sou · GRB340d1 · 2004-01-01 00:00:00 — En annan utgångspunkt – som också i direktiven framhålls som en utgångspunkt för utredningsuppdraget – är att den rättsliga regleringen inte skall vara beroende av att vissa tekniska lösningar används. Detta är enligt utredningen särskilt viktigt med hänsyn till hur snabbt informationstekniken utvecklas. Det är självklart och i linje med regeringens ambitioner (se avsnitt 5.1) att man inom den offentliga verksamheten skall kunna dra nytta av de möjligheter till effektivitetsvinster, kostnadsbesparingar samt smidigt informa- tionsutbyte med svenska eller utländska myndigheter och enskilda som den tekniska utvecklingen kan komma att medföra. Lagen bör således inte hämma användningen av ny informationsteknik utan lämna utrymme för förändringar i myndigheternas IT-struktur i den mån denna inte går ut över integritetsskyddet. Särregleringen bör därför – liksom personuppgiftslagen – vara teknikoberoende. Vidare bör särregleringen vara flexibel så till vida att den är i möjligaste mån oberoende av förändringar på grund av nya faktiska eller rättsliga förutsättningar för verksamheten i fråga. Ett sätt att åstadkomma denna flexibilitet är att ge lagen karaktär av ram- lagstiftning, som anger vilka grundläggande principer som skall gälla för behandling av personuppgifter inom verksamhetsområdet, medan detaljfrågor lämnas utanför lagen. Närmare reglering av detaljfrågor bör i stället, inom lagens ramar, kunna meddelas i en förordning som utfärdas i anslutning till lagen eller, efter regering- en bemyndigande, i myndighetsföreskrifter. En sådan författnings- teknik är fördelaktig i det avseendet att detaljregler, som sannolikt behöver ändras ofta, inte måste underställas prövning. Givetvis måste dock de från integritetssynpunkt viktigaste principerna regleras av lagen. Till dessa hör bl.a. för vilka ändamål personuppgifter får behandlas, under vilka förutsättningar känsliga personuppgifter enligt 13 § personuppgiftslagen får behandlas samt i vad mån automatiserad direktåtkomst kan medges till person- uppgifter som behandlas inom verksamhetsområdet. Närmare reglering i förordning eller i myndighetsföreskrifter föreslås i dessa frågor vara möjlig endast om de ytterligare ökar den enskildes integritetsskydd genom att i något avseende inskränka utrymmet för behandling av personuppgifter jämfört med vad lagens ramar anger. Slutligen bör framhållas att en självklar utgångspunkt för för- slagen varit att lagen inte i något avseende skall strida mot data- skyddsdirektivet. Det verksamhetsområde som föreslås omfattas av lagens tillämpningsområde avser till övervägande del frågor som hör till EU:s gemenskapsrätt. Dataskyddsdirektivet gäller följakt- ligen för behandling av personuppgifter i den delen. Vad gäller verksamhet som faller utanför direktivets tillämpningsområde – t.ex. verksamhet enligt medborgarskapslagstiftningen – har det i utredningsarbetet inte framkommit någon anledning att föreslå avsteg från direktivets bestämmelser. I utlänningsdataförordningen regleras enbart automatiserad be- handling av personuppgifter i verksamhetsregister, rättsfalls- register, landinformationsregister samt i fingeravtrycksregister. Hur registren är avgränsade framgår inte av förordningen. Auto- matiserad behandling av personuppgifter i löpande texter med hjälp av ordbehandlingsprogram utan koppling till registren, elektronisk post m.m. torde emellertid inte omfattas av utlänningsdata- förordningens tillämpningsområde utan styrs av personuppgifts- lagens regler. Inte heller omfattar utlänningsdataförordningen hantering av personuppgifter. Även denna behandling regleras av personuppgiftslagen, dock att lagens övergångsbestäm- melser innebär att flera av lagens centrala bestämmelser (9, 10, 13 och 21 §§) inte gäller förrän såvitt avser redan före påbörjad behandling eller behandling som utförs för ett bestämt ändamål om behandling för ändamålet påbörjats före . Utredningen har ställt sig frågan om det finns anledning att begränsa lagens tillämplighet på motsvarande sätt, dvs. till specifika samlingar av personuppgifter. En ytterligare fråga är om det finns anledning att i lagen göra åtskillnad mellan regler som endast gäller för vissa samlingar av personuppgifter medan andra regler gäller generellt. Personuppgiftssamlingar i register blev ett centralt begrepp i svensk datalagstiftning genom datalagens