sou · GTB361 · 2006-01-01 00:00:00 — I beslutet hänvisade DI bl.a. till att registreringen av historiska adresser kan innebära ett otillbörligt intrång i den personliga integriteten. 32Denna möjlighet följer av rätten att ta del av allmänna handlingar (2 kap. Av paragrafens andra mening framgår att utlämnande av uppgifter till andra än , den enskilde själv eller dennes vårdnadshavare endast får avse personer som är folkbok- förda eller som har avregistrerats från folkbokföringen, dvs. den kategori personer som registreras i SPAR.33 Enligt första stycket får uppgifter som lämnas ut till en enskild för ändamål enligt 1 kap. 4 § 5 eller 6 a FdbL, dvs. kontrolländamål eller urvalsändamål, inte överlåtas till annan. Bestämmelsen införs för att markera att tillhandhållandet av folkbokföringsuppgifter i första hand avser att tillgodose mottagarens behov av uppgifterna i den egna verksamheten.34 Även om en viss folkbokföringsuppgift i sig inte är särskilt känslig uppkommer risker för integritetsintrång genom att de skilda uppgifterna i databasen får kombineras, avser hela befolkningen och ges en betydande spridning. En utgångs- punkt vid regleringen av hur uppgifter i databasen får behandlas måste därför vara att värna om den registrerades integritet. Detta gäller inte minst när uppgifterna i databasen lämnas ut på medium för automatiserad behandling till t.ex. företag och organisationer för att nyttjas kommersiellt. Enligt utredningens uppfattning skall de viktigaste villkoren för hur mottagna uppgifter får behandlas framgå av förordningen eller meddelas av den ansvariga myndig- heten, dvs. Av andra stycket framgår att får medge undantag från överlåtelseförbudet i första stycket. I och med att mottagaren måste inhämta godkännande innan uppgifter överlåts till annan får verket möjlighet att kontrollera att utlämnade 33Se 4 § första stycket SPAR-lagen. 34Liknande villkor gäller beträffande uppgifter som lämnas ut från SPAR. I dessa fall är det dock servicebolaget som avgör om mottagaren får överlåta uppgifterna till annan. Också andra begränsningar som har väsentlig betydelse för hur mottagaren får använda personuppgifter som hämtats från SPAR regleras i avtalsvillkoren med servicebolaget. 35Detta synsätt är också i linje med uttalanden som gjorts av den inom EU inrättade arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter. Arbetsguppen, som inrättats med stöd av artikel 29 i dataskyddsdirektivet, har uttalat bl.a. att den registeransvarige skall vidta lämpliga åtgärder för att skydda personuppgifter mot obefogad spridning, särskilt när behandlingen omfattar överföring via datanätverk, jfr artikel 17 i direktivet. (Yttrande 7/2003 om vidareutnyttjande av information från offentliga sektorn och skydd för personuppgifter, antaget , 10936/03/SV WP 83, s. 4). folkbokföringsuppgifter inte sprids på ett ur integritetssynpunkt olämpligt sätt. Paragrafens första stycke motsvarar vad som gäller beträffande direktåtkomst till SPAR.36 Se vidare vad som sägs i kommentaren till 2 kap. 9 § FdbL om direktåtkomst till folkbokföringsdatabasen. I andra stycket informeras om att det är som beslutar om vilka uppgifter i första stycket som en enskild får ha direktåtkomst till. Jämför vad som sägs i kommentaren till paragraf 15 e §. Paragrafen motsvarar 10 § SPAR-förordningen. Adresserad direktreklam skall enligt god sed innehålla en tydlig upplysning om varifrån adressuppgiften har hämtats.37 Att adresskällan anges på ett klart och tydligt sätt har stor betydelse ur integritetssynpunkt och är en väl inarbetad ordning. En person som får direktreklam skall alltid, utan att behöva göra egna efterforskningar, få information om dels varifrån avsändaren har hämtat uppgifterna, dels vart han eller hon skall vända sig med en anmälan om direktreklamspärr. 36Regler som begränsar uppgiftsutlämnandet till en enskild finns bl.a. i 7 § SPAR-lagen och 5–7 §§ SPAR förordningen. 