sou · GTB361 · 2006-01-01 00:00:00 — För att få en uppfattning om hur en upphandling skulle kunna gå till har utredningen låtit utföra en särskild upphandlingsstudie. Studien, som redovisas i bilaga 3 till betänkandet, bör kunna tjäna som ett underlag för respektive förberedelser för en upphandling. Några av de problem som utredningen har stött på under arbetets gång måste lösas i särskild ordning. Dit hör bl.a. vissa brister i integritetsskyddet samt kreditupplysningsföretagens utökade Även massuttag av befolkningsuppgifter med stöd av offentlighetsprincipen ger anledning till oro. EG:s dataskyddsdirektiv, i omsatt i PuL, gäller vid behandling av uppgifter i SPAR om inte avvikande bestämmelser meddelas i SPAR-lagen. Det innebär bl.a. att nämnden är ansvarig för att uppgifterna i SPAR behandlas enligt PuL och att uppgifterna inte lämnas ut till någon som kan förväntas behandla uppgifterna i strid mot den lagen.24 medger åtkomst till SPAR sker inte bara en prövning enligt reglerna i SPAR-författningarna, utan också en sekretessprövning enligt 7 kap. 15–16 §§ sekretesslagen. I samband därmed får behörig firmatecknare för det företag som söker åtkomst skriva under en försäkran om att företaget i fråga och dess personal skall följa PuL och bara använda uppgifterna i tjänsten. Om det finns anledning för nämnden att anta att företaget inte kommer att behandla uppgifterna i enlighet med PuL kan nämnden avslå ansökan. Eftersom PuL inte är tillämplig vid behandling av person- uppgifter som sker utom , kan dessa krav inte ställas på ett utländskt företag som begär åtkomst till uppgifterna i SPAR. De enda krav som nämnden anser sig kunna ställa när det gäller utländska sökande är att landet där företaget är beläget har ett tillfredsställande integritetsskydd enligt dataskyddsdirektivet och gällande EG-praxis. Det ställs alltså strängare krav på svenska företag än på utländska vid åtkomst till SPAR. Här bör tilläggas att nämnden i tveksamma fall har hävdat att ett utlämnande förutsätter medgivande av den registrerade. Frågan hänger nära samman med utformningen av 7 kap. 16 § sekretesslagen, som anger att en folkbokföringsuppgift inte får lämnas ut om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid mot personuppgiftslagen. Bestäm- melsen är nu föremål för översyn och har behandlats i betänkandet Översyn av personuppgiftslagen (SOU 2004:06). Betänkandet är under beredning inom . 24 Det senare framgår av den sekretessprövning som skall göras enligt 7 kap. 16 § sekretesslagen (1980:100). Till integritetsskyddet hör också de registrerades möjlighet att få sekretessmarkering i folkbokföringen. Problemet med denna skyddsmöjlighet är att många användare av folkbokförings- uppgifter kan få uppfattningen att personuppgifter som inte är sekretessmarkerade är offentliga. Så är nu inte fallet. Folkbok- föringssekretessen måste bedömas utifrån förutsättningarna i det enskilda fallet. Situationer som är hotfulla för den registrerade kan uppstå snabbt och även vara okända för den registrerade. Det är därför angeläget att folkbokföringssekretessen tolkas på det sätt som Offentlighets- och sekretesskommittén gör i sitt huvudbetänkande, där den redogör för hur bestämmelsen i 7 kap. 15§ sekretesslagen bör tillämpas:25 Den omständigheten att den enskilde har sekretesskydd inom folkbokföringen är bara en av flera omständigheter som kan få betydelse för avgörandet om sekretess föreligger. Även andra omständigheter som kommer till den utlämnande myndighetens kännedom bör kunna medföra att sekretess gäller enligt bestämmelsen. En annan kundkategori som i växande utsträckning står utanför PuL är de svenska kreditupplysningsföretagen, som hör till de största användarna av SPAR. tillbaka har några kreditupplysningsföretag utgivningsbevis, enligt YGL, för sina hemsidor. De har också börjat sälja personuppgifter via internet, bl.a. för reklamändamål.26 Detta är ett bekymmer främst från integritetssynpunkt. Förutom de uppgifter