sou · GQB32 · 2003-01-01 00:00:00 — Genom konventioner och lagstiftning har man därför försökt åstadkomma ett skydd för den personliga integriteten genom att begränsa möjligheterna att behandla personuppgifter. Men den tekniska utvecklingen utgör inte bara ett hot mot den personliga integriteten. I takt med nya tekniska landvinningar som innebär att personlig information behandlas på något sätt har också tekniska lösningar för att i samband härmed skydda den personliga integriteten växt fram. Man kan säga att ju större hotet mot integriteten framstår, desto större är ambitionen att finna tekniska lösningar till skydd för densamma. Den tekniska utvecklingen för således även med sig metoder som stärker skyddet för den personliga integriteten. Det finns en tendens i dagens informationssamhälle att rättsliga överväganden för att lösa olika former av integritetsproblem i allt större utsträckning ersätts av tekniska lösningar. Det är viktigt att man på bästa möjliga sätt utnyttjar de tekniska landvinningar som görs inom informationstekniken för att skydda den personliga integriteten. Datainspektionens ansvar att följa teknikutvecklingen behandlas i kapitel 12. Datainspektionens framtida verksamhetsinriktning 151 Datainspektionens verksamhet som tillsynsmyndighet skall inriktas på två huvudområden: Information och Inspektion (jfr. bilaga 5). Myndigheten skall verka för att människor i skyddas mot att deras personliga integritet kränks genom att lämna information om personuppgiftslagen och ge rådgivning i integritetsfrågor samt utföra inspektioner för att kontrollera att personuppgiftslagen och annan integritetsskyddslagstiftning efterlevs. Datainspektionen skall kännetecknas av kompetens, effektivitet och service. Myndigheten skall vara aktiv, utåtriktad och deltaga i samhällsdebatten i frågor som rör personlig integritet. Datainspektionen skall vara välkänd för allmänheten och uppfattas som en kraftfull resurs för alla människor i . Utredningen skall särskilt överväga vilka konsekvenser den nya lag- stiftningen i form av personuppgiftslagen och den snabba utvecklingen inom informationsteknikens område bör få för inriktningen och omfattningen av Datainspektionens verksamhet. Mot bakgrund härav beskriver utredningen i detta kapitel sina överväganden vad gäller Datainspektionens framtida verksamhetsinriktning. I kapitlet beskrivs i första hand vilka uppgifter myndigheten enligt utredningens uppfattning särskilt skall koncentrera sina resurser på. Det kan härvid uppfattas som att utredningen inte tagit hänsyn till den faktiska utveckling av Datainspektionens verksamhet från tillstånds- hantering till tillsynsåtgärder som redan ägt rum. Så är dock inte fallet. Utredningen är väl medveten om de ansträngningar Datainspektionen har gjort även för att t.ex. prioritera insatser som inspektion och information i sin verksamhet, och detta har också beskrivits i betänkandet. 152 Datainspektionens framtida verksamhetsinriktning I utredningens uppdrag ingår i och för sig att utvärdera hittills- varande erfarenheter av tillsynsverksamheten. Utredningen har emeller- tid inte uppfattat det som sin uppgift att göra en granskning av verk- samheten för att i detalj utröna vilka eventuella fel eller brister som förelegat. Utredningen har i stället sett det som sin uppgift att utifrån den lagstiftning som gäller och de förutsättningar som utvecklingen av informationssamhället erbjuder, dra upp de mer övergripande rikt- linjerna för hur verksamheten bör utformas . Detta hindrar emellertid inte att utredningen ändå uppfattat det som nödvändigt att för regering och remissinstanser påpeka sådana förhåll- anden i Datainspektionens nuvarande verksamhet som vid utredningens granskning framstått som viktiga att fästa särskild uppmärksamhet på. I föreliggande kapitel försöker utredningen således att beskriva en idealbild av den framtida dataskyddsmyndigheten i . Denna bild står inte i motsats till hur verksamheten bedrivs utan är en