sou · GUB318 · 2007-01-01 00:00:00 — när personuppgiftslagens bestämmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestämmelser, t.ex. i fråga om vem som är personuppgifts- ansvarig, när det finns anledning att begränsa möjligheterna till behand- ling av uppgifter av integritetsskäl, t.ex. i fråga om myndig- heters registrering av och åtkomst till stora eller känsliga uppgiftsmängder, samt när det finns anledning att vara särskilt tydlig gentemot allmän- heten, t.ex. i fråga om vilka uppgifter om enskilda som en myndighet registrerar. Ett flertal faktorer i verksamhet utesluter enligt vår mening att endast personuppgiftslagen kan reglera infor- mationshanteringen. Med hänsyn främst till omfattningen och arten av verksamheten, dess inriktning med ingripande myndig- hetsutövning samt de känsliga personuppgifter som behöver användas inom t.ex. brottsbekämpningen finns det av såväl effektivitets- som integritetsskyddsskäl behov av en särskild författningsreglering i verksamhet som både Övergripande frågor och principer avviker från personuppgiftslagen och erbjuder ett kompletterande integritetsskydd. När det däremot gäller den interna administrativa förvaltningen, exempelvis lokal- och personalfrågor, som normalt inte är reglerad i registerförfattningar för annan offentlig verksamhet kan vi inte se annat än att personuppgiftslagens regler är fullt ut tillräckliga för att hantera behandlingen av personuppgifter. Sådan behandling av uppgifter omfattas emellertid inte av vårt uppdrag. 9.4Lag, förordning eller myndighetsföreskrifter Vårt förslag: De grundläggande principerna för behandling av personuppgifter i verksamhet regleras i lag. Kompletterande bestämmelser meddelas av regeringen eller den myndighet regeringen bestämmer. Vi konstaterar i det föregående avsnittet att behandling av person- uppgifter i verksamhet bör författningsregleras särskilt. En viktig fråga är om sådan författningsreglering bör ske i form av lag, i förordning eller myndighetsföreskrifter. I verksamhet behandlas en stor mängd uppgifter om enskilda personer i olika register eller datorsystem. Uppgifterna kan i flera fall vara känsliga och det är därför viktigt att de behandlas på ett sådant sätt att vederbörlig hänsyn tas till de registrerades personliga integritet. Frågor om regleringen av personregister har behandlats av , som bl.a. påpekat att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll skall regleras särskilt i lag.2 Denna uppfattning har även regeringen givit uttryck för.3 Enligt vår uppfattning är den automatiserade behand- ling av personuppgifter som förekommer i verksamhet av sådan karaktär och omfattning att de grundläggande principerna för behandlingen bör slås fast i lag. Det framgår också av våra direktiv att vi skall lämna förslag till författningsreglering i lag. Vad vi anser måste framgå av lag är främst sådana grundläggande bestämmelser som anger för vilka ändamål personuppgifter får behandlas, personuppgiftsansvar, i vilken omfattning och till vem 1991/91:KU11 s. 11 och 1997/98:KU18 s. 48. 3Se bl.a. prop. 1990/91:60 s. 58 och 1997/98:44 s. 41. Övergripande frågor och principer uppgifter får lämnas ut i elektronisk form och under vilka förutsättningar vissa känsliga personuppgifter får behandlas. Regeringen, eller den myndighet regeringen bestämmer bör dessutom kunna meddela vissa kompletterande bestämmelser. Härigenom undviks att detaljregler som kan komma att behöva ändras ofta, t.ex. som en följd av ändrade villkor för verksamheten, måste prövas av . Avgörande för på vilken konstitutionell nivå föreskrifter bör meddelas, är enligt vår uppfattning vilken betydelse bestämmelserna har från integritetssynpunkt. Det kan i vissa fall vara lämpligt att regeringen delegerar rätten att meddela kompletterande föreskrifter till , Datainspek- tionen eller . Mot bakgrund av att bedriver flera olika verksamheter har vi inom utredningen vidare övervägt huruvida personuppgiftsbehandling skall regleras i en eller flera lagar. Enligt vår mening talar dock övervägande skäl för att reglera all personuppgiftsbehandling i en och samma lag. Även om olika uppgifter skiljer sig åt innehållsmässigt så är de i den operativa verksamheten integrerade och utförs av samma tjänstemän. verksamheter är vidare inte organisatoriskt indelade i självständiga verksamhetsgrenar, på samma sätt som är vanligt hos andra myndigheter med olika uppgifter. Det skulle därför enligt vår mening snarare försvåra tillämpningen och leda till än mer grannlaga gränsdragnings- problem om regleringen av personuppgifts- behandling delades upp på flera olika lagar. Med de författnings- förslag vi lämnar får i samtliga verksamheter förutsättningarna för behandling av personuppgifter avgöras med utgångspunkt i de olika ändamål som anges i lagen. 