som hämtas från SPAR, innehåller kreditupplysningsföretagens register bl.a. uppgifter från beskattningsdatabas. Kreditupplysningsföretagen kan också tillföra registren viss egen information. Kreditupp- lysningsföretagen kan därmed erbjuda sina kunder avsevärt fler uppgifter än nuvarande SPAR, bl. a. den typ av urval baserade på taxeringsuppgifter, som utredningen anser bör avvecklas. Eftersom YGL gäller framför vanlig lag behöver kreditupp- lysningsföretagen varken iaktta PuL:s eller kreditupplysningslagens (1973:1173) bestämmelser när de säljer uppgifter via sina hemsidor. Statens möjlighet att utöva tillsyn över denna verksamhet är 25Ny sekretesslag, Del 1 (SOU 2003:99), s. 185. 26Kreditupplysningsföretagen säljer bl.a. urval som bygger på uppgifter som hämtas från deras kundregister. Registren innehåller ca 7,5 miljoner personposter (i princip hela befolkning ) och uppdateras regelbundet via SPAR. begränsad och enligt nuvarande regler är möjligheterna att ingripa till skydd för de registrerades integritet små.27 Datainspektionen har anmält förhållandet till regeringen, som tillsatt en intern utredning. Även denna fråga är alltså föremål för beredning i . 10.8.3Massuttag med stöd av offentlighetsprincipen Utredningen vill fästa uppmärksamheten på att förekomsten av kommersiella offentlighetsuttag, s.k. massuttag, från myndig- heternas befolkningsregister är ett problem. Det är svårt att garantera medborgarna ett fullgott integritetsskydd om massuttag enligt offentlighetsprincipen fortsatt skall vara möjliga ur folkbokföringsdatabas och beskattningsdatabas. Risken finns att de kommersiella offentlighetsuttagen sätter den övriga författningsregleringen till skydd för den personliga integriteten ur spel. Rätten att ta del av allmänna handlingar är grundlagskyddad i 2 kap. TF. Grundlagskyddet har tillkommit för att garantera att den offentliga maktutövningen sker i demokratiskt öppna former, under allmänhetens och massmedias insyn. Massuttag av person- uppgifter för att användas för kommersiella ändamål har ett helt annat syfte. Mot bakgrund av att staten även skall värna om medborgarnas förtroende och skydda den enskildes personliga och ekonomiska förhållanden anser utredningen att det finns skäl att se över de bestämmelser som reglerar detta område (jfr 2 kap. 2 § TF som reglerar i vilka fall rätten att ta del av allmänna handlingar får begränsas genom lag). 10.8.4Reklambranschens egenåtgärder bör förstärkas Utredningen har även noterat att det finns möjligheter att med förhållandevis enkla åtgärder förstärka effekten av direktreklam- branschens s.k. egenåtgärder. ansvarar för två spärregister mot direktreklam, Nix telefon och Nix adresserat. Swedmas medlemmar har förbundit sig att före 27 Genom påpekandet vill utredningen inte beskylla kreditupplysningsföretagen för olämplig hantering av personuppgifter som finns i deras databaser, utan bara rikta uppmärksamheten på att det behövs en tydlig reglering av området. ett reklamsamtal eller reklamutskick tvätta sina adresser mot Nix-registren. Swedma har länge framfört önskemål om att Nix adresserat skulle kunna fyllas på med de personer som har direktreklamspärr i SPAR. Den möjligheten finns inte eftersom uppgifter om vilka personer som har reklamspärr i SPAR inte får lämnas ut i elektronisk form. Utredningen ser positivt på Swedmas önskan och föreslår att det nya regelverket för folkbokföringsdatabasen skall innehålla en möjlighet att lämna ut uppgifter om reklamspärrade adresser. 