sou · GTB361 · 2006-01-01 00:00:00 — Den snabba tekniska utvecklingen och internationaliseringen skärper kraven på IT-säkerhet och integritetsskydd. Offentlighetsprincipen möjliggör massuttag av befolkningsuppgifter, vilket kan innebära ett hot mot den personliga integriteten. Förvaltningspolitiken har fått en inriktning mot omprövning och renodling av offentlig verksamhet. Direktreklambranschen och kreditupplysningsföretagen har utvecklat avancerade metoder för att analysera uppgifter om befolkningen, t.ex. för riktade reklamkampanjer och kredit- värdering. Det finns anledning att ta ställning till om det finns en etisk gräns bortom vilken statlig medverkan är olämplig. Regeringen har bejakat den pånyttfödda integritetsdebatten genom att tillsätta en Integritetsutredning. har numera ansvar för folkbokföringen, vilket bl.a. innebär att verket har som myndighetsuppgift att tillgodose samhällets behov av befolkningsinformation. har väl utvecklade IT-system och mycket god kompetens på området. Systemen utvecklas fortlöpande. Sammanfattningsvis talar en rad utvecklingstendenser för en omprövning av det offentliga åtagandet gällande SPAR. 10 Överväganden och förslag Utredningens uppdrag har varit att utreda och föreslå hur myndigheters, företags och andra organisationers behov av folkbokföringsuppgifter skall tillgodoses . I uppdraget har även ingått att pröva om SPAR kan samordnas med den behandling av personuppgifter som sker inom folk- bokföringsverksamhet och om behovet kvarstår av en särskild huvudman för funktionen att tillhandahålla befolkningsuppgifter till myndigheter och enskilda. Till bilden hör att är värdmyndighet för . Utredningen har genomfört sitt uppdrag genom en analys av bl.a. följande frågor: samhällets behov av personuppgifter de registrerades behov av skydd mot otillbörligt integritets- intrång gränserna för det statliga åtagandet polisens och tullens särskilda behov På övergripande nivå har samtliga nämnda områden varit föremål för regeringens och prövning . Utredningens kompletterande analys handlar främst om gränserna för det statliga åtagandet och i vilken ordning detta skall fullgöras. Utredningen pekar även ut områden som bör bli föremål för fortsatta överväganden. 10.2Gränserna för det statliga åtagandet 10.2.1Samhällets behov av personuppgifter Det bör vara ett prioriterat statligt åtagande att tillhandahålla grundläggande befolkningsinformation till samhällets aktörer, dvs. myndigheter, företag och andra organisationer. Regeringen konstaterade i den förvaltningspolitiska propositionen1 att en enkel, säker och kostnadseffektiv tillgång till samhällets grundläggande information är ett offentligt åtagande av väsentlig betydelse för den offentliga förvaltningen, för medborgarna och för företagen. Till den grundläggande informationen räknades i första hand de centrala person-, företags- och fastighetsregistren. Regeringen konstaterade vidare att viktiga steg hade tagits mot ett effektivare informationssamhälle, men att ett fortsatt arbete var nödvändigt. hade inga invändningar mot propositionen i denna del.2 Det aviserade fortsatta arbetet kom att bedrivas av den tidigare nämnda E-infogruppen inom . E-infogruppens uppdrag var att inventera och analysera det allmännas ansvar för spridning av offentlig basinformation i elektronisk form. Analysen skulle utvisa om det fanns tillräckligt beslutsunderlag i de frågor som krävde regeringens ställningstagande. E-infogruppen lyfte i sin slutrapport3 fram befolkningsinforma- tion, näringsinformation, fastighetsinformation och geografisk information som prioriterade områden. När det gällde tillhanda- hållande av befolkningsinformation konstaterade att det fortfarande saknades en tydlig infrastruktur och att det fanns behov av samordning. Enligt handlade den för regeringen kvarstående frågan om hur det offentliga åtagandet skulle utföras. delar bedömningen att det bör vara ett prioriterat statligt åtagande att tillhandahålla grundläggande befolkningsinformation till samhällets aktörer, dvs. myndigheter, företag och andra organisationer. Nedan redovisar utredningen sin syn på vad som bör ingå i det statliga åtagandet och hur detta på lämpligaste sätt fullgörs. 