införande. Med personregister avsågs, enligt datalagens definition, register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med behandlingen. Den allmänt använda termen för automa- tiserade uppgiftssamlingar har sedan datalagens införande varit register. I enlighet med sin benämning har registerförfattningar, som härrör från datalagens tid, i allmänhet reglerat bl.a. vilka uppgifter om enskilda som får sammanställas i myndigheters automatiserade register. Karaktäristiskt för dessa register är att uppgifter förs in i en uppgiftssamling på ett systematiserat sätt efter särskilda kriterier och att de är sökbara med särskilda sökord, koder eller dylikt. före personuppgiftslagens införande kritiserades emellertid registerbegreppet för att vara otidsenligt. På grund av den tekniska utvecklingen har det i en sammansatt och komplex datormiljö blivit allt svårare att fastställa såväl när ett register har inrättats som vad som är ett register i förhållande till ett annat. Det har också vuxit fram metoder att med datorhjälp söka och sammanställa uppgifter som över huvud taget inte har organiserats eller systematiserats i förväg. Genom personuppgiftslagens införande har begreppet register kommit att spela en underordnad roll vid automatiserad behandling av personuppgifter. För behandling är begreppet register dock avgörande, eftersom sådan hantering omfattas av lagens tillämpningsområde endast då personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, dvs. är samlade i register. För helt eller delvis auto- matiserad behandling av personuppgifter finns emellertid inga särskilda bestämmelser om register eller andra samlingar av per- sonuppgifter. All behandling av personuppgifter som sker helt eller delvis automatiserat omfattas således av lagens generella bestäm- melser oavsett om personuppgifterna ingår i register eller inte. Av avgörande betydelse är i stället att personuppgifter skall samlas in för uttryckligt angivna ändamål och sedan inte behandlas för något annat ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Personuppgiftslagen innebär alltså att automatiserade register kan inrättas om det sker för uttryckligt angivna ändamål. I förarbetena till personuppgiftslagen uttalade emellertid regeringen om registerbegreppet att inget hindrar att ett datoriserat register också kallas för det. Flertalet särskilda registerförfattningar rör just upprättandet och förandet av traditionella datoriserade register. Ofta har registerformen, fortsatte regeringen, valts medvetet för att skapa förutsägbarhet och säkerhet beträffande de uppgifter som behandlas med hjälp av datorer (prop. 1997/98:44 s. 39). Lagen (1998:938) om behandling av personuppgifter om total- försvarspliktiga och polisdatalagen (1998:622) kan nämnas som exempel på författningar som är anpassade till personuppgiftslagen och dessutom innehåller bestämmelser om vissa register. Efter personuppgiftslagens införande har begreppet databas introducerats som ett juridiskt begrepp i några registerför- fattningar, nämligen i lagarna för behandling av personuppgifter inom skatte-, tull- och exekutionväsendet samt inom den arbetsmarknadspolitiska verksamheten (se t.ex. 2 kap. 1 § lagen [2001:181] om behandling av personuppgifter i skatteförvalt- ningens verksamhet och 7 § lagen [2002:546] om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten). lagarna sägs att det i respektive verksamhet får finnas en databas, dvs. en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för ändamål som anges i lagarna. För databaserna gäller sedan särskilda regler om bl.a. vad de får innehålla, direktåtkomst, gallring m.m. I betänkande Skatt, , Exekution – Normer för behandling av personuppgifter (SOU 1999:105 s. 231 f.) redogjorde utredningen för vad som enligt dess mening skall avses med gemensam användning av uppgifter. Sammanfattningsvis anfördes att en uppgift är gemensamt till- gänglig och därmed utgörande en del av en databas om den registreras och lagras i ett datasystem på ett sådant sätt att tjänstemännen inom en eller flera myndigheter har möjlighet att ta del av uppgiften direkt på automatiserad väg. Enligt Register- författningsutredningen är det den faktiskt åsyftade tillgänglig- heten och inte hur uppgiften tekniskt lagras som är väsentlig. Att olika personalkategorier har olika behörighet och att vissa upp- gifter därför är åtkomliga endast för ett begränsat antal