11Ekonomiska och andra konsekvenser Utredningen skall enligt sina direktiv analysera förslagens författningsmässiga, ekonomiska och tekniska konsekvenser samt lämna förslag till konsekvensändringar i regelverk, finansierings- former och teknik. I uppdraget ingår även att bedöma kostnaderna för den framtida verksamheten och hur denna skall finansieras. Därutöver gäller kommittéförordningens generella bestämmelser om kostnadsberäkningar och andra konsekvensbeskrivningar.1 Eftersom utredningens förslag kan få konsekvenser för små företag har utredningen, efter samråd med , även utfört en s.k. Simplex-analys.2 Mot den bakgrunden sammanfattar utredningen sina konse- kvensbedömningar i detta kapitel. Merparten av konsekvenserna har tidigare redovisats mer utförligt i direkt anslutning till respektive förslag. Författningsmässigt innebär förslagen att lagen och förordningen om SPAR samt förordningen (1998:1235) med instruktion för upphör att gälla fr.o.m. . Det statliga åtagandet att tillhandahålla folkbokföringsuppgifter till myndigheter och enskilda skall fr.o.m. nämnda datum regleras i FdbL och FdbF. Författningsändringarna innebär att SPAR och avvecklas och att tilldelas ansvaret för det statliga åtagandet att förse samhället med folkbokföringsinformation. 114–16 §§ Kommittéförordningen (1998:1474). 2Se förordningen (1998:1820) om särskild konsekvensanalys av reglers effekter för små företags villkor. Ekonomiska och andra konsekvenser Utredningen är medveten om att kan få svårigheter att genomföra hela åtagandet i egen regi. Det kan också ifrågasättas om en sådan ambition skulle vara lämplig. Enligt utredningens uppfattning bör lägga ut delar av åtagandet på ett antal servicebyråer som upphandlas i konkurrens. De delar som innebär ett tydligt myndighetsansvar eller som innefattar myndighets- utövning mot enskild bör dock alltid utföras av myndigheten själv, dvs. För att få en uppfattning om hur en konkurrensutsättning av verksamheten skulle kunna gå till och vilka kostnader som en upphandling skulle föra med sig har utredningen låtit utföra en särskild upphandlingsstudie. Studien redovisas i bilaga 3 och bör kunna tjäna som vägledning för SPAR- nämndens respektive förberedelser för en upphandling. De kostnader som sammanhänger med att den nya ordningen tas i bruk och att uppgiften att tillgodose hela samhällets behov av folkbokföringsuppgifter förs över till , kan inte slut- giltigt beräknas förrän upphandlingsförberedelserna är slutförda. Först då finns ett genomarbetat förslag till uppgiftsfördelning mellan som upphandlande myndighet och framtidens servicebyråer. finns inte underlag för annat än en grov kostnadsuppskattning. Utredningen gör bedömningen att de nya uppgifter som överförs från till kommer att sysselsätta 3–5 årsarbetskrafter. över en längre tidsperiod bör de direkta kostnader som upp- kommer till följd av förslagen kunna avgiftsfinansieras, men under genomförandefasen behöver och extra resurser. Utredningen har övervägt hur dessa kostnader skall finansieras och funnit att finansieringen bör variera med hänsyn till genomförandets olika etapper. bör skriva till regeringen och begära att får disponera en del av intäkterna från SPAR för att kunna finansiera sitt stöd till nämnden i samband med övergången till en ny organisation. Hit hör bl.a. förberedelserna för en upphandling av de delar av det statliga åtagandet som skall läggas ut på entreprenad. Ekonomiska och andra konsekvenser När den nya organisationen trätt i kraft och övertagit ansvaret bör avgifterna sättas enligt de principer som redovisats i avsnitt 10.7.2. Avgifterna för användningen av folkbokföringsdatabasen skall i första hand täcka kostnader för driften av databasen, men de skall även ge ett bidrag som motsvarar det som driften av SPAR tidigare tillfört statskassan. Avsikten är att den föreslagna förändringen skall vara kostnadsneutral för . Utöver de direkta ekonomiska konsekvenserna för respektive kan kostnader uppstå hos de många myndigheter och företag som integrerat sin åtkomst till uppgifterna från SPAR med de egna administrativa systemen. Oberoende av om väljer att sköta åtagandet i egen regi eller att upphandla driften av databasen kan SPAR:s nuvarande kunder komma att möta en ny informationsleverantör som erbjuder tjänsterna via en för kunderna ny teknik. Det innebär att kunderna kan behöva anpassa sina system och investera i ny teknik. Merkostnader kan också komma