionen har utsetts till sådan tillsynsmyndighet i . I sin egenskap av tillsynsmyndighet ingår Datainspektionen även i den arbetsgrupp som inrättats med stöd av artikel 29 i dataskyddsdirektivet. Arbetsgruppen har bl. a. till uppgift att se till att direktivet tillämpas enhetligt i medlemsstaterna. Gruppen skall också avge yttranden till Europeiska kommissionen om skyddsnivån i länder utanför EU samt ge råd till kommissionen om förslag till ändringar i direktivet. Myndigheten skall fullständigt oberoende utöva de uppgifter som åläggs den. Den skall ha undersökningsbefogenheter samt effektiva befogenheter att ingripa t. ex. genom att dels förhandskontrollera särskilt integritetskänsliga behandlingar, dels besluta om förbud mot behandling av personuppgifter. Myndigheten skall också ha befogenhet att inleda rättsliga förfaranden vid överträdelser eller att uppmärksamma de rättsliga myndigheterna på sådana överträdelser. Slutligen skall myndigheten höras när sådana lagar eller andra författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av personuppgifter. Personuppgiftslagen innebär stora förändringar i Datainspektionens verksamhet. Licenssystemet har avskaffats och tillståndskraven i datalagen försvinner helt i och med att övergångs- perioden upphör och personuppgiftslagen kommer att gälla fullt ut. Behandling av personuppgifter skall anmälas till Datainspektionen, där anmälningar förs in i ett offentligt register. Omfattande undantag från anmälningsskyldigheten finns dock föreskrivna i lagen, personuppgiftsförordningen och föreskrifter från Datainspektionen. Vissa särskilt integritetskänsliga behandlingar skall alltid anmälas till Datainspektionen för förhandskontroll. Datainspektionens uppgifter i anslutning till personuppgiftslagen innebär i första hand att informera om gällande regler och utöva tillsyn över att reglerna efterlevs samt att ge råd och hjälp åt personuppgifts- ombuden. Datainspektionen har även bemyndigats att meddela föreskrifter i anslutning till reglerna i personuppgiftslagen. Uppgifter i anslutning till kreditupplysningslagen och inkassolagen kreditupplysningslagen gäller i första hand sådan kreditupplysnings- verksamhet som innebär att någon lämnar kreditupplysningar mot ersättning mer än i enstaka fall eller som ett led i näringsverksamhet. Den kreditupplysning som omfattas av lagen får i princip bedrivas endast efter tillstånd från Datainspektionen. Tillstånd får meddelas endast om det kan antas att verksamheten kommer att bedrivas på ett sakkunnigt och omdömesgillt sätt. Inspektionen har möjlighet att förena ett tillstånd med villkor om hur verksamheten skall bedrivas. Datainspektionen utövar tillsyn över kreditupplysningsverksamhet som omfattas av lagen. Detta kan ske genom inspektioner eller på annat sätt. Om den som har inspektionens tillstånd att bedriva kreditupplys- ningsverksamhet åsidosätter någon bestämmelse i kreditupplysnings- lagen eller villkor i meddelat tillstånd, får inspektionen förelägga honom att vidta rättelse, ändra tidigare meddelade villkor eller meddela nya villkor. Kan rättelse inte åstadkommas på annat sätt får Datainspektionen återkalla tillståndet. Inkassoverksamhet, som avser indrivning av fordringar för annans räkning eller fordringar som har övertagits för indrivning, får i princip bedrivas endast efter tillstånd från Datainspektionen. Tillstånd får meddelas endast om verksamheten kan antas bli bedriven på ett sakkunnigt och omdömesgillt sätt. Datainspektionen utövar tillsyn över efterlevnaden av inkassolagen. Om inspektionens tillsyn föranleder det får inspektionen meddela föreskrifter om hur verksamheten skall bedrivas. Sådana föreskrifter får förenas med vite. Kan rättelse inte åstadkommas får inspektionen återkalla tillståndet. Uppgifter enligt Europol-, Schengen- och Enligt artikel 23 i Europolkonventionen är varje medlemsstat skyldig att utse en nationell tillsynsmyndighet som skall ha till uppgift att bl.a. kontrollera att såväl registreringen och rådfrågningarna som översändandet av personuppgifterna från medlemsstaten till Europol sker lagligt och att individens rättigheter inte kränks. Datainspektionen har