Vissa särskilda frågor beträffande integritetsskyddet på ADB-området : delbetänkande

Ur KB:s samlingar

Digitaliserad år 2014

Statens offentliga utredningar

üsâw

1991:62 Justitiedepartementet

Vissa särskilda

frågor

beträffande

integritets-

ADB-området

skyddet på

Delbetänkande av datalagsutredningen Malmö 1991

J50

Statens

offentliga utredningar

Eáäây

1991 :62

Justitiedepartementet

Vissa särskilda

frågor

beträffande

integritets-

ADB-området

skyddet på

Delbetänkande av

datalagsutredningen

Malmö 1991

SOU och Ds kan köpas från Allmänna Förlaget, som också på uppdrag av regeringskansliets förvalmingskontor ombesörjer remissutsändningar av dessa publikationer.

Adress: Allmänna Förlaget Kundtjänst 106 47 Stockholm Tel 08/7 39 96 30 Telefax: 08/7 39 95 48

Publikationema kan också köpas i lnformationsbokhandeln, Malmtorgsgatan 5, Stockholm.

Q/~38~ /0339»-O ISBN __ ISSN 0375-25OX Graphic Systems AB, Malmo 1991

Till statsrådet och chefen för

justitiedepartementet

Utredningen (Ju 1989:02) om en översyn av datalagen tillsattes i maj 1989 med att en av uppdrag göra översyn datalagen (1973:289) från såväl saklig som lagteknisk synpunkt. Till särskild utredare förordnades Ulf Arrfelt. lagmannen Utredningen, som påbörjade sitt arbete i november 1989, har

antagit namnet datalagsutredningen.

Sekreterare åt utredningen har varit hovrättsrådet Krister Thelin och hovrättsassessorn Bertil Persson. I en första etapp i utredningsarbetet har

utredningen övervägt

vissa principiella utgångspunkter för en framtida Utreddatalag. ningens överväganden och förslag i denna del redovisades i betänkandet (SOU - i en

1990:61) Skärpt tillsyn huvuddrag

reformerad datalag som överlämnades i 1990. september Betänkandet har remissbehandlats. I en andra etapp har utredningen behandlat vissa frågor som

rör integritetsskyddet i samband med och

personregistrering automatisk inom

databehandling områdena för forskning och

statistik samt för massmediernas och arbetslivets del. Övervägandena i denna del redovisades i april 1991 i betänkandet

(SOU 1991:21) Personregistrering inom arbetslivs-, forsknings-

och massmedieområdena. av detta be-

Remissbehandlingen tänkande har nyligen avslutats.

I en tredje etapp behandlar utredningen i det betänkande som nu överlämnas vissa särskilda frågor på integritetsområdet. Det gäller framför allt begreppen personregister och registeransvarig, liksom frågor om straff och skadestånd samt

fullföljd mot datainspektionens beslut. Avsikten är att förslagen - liksom

arbetet i tidigare etapper - skall kunna utgöra en grund för det fortsatta arbetet.

Som experter i arbetet med föreliggande betänkande har med-

verkat departementsrådet i

justitiedepartementet Börje Alpsten,

universitetslektornvid juridiska institutionen vid Lunds universi-

tet Jan Evers, i civildepartementet Håkan

departementsrádet

Färm, chefsrádmannen i Malmö tingsrätt Sigurd Heuman, direktören Gert Persson, postverket, hovrättsassessorn Björn Rosén, utbildningsdepartementet, hovrättsassessorn Carina justitiedepartementet, samt verksjuristen vid data- Stävberg, inspektionen Sten Wahlqvist. Håkan Färm och Sten Wahlqvist har avgett Experterna särskilda Yttrandena har tagits in i särskilda bilagor yttranden. till betänkandet. Utredningen fortsätter sitt arbete med att i en avslutande etapp utarbeta och redovisa ett förslag till en ny datalag. Detta arbete kommer att ske under parlamentarisk medverkan.

Malmö i september 1991

Ulf Arrfelt

/Krister Thelin

Bertil Persson

Innehåll

Sammanfattning

l. Utredningsuppdraget och direktiven . . . . . . . . .

2. Datateknikens fortsatta utveckling m.m. 2.1 Inledning . . . . . . . . . . . . . . . . . . . . . . . . . . 2.2 Tidigare särbehandling av viss teknik . . . . . . . . . 2.3 Datorprogram . . . . . . . . . . . . . . . . . . . . . . . 2.3.1 Allmänt . . . . . . . . . . . . . . . . . . . . . . 2.3.2 Ordbehandlingsprogram m.m. . . . . . . . .