att uppstå för de kunder som anpassat sina rutiner till möjligheten att göra urval med utgångspunkt från taxeringsuppgifter. När den möjligheten försvinner kan det ta tid för kunderna att finna nya sätt att avgränsa sina målgrupper. Sammantaget kan omläggningen komma att kosta tid och pengar, men utredningen förutsätter att nämnden respektive förbereder och genomför förändringen på ett sådant sätt att merkostnaderna för kunderna minimeras. räknar utredningen med att kundernas kostnader för åtkomst till uppgifter ur folkbokföringsdatabasen blir lägre än . Utredningen utgår i från att kommer att erbjuda myndigheter och flertalet större företag direktåtkomst till folkbokföringsdatabasen till självkostnadspris. Även de kunder som erbjuds åtkomst via någon av de entreprenörer som anlitar torde få en lägre kostnad eftersom verksamheten i samband med upphandlingen blivit konkurrensutsatt. Inte minst medför utredningens förslag en besparing för polis och tull. Ekonomiska och andra konsekvenser 11.6Särskilt om konsekvenserna för företag När en myndighet under regeringen överväger nya eller förändrade regler som kan ha betydelse för små företags villkor skall myndigheten, enligt den s.k. Simplexförordningen3, göra en särskild konsekvensanalys och dokumentera denna. Motsvarande regler gäller för kommittéer och särskilda utredare. SPAR- utredningen har gjort bedömningen att utredningens föreslag till författningsförändringar kan komma att påverka de små företagens arbetsförutsättningar och redovisar därför föreskriven analys. De slutsatser som redovisas är inte specifika för just små företag utan kan appliceras på företag i allmänhet. Utredningen föreslår att SPAR avvecklas och att övertar uppgifter. Syftet med förändringen är främst att renodla det statliga åtagandet att tillhandahålla personuppgifter för samhällets behov. Efter en övergångsperiod förväntas de föreslagna förändringarna enbart ha positiva effekter för företag som regelbundet behandlar stora mängder person- uppgifter. I förhållande till nuläget föreslås en viss begränsning av de urvalsgrunder som får användas vid urvalsdragningar för direkt- reklam. Uppgifter om inkomst, förmögenhet och fastighetsinnehav bör inte längre få användas som urvalsgrund. Motivet är främst att förstärka skyddet för den enskildes säkerhet och personliga integritet. Förändringen kan leda till merkostnader för företagen genom att målgrupper inte kommer att kunna avgränsas lika exakt som , men utredningen har gjort en intresseavvägning och funnit att medborgarnas behov av integritetsskydd väger tyngre än företagens behov av låga portokostnader. Vidare finns det alternativa metoder för ett företag att nå rätt målgrupp med sitt budskap. 3 Förordningen (1998:1820) om särskild konsekvensanalys av reglers effekter för små företags villkor. Ekonomiska och andra konsekvenser Förslagens konsekvenser beskrivs genom svar på de frågor som tas upp i 3 § Simplexförordningen. Vilket är problemet och vad händer om någon reglering inte sker? Problemet är beskrivet ovan. Reglering är nödvändig om verksam- heten skall bedrivas i enlighet med EG:s dataskyddsdirektiv och PuL. Finns det några alternativa lösningar? Ett alternativ skulle möjligen kunna vara att bedriva verksamheten enbart med stöd i EG:s dataskyddsdirektiv och PuL. En sådan ordning skulle emellertid vara avsevärt mindre förutsägbar och därmed mindre rättssäker. Särskilda registerlagar gör regelverket tydligare för såväl användarna av databaserna som för de registrerade medborgarna. Vilka administrativa, praktiska eller andra åtgärder måste småföretagen vidta till följd av regleringen? De föreslagna regelförändringarna avspeglar förslagen om av- veckling av SPAR och av myndigheten . De åtgärder småföretagen kan behöva vidta beror mer på dessa förändringar av organisation och teknik än på föreslagna regeländringar. De företag som har integrerat SPAR med de egna administrativa systemen kan exempelvis behöva investera i