sou · GTB361 · 2006-01-01 00:00:00 — Förbudet kan därefter förlängas för en period åt gången. Då en person beviljats skyddsförbud förvägras även myndigheter i vissa fall åtkomst till personens adressuppgifter. De tjänster som erbjuds myndigheter, företag och samfund är i stort sett desamma som i , men utbudet är mer differentierat och kontrollen från Befolkningsregistercentralens sida mer rigorös. Det senare är främst en följd av befolkningsdatalagens bestäm- melser. Då uppgifter begärs ut ur befolkningsdatasystemet skall det Befolkningsdatabaser i några grannländer ändamål för vilket uppgifterna skall behandlas uppges. De uppgifter som lämnas ut skall vara nödvändiga för det uppgivna ändamålet och de får användas enbart för detta. Uppgifterna får inte överlåtas till tredje man utan registermyndighetens tillstånd. Mottagare av uppgifterna skall meddela hur användningen och skyddet av uppgifterna kommer att ordnas. Beslut om utlämnande av uppgifter skall vara skriftligt och innehålla behövliga bestämmelser om uppgifternas användning och skydd. Befolkningsregister- centralen har mandat att kontrollera att bestämmelserna följs. Befolkningsdatalagen innehåller även sekretess- och straff- stadganden. Personal som arbetar med befolkningsdatasystemet är belagd med tystnadsplikt. Brott mot tystnadsplikten är straffbara enligt den finska strafflagen. Den som försummar anmälnings- skyldighet enligt befolkningsdatalagen kan dömas till böter för folkbokföringsförseelse. Den tekniska driften av det grundläggande befolkningsdata- systemet sköts av en entreprenör (Tietoenator). Därutöver finns ett antal sidoordnade databaser för olika typer av tjänster och målgrupper. Den databas som är avsedd för den offentliga sektorn sköts av , men Befolkningsregistercentralen beslutar om tillstånd och sköter marknadsföringen. Den databas som är avsedd för on-linetjänster och direktförfrågningar sköts av Tietoenator. finns en databas avsedd för massutlämnande av personuppgifter, främst till näringslivet. Denna sistnämnda databas sköts av tre entreprenörer (Tietoenator, och ). Entreprenörerna är upphandlade i konkurrens. I de avtal som slutits har entreprenörerna förbundit sig att följa den uppförandekod som Befolkningsregistercentralen tagit fram i samarbete med den finska . Uppförandekoden gäller även för magistratens behandling av personuppgifter. Den centrala tanken vid skapandet av koden har varit att respektera individens skydd och åstadkomma enhetlig praxis, men viktigt har också varit att förbättra servicen och behålla medborgarnas förtroende för befolkningsdatasystemet. Sammantaget har detta lett till ett omfattande regelverk, som kompletterar de finska befolknings- och personuppgiftslagarna. Mot bakgrund av vad som gäller i är några av uppförandekodens förhållningsregler av särskilt intresse. Dit hör bl.a. regeln om att utan inskränkning respektera medborgarnas lagstadgade förbudsrätt mot uppgiftslämnande; envar har rätt att bestämma om de uppgifter som angår en själv skall få lämnas ut till Befolkningsdatabaser i några grannländer Vidare skall uppgifterna huvudsakligen bara lämnas ut för engångsutskick och inte för att antecknas i något register. Intressant är också att uppgifterna inte får lämnas ut för marknadsföring per telefon eller telefonundersökningar, annat än under vissa, i koden angivna, speciella förutsättningar. Samtliga beslut om uppgiftslämnande skall vara objektivt grundade. Det skall i efterhand kunna kontrolleras vilka uppgifter som lämnats ut och på vilka grunder samt om uppgifterna använts enligt tillståndsvillkoren. Mycket har hänt sedan SPAR inrättades 1976. Den tekniska utvecklingen har gått snabbt. Internationaliseringen har fortsatt och intensifierats. Statskontorets och Datainspektionens roller har förändrats. har tagit över ansvaret för folkbokföringen från . Det finns också tydliga tecken på en pånyttfödd integritetsdebatt. Allt detta påverkar förutsättningarna för det statliga åtagandet att tillhandahålla