beskrivning av hur verksamheten bör utformas för att i så hög grad som möjligt uppfylla Datainspektionens uppgift att skydda människor från intrång i den personliga integriteten. Datainspektionen har redan utvecklats i den riktning som utred- ningen framhåller som den mest fördelaktiga och kan sägas upp- fylla många av de krav som utredningen anser bör ställas på en modern dataskyddsmyndighet. bör det emellertid framhållas att det krävs förändringar i verksamheten för att Datainspektionen fullt ut skall motsvara den idealbild som utredningen har av den framtida data- skyddsmyndigheten. Utredningen har inte sett det som sin uppgift att i detalj utforma hur Datainspektionens framtida verksamhet skall bedrivas. Det är en upp- gift för regeringen och Datainspektionen att närmare bestämma förut- sättningarna och utforma metoderna för detta. Utredningen har i sin granskning inte funnit annat än att Datainspektionen i alla delar har uppfyllt det uppdrag som regeringen givit myndigheten. För att Datainspektionen skall ta ytterligare steg i riktning mot utredningens idealbild av myndigheten krävs nya incita- ment i verksamheten. Det är t.ex. av avgörande betydelse att regeringen ställer de återrapporteringskrav m.m. som kan medverka till att inspektionen utformas i önskvärd riktning. Det har mot bakgrund härav varit utredningens målsättning att de bedömningar och de förslag som lämnas i betänkandet skall kunna ligga till grund för de framtida regleringsbrev i vilka regeringen ges möjlighet att styra Datainspektionens verksamhetsinriktning. Det är Datainspektionen själv, med insikt i problem och förutsätt- ningar, som bäst kan utforma den strategi för verksamheten som i praktiken kan uppfylla de mål som riksdag och regering ställer upp för Datainspektionens framtida verksamhetsinriktning 153 Det är också en uppgift för Datainspektionen att på eget initiativ ständigt analysera hur verksamheten kan effektiviseras och bedrivas så ändamålsenligt som möjligt. Datainspektionen måste också sätta upp egna mål för sin verksamhet och utarbeta de metoder som skall användas för att uppnå målen. Oavsett det ansvar som utredningen anser åvila statsmakterna och Datainspektionen själv känner utredningen såväl en viss frihet som en skyldighet att uttala sig om de mål som bör ställas upp för inspek- tionens framtida verksamhet och vilken strategi som bör användas för att uppnå dessa. Mot bakgrund härav beskriver utredningen i det följande Data- inspektionens framtida verksamhetsinriktning. 7.2Från tillstånd till tillsyn Som framkommit tidigare i betänkandet var utgångspunkten för integritetsskyddet enligt datalagen att Datainspektionen skulle pröva om tillstånd till inrättande och förande av ett personregister kunde beviljas. Datalagen innehöll från början ett generellt krav på tillstånd från Datainspektionen för alla typer av personregister förda med hjälp av automatisk databehandling (ADB). Tillståndsprövningen enligt datalagen avsåg prövning av frågan om otillbörligt intrång i de registrerades personliga integritet kunde befaras uppkomma. Beviljades tillstånd meddelade Datainspektionen beslut om ändamålet med registret. I den mån det behövdes för att förebygga risk för otillbörligt intrång i personlig integritet kunde även ett eller flera villkor meddelas, och om särskilda skäl förelåg fick tillståndet begränsas till . Frågan om tillståndstvång för alla register var emellertid redan vid datalagens tillkomst föremål för diskussion. En förprövning genom tillståndskrav medförde obestridliga fördelar ur integritetssynvinkel, men innebar också en byråkratisk belastning på de registeransvariga som Datainspektionen måste lägga ned mycket arbete på tillståndsprövning. För Datainspektionens del innebar det att mycket resurser togs från vad som redan då uppfattades som viktigt, nämligen tillsynsverksamheten. Dessa förhållanden ledde fram till en rad förändringar av data- lagstiftningen som alla hade sin utgångspunkt i uppfattningen att det i flertalet fall fanns goda möjligheter att sörja för skyddet för den personliga integriteten på ett annat och bättre sätt än genom att upprätt- hålla ett tillståndstvång. 