9.5Grundläggande begrepp – i stället för databas och register Vårt förslag: Varken begreppet register eller databas förekommer i de författningar som vi föreslår skall reglera behandlingen av uppgifter i verksamhet. I stället används uttrycket gemensamt tillgängliga för att rättsligt urskilja de automatiserade uppgiftssamlingar som används gemensamt inom en verksamhet och för vilka vissa särskilda regler gäller. Övergripande frågor och principer I våra direktiv läggs vissa grundläggande utgångspunkter fast som har direkt och avgörande betydelse för utformningen av den författningsreglering som vi har i uppdrag att föreslå. Vid formuleringen av för registerlagar fundamentala begrepp är det särskilt två förutsättningar i direktiven som har sådan konkret innebörd. För det första uttalas i direktiven att författnings- regleringen bör vara teknikneutral, för att inte hindra framtida effektivisering av verksamhet. För det andra skall enligt direktiven hänsyn tas till hur personuppgiftsregleringen kommer att se ut för andra brottsbekämpande myndigheter. Som redovisas utförligare nedan är en av våra utgångspunkter för förslaget till författningsreglering av behandling av uppgifter att samma regler skall gälla för i princip all auto- matiserad behandling av personuppgifter, oavsett om uppgifterna behandlas gemensamt i större register eller databaser eller om behandlingen sker hos en enskild tjänsteman. Lagstiftningen bygger härvid på samma grundläggande princip som gäller för lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet. Syftet är att åstadkomma en bättre balans mellan de olika typerna av behandling för att skapa ett starkare skydd för den enskildes personliga integritet. Detta innebär att ordbehandling på en enstaka persondator av uppgifter som enbart är tillgängliga för en enskild tjänsteman i princip skall vara underkastad samma reglering som uppgifter som behandlas i ett för verksamheten gemensamt register eller databas. Enligt vår uppfattning finns det emellertid behov av vissa särskilda regler för sådan behandling av personuppgifter som innebär att fler än ett fåtal personer har tillgång till uppgifterna och kan bearbeta dem eller förfoga över dem på annat sätt. Det gäller enligt vår mening sådana uppgifter som behandlas för att användas gemensamt i brottsbekämpande verksamhet. Denna form av behandling, vilken behandlas utförligare nedan i avsnitt 10.4.4, är naturligtvis typiskt sett mer integritetskänslig än vad som är fallet när endast en enstaka person förfogar över uppgifterna. När uppgifter sprids till flera tjänstemän inom myndigheten och till andra myndigheter måste enligt vår mening särskilda regler gälla som utöver de särskilda ändamålen begränsar möjligheterna när det gäller behandling av så känsliga uppgifter som normalt förekommer i den brottsbekämpande verksamheten. Även i nämnda lag om behandling av uppgifter i brottsbekämpande verksamhet har i vissa avseenden införts Övergripande frågor och principer särskilda bestämmelser för uppgifter som behandlas tillsammans i större register eller informationsdatabaser som är tillgängliga och sökbara för en stor grupp personer inom en eller flera myndigheter (tullbrottsdatabasen). Reglerna gäller vilka uppgifter och hand- lingar som får behandlas i den brottsbekämpande verksamheten och hur uppgifter skall gallras. Även i tidigare lagstiftningsarbeten när det gäller reglering av behandling av personuppgifter i offentlig verksamhet har en åtskillnad gjorts mellan sådan behandling som avser uppgifter som är gemensamt tillgängliga i verksamheten och sådan behandling där uppgifterna endast är tillgängliga för en enskild eller en begränsad grupp av tjänstemän. I gamla datalagen talades om register, varmed avsågs förteckning eller andra anteckningar som förs med hjälp av automatisk data- behandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Den i författningar allmänt använda termen för elektroniska uppgiftssamlingar har sedan datalagens införande varit register. Det traditionella registerbegreppet har dock kritiserats , främst eftersom det för tankarna till på visst sätt organi- serade eller systematiserade samlingar av uppgifter. Detta är inte ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effektiv hantering av uppgifterna för olika sammanställningar m.m. Även framväxten av Internet har tydliggjort behovet av en översyn av traditionella begrepp i datorsammanhang, som t.ex. register- begreppet. Ytterligare en grund för kritik har varit att begreppet register inte används i personuppgiftslagen, som ersatt datalagen. Registerbegreppet är enligt vår uppfattning därför inte lämpligt när det