befolkningsuppgifter för samhällets behov och måste beaktas när utredningen tar ställning till vilken ordning som bör gälla . SPAR:s historia kan sägas spegla den tekniska utvecklingen. Datainspektionen tog 1974 initiativet till SPAR för att minimera riskerna med dåtidens nya teknik, s.k. automatisk databehandling (ADB). Ett statligt befolkningsregister med monopolliknande ställning och under betryggande kontroll ansågs bättre från integritetssynpunkt än de många offentliga och privata befolkningsregister som då var under uppbyggnad.1 Användningen av registret reglerades i dåvarande datalagen (1973:289) och beslut om åtkomst togs av Datainspektionen. Registeransvaret och ansvaret för driften av SPAR lades på den statliga myndigheten för administrativ databehandling (DAFA). Försäljningen av uppgifter ur SPAR blev snabbt lönsam och bidrog i hög grad till att finansiera övrig verksamhet hos DAFA. omvandlades myndigheten till ett statligt bolag. 1 Statskontorets slutrapport om , Normering av data och Samordnat person- och adressregister, dnr 532/73-5, 533/73-5 och 15/75-5. har en rad förslag om avveckling av SPAR presenterats. Trots det har registret nu funnits , vilket till största delen kan tillskrivas dataserviceföretagets överlägsna teknik och service. SPAR:s kundkrets har successivt vidgats. /81 hade SPAR 180 kunder, varav 30 fasta.2 hade antalet vuxit tillnärmare 500.3 har SPAR över 2 000 on-linekunder, förutom aviserings- och urvalskunder. Omkring 130 000 on-lineanvändare (fysiska personer) har personlig användaridentitet. En växande andel av användarna når SPAR via en informationsportal som finns på Internet.4 Polisen kan nå SPAR via sina mobiltelefoner. För återförsäljare och urvals- kunder finns interaktiva tjänster. Den snabba tekniska utvecklingen är inte enbart av godo. står inför vad forskare kallar det digitala dilemmat5. Två olika samhällsintressen står mot varandra. Å ena sidan skall nämnden vara kundorienterad och en föredömlig IT- användare;6 å andra sidan skall den värna om medborgarnas säker- het och personliga integritet. Det gäller att skapa balans mellan dessa intressen. Inom ramen för nuvarande regelverk och resurser har små möjligheter att styra utvecklingen. Nuvarande situation påminner om läget . Även ger den snabba tekniska utvecklingen anledning till oro från integritetssynpunkt. Dagens teknik underlättar både skapandet av befolkningsregister och samkörning av register. Sedan SPAR kom till har såväl staten som näringslivet byggt upp ytterligare befolkningsregister. Härtill kommer att personuppgifter börjat flöda ut ur landet via Internet och på annat sätt. Den tekniska utvecklingen har också inneburit att offentlighetsprincipen nu får andra följder än tidigare, eftersom uppgifter i allmänna handlingar blivit mer lättåtkomliga och massuttag av personuppgifter har blivit möjliga.7 1980/81:62 om ändring i datalagen (1973:289), s. 7. 3Överdirektören anslagsframställning för /87 för den planerade . 4Tillgång till de olika databaserna under portalen InfoTorg kräver ID och lösenord, som ges till den som fått tillstånd - när sådant behövs för viss databas – och ingått ett avtal med . loggar alla transaktioner och skickar fakturor som kan specificeras ner på användarnivå. Loggarna kan även användas för t.ex. efterforskningar vid en polisutredning. 5Intervju med , professor i rättsinformatik vid . 6Regeringens förvaltningspolitiska handlingsprogram En förvaltning i demokratins tjänst. 