ny teknik och de företag som regelbundet gör stora reklamutskick kan behöva lägga om sina rutiner för beställningar av adressuttag. Företagen kommer sannolikt också att behöva besvara ett antal enkäter från den nya huvudmannen, dvs. För att minimera de negativa effekterna för företagen rekommenderar utredningen att övergångstiden görs för- hållandedevis lång. Ekonomiska och andra konsekvenser Vilken tidsåtgång kan reglerna föra med sig för småföretagen? De nya reglerna i sig medför ingen ökad tidsåtgång för företagen. Vad som kan ta tid och kosta pengar är omläggningen till ny teknik och nya rutiner. Den omläggningen är, som sagt, mer en följd av organisationsförändringen än av det nya regelverket. Vilka lönekostnader, andra kostnader eller resursbelastning i övrigt kan reglerna leda till? Jfr svaret på fråga 4. Kan reglerna komma att snedvridna konkurrensförhållandena till nackdel för småföretagen eller i övrigt försämra deras konkurrens- förutsättningar? De nyinvesteringar som kan komma att krävas blir sannolikt helt marginella för större företag, men kan bli mer besvärande för små företag. De små företagen kan därför behöva än de stora för att anpassa sina rutiner till nya förhållanden. Detta mer beroende på investeringarna än på regelverket. Kommer reglerna i andra avseenden att påverka småföretagen? Företagen kommer fortsatt att kunna göra urval för reklamutskick med utgångspunkt från variablerna personnummer, adress, folkbokföringsort, make/maka, vårdnadshavare och avregistrering från folkbokföringen. Urval kommer däremot inte längre att vara möjliga med utgångspunkt från variablerna inkomst, förmögenhet och fastighetsinnehav. Det kan innebära att vissa företag måste ändra sina rutiner för beställning av adresser för reklamutskick. Utredningen vill påminna om att de finns alternativa metoder för ett företag att nå rätt målgrupp med sitt budskap. Går det att kontrollera efterlevnaden av reglerna och hur kommer reglernas effekter för småföretag att uppmärksammas och granskas? Regleringens främsta syfte är att säkerställa att behandlingen av personuppgifter i tillgodoser kraven på ett fullgott integritetsskydd. De nya reglerna står i överensstämmelse med dataskyddsdirektivet och PuL, vilket bl.a. innebär att Ekonomiska och andra konsekvenser Datainspektionen sköter tillsynen. Utredningen förutsätter också att uppmärksammar eventuella negativa effekter för småföretagen i sin årliga s.k. Simplex-rapportering till Verket för näringslivsutveckling, . Bör reglerna gälla endast viss begränsad tid för att förhindra eventuella negativa effekter för småföretagen? Reglerna bör gälla tills vidare. I den mån negativa effekter uppstår för småföretagen bör hänsynen till medborgarnas integritetsskydd väga tyngre än företagens intresse av att göra urval baserade på medborgarnas ekonomiska förhållanden. Hänsyn till småföretagens eventuella behov av att göra nya investeringar kan tas genom övergångslösningar med innebörden att företagen får god tid på sig för att ändra sina rutiner. Behöver särskilda hänsyn tas till småföretagens villkor när det gäller tiden för reglernas ikraftträdande? Se svaret på fråga 9. Finns det behov av speciella informationsinsatser? Inför den förändring, som utredningen föreslår skall äga rum per , bör massiva informationsinsatser vidtas. Hur har samråd skett med näringslivet och med de myndigheter som särskilt berörs? Vilka synpunkter av betydelse har kommit fram? Samråd har ägt rum med näringslivet dels genom en hearing med berörda intresseorganisationer, dels genom särskilda möten med företrädare för Swedma, och vissa kredit- upplysningsföretag. Vidare har samråd ägt rum med berörda myndigheter, däribland , , Datainspek- tionen, , , och . I samband med att värdmyndighetsskapet för överflyttades från Statskontoret till skedde samråd med dessa myndigheter. Näringslivets organisa- tioner har varit angelägna om att ingen förändring sker av de funktioner som fullgörs via SPAR. Ekonomiska