gäller behandling av uppgifter i de datorsystem som förfogar över och behöver för sin verksamhet. Det finns därför anledning att inte använda begreppet register i författningar om hantering av personuppgifter i verksamhet. Vi anser emellertid att det även för verksam- het kan finnas behov av ett särskilt begrepp för att beskriva vissa uppgiftssamlingar som är föremål för automatiserad behandling. Ett alternativ till register är begreppet databas, som förekommer i olika sammanhang vid reglering av myndigheters behandling av personuppgifter. Begreppet databas, som språkligt Övergripande frågor och principer har mer anknytning till automatiserade sammanställningar av uppgifter, är i det här sammanhanget att föredra framför register. Begreppet databas används också i gällande författningar för behandling av personuppgifter i bl.a. verksamhet och brottsbekämpande verksamhet. Begreppet databas, som på förslag av Registerförfattnings- utredningen ursprungligen infördes i svensk lagstiftning för behandling av uppgifter inom skatte-, tull- och exekutionsväsendet, avser något annat än egentliga register.4 En databas består enligt definitionen av en uppgiftssamling av varierande slag, ofta rörande såväl juridiska som fysiska personer. Den kan innehålla ett antal egentliga register, men också uppgifter som inte alls kan inordnas i ett traditionellt register, såsom elektroniska färdiga handlingar i form av texter eller bilder m.m. Definitionen av begreppet databas utesluter register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en persondator från behandlingar i datorsystem som är särskilt reglerade till sitt innehåll och användningsområde. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling av uppgifter är uppbyggd eller organiserad. Det innebär att om flera register – i egentlig bemärkelse – är sammanlänkade och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet, så utgör dessa register en databas. Med andra ord skulle automatiserade register kunna sägas vara en specialform av databaser, nämligen databaser vars innehåll är systematiserade på ett visst sätt enligt särskilda kriterier. En juridiskt bestämd databas kan således innehålla flera mindre databaser eller datorsystem i teknisk mening, varav en del kan vara regelrätta register. Om samtliga uppgifter i en databas finns samlade i ett enda tekniskt datorsystem eller om uppgifterna delas upp så att de rent tekniskt förvaras i olika datorsystem saknar alltså betydelse. Det väsentliga är att uppgifterna är gemensamt tillgängliga inom hela eller delar av myndigheternas verksamheter och för vilket eller vilka ändamål behandlingen sker. För det ändamål som här avses, nämligen att rättsligt särskilja olika former av behandling av personuppgifter, utgör tillämpningen av begreppet databas enligt vår mening på många sätt en utomordentlig lösning. 4 Se SOU 1999:105 och prop. 2000/01:33. Övergripande frågor och principer Det går emellertid inte att komma ifrån att begreppet databas för många som skall tillämpa lagstiftning som reglerar behandling av personuppgifter är svårförståeligt och har en stark teknisk anknyt- ning. På motsvarande sätt som det traditionella registerbegreppet för tankarna till på visst sätt organiserade eller systematiserade uppgiftssamlingar kan begreppet databas enligt vår mening framstå som syftande på ett i tekniskt avseende avgränsat system för informationsbehandling. Termen databas används också flitigt, såväl hos myndigheter som i andra sammanhang, för att med utgångspunkt i själva lagringsmetoden definiera en viss uppgifts- samling. Vi har mot denna bakgrund övervägt om begreppet databas bör införas i den lagstiftning vi föreslår för person- uppgiftsbehandling, eller om ett annat uttryck bör tillämpas, vilket fyller samma funktion men som på ett tydligare sätt tar sikte mer på den rättsliga avgränsningen än den tekniska funktionen. I förarbetena till den nämnda lagstiftningen avseende behandling av personuppgifter inom beskattnings-, tull- och exekutions- verksamheterna har uttrycket används gemensamt i verksam- heterna tillämpats för att markera att särskilda regler skall gälla för viss form av ordbehandling. En uppgift anses här gemensamt tillgänglig om den registreras och lagras på ett sådant sätt att tjänstemännen inom en eller flera myndigheter har möjlighet att vid behov och i olika sammanhang ta del av uppgiften direkt på automatiserad väg. Det är detta förhållande som i nämnda lagstiftning sammanfattas med begreppet databas. Det väsentliga i sammanhanget är enligt vår mening inte på vilket sätt uppgifter tekniskt lagras, utan den faktiskt åsyftade tillgängligheten. Vi anser mot bakgrund härav att den form av behandling som skall särskiljas