7Uppgifter som inhämtats med stöd av offentlighetsprincipen kan t.ex. skannas in och behandlas i mottagarens dator för olika ändamål. är medlem i EU. Medlemskapet har i hög grad påverkat det regelverk som gäller för SPAR. Lagen och förord- ningen om SPAR är en direkt följd av EG:s s.k. dataskyddsdirektiv, som i omsatts i PuL. Den senare ersatte datalagen (1973:289) där användningen av SPAR tidigare reglerats. Eftersom PuL har en mer generell räckvidd än datalagen, ansåg regeringen att reglerna om SPAR skulle finnas i en särskild registerlag. PuL gäller emellertid vid behandling av uppgifter i SPAR, om inte avvikande bestämmelser meddelas i SPAR-lagen. Även andra lagar av betydelse för SPAR har sin grund i olika EG-direktiv. I den mån driften av SPAR, eller motsvarande statligt befolkningsregister, fortsatt skall vara förlagd till servicebyrå måste tjänsten konkurrensutsättas och upphandlas8. Förutsättningarna för den fortsatta driften kommer också att påverkas av det s.k. PSI- direktivet. Direktivet, som skall vara omsatt i svensk lagstiftning , är en del av handlingsplanen för eEurope 2002 – Ett informationssamhälle för alla.9 Internationaliseringen har påverkat SPAR även på annat sätt än genom . Det bolag som på nämndens uppdrag sköter driften av SPAR har haft flera multinationella företag som ägare under det nu löpande avtalets giltighetstid.10 Staten har, via , haft ringa möjlighet att påverka de ägarbyten som ägt rum.11 Även bland SPAR:s kunder har internationaliseringen satt sina spår. Banker och försäkringsbolag m.fl. har dotterbolag i andra länder. Internet-banker och reklamföretag har kunder över hela världen. Bland SPAR:s kunder finns bolag utan representation i 8En upphandling bör följa de principer som anges i , som är en omsättning i svensk lagstiftning av ett antal EG-direktiv (se delbetänkande SOU 1999:139 Effektivare offentlig upphandling, avsnitt 3.2 EG-direktiven om offentlig upp- handling, s. 59 ff.). 9Regeringskansliets faktapromemoria 2001/02:FPM123 Återanvändning och kommersiali- sering av myndighetsinformation. 10Staten sålde 1993 det statliga bolaget till den fransk-brittiska företags- gruppen , som i bildade och . Båda bolagen såldes till det amerikanska oljeprospekteringsföretaget , som i sin tur bildade de svenska bolagen . Det förra bolaget såldes till det franska företaget . Det senare bolaget såldes till den svenska BTJ-gruppen, som senare bildat . sköter numera driften av SPAR. 11Det kan ifrågasättas om de många ägarbytena har varit förenligt med ett fullgott integritetsskydd. Viss efterfrågan finns också från utländska medborgare om offentlighetsuttag ur SPAR. Med utgångspunkt i propositionen Statlig förvaltning i med- borgarens tjänst (prop. 1997/98:136) fastställde regeringen ett förvaltningspolitiskt handlingsprogram.12 Det mest kända från programmet är kraven på en öppen förvaltning och begreppet 24-timmarsmyndighet, men programmet innehåller avsevärt mer än så. Av särskild betydelse för överväganden är avsnittet om renodling av statlig verksamhet, som inleds med följande ord. Renodlingen av den statliga verksamheten bör fortsätta. Renodlingen innebär att en avgränsning av statens uppgifter eftersträvas. Syftet är också att uppnå en större tydlighet i ansvarsfördelningen mellan myndigheter och mellan staten och andra huvudmän. Regeringens inriktning är att värna om kärnverksamheterna i det fortsatta arbetet med att renodla den statliga verksamheten. Fortsatta effektivitets- strävanden kommer att handla om att det statliga åtagandet måste prövas med stor omsorg. De uppgifter som inte tillhör kärnverk- samheten bör avvecklas eller överlåtas till någon annan huvudman. Viljeinriktningen är inte ny. Den påminner bl.a. om regeringens strävan , som den kom till uttryck dels i skriften Utveckling av offentlig sektor13, dels i de generella direktiven till samtliga kommittéer och särskilda utredare att pröva offentliga åtaganden (dir. 1994:23). Viljeinriktningen är också i högsta grad aktuell, vilket kan avläsas i direktiven till Ansvarskommittén14 och i målen för Statskontoret, regeringens stabsorgan för förvaltnings- utveckling. Statskontoret har omsatt målen i sin verksamhetsplan . Planen innehåller flera prioriteringar och uttalanden med bäring på uppdrag. Registerfrågorna spelar en central roll för utvecklingen av en effektiv nätverksförvaltning och av 24-timmarsmyndigheter. Det finns ett stort behov av insatser för att främja en rationell och systematisk register- hantering. I detta ligger frågor om vilka som får använda registren, om juridisk reglering och om hanteringen av integritetsskyddet. /- - - -/ 12Regeringens förvaltningspolitiska handlingsprogram En förvaltning i demokratins tjänst. 