personer förtar i sig inte uppgifternas egenskap som gemensamma. Detsamma gäller om vissa uppgifter är åtkomliga endast inom en regional myndighet. En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server hos en myndighet i samband med att en tjänsteman arbetar med ordbehandling och som normalt bara är åtkomlig för tjänstemannen själv och exempelvis system- administratören vid myndigheten, kan däremot inte anses vara gemensamt tillgänglig. Syftet med en sådan tillfällig behandling är inte att uppgifterna som lagras i datorn skall användas av andra än den som utför behandlingen. I propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 89 f.) har regeringen redogjort för sina överväganden kring begreppen register respektive databas. Som skäl för att införa begreppet databas anförde regeringen bl.a. följande. Att följa personuppgiftslagens struktur och enbart tala om behandling av personuppgifter kan i vissa fall föranleda att en lagtext tyngs och blir svårhanterlig, t.ex. när man inte avser be- handling i allmänhet utan endast behandling i fastställda samlingar av uppgifter för vilka särskilda handlingsregler bör gälla. Begreppet databas utesluter register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en dator från databaser som är särskilt reglerade till sitt innehåll och användning. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Flera register kan vara sammanlänkade i en databas om de på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet. Regeringen framhöll vidare att det från integritetssynpunkt är viktigt att stora upp- giftssamlingar, som hanteras av myndigheter och som möjliggör sammanställningar av en rad olika uppgifter om enskilda personer, omgärdas av särskilda skyddsregler. För behandlingen av uppgifter i databaser bedömdes därför att särskilda bestämmelser bör gälla på en rad punkter, nämligen i fråga om vilka uppgifter som får behandlas, vilken åtkomst myndigheter och andra skall ha till uppgifterna samt vilka regler som skall gälla för bevarande och gallring. Motsvarande överväganden gjordes av regeringen i förarbetena till lagen om behandling av personuppgifter i den arbetsmarknads- politiska verksamheten (prop. 2001/02:144 s. 27 f.). 5.4.2Utredningens överväganden i fråga om uppgiftssamlingar Lagen bör omfatta all behandling av personuppgifter som sker helt eller delvis automatiserat eller manuellt i register. Lagen blir däri- genom teknikoberoende och väl anpassad till personuppgiftslagens regelverk. Flera av de skäl som tidigare (avsnitt 5.2) anförts för en särreglering har giltighet på behandling av personuppgifter oavsett om personuppgifterna ingår i automatiserade uppgiftssamlingar eller inte. Visserligen utvidgas därmed särregleringen av behand- lingen av personuppgifter i verksamhet enligt utlännings- och med- borgarskapslagstiftningen jämfört med vad som gäller . Det innebär bl.a. större möjligheter än att behandla känsliga personuppgifter, vilket från integritetssynpunkt kan sägas tala emot den föreslagna utvidgningen. Utvidgningen ter sig emellertid nödvändig för att verksamheten skall kunna bedrivas på ett lämpligt sätt. Exempelvis bör känsliga personuppgifter kunna behandlas även om den enskilde tjänstemannen av olika skäl utför behandlingen med hjälp av ordbehandlingsprogram i sin person- dator i stället för i ett större datorsystem. Även denna behandling bör vidare styras av de regler om ändamål m.m. som kommer att föreslås i det följande. Mot bakgrund av den komplexa IT-struktur som redan är för handen kan det ifrågasättas om begreppet register över huvud taget skall förekomma i lagen. I flera av de registerförfattningar som till- kommit efter personuppgiftslagens införande har begreppet över- getts, förutom i de nämnda författningarna, se t.ex. lagen (2001:454) om behandling av personuppgifter inom eller lagen (2001:617) om behandling av personuppgifter inom kriminalvården, vilket dock inte hindrar att en mängd register – automatiserade eller inte – förs inom respektive verksamhet. Den kritik som riktats mot begreppet register är relevant beträffande flertalet av de uppgiftssamlingar som redovisats i avsnitt 4. Det kan här påpekas att Datainspektionen ansett att landinformationssystem LIFOS – som torde omfattas inte bara av utlänningsdataförordningens regler om land- informationsregister utan även av förordningens regler om rätts- fallsregister – inte utgör