skall definieras med avsikt på det faktiska förhållande som är avgörande för behovet av särreglering, nämligen att uppgifterna är gemensamt tillgängliga i verksamheten. Med denna formulering avses alltså detsamma som ovan redovisats vad gäller begreppet databas. Avsikten med att tillämpa uttrycket gemensamt tillgänglig, i stället för det rättsliga begreppet databas, är att undanröja risken för sammanblandning med det tekniska begreppet databas. understryks, enligt vår mening, lagstiftningens teknikneutralitet genom att uttrycket gemensamt tillgänglig uteslutande har en rättslig innebörd som saknar direkt teknisk anknytning. Avgränsningen gemensamt tillgänglig innebär att den Övergripande frågor och principer rättsliga regleringen uttryckligen tar sikte endast på den faktiska tillgängligheten till uppgifterna i verksamheten. Dessa tankegångar har som utgångspunkt att en lag om behandling av personuppgifter inte skall reglera hur uppgifterna tekniskt organiseras, utan endast utgöra en rättslig ram för vilka uppgifter som får behandlas och på vilket sätt de får användas, för att bl.a. säkerställa ett gott integritetsskydd. Enligt vår mening skall det inte i lagstiftningen läggas fast vilka uppgiftssamlingar för gemensam användning som skall finnas i verksamhet och vad de skall heta. Jämför i detta sammanhang lagen om behandling av uppgifter i brottsbekämpande verksamhet enligt vilken det skall finnas en tullbrottsdatabas. Detta innebär att regleringen av uppgifter som är gemensamt tillgängliga i verksamhet kan innehålla bestämmelser om behandling av samtliga de uppgifter som finns i olika register och datorsystem, utan att det för den sakens skull anges hur uppgifterna skall organiseras eller delas in i grupper. Lagstiftningen tar därigenom inte ställning till den tekniska utformningen. Det kan alltså i princip röra sig om ett stort centralt eller flera små lokalt anordnade datorsystem eller register eller en blandning av båda alternativen. Det väsentliga är att de krav lagen ställer på behandlingen för att säkerställa skyddet för de enskildas personliga integritet efterlevs. 10Författningsregleringen av behandling av uppgifter 10.1Lagstiftningens systematik och allmänna tillämpningsområde m.m. Våra förslag: Den gällande förordningen (2003:188) om behandling av personuppgifter inom skall upphöra att gälla och ersättas med en lag om behandling av uppgifter i verksamhet. Lagen skall utgå från personuppgiftslagens tillämpningsområde, begrepp och terminologi. I lagen skall anges de undantag, preciseringar och förtydliganden i förhållande till personuppgiftslagen som är motiverade. I vårt uppdrag ingår att göra en översyn av regleringen av Kust- bevakningens behandling av personuppgifter och lämna förslag till en författningsreglering. Utgångspunkten för vårt arbete skall härvid vara att verksamhet skall kunna bedrivas effektivt med rationellt datorstöd som nödvändig respekt visas för enskildas personliga integritet. För att inte hindra framtida effektivisering av verksamhet bör författnings- regleringen vara teknikneutral. Principiellt viktiga frågor bör regleras i lag, medan detaljfrågor kan regleras i förordningsform. Som tidigare framhållits är det statsmakternas uppfattning att omfattande behandling av personuppgifter som dessutom kan vara av särskilt känslig natur bör regleras särskilt i lag i stället för förordning. Vi föreslår därför att den nu gällande förordningen (2003:188) om behandling av personuppgifter inom Kustbevak- ningen skall ersättas av en reglering i lagform. Det finns ingen enhetlig systematik bland de s.k. registerförfatt- ningar som gäller inom skilda myndighetsområden. Vilken systematik som väljs kan vara beroende av olika faktorer, t.ex. hur Författningsregleringen av behandling av uppgifter omfattande regleringen är, vilken verksamhet den avser och om författningen gäller utöver eller i stället för personuppgiftslagen. Av våra direktiv framgår att vi skall följa arbetet med den lag- stiftning som föranleds av förslag till ny polisdatalag (SOU 2001:92) och för- slag till lag om behandling av uppgifter i brottsbekämp- ande verksamhet (SOU 2002:113) och särskilt beakta intresset av att regleringen av behandlingen av personuppgifter inom brotts- bekämpande verksamhet blir enhetlig. förslag bereds alltjämt inom och något förslag till ny polisdatalag har inte lagts fram för . Däremot har som en följd av Tullbrottsdatautredning- ens förslag den nya lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet trätt i kraft . Mot bakgrund härav har vi, såväl när det gäller författnings- struktur som bestämmelsernas materiella innehåll, valt att försöka utforma en lagstiftning för behandling av uppgifter i