13Bilaga 2 till budgetpropositionen 1990 (prop. 1989/90:100). 2003:10 och 2004:93. Både den statsfinansiella krisen och dagens växande resursknapphet har medfört att offentliga förvaltningsenheter finansierar delar av sin verksamhet genom intäkter från kommersiell verksamhet. Utvecklingen har medfört risker för snedvridning av konkurrensen. Vi skall prioritera insatser för att främja en tydligare separation av kommersiella aktiviteter från myndighetsuppgifter och från anslagsfinansierad verksamhet. har ansvarigt statsråd även lyft fram frågor om medborgarnas förtroende för förvaltningen.15 Sammanfattningsvis ger förvaltningspolitiken utredningen stöd i uppfattningen att det nu finns skäl att ompröva det statliga åtagandet SPAR. En inflytelserik aktör i SPAR:s omgivning är branschorganisa- tionen Swedma som funnits . Swedma organiserar företag som arbetar med direktmarknadsföring, vilket numera inkluderar interaktiv marknadsföring, relationsmarknadsföring och CRM, dvs. Swedma har ca 160 anslutna företag, varav 60 är medlemmar och ca 100 s.k. associerade företag. Medlemmarna har förbundit sig att följa Swedmas affärs- och etikregler. De associerade företagen får ta del av produkter och tjänster, exempelvis i form av seminarier och kurser. De kan också delta i Swedmas referensgrupp DM-rådet.16 Ur utredningens perspektiv är Swedmas branschregler av särskilt intresse. De har som syfte att mot bakgrund av gällande regler och allmänt omfattade etiska värderingar ange dels vad som kan anses vara god sed vid behandling av personuppgifter för direkt- marknadsföring, dels vilket ansvar som åvilar branschens företag och organisationer. Reglerna bygger inte bara på EG:s dataskydds- direktiv och den svenska PuL, utan har också ett antal andra förebilder, däribland EG-direktivet om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet (97/66/EG), 15Nyhetsbrev från Nr 1, feb. Internationella Handelskammarens17 Grundregler för reklam, Regler för säljfrämjande åtgärder, Regler för direktmarknads- föring samt Internetregler för reklam och marknadsföring, Fedmas18 European principles for the use of the telephone as a marketing medium by business, Fedmas förslag till Code of Practise for the use of personal data in direct marketing. Fedmas Code of Practise, den sist nämnda punkten ovan, antogs förhandlingar med den inom EU inrättade arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter.19 Arbetsguppen, som inrättats med stöd av artikel 29 i dataskyddsdirektivet, är EU:s rådgivande organ i frågor om dataskydd och personlig integritet. På motsvarande sätt har Fedma varit involverad i kommissionens arbete med PSI-direktivet. Via Fedma har även Swedma deltagit i det arbetet, som bl.a. anses öppna möjligheter för pan-europeiska marknadsföringskampanjer. Swedmas branschregler är godkända av Datainspektionen. Swedma har också inrättat en etisk nämnd, DM-nämnden20, som skall följa direktmarknadsföringens utveckling, påtala oacceptabla former av marknadsföring och bidra till normbildning för framtida marknadsåtgärder. har knutits en informell referensgrupp, bestående av företrädare för , , , , , och aktuella statliga utredningar. Vidare har Swedma inrättat spärregistren Nix telefon och Nix adresserat21. Branschreglerna, och Nix-registren kan ses som exempel på näringslivets egenåtgärder för god marknadsetik. medger uttag ur SPAR för direktreklam om det kan antas att mottagaren kommer att följa branschreglerna, men nämnden har i referensgruppen uttryckt missnöje med den punkt i regelverket som möjliggör samkörning av register. Från viss källa inhämtade adressuppgifter får, enligt punkten 6.3 i branschreglerna, kompletteras med annan typ av adressuppgift hämtad från en annan källa. Det innebär bl.a. att inte kan förhindra att adressuttag ur SPAR kompletteras med 17International Chamber of Commerce, ICC. 18Federation of European Direct Marketing, FEDMA. 