37I Swedmas branschregler, som utformats i nära samarbete med Datainspektionen, sägs bl.a. att en direktmarknadsföringskontakt som tas på annat sätt än muntligen skall innehålla upplysning om varifrån adressuppgiften hämtats. Källhänvisningen skall vara så utformad att den registrerade skall kunna ta kontakt med källan för att där ta tillvara sina rättigheter enligt PuL. Den skall därför innehålla telefonnummer/och eller adress till källan. Paragrafens första stycke anger att alltid skall ta ut avgift då uppgifter lämnas ut för kontrolländamål (punkten 5) eller urvalsändamål (punkterna 6 och 6 a). Av utredningens förslag följer att bestämmelsen i 11 § andra stycket förordningen (2003:1106) med instruktion för skall upphöra att gälla. Vidare måste regleringsbrevet för Skatte- verket justeras. En översyn av Statens personadressregister m.m. Dir. Beslut vid regeringssammanträde . En särskild utredare får i uppdrag att föreslå hur såväl myndigheters som företags och andra organisationers behov av folkbokföringsuppgifter, som hämtas från Statens person- adressregister (SPAR), skall tillgodoses . Utredaren skall pröva om det finns förutsättningar för att samordna SPAR med den behandling av personuppgifter som sker inom folkbokföringsverksamhet. Utredaren skall förbereda en övergång av värdmyndighetsskapet för () från Statskontoret till fr.o.m. . Staten är huvudman för ett flertal helt eller delvis automatiserade befolkningsregister. Ett par register har till syfte att förse myndigheter, företag och andra organisationer med person- uppgifter i automatiserad form. De används bl.a. för aktualisering, komplettering och kontroll av personuppgifter samt för urvalsdragningar. fattade beslut om att inrätta SPAR 1976 (prop. 1976/77:27, KU 1976/77:21, rskr. 1976/77:87). Inrättandet av ett centralt, statligt personregister ansågs från integritetssynpunkt bättre än dåtidens många privata och offentliga befolkningsregister. I beslutet gjordes Datacentralen för administrativ databehandling (DAFA) totalansvarig för SPAR. DAFA ombildades till ett statlig ägt bolag, dataservice- företaget (prop. 1984/85:225, bet. 1985/86:FiU4, rskr.1985/86:91). I propositionen föreslogs att myndigheten skulle inrättas och ges i uppgift att vara huvudman och ansvarig för registrets innehåll och användning. I propositionen angavs flera skäl till varför huvudmannaskapet för SPAR borde läggas på en myndighet. Av särskild vikt framhölls att den medborgerliga insynen på så sätt skulle kunna upprätthållas. Vidare angavs att SPAR hade inrättats bl.a. för att det skulle finnas ett allmänt register med ett från integritetssynpunkt acceptabelt innehåll. Dataserviceföretaget gavs i uppdrag att sköta teknisk drift och marknadsföring av SPAR. Rollfördelningen mellan nämnden och dataserviceföretaget behandlades endast översiktligt i propo- sitionen, där det också angavs att närmare villkor för nämndens insyn i verksamheten skulle regleras i avtal mellan staten och företaget. Staten tecknade 1986 avtal med , som såldes till och ägs av , och . Frågor om SPAR har utretts i många sammanhang. Aviserings- utredningen föreslog i betänkandet Folkbokföringsuppgifterna i samhället (SOU 1995:44) att personbanden, riksaviseringsbandet och SPAR skulle avskaffas och ersättas med ett centralt register för avisering och tillhandahållande av folkbokföringsuppgifter. I propositionen Avisering av folkbokföringsuppgifter (1994/95:201) ansåg regeringen i likhet med utredningen att det från integritetsskyddssynpunkt fanns skäl som talade för att det skulle finnas endast ett register för tillhandahållande av folkbokförings- uppgifter. Flera remissinstanser var dock kritiska till förslaget att överföra verksamhet till . Ett sådant överförande ansågs också på nytt resa de frågeställningar som var aktuella vid tillkomsten av . I propositionen konstaterades att regeringen inte var beredd att ta ställning till om ett nytt aviseringsregister även skulle omfatta SPAR:s funktioner. Även frågan om hur urval för direkt- reklamsändamål skulle lösas behövde