utsetts till sådan myndighet i . Företrädare för de nationella tillsynsmyndigheterna ingår också i en gemensam tillsynsmyndighet. Även enligt är skyldigt att utse en tillsynsmyndighet med uppgift att, med beaktande av den nationella lagen, utöva självständig tillsyn över det nationella registret i Schengens informationssystem. Datainspektionen har utsetts till tillsynsmyndighet enligt artikel 114 i konventionen. Företrädare för de nationella tillsynsmyndigheterna ingår i en gemensam tillsynsmyndig- het med säte i som har till uppgift att utöva tillsyn över den tekniska stödfunktionen i Schengens informationssystem. Inom tullsamarbetet föreskriver artikel 17 att det skall utses en nationell tillsynsmyndighet. Datainspektionen förutses bli sådan myndighet. Företrädare för de nationella tillsynsmyndig- heterna skall enligt konventionen ingå i en gemensam tillsyns- myndighet, som dock ännu inte formellt inrättats. Vad beträffar den del av CIS som omfattas av EG-förordningen 515/97 om ömsesidigt bistånd mellan medlemsstaternas administrativa myndigheter och om samarbete mellan dessa och kommissionen för att säkerställa en korrekt tillämpning av tull- och jordbrukslagstiftningen har Datainspektionen utsetts till tillsynsmyndighet (förordningen 1998:64 om tillämpning av Europeiska unionens tullinformationssystem). Behov av en översyn Den snabba utvecklingen inom informationsteknikens område och den nya personuppgiftslagen innebär att förutsättningarna för Datainspektionens verksamhet förändras. Regeringen har mot den bakgrunden i budgetpropositionen anmält sin avsikt att tillkalla en utredare med uppgift att analysera dessa utvecklings- tendenser och överväga den framtida inriktningen och finansieringen av Datainspektionens verksamhet (prop. 1999/2000:1, utgiftsområde 1, s. 35). Genom att informationstekniken används allmänt inom alla delar av samhället finns nu betydligt större kunskaper och erfarenheter om hur den påverkar enskilda människors situation. tekniken ses numera som ett naturligt inslag i arbetslivet, skolan och de enskilda hushållen. Den tekniska utvecklingen innebär nya integritetsrisker och aktualiserar nya dimensioner på integritets- frågorna. Internetutvecklingen ger i många avseenden ändrade förutsättningar för arbetet med att värna enskildas integritet. Den pågående konvergensen av IT-, tele- och medieområdena är en annan utveckling som påverkar möjligheterna till reglering och tillsyn över integritetsfrågor. I och med att övergångsperioden upphör och datalagen helt ersätts av personuppgiftslagen får Datainspektionen en väsentligt annorlunda roll. Personuppgiftslagen bygger på att ansvaret för behandlingen av personuppgifter i första hand skall ligga hos den för vars verksamhet behandlingen sker. Personuppgiftsombuden har en viktig roll och ett fullt utbyggt system med personuppgiftsombud skulle medföra en väsentlig decentralisering av ansvaret för integritets- skyddet. Det finns därför skäl att överväga vilka konsekvenser den nya lagstiftningen bör få för inriktningen och omfattningen av Datainspektionens verksamhet. Mot bakgrund av den utveckling som skett av IT-användningen och den förändrade lagstiftningen finns det anledning att se över i vilka former och med vilken inriktning den framtida tillsynen bör bedrivas. Tillsyn enligt personuppgifts-, data-, kreditupplysnings- och inkasso- lagen kan föranledas av klagomål från enskilda, uppgifter i massmedierna eller ske på Datainspektionens eget initiativ. Tillsyn bedrivs genom fältinspektioner, enkäter eller annan kontroll per telefon och brev. Temainspektioner som omfattar granskning av en bransch eller sektor genomförs dels i form av fältinspektioner, dels i form av enkätinspektioner. Erfarenheterna av den hittillsvarande tillsynsverk- samheten bör utvärderas. Mot bakgrund av en sådan utvärdering och de nya förutsättningar som behandlats ovan bör det övervägas i vilka former en effektiv och ändamålsenlig tillsyn bör bedrivas i anslutning till personuppgiftslagen. Omfattningen av den egeninitierade tillsynen bör därvid särskilt prövas. Nya tillsynsuppgifter har successivt tillförts Datainspektionen inom ramen för