19Artikel 29 – Arbetsgruppen för uppgiftsskydd 21NIX adresserat – spärregistret för adresserad reklam. SPAR bidrar således indirekt till den ökade telefonförsäljningen. hade 17 företag tillstånd från Datainspektionen att bedriva verksamhet enligt kreditupplysningslagen (1973:1173). Merparten av dessa har funnits och hör till SPAR:s större kunder. har emellertid samarbetet mellan dessa företag och inte varit helt friktionsfritt. En av anledningarna till detta är att kreditupplysningsföretagen fått Datainspektionens tillstånd att behandla fler personuppgifter än de kan få ut från SPAR. En annan anledning är att flera kredit- upplysningsföretag börjat sälja adresser för direktreklam, vilket bl.a. innebär att företagen utvecklats till konkurrenter till SPAR. Kreditupplysningsföretagen har, enligt sina kreditupplysnings- tillstånd, rätt att behandla uppgifter om alla folkbokförda personer i landet från det år de fyller . Det innebär att flertalet kreditupplysningsföretag har eller har tillgång till register med omkring 7,5 miljoner personposter. Om man bortser från barnen har kreditupplysningsföretagen därmed i praktiken kopior på SPAR. Varje personpost i kreditupplysningsregistren innehåller dessutom fler och mer känsliga uppgifter än motsvarande poster i SPAR. Kreditupplysningsregistren används inte längre enbart för kreditupplysningsverksamhet. Vad som inträffat är att några kreditupplysningsföretag har skaffat sig utgivningsbevis för hemsidor med stöd av YGL och publicerar sina kreditupplysnings- register via Internet. Eftersom YGL gäller framför vanlig lag blir effekten att kreditupplysningsföretagen varken behöver följa kreditupplysningslagen eller personuppgiftslagen. De kan därmed sälja personuppgifter för andra ändamål än kreditupplysning och de behöver inte sända ut en omfrågandekopia till den registrerade personen när en kreditupplysning tagits. Datainspektionen har fäst regeringens uppmärksamhet på problemet och frågan utreds inom . Nämnas bör också att tre av de större kreditupplysnings- företagen skrev till regeringen och begärde att få hämta personuppgifter direkt från dåvarande folkbokföringsdatabas.22 Regeringen avslog företagens begäran, men frågan kan komma att aktualiseras på nytt. Integritetsdebatten har varit tämligen lågmäld i ; så även debatten om SPAR. inträffade emellertid en förändring. Regeringen tillkallade en parlamentariskt sammansatt kommitté (Ju 2004:05) med uppdrag att se över skyddet för den personliga integriteten. Kommittén, som antagit namnet , skall enligt sina direktiv (Dir. 2004:51) bl.a. kartlägga och analysera sådan lagstiftning som rör den personliga integriteten, överväga om regeringsformens bestämmelse om skyddet för den personliga integriteten i 2 kap. 3 § andra stycket bör ändras, och i så fall föreslå en ny grundlagsreglering, samt överväga om det, vid sidan av befintlig lagstiftning, behövs generellt tillämpliga bestämmelser till skydd för den personliga integriteten, och i så fall lämna förslag till sådan reglering. skall inte slutredovisa sitt uppdrag förrän . Åtgärder för att på olika sätt stärka integritetsskyddet är emellertid aktuella både före och efter detta datum. Även skall enligt sina direktiv beakta integritets- och säkerhetsaspekter samt frågor om sekretess och skydd för personuppgifter. Frågor om integritetsskydd måste över- vägas fortlöpande i takt med teknikens och omvärldens utveckling. Den myndighet som tilldelas ansvar för tillhand- hållande av befolkningsuppgifter bör kunna basera sina över- väganden i dessa avseenden på det underlag som fortlöpande tas fram i form av exempelvis rekommendationer från E-nämnden23, forskningsresultat och aktuell facklitteratur. Relevant forskningsmaterial finns samlat inom ramen för projektet av Användare i IT-Samhället (SAITS), som är 22SPAR-nämndens korrespondens med i frågan, nämndens dnr 2002/0100, 