1997/98:136 Statlig förvaltning i medborgarnas tjänst, s. 60. 2Konstitutionsutskottets betänkande (1997/98:KU31) Statlig Förvaltningspolitik, rskr. 1997/98:294. 3Departementspromemorian Samhällets grundläggande information (Ds 2000:34). Det statliga åtagandet att tillhandahålla befolkningsinformation till myndigheter och enskilda bör fortsatt omfatta ändamålen aktualisering, komplettering och kontroll av personuppgifter samt uttag av urval av personuppgifter. Uppgifterna i SPAR får enligt 3 § SPAR-lagen användas för att 1.aktualisera, komplettera och kontrollera personuppgifter (t.ex. vid identitetskontroll i enstaka fall eller vid uppdatering av andra personregister), 2.ta ut uppgifter om namn och adress genom urvalsdragning för direktreklam, opinionsbildning eller samhällsinformation eller annan därmed jämförlig verksamhet. Användningen enligt ändamål 1 (kontrolländamålet) dominerar helt. görs ca 220 miljoner transaktioner mot SPAR, varav ca 140 miljoner avser kontrolländamål och ca 80 miljoner ända- mål 2 (urvalsändamålet). Av de transaktioner som görs för kontrolländamål avser ca 100 miljoner uppdateringar av andra register och ca 40 miljoner on- lineförfrågningar, t.ex. vid utfärdande av pass, id-kort, bankkonto eller försäkring. Antalet on-lineuppkopplade kunder (räknat i antal avtal) uppgick till 2 066 stycken. Ca 300 kunder kom från primärkommuner och landsting, ca 250 från statliga myndig- heter och resten från den privata sektorn. Den offentliga sektorn svarar för ungefär hälften av alla on-lineförfrågningar som görs mot SPAR.4 Antalet användare on-line med personlig användaridentitet är ca 130 000. I dagens datoriserade samhälle är behovet av att på ett effektivt sätt kunna få tillgång till aktuella och korrekta personuppgifter mycket stort. Såväl myndigheter och företag som organisationer har inrättat sig efter nuvarande förhållanden, vilka medger god och snabb tillgång till aktuella, tillförlitliga och kvalitetssäkrade person- uppgifter. T.ex. beräknas ett adressregister som inte uppdateras förlora i aktualitet genom att de registrerade byter namn, flyttar eller avlider. Således kan stora kostnads- 4 Polisen står för den största andelen on-linefrågor (ca 15 miljoner transaktioner inkl. tullen). Oräknat polisen svarar den offentliga sektorn för ca 5 miljoner transaktioner, varav den kommunala sektorn svarar för ca 1,5 miljoner och den statliga sektorn för 3,5 miljoner. Sju stora statliga användare står för 2,5 miljoner transaktioner. besparingar göras genom att försändelser i form av t.ex. fakturor och kontoutdrag skickas till rätt adress. anser att kontrolländamålet är ett ytterst angeläget statligt åtagande som bör behållas och vidareutvecklas. Även urvalsändamålet bör behållas som ett statligt åtagande, men med vissa begränsningar i förhållande till nuläget. Motivet för detta åtagande är främst näringslivets och den kommunala förvaltningens behov, men ett annat väsentligt motiv är att urvalsdragningar i växande utsträckning används för samhällsinformation och angelägen forsknings- och undersökningsverksamhet. 10.2.3Färre tillåtna sökbegrepp vid urval Urvalsgrunderna bör begränsas. Urvalsdragning med stöd av uppgifter ur beskattningsdatabas bör inte längre vara möjlig. SPAR är unikt som adresskälla eftersom registret innehåller både folkbokföringsuppgifter och taxeringsuppgifter. Uppgifterna i SPAR hämtas från databaser för folkbokföring respektive beskattning. Med undantag för namn, födelsehemort och medborgarskap får samtliga uppgifter i SPAR användas som sökbegrepp vid urval. Det innebär bl.a. att urval kan göras med utgångspunkt från inkomst, förmögenhet och fastighetsinnehav. Enligt direktreklambranschen är det synnerligen värdefullt att kunna avgränsa