154 Datainspektionens framtida verksamhetsinriktning Genom tillståndsförfarandets upphörande skulle Datainspektionen få möjlighet att effektivisera sin tillsynsverksamhet och genom gene- rella föreskrifter, allmänna råd och information stärka skyddet för den enskildes integritet inom olika områden i samhället. Datainspektionen framhöll att det förelåg ett betydande intresse bland de registeransvariga inom olika sektorer att organisera sitt ADB- stöd så att otillbörliga intrång i personlig integritet undveks. Enligt Datainspektionen betydde de insatser myndigheten kunde göra för att tillgodose krav och förväntningar från de registeransvariga på råd och information mer för skyddet för den personliga integriteten än det tillståndstvång som band inspektionens resurser. Genom personuppgiftslagen har Datainspektionen blivit av med huvuddelen av de uppgifter som tidigare hindrade myndigheten från att med all kraft ägna sig åt tillsynsverksamhet. Personuppgiftslagen skiljer sig från datalagen bl.a. på så sätt att det direkt i lagen uttömmande anges i vilka fall och under vilka förutsättningar personuppgifter får behandlas. Detta innebär att det är den personuppgiftsansvarige själv som i första hand, utan föregående prövning från Datainspektionen, ansvarar för att behandlingen av personuppgifter är korrekt och i enlighet med lagens regler. Den personuppgiftsansvarige kan därutöver förordna ett personuppgiftsombud som självständigt skall se till att personuppgifter behandlas på ett korrekt sätt. Det är mot denna bakgrund Datainspek- tionens uppgift enligt personuppgiftslagen skall ses. Ansvaret för integritetsskyddet har decentraliserats genom att tillstånds- och licensförfarandet har försvunnit. Denna metod för integritetsskydd har för Datainspektionens del ersatts av tillsyn och myndigheten är en i det närmaste renodlad tillsynsmyndighet som har långtgående befogenheter att övervaka tillämpningen av bestämmelserna. Utvecklingen från datalagen till personuppgiftslagen har följaktligen för Datainspektionen inneburit att myndighetens verksamhetsinriktning förskjutits från tillstånd till tillsyn. 7.2.1Begreppet tillsyn i Datainspektionens framtida verksamhet Datainspektionens tillvaratagande av integritetsskyddet har, som nämnts, i och med personuppgiftslagen ändrats från en förhands- prövning genom krav på tillstånd till en efterhandskontroll genom myndighetens tillsyn. Genom att tillståndsförfarandet och licens- systemet som gällde enligt datalagen numera helt har upphört före- ligger således de eftersträvade förutsättningarna för Datainspektionen Datainspektionens framtida verksamhetsinriktning 155 att renodla sin verksamhet och koncentrera sig på de direkta tillsyns- uppgifterna. Det finns mot bakgrund härav anledning att närmare studera begreppet tillsyn för att något klargöra vilka uppgifter det är som omfattas av begreppet och vad som avses med en renodlad tillsyns- myndighet. I det följande ges därför en beskrivning av hur utredningen vill definiera begreppet tillsyn med avseende på Datainspektionens framtida verksamhetsinriktning. Det förekommer inte någon enhetlig och allmängiltig definition av begreppet tillsyn. Inom den statliga förvaltningen finns en rad olika myndigheter med skiftande verksamhetsinriktning som alla i större eller mindre utsträckning hänförs till tillsynsmyndigheter och som i någon form utövar tillsyn. Begreppet tillsyn används också i ett stort antal lagar, förordningar och föreskrifter. En sammanställning av de myndighetsuppgifter som kan anses ingå i tillsynsarbetet kan delas in i följande kategorier: N Föreskriftsarbete N Inspektion N Samordning av tillsynsarbete N Kontroll av regelefterlevnad N Åtgärder för rättelse av lagöverträdelser N Tillståndsprövning N Information och rådgivning N Arbete med