Kustbevak- ningens verksamhet som i så stor utsträckning som möjligt stämmer överens med den som tillämpas för brottsbekämpande verksamhet. Med hänsyn härtill gäller vårt författningsförslag i stället för personuppgiftslagen. Lagen är vidare generellt tillämplig på all behandling av uppgifter, oavsett om behandlingen av uppgifter sker hos en enskild tjänsteman eller i ett register eller databas där uppgifter och handlingar är gemensamt tillgängliga i verksamheten. Det innebär att i princip samtliga lagens bestämmelser skall tilläm- pas på all behandling av uppgifter i verksamhet, oavsett om det gäller e-posthantering, enkel ordbehandling eller förandet av omfattande och för myndigheten gemensamma person- register. De generellt tillämpliga bestämmelserna kompletteras emellertid, i enlighet med lagen om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet, med vissa särskilda bestäm- melser när det gäller vilka uppgifter som får göras gemensamt tillgängliga i den brottsbekämpande verksamheten samt i fråga om gallring. bedriver emellertid även annan än brotts- bekämpande verksamhet. Detta förhållande har av nödvändighet fått konsekvenser för lagens systematik. Inom den brotts- bekämpande verksamheten, där särskilt känsliga uppgifter kan komma att behandlas, krävs med hänsyn till skyddet av den Författningsregleringen av behandling av uppgifter personliga integriteten regler som på ett annat sätt begränsar möjligheten att behandla personuppgifter, än vad som är fallet för den del av verksamhet som innefattar övervak- ning, kontroll, tillsyn och räddningstjänst. har därutöver även ett särskilt uppdrag att samordna civila behov av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter, vilken verksamhet enligt vår mening kräver särskild reglering i vissa avseenden. På grund av att uppgifter i verksamhet måste kunna få behandlas för flera vitt skilda ändamål, vilket i sin tur kräver särskild reglering i vissa avseenden, har vi funnit det ändamålsenligt att dela in lagen i tre kapitel. I det första kapitlet finns generella bestämmelser som gäller för all behandling av uppgifter oavsett ändamål. I andra kapitlet finns bestämmelser, som utöver reglerna i första kapitlet, reglerar behandlingen av uppgifter i brottsbekämpande verksamhet. I det tredje kapitlet finns på motsvarande sätt särskilda bestämmelser som endast är tillämpliga vid behandling av uppgifter i Kust- bevakningens verksamhet med samordning av civil sjöövervakning och förmedling av civil sjöinformation. Våra förslag: Den lag som reglerar behandlingen av uppgifter i verksamhet skall tillämpas vid behandling av personuppgifter som är helt eller delvis automatiserad. Även behandling av personuppgifter i register skall omfattas av lagens tillämpningsområde. De bestämmelser i lagen som reglerar ändamålen med och ansvaret för behandlingen, utlämnande av uppgifter på medium för automatiserad behandling eller genom direktåtkomst samt gallring, skall vara tillämpliga även vid behandling av uppgifter om juridiska personer. Bestämmelsen om att åtkomst endast får medges till de upp- gifter som var och en behöver för att kunna fullgöra sina arbetsuppgifter gäller även vid andra myndigheters behandling av uppgifter som med stöd av lagen lämnats ut genom direkt- åtkomst till dessa myndigheter. Författningsregleringen av behandling av uppgifter verksamhet delas in i två huvudsakliga delar, sjöövervakning och räddningstjänst. Dessutom finns, som vid alla myndigheter, en intern administrativ verksamhet. verksamhet regleras i första hand genom bestämmelserna i förordningen (2005:742) med instruktion för . Enligt 1 § i instruktionen har till uppgift att bedriva sjöövervakning i Sveriges sjöterritorium och ekonomiska zon samt på land i anslutning till dessa vatten. Med stöd av särskilda föreskrifter får bedriva sjöövervakning även utanför dessa områden. Med sjöövervakning avses att ansvara för eller bistå andra myndigheter med över- vakning, brottsbekämpande verksamhet samt kontroll och tillsyn enligt vad som närmare anges i instruktionen. Enligt 8 § i instruktionen skall i enlighet med särskilda föreskrifter ansvara för miljöräddningstjänsten till sjöss samt på anmodan av räddningsledare delta i sjöräddningstjänst och annan räddningstjänst. Enligt 10 § har vidare till särskild uppgift att samordna de civila behoven av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter. Samtliga dessa verksamheter och uppgifter omfattas av lagens tillämpningsområde. Den närmare definitionen av vad som omfattas av sjöövervakning och räddningstjänst, och därmed lagens tillämpningsområde, ges genom de särskilda bestämmelserna om för vilka ändamål uppgifter får behandlas enligt lagen (se avsnitt 10.2.3).