målgrupper med hjälp av taxeringsuppgifterna i SPAR. har till utredningen framfört att ett borttagande av de ekonomiska uppgifterna vid urvalsdragningar skulle få betydande negativa ekonomiska konsekvenser både för organisationens medlemmar och för annonsörerna.5 Swedma har sammanfattningsvis anfört följande argument Taxeringsvariabler används i av urvalsdragningarna i SPAR. Dessa urvalsdragningar innehåller 20–30 miljoner levererade adresser. Om de ekonomiska parametrarna inte får användas skulle 5 Bl.a. i skrivelse från Swedma till utredningen, daterad . Liknande syn- punkter har framförts av och av . målgrupperna bli fyra gånger större. Det skulle innebära att de nämnda urvalsdragningarna skulle generera ca 100 miljoner adresser i stället för 20–30 miljoner. Varje försändelse kostar totalt 5 à . Den besparing som uppnås genom att urvalen kan begränsas med ekonomiska parametrar uppgår därmed, enligt Swedmas beräk- ningar, till mellan och . Därtill kommer att reklamförsändelser skulle sändas till konsumenter som sannolikt inte är intresserade av erbjudandena eller har möjlighet att utnyttja dem. Sådan felriktad reklam skapar lätt begriplig irritation och upplevs säkert som en störning i betydligt högre grad än ett personadresserat erbjudande på ett område som mottagaren faktiskt är intresserad av. Emellertid skulle reklamföretagen knappast bete sig på det sätt som skisserats. I stället framstår det som i hög grad sannolikt att företagen skulle söka andra vägar för att avgränsa målgrupper med hjälp av ekonomiska parametrar. En sådan utväg skulle kunna vara att välja en annan kommunikationsmetod än personadresserad post. Det är t.ex. troligt att mängden oadresserad reklam skulle öka. Vidare kan det antas att minst 10–15 företag med större adressregister skulle komma att utveckla urvalstjänster med användning av de nu aktuella ekonomiska parametrarna. Det finns flera alternativa sätt att begränsa antalet person- adresserade reklamförsändelser med användande av uppgifter om mottagarnas ekonomiska förhållanden. I första hand genom att exakta uppgifter inhämtas från skilda myndigheter med stöd av offentlighetsprincipen (t.ex. uppgifter om fastighetsinnehav från och från om taxerad inkomst och förmögenhet). Genom modern teknik torde sådan information kunna göras användbar i masshantering även om den inte lämnas ut i elektronisk form. Vidare kan bl.a. från inhämtas uppgifter om inkomst efter kön, ålder, barninnehav m.m. på postnummernivå eller mindre områden. Dessa uppgifter är inte direkt personanknutna utan ger en bild av den genomsnittlige mottagaren i det aktuella området. Metoden har således lägre precision. Trots att uppgifterna i detta fall inte utgör person- uppgifter ifrågasätter Swedma om denna metod är mindre integritetskänslig än den nuvarande aktuella användningen av ekonomiska uppgifter i SPAR. Användningen av taxeringsuppgifter vid urvalsdragningar är en kostnadseffektiv metod att nå rätt målgrupp i reklamsammanhang. För den som vill marknadsföra t.ex. en produkt gäller det att på ett effektivt sätt nå potentiella kunder. Felriktade reklamkampanjer är resursslöseri och kan skapa onödig irritation hos mottagaren. Urvalsdragningarna har således en icke oväsentlig funktion att fylla. Om staten inte längre tillhandahåller urval baserade på taxerings- uppgifter kan det, såsom Swedma framhållit, få till följd att uppgifterna inhämtas med hjälp av andra metoder eller att urval matchas fram med stöd av andra variabler. Det kan också leda till att företag med stora personregister utvecklar nya tjänster för att tillhandahålla efterfrågade urval. Även med beaktade härav anser att möjlig- heten att göra urval genom att samköra folkbokföringsuppgifter med taxeringsuppgifter bör slopas; i vart fall bör det inte längre vara ett statligt åtagande att medverka vid sådana urval. Enligt utredningens uppfattning är det inte förenligt med ett fullgott integritetsskydd att staten för direktreklamändamål