tillsynsobjektens egenkontroll Även om begreppet tillsyn omfattar en rad olika myndighetsuppgifter har uppgifterna ett gemensamt ändamål. Samtliga uppgifter syftar i större eller mindre utsträckning till att åstadkomma regelefterlevnad i verksamhet som utförs av andra. Mot bakgrund härav kan man säga att alla de uppgifter myndigheten utför och som syftar till att gällande regler följs inom något område utgör tillsyn. En effektiv och oberoende tillsyn utgör en viktig demokratisk förut- sättning i vårt samhälle, eftersom den syftar till att garantera lika- behandling och rättssäkerhet; allmänheten skall kunna lita på att samhällets regler efterlevs. I Statskontorets rapport (2001:14) En till syn på tillsyn – hur svenska tillsynsmyndigheter påverkats av EU framkommer att de flesta myndigheter har en vid definition av begreppet tillsyn. Tillsyn anses innefatta allt från hård kontroll och inspektion med sanktionsmöjlig- heter till mjuka insatser som information och vägledning. Datainspektionen har tidigare, i enlighet med 15 § datalagen, definierat tillsyn som allt Datainspektionen gör eller kan göra för att se 156 Datainspektionens framtida verksamhetsinriktning till att automatisk databehandling inte medför otillbörligt intrång i personlig integritet.1 De olika åtgärder som Datainspektionen utför för att åstadkomma regelefterlevnad, och som alla omfattas av begreppet tillsyn enligt ovan, kan delas in i tre huvudkategorier. Först talar myndigheten om hur de som omfattas av tillsynen skall agera, sen kontrolleras om utövarna följer reglerna och sist görs rättsliga ingripanden mot de som inte följer reglerna. Utredningen har valt att kalla det information, inspektion och ingripande. Information, inspektion och ingripande Datainspektionen skall enligt sin instruktion särskilt inrikta sin verksamhet på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud enligt personuppgiftslagen. Detta sker genom allmän information om regelsystemet, rådgivning i konkreta situationer och särskild regelgivning i form av föreskrifter och allmänna råd. Datainspektionen är tillsynsmyndighet enligt främst person- uppgiftslagen. Ofta används begreppet tillsyn för de direkta åtgärder som innebär inspektion och kontroll av regelefterlevnaden. Utred- ningen använder hellre ordet inspektion, eftersom det är fråga om en tillsynsåtgärd som i strikt mening kan sägas omfatta endast under- sökning av förhållandena hos tillsynsobjektet. På så sätt skiljer man också åtgärden från andra tillsynsinsatser som även de syftar till att främja regelefterlevnaden hos tillsynsobjektet. Enligt personuppgiftslagen har Datainspektionen en rad befogen- heter för att kunna kontrollera lagens regelefterlevnad och ingripa i syfte att åstadkomma rättelse vid felaktiga behandlingar. Inspektionen kan under vissa förutsättningar vid vite förbjuda en personuppgifts- ansvarig att behandla personuppgifter på andra sätt än att lagra dem. Datainspektionen kan även hos Länsrätten i ansöka om att personuppgifter som behandlas på ett olagligt sätt skall utplånas. Utredningens definition av begreppet tillsyn med avseende på Data- inspektionens framtida verksamhetsinriktning innefattar således samt- liga de åtgärder myndigheten vidtar i syfte att säkerställa en god regelefterlevnad och att lagstiftarens målsättning med lagstiftningen uppfylls. Datainspektionens huvudsakliga uppgifter – information och 1 Datainspektionen, Effektiv tillsyn s. 7. Datainspektionens framtida verksamhetsinriktning 157 inspektion – faller således båda inom begreppet tillsyn och utmärker Datainspektionen som en renodlad tillsynsmyndighet. När det i fortsättningen talas om tillsyn avses således inspektionens verksamhet i sin helhet, såväl infomations- som inspektionsinsatser, om inte annat särskilt anges. Datainspektionens verksamhet skall enligt utredningens mening inriktas på två huvudområden, Information och Inspektion. I första hand skall Datainspektionen arbeta med service åt medborgarna