2003/0276 och 2003/0277. finansierat av bl.a. Vinnova24. Projektet är gemensamt för och . kommer att avslutas , men en uppföljare är redan planerad. En central uppgift för har varit att undersöka behovet av och förutsättningarna för en välordnad samverkan mellan områdets aktörer och intressenter. I korthet har avsikten varit att skapa goda nationella förutsättningar för att belysa olika sidor av integritetsskyddet, bedöma hur utvecklingen av IT och dess användningar påverkar behoven av skydd och skyddets utformning (legalt och tekniskt) samt att diskutera olika intressen och hur de kan stämmas av mot varandra.25 Mot den bakgrunden har projektet tagit initiativ till Nationell samverkan för integritetsskydd (NSI), ett nätverk som är under utveckling. Liknande aktiviteter pågår utanför forskningsvärlden. SPAR- utredningen har tagit del av böcker, konferenser och manifest i ämnet. Allt tyder på att den debatt om personlig integritet, som fanns när SPAR bildades, på nytt har tagit fart. (numera ) har varit aktuellt som huvudman för SPAR ända sedan registret inrättandes 1976. I den utredning som låg till grund för inrättandet av registret föreslog Statskontoret att system- och driftansvaret för SPAR skulle läggas på ,26 men regering och riksdag valde i stället att övergångsvis lägga totalansvaret för SPAR på myndigheten för administrativ databehandling (DAFA).27 Skälet var främst att Datainspektionen pekat på vissa praktiska fördelar med att DAFA, som skulle sköta driften av SPAR, också tilldelades registeransvaret enligt datalagens mening. Regeringen förutsatte i nämnda proposition att frågan om huvudmannaskapet för SPAR skulle tas upp på nytt när det nya ADB-systemet för folkbokföring och beskattning hade genomförts. Frågan aktualiserades emellertid tidigare av andra skäl. 24Verket för innovationssystem, . 25PM om Nationell samverkan för integritetsskydd (NSI), utarbetat av professor , . Samordnat Person- och AdressRegister (Rapport 1976:21). 1976/77:27 om åtgärder för att begränsa möjligheterna att föra omfattande person- register, s. 10, 17 och 21. När DAFA ombildades till aktiebolag 1986 överfördes huvud- mannaskapet för SPAR till den nybildade myndigheten . Arbetet med det planerade ADB-systemet för folkbokföring och beskattning drog ut . hade fattat principbeslut om en ny organisation för folkbokföringen fr.o.m. . Förändringen förbereddes av en organisations- kommitté, som gav underlag för en ny proposition28 . I denna konstaterade regeringen bl.a. att den väsentliga register- funktionen att förse olika användare med grundläggande folkbokföringsuppgifter måste fullgöras med hjälp av länsregistren och riksaviseringsbandet även efter , eftersom de nödvändiga ADB-systemen saknades. Frågan om ett centralt aviseringsregister fick anstå i avvaktan på ytterligare utredningsarbete. I det arbetet skulle även kopplingen till SPAR utredas närmare. Som redan framgått föreslog den kommande Aviseringsut- redningen att ett nytt centralt aviseringsregister skulle bildas och att detta skulle ta över bl.a. SPAR:s funktioner. Riksdag och regering antog förslaget om aviseringsregister, men sköt frågan om SPAR . Ett av skälen var att frågan om urval för direktreklamändamål behövde övervägas ytterligare.29 Såväl en av experter som och Data- inspektionen hade riktat kritik mot utredningens förslag att urval efter inkomst, förmögenhet och fastighetsinnehav skulle få göras genom att det föreslagna aviseringsregistret skulle få samköras med skatteregistret. Just denna för SPAR:s framtid avgörande fråga har dock inte varit föremål för utredning . Vare sig eller E-infogruppen berörde frågan.30 Omvärlden har förändrats sedan SPAR inrättades 1976. Förutsättningarna för verksamheten är på många sätt annorlunda , jämfört med hur det var . 1990/91:53 om lag om folkbokföringsregister m.m. 1994/95:201 Avisering av folkbokföringsuppgifter. 30Grunddata – i samhällets tjänst (SOU 1997:146) och Samhällets grundläggande information (Ds 2000:34).