tillhandhåller urval baserade på taxeringsuppgifter. Ett sådant förfarande strider också mot ändamålsbestämmelserna i . För ett slopande talar inte bara integritetsskäl utan också säkerhetsskäl. Även om uppgiftsutlämnandet föregås av en noggrann prövning finns risk för att urval baserade på inkomst- och förmögenhetsuppgifter kommer till användning för ändamål som icke är avsedda.6 Utredningen vill understryka vikten av att medborgarna har fortsatt förtroende för statens sätt att hantera inhämtade personuppgifter. Personer som enligt lag är skyldiga att deklarera sina ekonomiska förhållanden för beskattningsändamål, måste kunna förvänta sig att de inhämtade uppgifterna används för just detta ändamål, och inte, utan den registrerades samtycke, lämnas vidare för att användas i kommersiella syften. Som jämförelse kan nämnas att vare sig , eller medger urval baserade på taxeringsuppgifter. I dessa länder används andra variabler för att ta fram lämpliga målgrupper för direktreklam. 6 Det har inträffat att urval baserade på inkomst- och förmögenhetsuppgifter lämnats ut till en person med falsk identitet, se skrivelse från till med underrättelse om bedräglig verksamhet (dnr 2004/0358). Förutom folkbokföringsuppgifter används t.ex. statistiska upp- gifter, postnummer och uppgifter ur telefonkatalogen. Vidare gör utredningen en annan konsekvensbedömning än Swedma. SPAR:s betydelse som adresskälla har minskat och urvalen baserade på taxeringsuppgifter har en förhållandevis liten omfattning. Enligt vad utredningen inhämtat skickas ca 400 miljoner direktadresserade reklamförsändelser till privat- personer i . SPAR är källa till bara ca en tredjedel7 av dessa. Urvalsdragningar för kommersiell direkt marknadsföring svarar visserligen för av urvalen ur SPAR, men av de ca 2 5008 uppdrag (avtal) om urvalsdragningar som utfördes baserades endast en tredjedel, dvs. 850 urval, på taxerings- uppgifter. Enligt InfoData AB:s avtalsvillkor med kunden får ett urval av namn och adresser från SPAR inte överlåtas till annan. Vidare gäller att urvalet endast får användas för ett utskick9 och inte efter utskicket. Det innebär således att det rör sig om ca 850 direktreklamkampanjer , där urvalet tagits fram bl.a. med stöd av beskattningsuppgifterna i SPAR. Ett slopande av möjligheten att basera urval på taxeringsupp- gifter får begränsade effekter även för . av de, totalt 5,3 miljarder, meddelanden som distribueras av posten utgörs av olika former av marknads- och reklambudskap. Därav härrör sig från adresserad direkt- reklam och från oadresserad reklam.10 Uppgifterna gäller . Värt att påminna om i sammanhanget är att SPAR är källa till endast en tredjedel av den direktadresserade 7Möjligen är andelen ännu lägre. Till utredningen har även lämnats uppgift om att SPAR endast är källa till en fjärdedel av de direktadresserade reklamförsändelserna. 8Enligt InfoData AB:s beräkningar görs av urvalen i SPAR för ändamål som inte avser renodlad kommersiell marknadsföring och försäljning. Den kommersiella delen svarar emellertid för det största antalet adresser. Vissa branscher, t.ex. banker och försäkringsbolag, gör mycket stora utskick. Utskick för samhällsinformation och undersökningar avser oftast ett begränsat antal. 9Om det framtagna urvalet skall användas för flera utskick krävs att kunden träffar ett skriftligt avtal med om det, vilket enligt uppgift inte är särskilt vanligt. 10Följande uppgifter har lämnats av (Posten) och avser . av de totala 5,3 miljarder meddelanden som distribueras av Posten utgörs av administrativ kommunikation, d.v.s. kontoutdrag, fakturor o.dyl. Motsvarande intäkter är 7,44 Mdr SEK. Ca hälften av de meddelanden som förmedlas av Posten avser direktreklam, d.v.s. olika former av marknads- och reklambudskap. Av denna volym härrör sig från adresserad direktreklam och från oadresserad direktreklam. Intäkterna för den adresserade direktreklamen är 2,17 Mdr SEK och intäkterna för den oadresserade är 1,17 Mdr SEK. Intäkterna från privatbrev är 0,87 Mdr SEK och för tidningar och tidskrifter 1,84 Mdr SEK. reklamen och att bara ca en tredjedel av reklamurvalen ur SPAR är baserade på taxeringsuppgifter. 