enligt regeringens mening övervägas ytterligare. SPAR granskades senare inom ramen för Grunddatabas- utredningen, som i sitt betänkande Grunddata – i samhällets tjänst (SOU 1997:146) ansåg att SPAR borde finnas kvar för ett särskilt motiverat offentligt åtagande att tillhandahålla uppgifter åt kundregister hos företagen och tillgodose direktreklambranschens behov av en adresskälla för urvalsdragningar. I den förvaltningspolitiska propositionen Statlig förvaltning i medborgarnas tjänst (prop. 1997/98:136) föreslog regeringen att SPAR skall finnas kvar tills vidare eftersom det fyller en viktig samhällsfunktion. Regeringen framhöll att SPAR fortfarande har en stor betydelse för såväl privata aktörer som myndigheter och konstaterade att det bör vara ett offentligt åtagande att hålla register med hög kvalitet för att tillgodose behovet av kontroll av personuppgifter. Regeringen anförde vidare: Verksamheten med SPAR fungerar väl och tillgodoser de behov som finns framför allt på den privata marknaden. har den tekniska utvecklingen medfört att det finns möjlighet att upprätta privata register över befolkningen. Det var enligt regeringens uppfattning från integritetssynpunkt inte önskvärt med ett flertal personregister över befolkningen. En fungerande verksamhet med SPAR kan förhindra uppbyggnaden av sådana register. Den privata marknaden har också ett stort behov av att genom urvalsdragningar få ut personuppgifter. För små och medelstora företag är direkt marknadsföring ofta den enda praktiskt tillgängliga marknads- föringskanalen. SPAR har också stor betydelse för många myndigheter. Regeringen framhöll sin avsikt att i anslutning till det förestående arbetet med en IT-anpassning av handlings- offentligheten också förebereda ett slutligt ställningstagande till registret. Slutligen konstaterades att förändringar av SPAR inte bör genomföras innan behovet av åtkomst till informationen helt kan tillgodoses på annat sätt. Av förordningen (1998:1235) med instruktion för framgår att nämnden är huvudman för SPAR. Registret är reglerat genom lagen (1998:527) om det statliga personadressregistret och förordningen (1998:1234) om det statliga personadressregistret. Registret, som får användas av såväl myndigheter som enskilda, har två ändamål: aktualisering, komplettering och kontroll av person- uppgifter (kontrolländamålet), samt uttag av uppgifter om namn och adress genom urvals- dragning för direktreklam, opinionsbildning eller samhälls- information eller annan därmed jämförlig verksamhet (urvalsdragningsändamålet). Nämnden är personuppgiftsansvarig för registret och driften får vara förlagd till en servicebyrå. Registret har stor betydelse för många myndigheter, företag och andra organisationer och är i praktiken den enda personadressregisterkällan för direktreklams- företag. Uppgifterna i SPAR hämtas från folkbok- föringsdatabas och beskattningsdatabas. Genom SPAR finns en författningsreglerad möjlighet för företag och andra organisationer att få del av personuppgifter i elektronisk form. Genom avisering från SPAR uppdateras såväl register hos vissa myndigheter som kundregistren hos nästan samtliga stora privata organisationer i landet. Ett adressregister som inte uppdateras, beräknas förlora i aktualitet genom att de registrerade byter namn, flyttar eller avlider. Det är således stora kostnadsbesparingar som kan göras genom att försändelser i form av t.ex. fakturor och kontoutdrag går till rätt adress. Statskontoret är värdmyndighet för och svarar för kanslistödet. Det finns en kanslichef för , som är anställd av Statskontoret, och nämndens verksamhet finansieras via Statskontorets anslag. Användning av uppgifter ur SPAR är avgiftsbelagd. Värdmyndighetsskapet för bör, i avvaktan på regeringens ställningstagande till hur myndigheters, företags och andra organisationers behov av folkbokföringsuppgifter från SPAR skall tillgodoses , föras över från Statskontoret till . Behovet av en översyn Staten är huvudman för