i form av information och rådgivning om integritetsskyddsfrågor i anknytning till personuppgiftslagen. I andra hand skall myndigheten utöva tillsyn över att reglerna efterlevs genom att utföra effektiva och ändamålsen- liga inspektioner hos dem som behandlar personuppgifter i samhället. Att det är på detta sätt Datainspektionens verksamhet som till- synsmyndighet skall bedrivas anges också i förordningen (1998:1192) med instruktion för Datainspektionen. I första paragrafen sägs att inspektionen särskilt skall inrikta sin verksamhet på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud enligt personuppgiftslagen. I andra paragrafen anges Datainspektionens övriga uppgifter som tillsynsmyndighet enligt framförallt person- uppgiftslagen. Detta går hand i hand med den utveckling av Datainspektionens verksamhet som ägt rum genom övergången från datalagen till person- uppgiftslagen, dvs. från ett inledningsvis strikt tillståndsförfarande till en renodlad tillsyn. Redan av formuleringarna och uppgifternas placering i förordningen framgår att Datainspektionen främst skall inrikta sin verksamhet på vad som kan kallas serviceåtgärder. Skyddet för den personliga integriteten skall i första hand främjas genom information och rådgivning om integritetsfrågor i allmänhet och personuppgiftslagen och anknytande integritetsskyddsregler i synnerhet. Ju bättre den allmänna kunskapen om dessa frågor är desto mindre risk för intrång i den personliga integriteten. Dessa uppgifter ställer naturligtvis stora krav på Datainspektionen. Myndigheten måste därför vara effektiv och besitta en hög kompetens inom alla områden som omfattas av dess ansvar. Som framhållits inledningsvis i detta avsnitt finns en inriktning mot information och inspektion i Datainspektionen verk- samhet. Inriktningen på dessa verksamheter bör emellertid bli tydligare och de bör i större utsträckning prioriteras framför övriga uppgifter. 158 Datainspektionens framtida verksamhetsinriktning Att höja det allmänna medvetandet och kunskaperna om alla frågor som rör integritetsskydd i samband med behandling av personuppgifter är enligt utredningens mening fundamentalt i strävan att uppnå målsätt- ningen med Datainspektionens verksamhet. De förebyggande åtgär- derna är grunden för ett gott integritetsskydd och av stor betydelse för framgång vad gäller Datainspektionens övriga uppgifter och verksam- hetsområden. Det gäller här även att göra verksamheten och Datainspektionens roll som central förvaltningsmyndighet med uppgift att värna om skyddet för den personliga integriteten välkänd för allmänheten. Datainspektionen skall också vara ledande i den allmänna debatten som rör integritetsfrågor. Öka medvetenheten om integritetsfrågor i samhället De som berörs av behandlingar av personuppgifter, såväl personupp- giftsansvariga som registrerade, måste göras uppmärksamma på relevanta frågeställningar och hur man skall handskas med de problem som kan förekomma. De måste göras medvetna om sina rättigheter och skyldigheter; de personuppgiftsansvariga för att de skall följa regler och behandla personuppgifter korrekt och enligt god sed, utan intrång i någon enskild persons integritet och de registrerade för att de skall kunna tillvarata sina rättigheter och ställa berättigade krav på att de som behandlar personuppgifter gör så med iakttagande av skyddet för den personliga integriteten. Datainspektionen – en servicemyndighet Den tekniska utvecklingen har ökat möjligheterna att behandla personuppgifter. Denna utveckling kommer inte att avta, tvärtom finns det mycket starka skäl att tro att den kommer att fortsätta i allt snabbare takt. Med allt mer omfattande behandling av person- uppgifter och ökad kunskap i frågor som har med detta och skyddet för den personliga integriteten att göra, kommer området att uppfattas som mer näraliggande och allt viktigare för den enskilde. Datainspektionens verksamhet kommer härmed att få allt större betydelse och dess funktion att