10.2.4Polisens och tullens särskilda behov bör tillgodose polisens och tullens behov av befolkningsuppgifter. Det förutsätter, förutom utveckling av IT-systemen hos och de berörda myndigheterna, även författningsändringar. Frågan kommer att hanteras i särskild ordning; dels pågår ett samarbete mellan , och , dels förbereder Justitie- departementet en ny lagstiftning avseende polisens behandling av personuppgifter. Polisens och tullens särskilda behov av tillgång till personuppgifter ur SPAR har i hög grad styrt registrets innehåll och användning. Polisens person- och adressökningssystem (PPA), som används av både polis och tull, är helt integrerat med SPAR. PPA innehåller, förutom uppgifterna i SPAR, bl.a. uppgifter om samordnings- nummer, relationer och historiska persondata. Informationen i PPA måste vara tillgänglig dygnet runt och via olika sökvägar. har därför successivt utvecklat och anpassat PPA, och därmed SPAR, för att motsvara polisens och tullens höga krav på snabbhet, teknik och service. PPA bygger på ett antal sidoregister till SPAR; polisens adressdatabas11, polisens fastighetsfråga12, polisens historikdatabas13 och polisens folkbokföringsdatabas14. Sidoregistren förs med stöd av tillstånd från Datainspektionen. Tillståndet att föra registren 11Polisens adressdatabas: med adressdatabasen är att ge polisen upplysning om vilka personer som är folkbokförda på en bestämd adress för att därmed utgöra ett stöd för polisens hjälpande verksamhet. Dessutom skall registret utgöra ett stöd i polisens uppgift att bedriva spaning och utredning i fråga om brott som hör under allmänt åtal. Registret bygger på information från SPAR (SOU 2001:92 Behandling av personuppgifter i polisens verksamhet, s. 102–103). 12Polisens fastighetsfråga: Ändamålet med registret är att ge polisen upplysning om fastighet (fastighetsbeteckning) hörande till viss person. Registerinnehållet bygger på information från SPAR (SOU 2001:92, s. 102–103). 13Polisens historikdatabas: med registret är att ge polisen upplysning om uppgifter som gallrats ur SPAR. När uppgifter gallras i SPAR finns de alltså kvar i polisens historikdatabas. Det gäller dock inte adresser som gallrats ur SPAR (SOU 2001:92, s. 102– 103). 14Polisens folkbokföringsdatabas: i registret består av folkbokföringsuppgifter som inte får ingå i SPAR. Dessa uppgifter hämtas från folkbokföringsdatabas (2001:92, s. 102–103). grundas på den numera upphävda datalagen (1973:298). Enligt övergångsbestämmelserna till polisdatalagen (1988:622) upphör Datainspektionens tillstånd att gälla från . Enligt uppgift kommer övergångsbestämmelserna att förlängas till utgången av 2007. Den nuvarande lösningen, med som informations- leverantör, fungerar bra, men är enligt och , mycket kostsam. betalar för InfoData AB:s tjänster. av det beloppet avser hanteringen av personuppgifter. betalar också ersättning till för att få tillgång till de personuppgifter som behövs i verksamheten. Polisens och tullens behov är det främsta skälet till att SPAR fortfarande innehåller exakta uppgifter om de registrerades ekonomiska förhållanden och fastighetsinnehav. Dessa uppgifter, som hämtas från beskattningsdatabas, får inte lämnas ut i elektronisk form till andra användare av SPAR, men som framgått ovan får de användas som sökbegrepp vid urvals- dragningar. Polisens och tullens beroende av SPAR har utgjort ett starkt argument mot en avveckling av registret. När frågan om SPAR behandlades i den förvaltningspolitiska propositionen framhöll regeringen att SPAR hade stor betydelse för några myndigheters verksamhet och anförde bl.a.:15 Polisen använder SPAR bl.a. för att utfärda pass. Även de inkomstuppgifter som polisen behöver för sin verksamhet inhämtas via SPAR. är ännu inte helt klart, t.ex. är terminalåtkomsten