polis- och tullsamarbetet. Utredaren bör pröva vilken roll Datainspektionen i fortsättningen bör ha när det gäller denna form av tillsyn och hur den bör finansieras. I samband med de förändringar som sker i Datainspektionens roll kan det också finnas skäl att överväga om inspektionen även fortsättningsvis skall ha tillstånds- och tillsynsuppgifter när det gäller kreditupplysnings- och inkassoverksamhet eller om detta ansvar kan överföras till någon annan myndighet. En annan fråga som det finns anledning att analysera är den utveckling som pågår mot olika former av självreglering för att skydda den personliga integriteten framförallt i anslutning till den kraftigt ökande användningen av Internet. En sådan självreglering utgör ett värdefullt komplement till personuppgiftslagen och kan bidra till ett förstärkt integritetsskydd. En form av självreglering kan vara branschöverenskommelser som i viss utsträckning utarbetas i samverkan med Datainspektionen. Det finns emellertid skäl att överväga möjligheterna för inspektionen att mera aktivt stimulera utvecklingen även av andra former av självreglering. Datainspektionen skall enligt sin instruktion följa och beskriva utvecklingen på IT-området när det gäller frågor som rör integritet och ny teknik. Som tidigare understrukits innebär den snabba tekniska utvecklingen nya integritetsrisker och i många avseenden ändrade förutsättningar för arbetet med att värna enskildas personliga integritet. Det finns därför skäl att överväga möjligheterna att ge Datainspektio- nen ett tydligare ansvar för att aktivt följa teknikutvecklingen och bedöma i vilken utsträckning en sådan roll kräver förändringar i inspektionens kompetensprofil. Datainspektionens verksamhet har tidigare kunnat finansieras genom det system med licensavgifter som tillämpades i anslutning till datalagen. I och med att licenssystemet upphört finns denna finansieringskälla. Formerna för den fortsatta finansieringen måste därför lösas. Möjligheterna att helt eller delvis finansiera den framtida verksamheten med avgiftsintäkter bör analyseras. Den särskilde utredaren skall –analysera vilka krav som den nya personuppgiftslagen (1998:204) ställer på förändringar i Datainspektionens verksamhetsinriktning och arbetsformer, –utvärdera hittillsvarande erfarenheter av tillsynsverksamheten och överväga i vilka former en effektiv och ändamålsenlig tillsyn bör bedrivas i anslutning till personuppgiftslagen och dess system med personuppgiftsombud, –analysera vilken roll Datainspektionen bör ha när det gäller tillsyn inom ramen för polis- och tullsamarbetet; om utredaren finner att sådan tillsyn även fortsättningsvis bör vara en uppgift för Datainspektionen skall möjligheterna till en avgiftsfinansiering prövas, –analysera om Datainspektionen även fortsättningsvis skall ha tillstånds- och tillsynsuppgifter när det gäller kreditupplysnings- och inkassoverksamhet eller om detta ansvar kan föras över till någon annan myndighet; utredaren bör i så fall föreslå vilken myndighet som bör ta över uppgifterna, –analysera möjligheterna för Datainspektionen att mera aktivt stimulera utvecklingen av frivilligt integritetsskydd genom olika former av självreglering, –analysera möjligheterna att ge Datainspektionen ett tydligare ansvar för att aktivt följa teknikutvecklingen ur ett integritetsperspektiv och bedöma i vilken utsträckning en sådan roll kräver förändringar i inspektionens kompetensprofil, –analysera formerna för den fortsatta finansieringen och möjligheter- na att helt eller delvis finansiera den framtida verksamheten med avgiftsintäkter. Utredaren kan även behandla andra frågor som anknyter till uppdraget om så bedöms angeläget. Utredaren skall mot bakgrund av sina analyser göra en samlad bedömning av behoven av förändringar i verksamhetsinriktningen och lämna de förslag som behövs när det gäller inriktning, omfattning och finansiering av den fortsatta verksam- heten. En utgångspunkt bör vara att säkerställa de tillsynsfunktioner som genom dataskyddsdirektivet och olika konventioner är skyldigt att upprätthålla. Utredaren bör i sitt arbete informera sig om hur andra medlemsstater organiserat