två befolkningsregister för helt eller delvis automatiserat utlämnade av personuppgifter. Registren används bl.a. för aktualisering, komplettering och kontroll av personuppgifter samt för urvalsdragningar. Det ena registret är folkbokföringsdatabasen, som drivs av och främst är avsedd att användas av myndigheter. Regeringen kan dock meddela föreskrifter om att uppgifter får lämnas ut till enskild. I den förvaltningspolitiska propositionen (prop. 1997/98:136, s. 75 och 76.) anges att det främsta skälet till att det skall finnas en möjlighet att lämna ut uppgifter till en enskild är att även efter skall kunna använda sig av registret. I övriga fall skall prövningen enligt motiven vara restriktiv. Endast sådana fall där behovet är utrett och inte kan tillgodoses inom ramen för SPAR bör överhuvudtaget komma i fråga. Regeringen angav vidare att denna fråga inte helt kan friskrivas från framtida överväganden beträffande SPAR. Det andra registret är SPAR. När aviseringsregistret (numera folkbokföringsdatabasen) inrättades var syftet att samtliga myndigheter skulle hämta personuppgifter härifrån. Det är dock fortfarande så att många myndigheter hämtar uppgifter från SPAR. Regeringen har tidigare gjort bedömningen att den verksamhet som bedrivs genom SPAR inte har kunnat överföras till Skatte- verket. Inte heller är de frågor som restes i den förvaltnings- politiska propositionen för att regeringen skulle kunna ta slutlig ställning till SPAR lösta. Det har emellertid förflutit frågan om framtiden för SPAR prövades senast. Den snabba IT-utvecklingen och den ökade användningen av elektronisk information gör att det nu finns anledning att på nytt pröva förutsättningarna för att samordna funktionen med SPAR med den automatiserade behandling av uppgifter som sker i folkbokföringsverksamhet. Det finns också andra frågor som aktualiserar en översyn av SPAR. Två frågor är av särskild betydelse för SPAR:s framtid. Den ena är frågan om en IT-anpassning av offentlighetsprincipen. Regeringen har i propositionen Offentlighetsprincipen och informationstekniken (prop. 2001/02:70) meddelat sin avsikt att återkomma i frågan om hur en reglering av skyldigheten att lämna ut allmänna handlingar i elektronisk form bör utformas. Den andra är genomförandet av EG-direktivet Public Sector Information, det s.k. PSI-direktivet, som syftar till att möjliggöra vidareutnyttjande av information från den offentliga sektorn (2003/98/EG). En särskild utredare tillkallas med uppdrag att föreslå hur såväl myndigheters som företags och andra organisationers behov av folkbokföringsuppgifter, som hämtas från SPAR, skall tillgodoses . Utredaren skall pröva om en samordning kan ske genom att funktionen med SPAR integreras med den behandling av person- uppgifter som sker i folkbokföringsdatabasen och beskattnings- databasen hos eller om SPAR fortsatt skall vara ett eget register med en särskild funktion. Om verksamheten med SPAR föreslås överföras till , skall utredaren bedöma om behovet av en särskild huvudman för driften ändå kvarstår. Utredaren skall särskilt beakta polisens behov av tillgång till de personuppgifter som hämtas från SPAR. SPAR innehåller också uppgifter från beskattningsdatabasen. De får endast lämnas ut till polismyndigheter och . Polismyndigheterna och måste även ha tillgång till dessa uppgifter. Utredaren skall också beakta företags och andra organisationers behov av tillgång till korrekta personuppgifter i elektronisk form. Det är av särskild vikt att utredaren beaktar integritets- och säkerhetsaspekter samt frågor om sekretess och skydd för personuppgifter. Utredaren skall också överväga om det behöver vidtas några åtgärder, t.ex. i form av författningsändringar eller genom annan form av insyn och kontroll för att lagstiftningen skall uppnå sitt syfte att upprätthålla ett effektivt sätt för att täcka behovet av korrekta personuppgifter och värna om den enskildes personliga integritet. förpliktelser enligt