uppmärksammas allt mer. Det är därför viktigt att inspektionen på ett tydligt sätt intar sin roll som servicemyndighet och som en resurs för alla människor i . Datainspektionens framtida verksamhetsinriktning 159 Som servicemyndighet åt människorna i måste Datainspek- tionen göras välkänd och det måste betonas att myndigheten verkligen är till för att tillvarata den enskilde individens intressen i informations- samhället. Det är enligt utredningens mening viktigt att Datainspektionen med tydlighet framstår som en integritets- eller dataombudsman. Inspek- tionen skall fungera som en allmänhetens klagomur, välkänd för alla, dit man kan vända sig när man upplever sig ha blivit felaktigt behandlad eller bara behöver råd och information i frågor som rör integritet och behandling av personuppgifter. Datainspektionen skall för alla och envar framstå som den myndighet vilken i informations- samhället värnar om den enskilde individens rättigheter och tar tillvara skyddet för den personliga integriteten. Datainspektionen – en opinionsbildare Trots att behandlingen av personuppgifter varit mycket omfattande i samhället har frågor som rör integritetsskyddet i samband härmed ännu inte fått den uppmärksamhet i som man kunnat förvänta sig. Inte heller har kunskap om den nya personuppgiftslagen och dess syften nått allmän spridning. Det senare kan i viss mån förklaras av att en stor del av behandlingen av personuppgifter i det längsta skett enligt datalagens regler. Av stor vikt för Datainspektionen är att göra frågor som rör integritetsskyddet uppmärksammade i samhället och att öka kunskapen om personuppgiftslagen. För att åstadkomma detta måste inspektionen vara aktiv och deltaga på ett ledande och främjande sätt i den allmänna debatten i alla frågor som rör personuppgifter och skyddet för den personliga integriteten. Datainspektionen skall kännetecknas av öppen- het och debattvilja och måste därför gripa alla tillfällen som ges att förekomma i massmedia. För att öka allmänhetens och de personuppgiftsansvarigas intresse för integritetsfrågor är det viktigt att föra ut budskapet om personupp- giftshanteringens risker och möjligheter samt om vilka rättigheter och skyldigheter som föreligger. Integritetsdebatten i måste enligt utredningens mening hållas vid liv. De resurser som satsas på detta kommer att ge god utdelning i form av mer medvetna och observanta medborgare och personuppgiftsansvariga, och i förlängningen ett bättre skydd för den personliga integriteten. Möjligen har Datainspektionen i allt för stor utsträckning fungerat som domstolar av tradition gör, nämligen ligger lågt i debatten och låter det skrivna ordet tala för sig. Detta kan bero på att 160 Datainspektionens framtida verksamhetsinriktning majoriteten av Datainspektionens personal är jurister och att många har domstolsbakgrund. Datainspektionen måste emellertid våga ta ut svängarna och göra allt för att föra ut sitt budskap. Detta väcker frågan om en styrelse med fullt ansvar, i vilken generaldirektören inte är ordförande, bättre kan utföra uppgiften att agera aktivt i samhällsdebatten i frågor som rör behandling av person- uppgifter och den personliga integriteten. Enligt utredningens uppfatt- ning är emellertid en sådan förändring av myndighetens ledning inte nödvändig. Det finns ingen påtaglig konflikt i att Datainspektionen kombinerar sin myndighetsutövning i form av inspektioner och ingrip- anden, samt yttranden till domstol i t.ex. mål enligt personupp- giftslagen, med ett aktivt deltagande i den offentliga debatten. Dess- utom är risken för en eventuell konflikt mindre , i och med att tillståndshanteringen har upphört. I , som har en stark tradition av offentlighet inom den allmänna förvaltningen, är kravet från framför allt massmedia på maxi- mal öppenhet med all rätt grundmurat. Medierna har ur eget perspektiv ett betydligt större intresse av en fri tillgång till personuppgifter än av inskränkningar i tillgången på grund av integritetsskäl.