och andra konsekvenser myndigheterna har i stort inte haft något att invända mot utredningens överväganden och förslagens inriktning. Slutligen bör nämnas att förslagen får positiva men svårmätbara konsekvenser för medborgarna. Förslagen innebär att staten skärper kontrollen över hanteringen av de uppgifter medborgarna lämnat in till den offentliga förvaltningen. Medborgarperspektivet har varit centralt i utredningens arbete. SPAR bildades av integritetsskäl och avvecklas, om utredningens förslag genomförs, av liknande skäl, eftersom omvärldsförutsättningarna har för- ändrats. Enligt utredningens förslag skall SPAR och avskaffas. Staten skall inte längre driva två register med delvis samma ändamål; i stället skall såväl myndigheter som enskilda hämta information om folkbokföringsuppgifter direkt från källan, dvs. blir an- svarigt för att tillhandahålla folkbokföringsuppgifter till hela samhället. Flertalet av de regler som gäller för SPAR skall gälla även för verksamhet. Den nya regleringen inarbetas i de författningar som anger ramarna för behandlingen av personuppgifter i folkbokföringsverksamhet, dvs. FdbL och FdbF. Härigenom blir det tydligt att det primära ändamålet för folkbok- föringsdatbas är att tillgodose, inte bara myndigheters, utan hela samhällets behov av korrekta och aktuella personuppgifter. EG:s dataskyddsdirektiv gäller för all behandling av person- uppgifter som sker i databaser.1 Medlemsstaterna får inte föreskriva vare sig ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter än vad som gäller enligt direktivet. Dataskyddsdirektivet har införts i svensk lagstiftning; i första hand genom PuL. PuL är subsidiär. Om det i annan lag eller förordning finns bestämmelser som avviker från PuL skall de bestämmelserna gälla (2 § PuL). Enligt SPAR-lagen är bestämmelserna i tillämpliga vid behandling av personuppgifter i SPAR, om inte avvikande bestäm- 1 I dataskyddsdirektivet anges att direktivets bestämmelser inte är tillämpliga i vissa fall, t.ex. när behandlingen sker uteslutande för privat bruk. melser meddelas i SPAR-lagen.2 I de registerlagar som tillkommit är utgångspunkten oftast den motsatta, dvs. den särskilda registerlagen gäller i stället för PuL, om annat inte uttryckligen anges i registerlagen. Sistnämnda lagstiftningsteknik kommer till utryck i 1 kap. 2 § FdbL. Där sägs att lagen gäller i stället för PuL, om inte annat anges 1 kap. 3 § eller i 3 kap. FdbL.3 Förslaget till författningsändringar följer den systematik som tillämpas i den förevarande författningstexten. Det innebär bl.a. att många av de nya reglerna förs in under de rubriker som handlar om utlämnande av personuppgifter till enskilda. En annan konsekvens härav är att ramarna för behandlingen av personuppgifter i databasen regleras i lagform, medan mer detaljerade föreskrifter förs in i förordningen. 12.3.1Förslag till lag om ändring i lagen (2001:182) om behandling av personuppgifter i folkbok- föringsverksamhet I första stycket införs en hänvisning till bestämmelserna i 2 kap. 6 och 9 §§, som gäller utlämnade av uppgifter till en enskild på medium för automatiserad behandling respektive genom direktåt- komst. Dessa paragrafer kompletteras med ett nytt stycke där det sägs att 10 § PuL är tillämplig i fråga om sådant utlämnande. Skälen härför utvecklas närmare i kommentaren till 2 kap. 6 § andra 23 § SPAR-lagen. 3Denna lagstiftningsteknik, som är vedertagen, mötte kritik från lagrådet som bl.a. pekade på att den är riskfylld, med hänsyn såväl till svårigheten att överblicka om dataskyddsdirektivet blir till fullo genomfört i registerlagstiftningarna som till möjligheten att vid kommande lagändringar hänvisningarna till PuL blir felaktiga eller ofullständiga (prop. 2000/01:33 Behandling av personuppgifter inom skatt, tull och exekution, s. 345). Genom tillägget i andra stycket ges upplysning om att den registrerade har rätt att motsätta sig behandling av personuppgifter i de fall som anges i 7 §.