sina tillsynsfunktioner i anslutning till dataskyddsdirektivet och de ovannämnda konventionerna. Utredaren bör även informera sig om annat pågående utredningsarbete som kan vara av betydelse för uppdragets genomförande. Kontakter bör också tas med myndigheter som på olika sätt berörs av de frågeställningar som uppdraget omfattar. Om förslagen påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda skall en beräkning av dessa konsekvenser redovisas. Om förslagen innebär samhälls- ekonomiska konsekvenser i övrigt skall dessa också redovisas. Om förslagen har betydelse för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags skall konsekvenserna i det avseendet anges. Utredaren skall redovisa sina förslag till regeringen . framtida verksamhetsinriktning (Ju 2000:16) Till Assistent +46 31-701 53 57 Fax Den beslutade att tillkalla en särskild utredare för att göra en översyn av den svenska Datainspektionens uppgifter och verksamhet. Undertecknad, kammarrättslagman , förordnades som särskild utredare. Utredningen skall bl.a. analysera vilka eventuella förändringar av Datainspektionens verksamhetsinriktning och arbetsformer som är nödvändiga i och med att och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (Celex 395L0046), det s.k. dataskyddsdirektivet, har genomförts i svensk rätt. Datainspektionen är central förvaltningsmyndighet med uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och nationell tillsyns- myndighet med uppgift att övervaka tillämpningen av lagstiftningen till följd av dataskyddsdirektivet och konventionerna inom ramen för det internationella polis- och tullsamarbetet. En särskild uppgift för utredningen är att inhämta information om hur övriga medlemsstater inom den Europeiska Unionen organiserat sina tillsynsfunktioner i anslutning till dataskyddsdirektivet, Europol- konventionen (Celex 41995A1127/01), konventionen om användning av informationsteknologi för tulländamål (Celex 41995A1127/02) och konventionen om tillämpning av av (Celex 42000A0922/02). Utredningen är mycket tacksam för all information som kan bidra till utredningens arbete. Utredningen är intresserad av närmare information om den tillsynsverksamhet dataskyddsmyndigheten i Ert land bedriver med anknytning till dataskyddsdirektivet och ovan nämnda konventioner. Av särskilt intresse är att få svar på följande frågor. N Hur har myndigheten organiserat sina tillsynsfunktioner i anslutning till dataskyddsdirektivet och de ovan nämnda konventionerna? N Hur bedrivs tillsynsverksamheten och hur stor är omfattningen? N Har tillsynsverksamheten någon särskild inriktning? N Hur stor del av myndighetens totala verksamhet utgörs ungefärligen av tillsyn? N Hur stor del av myndighetens totala verksamhet – inklusive tid för internationella möten – utgörs ungefärligen av arbete med att över- vaka dataskyddsdirektivet och de ovan nämnda konventionerna? Om myndigheten har särskilda erfarenheter av hittillsvarande tillsynsverksamhet eller i arbetet i övrigt för att skydda enskilda personer mot kränkning av den personliga integriteten vid behandling av personuppgifter, är utredningen givetvis tacksam också för sådan information. Med hänsyn till den begränsade tid som utredningen har till sitt förfogande är det av stor vikt att informationen om möjligt erhålls . Tack på förhand. Vänligen skicka informationen till följande adress: Inspektionsverksamheten i timmar (–)1 Tullen, Schengen och Europol 1Uppgifterna är hämtade från Datainspektionens tidredovisning. 2Avser även inspektioner enligt datalagen. 3Enligt Datainspektionen uppgår normal arbetstid för en årsarbetskraft , varav eller beräknas vara produktiv tid. Datainspektionens verksamhet –2001-06-301 Administration och ofördelad tid Författningar och allmänna råd 1 Uppgifterna är hämtade från Datainspektionens tidredovisning. Målsättning för Datainspektionens verksamhet (nedlagd tid) 1.Information; omfattar information samt arbete med författningar och allmänna råd. 2.Inspektion; omfattar inspektioner enligt personuppgiftslagen m.fl. 3.Övrigt; omfattar administration och ofördelad tid, internationell verksamhet samt arbete med lagstiftning och remisser.