ett personregister i den tidigare gällande datalagens mening, eftersom personuppgifter endast förekommer i löpande text. omfattande automatiserade system kan vidare nämnas som en exemplifiering av den utveckling av IT-strukturen som skett inom många myndigheter senare hälft och som har medfört att beteck- ningen register inte längre passar som beskrivning av systemet, vilket numera består av ett flertal verksamhetsstödjande person- register integrerade med ärendehanteringsfunktioner, lagrade handlingar m.m. automatiserade fingeravtrycksregister är emellertid ett register i ordets egentliga bemärkelse, där ett visst urval uppgifter på ett systematiserat sätt förs in i ett register för ett specifikt ändamål, nämligen att underlätta identifieringen av asylsökande. Registret är inte integrerat med övriga datorsystem inom myndigheten. Det föreligger därför inte problem med att avgränsa fingeravtrycksregistret gentemot andra register, doku- menthantering eller övrig personuppgiftsbehandling på det sätt som registerbegreppet kritiserats för. En jämförelse kan göras med polisdatalagen (1998:622) som innehåller särskilda bestämmelser om regelrätta datoriserade register, däribland fingeravtrycks- och signalementsregistret, som förs inom polisens verksamhet. I propositionen Polisens register, som föregick lagens införande (prop. 1997/98:97 s. 102 och 111), anförde regeringen sammanfattningsvis att det behövs särskilda bestämmelser om vissa traditionella register samt, vad gäller fingeravtrycks- och signalementsregistret, att det från integritets- synpunkt finns skäl att begränsa behandlingen av personuppgifter för att underlätta identifieringen av personer i samband med brott. Samma argument kan enligt utredningens mening åberopas vad gäller fingeravtrycksregister. Registret innehåller personuppgifter om ett stort antal utlänningar och är integritets- känsligt. Registret kan också antas komma att föras framöver. Som kommer att framgå i avsnitten 6.7 och 6.18.5 föreslår utredningen därför att de särskilda regler som gäller för vilka uppgifter registret får innehålla, när gallring skall ske m.m. alltjämt skall vara författningsreglerade. Det föreslås också att uppgifts- samlingen även i fortsättningen benämns som ett register. När det däremot gäller övriga register, ärendehanteringssystem och andra personuppgiftssamlingar som förekommer inom verk- samhetsområdet finns, enligt utredningens mening, bland dem inte någon klar och urskiljbar uppgiftssamling som på motsvarande sätt som beträffande fingeravtrycksregistret bör bli föremål för sär- reglering. Utredningen har därför inte funnit anledning att i lagen begagna begreppen register eller databas och att för dessa uppgiftssamlingar föreslå särskilda regler. Olika uppgiftssamlingar nämns således inte särskilt utan omfattas av lagens allmänna bestämmelser om behandling av personuppgifter. Givetvis är integritetsriskerna större när information om ett stort antal individer samlas och lagras automatiserat så att de är tillgängliga för mer än ett fåtal personer. Det är därför särskilt viktigt att sådana personuppgifter omgärdas av integritets- skyddande regler. Lagförslaget är i konsekvens härmed utformat med i första hand dessa integritetskänsliga uppgiftssamlingar i åtanke. Enligt utredningens bedömning är det dock inte nödvändigt, för att myndigheterna skall kunna fullgöra sina arbets- uppgifter på ett tillfredsställande sätt, att andra regler gäller för behandling av personuppgifter som sker utanför uppgiftssamlingar eller utanför gemensamt tillgängliga system. För den personuppgiftsansvariga likväl som för den som rutinmässigt behandlar personuppgifter i det dagliga arbetet är det dessutom en fördel om regelverket är så enhetligt som möjligt. Därigenom undviks att tveksamhet uppstår i fråga om vilka regler som gäller för en viss behandling av personuppgifter. Vilken benämning man än väljer för att beskriva en eller flera upp- giftssamlingar torde nämligen gränsdragningsproblem kunna upp- stå i många fall. Detta hänger särskilt samman med svårigheterna att lagstiftningsvägen exakt avgränsa vad som skall anses ske i respektive utanför en uppgiftssamling som inte utgör ett traditionellt register separerat från all annan automatiserad be- handling av personuppgifter. Det kan vidare inte uteslutas att den tekniska utvecklingen kommer att göra denna gränsdragning än mer problematisk.