och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter skall beaktas. Utredaren skall särskilt följa utvecklingen av frågorna om en IT- anpassning av offentlighetsprincipen och genomförandet av det s.k. PSI-direktivet samt göra en bedömning av hur de påverkar framtiden för SPAR. Utredaren skall, i avvaktan på regeringens ställningstagande till hur myndigheters, företags och andra organisationers behov av folkbokföringsuppgifter från SPAR skall tillgodoses , förbereda en övergång av värdmyndighetsskapet för från Statskontoret till fr.o.m. . Utredaren skall ta fram förslag till de författnings- och regleringsbrevsändringar som då blir nödvändiga. Utredaren skall hålla berörda arbetstagarorganisationer informerade om arbetet och ge dem tillfälle att framföra synpunkter. Den nya organisationen för i skall bemannas med beaktande av reglerna om övergång av verksamhet i 6 b § lagen (1982:80) om anställningsskydd. Utredaren skall i övrigt analysera samordningens författnings- mässiga, ekonomiska och tekniska konsekvenser samt lämna förslag till konsekvensändringar i regelverk, finansieringsformer och teknik. I uppdraget ingår även att bedöma kostnaderna för den framtida driften och hur detta skall finansieras. Utredaren skall samråda med , , , , Statskontoret, och Datainspektionen samt med när det gäller redovisning av förslagets konsekvenser för små företag. Utredaren skall också informera berörda näringslivsorganisationer om arbetets fortskridande. Uppdraget skall redovisas . Uppdraget skall dock i den del som rör överförande av värdmyndighetsskapet för från Statskontoret till redovisas . En översyn av Statens personadressregister m.m. (Fi 2004:06) Förlängd tid för uppdraget Med stöd av regeringens bemyndigande (dir. 2004:53) tillkallade det statsråd som ansvarade för allmänna frågor om statsförvaltningen en särskild utredare med uppdrag att utreda hur såväl myndigheters som företags och andra organisationers behov av folkbokföringsuppgifter, som hämtas från Statens personadressregister (SPAR), skall tillgodoses . I uppdraget ingick även att förbereda en övergång av värdmyndig- hetsskapet för () från Statskontoret till fr.o.m. . Enligt direktiven skall utredningen redovisa sitt uppdrag . Den del av uppdraget som rör överförande av värdmyndighetsskapet för skulle dock redovisas . Utredningen har redovisat sist nämnda del av uppdraget i promemorian blir ny värdmyndighet för (dnr Fi2004/3072). Tiden för redovisning av uppdraget i övrigt förlängs, vilket innebär att utredningen skall redovisa sitt uppdrag . Förord till bilaga 3 kunde på ett tidigt stadium konstatera att upphandlingsfrågorna måste få en lösning oavsett om SPAR och skulle vara kvar eller om motsvarande funktioner skulle föras över till . Mot den bakgrunden fann utredningen det vara angeläget att utföra en särskild upphandlingsstudie. Uppdraget att genomföra studien gick till konsulten vid . Studien slutredovisades , dvs. innan utredningen formulerat sina överväganden och förslag. Vidare har lämnat nya volymuppgifter. Det innebär att studien utgår från förutsättningar som delvis förändrats. Studien har emellertid utgjort ett viktigt underlag för utredningens diskussioner om hur en framtida upphandling skulle kunna gå till och den beskrivna upphandlingsmetodiken är generellt tillämpbar. Utredningen har därför funnit det värdefullt att i sin slutrapport redovisa studien och att låta den ingå som en bilaga till utredningens eget betänkande. Upphandlingens utgångspunkter, innehåll och intressenter.... Leverantörernas tillgång till personuppgifter................. Finansiering och prissättning .......................................... 4 Upphandlingens genomförande.................................................. Prov under utvärderingen................................................ Övergång för befintliga kunder ...................................... 5 Uppföljning efter upphandlingen ............................................... 