till registret inte utvecklad. Polisens behov kan därför sannolikt inte tillgodoses på annat sätt än genom SPAR. Detsamma gäller tullen. Även CSN och har behov av terminalåtkomst till SPAR. Eventuella förändringar av SPAR bör enligt regeringens mening inte genomföras innan behovet av åtkomst till informationen helt kan tillgodoses på annat sätt. Man kan inte heller bortse från de invest- eringar som gjorts för att anpassa verksamheterna till SPAR. Sedan den återgivna texten skrevs har utvecklat sina IT-system. har också, i samarbete med Rikspolis- styrelsen och , inlett förberedelser för att ta över rollen som informationsdistributör till polis och tull. Avsikten är att polis 1997/98:136 Statlig förvaltning i medborgarnas tjänst, s. 71. och tull skall få behövliga person- och taxerings- uppgifter direkt från . Det innebär att frågan om den framtida utformningen av PPA kommer att hanteras i särskild ordning i samarbete mellan , och . Den planerade förändringen kräver särskild författningsreglering. Ansvaret för utformningen av nödvändiga författningsändringar avseende polisens behandling av personuppgifter ligger i första hand på , som arbetar med ett förslag till sådan lag.16 Förslaget beräknas vara klart . Ett förslag till ny lagstiftning avseende tullens behandling av person- uppgifter har lämnats i prop. 2004/05:164 brottsbekämpning – Effektivare uppgiftsbehandling. Emellertid krävs även vissa ändringar i författningarna om behandling av uppgifter i beskattningsverksamhet. I SdbL och SdbF finns redan bestämmelser om att tullen får ha direktåtkomst till vissa uppgifter i beskattningsdatabasen. För att möjliggöra att taxerings- uppgifterna kan lämnas ut till och polismyndig- heter, utan SPAR som mellanled, föreslår utredningen en ändring i 2 kap. 8 § SdbL. Eftersom förberedelserna för att skall ta över rollen som informationsdistributör till , polismyndig- heter och sker i särskild ordning har utredningen valt att inte i övrigt behandla polisens och tullens särskilda behov. Närmare avgränsning av det statliga åtagandet bör göras med utgångspunkt från kommande svensk lagstiftning till följd av EG:s direktiv (2003/98/EG) om vidareutnyttjande av informa- tion från den offentliga sektorn, det s.k. PSI-direktivet. I utredningens uppdrag har ingått att göra en bedömning av hur EG:s s.k. PSI-direktiv påverkar framtiden för SPAR. Utredningen har funnit att det statliga åtagandet så vitt gäller tillhandahållande av folkbokföringsuppgifter i princip bör avgränsas i överens- 16 När direktåtkomst medges till personuppgifter eller om en stor mängd integritetskänsliga uppgifter behandlas bör det finnas en särskild lag som reglerar behandlingen av person- uppgifter i den aktuella sakverksamheten. Det bör således finnas en särskild lag om behandling av personuppgifter i polisens verksamhet och en motsvarande lag för behandling av personuppgifter. stämmelse med direktivet, men att effekterna på kort sikt torde bli små. Av avgörande betydelse för direktivets tillämplighet är om kommer att lämna ut folkbokföringsuppgifter för andra ändamål än de för vilka uppgifterna samlats in. Ändamålet med behandling av folkbokföringsuppgifter fastställs i FdbL. Om lagen ändras, i enlighet med utredningens förslag, så att det klart och tydligt framgår att verksamheten har som ändamål att tillhandahålla personuppgifter till hela samhället, så kan detta komma att innebära att verksamheten inte behöver omfattas av PSI-direktivets bestämmelser. Inte heller ett utlämnande enligt offentlighetsprincipen behöver, enligt utredningens uppfattning, omfattas av PSI-direktivet om direktivet tolkas snävt. Vid offentlighetsuttag lämnas uppgifterna formellt inte ut för att vidareutnyttjas utan för att säkerställa den enskildes insyn i den offentliga verksamheten. Även om en snäv tolkning av PSI-direktivet skulle kunna försvaras, anser utredningen att bör följa intentionerna bakom direktivet om inte starka skäl pekar i motsatt riktning.