6 Vissa krav på säkerhet och teknik ............................................... Allmänna krav på IT-säkerhet......................................... Krav på standardiserade av informationsformat ............ Krav på säker informationsöverföring............................ Denna promemoria beskriver hur en upphandling av SPAR- tjänster kan utformas. Promemorian tar inte ställning till vilket försörjningsalternativ som är lämpligast. Beskrivningen belyser ett alternativ där ett begränsat antal leverantörer tillhandahåller personuppgifter som marknaden efterfrågar genom att vidare- utnyttja personuppgifter som tillhandahålls av staten. Leveran- törerna svarar således för marknadsföring och försäljning av personuppgifter till kunder och tar den ekonomiska risken. Detta motsvarar inriktningen i det så kallade PSI-direktivet om vidareutnyttjande av information från den offentliga sektorn. Den beskrivna upphandlingen är dock tillämplig även för andra försörjningsalternativ. Upphandlingen föreslås utformas utifrån följande utgångs- punkter: Kunder ska – inom ramen för ett tydligt regelverk – kunna få tillgång till personuppgifter via ett brett utbud av tjänster med hög servicenivå. Den enskildes integritet ska värnas genom att tydliga krav ställs på en mycket säker hantering av personuppgifterna hos leverantörerna och att leverantörernas hantering följs upp. Personuppgifter ska kunna tillhandahållas av flera leverantörer. Omställningen för befintliga kunder ska vara enkel. Statens kostnader för att tillhandahålla personuppgifterna inklusive. kostnaderna för kontroll och uppföljning av verksamheten ska täckas av avgifter från leverantörerna. Tjänsterna bör kunna användas av såväl myndigheter och offentliga organisationer som privata företag. Det finns en väl fungerande leverantör med ett brett tjänsteutbud och med nöjda kunder. Det handlar således inte om att etablera en helt ny marknad eller helt nya tjänster. Inledningsvis handlar det snarare om att flera leverantörer ska dela på den marknad som den nuvarande leverantören försörjer. Det är tveksamt om det på kort sikt finns en stark tillväxt i volymer (antal kunder, antal transaktioner m.m.). På finns sannolikt ett ökat behov av kontroll av personuppgifter i samband med e-tjänster, e-handel m.m. Statens kostnader för att tillhandahålla personuppgifterna, urvalsdragningar, uppföljning, kontroll m.m. ska täckas av avgifter Detta kan ske antingen genom att de valda leverantörerna erlägger en fast årlig avgift eller genom att de betalar i förhållande till utnyttjandet genom avgifter per transaktion. Staten ger inga garantier om volymer etc. Priserna för olika tjänster gentemot kunderna bör inte regleras i upphandlingen. Leverantören bör ha frihet att själv sätta dessa priser och även att förändra priserna . Konkurrensen mellan de valda leverantörerna förutsätts bidra till att en för kunderna godtagbar prissättning uppnås. Upphandlingen bör genomföras som en förhandlad upphandling. Avtalstiden bör vara med möjlighet till förlängning med . Antalet leverantörer bör vara högst tre eller fyra. Nuvarande kunder till SPAR måste informeras och involveras i upphandlingen för att säkerställa att tjänsterna får en sådan utformning att de tillgodoser marknadens behov. En särskild beställarfunktion bör inrättas. Funktionen bör svara för uppföljning av att leverantörerna hanterar personinformation på ett säkert och rättsligt korrekt sätt. Funktionen bör även följa upp servicekvalitet, kundnöjdhet m.m. Den pågående översynen av Statens personadressadressregister (SPAR) ska bl.a. föreslå hur myndigheters, företags och andra organisationers behov av personuppgifter ska tillgodoses . Utredningen ska även pröva förutsättningarna att samordna SPAR med den behandling av personuppgifter som sker inom folkbokföringsverksamhet. Värdmyndighets- ansvaret för överförs från Stats- kontoret till . Denna PM syftar till att vara ett underlag för utredningens övervägande om hur en framtida upphandling av SPAR-tjänster kan utformas.