2.4 Kontorsinformationssystem (Kl) . . . . . . . . . . . .

2.5 Datakommunikation . . . . . . . . . . . . . . . . . . . . 2.5.1 Lokala datanät m.m. . . . . . . . . . . . . . . 2.5.2 Elektronisk post . . . . . . . . . . . . . . . . . 2.5.3 Vissa andra meddelandesystem . . . . . . . . 2.5.4 Statliga telekommunikationer

myndigheters

(STAII‘EL) . . . . . . . . . . . . . . . . . . . 25 2.5.5 Den fortsatta utvecklingen av databastekniken . . . . . . . . . . . . . . . . . . . . . . 26 2.6 . . . . . . . . . . . . . . . . . . 27 Optiska lagringsmedia 2.7 Multimedia . . . . . . . . . . . . . . . . . . . . . . . . . . 33 2.8 Avslutning . . . . . . . . . . . . . . . . . . . . . . . . . 34

3. Begreppen personregister och registeransvarig . . . 37

3.1 Personregister (persondatamängd) . . . . . . . . . . . 37

3.1.1 Gällande rätt . . . . . . . . . . . . . . . . . . . 37 .2 Utredningens tidigare överväganden . . . . . 39 .3 . . . . . . . . . . . . . . . . 40

Remissyttrandena.

UJUJU-)UJb~) —-r—->—->—->—-

.4 Europarádskonventionen . . . . . . . . . . . . 45 .5 Förslaget till EG-direktiv . . . . . . . . . . . 45

.6 överväganden för en bestämning av

begreppet personregister 47

(persondatamängd)

Allmänna utgångspunkter . . . . . . . . . . . 47

En avgränsning med hänsyn till syftet att

utnyttja de tekniska möjligheterna . . . . . . 52

En bestämning med hänsyn till enbart

teknisk möjlighet

Avgränsning mot manuell bearbetning . . . 58 Konsekvenser för ett framtida tillsynssystem 61 Sambearbetning . . . . . . . . . . . . . . . . . 64 Persondatamängd och rätten till underrättelse och rättelse, m.m . . . . . . . . . . . . . . . . . 65 3.2 Registeransvarig (persondataansvarig) . . . . . . . . . 68 3.2.1 Gällande rätt . . . . . . . . . . . . . . . . . . . 68 3.2.2 Europarådskonventionen . . . . . . . . . . . . 70 3.2.3 Förslaget till EG-direktiv . . . . . . . . . . . 70 3.2.4 Utredningens tidigare betänkande och remissutfall . . . . . . . . . . . . . . . . . . . . . . . . 71 3.2.5

överväganden rörande registeransvarighets-

begreppet . . . . . . . . . . . . . . . . . . . . . 71

4. Utlandsöverföringar . . . . . . . . . . . . . . . . . . . . 79

5. Straff och skadestånd . . . . . . . . . . . . . . . . . . . 83 5.1 Inledning . . . . . . . . . . . . . . . . . . . . . . . . . . 83 5.2 Straff . . . . . . . . . . . . . . . . . . . . . . . . . . . 83 5.2.1 Gällande rätt. . . . . . . . . . . . . . . . . . . 83 5.2.2 Praxis . . . . . . . . . . . . . . . . . . . . . . . 87 5.2.3 Tidigare och . . 91 pågående utredningsarbete 5.3 Skadestånd . . . . . . . . . . . . . . . . . . . . . . . . . 93 5.3.1 Gällande rätt . . . . . . . . . . . . . . . . . . . 93 5.3.2 Praxis . . . . . . . . . . . . . . . . . . . . . . . 96 5.3.3 Tidigare utredningsarbete . . . . . . . . . . . 103 5.4 Internationella överenskommelser. . . . . . . . . . . . 106 5.5 Utredningens tidigare överväganden . . . . . . . . . . 106 5.6 . . . . . . . . . . . . . . . . . . . . . 107

Remissyttrandena

5.7 överväganden . . . . . . . . . . . . . . . . . . . . . . . 108

5.7.1 Straff . . . . . . . . . . . . . . . . . . . . . . . . 108 5.7.2 Skadestånd . . . . . . . . . . . . . . . . . . . . 110

6. Fullföljd mot datainspektionens beslut . . . . . . . . 113 6.1 Allmänt . . . . . . . . . . . . . . . . . . . . . . . . . . . 113

6.2 Bör en domstolsprövning ersätta till fullföljd

regeringen? . . . . . . . . . . . . . . . . . . . . . . . . . 113 6.3 Vilken domstolsinstans bör pröva

datainspektionens

beslut? . . . . . . . . . . . . . . . . . . . . . . . . . . . 117

Bilagor Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . 121

Särskilt yttrande av experten Hakan Färm . . . . . . . . . 127 Särskilt yttrande av experten Sten Wahlqvist . . . . . . . . 131

Sammanfattning

Datalagsutredningen, som har till uppgift att göra en av översyn datalagen (19732289, omtryckt 1982:446) har i ett första betänkande - i en (SOU 1990:61) Skärpt tillsyn huvuddrag reformerad datalag redovisat vissa principiella utgångspunkter för en framtida datalag. Utredningen föreslår bl.a. att det nuvarande tillstándsförfarandet slopas och att datainspektionen ges möjlighet att meddela bransch- eller sektorsföreskrifter som komplettering till de grundläggande bestämmelserna i datalagen. En viss anmälningsplikt skall dock finnas. I en andra etapp i arbetet, som redovisas i betänkandet (SOU 1991:21) Personregistrering inom arbetslivs-, forsknings- och massmedieområdena, har utredningen behandlat frågor som rör personregistrering inom forskning och statistik, massmedier och arbetslivet. Utredningen redovisar de rekommendationer från Europarådet som finns på området och föreslår, när det gäller forskning och statistik, att informerat samtycke skall utgöra grunden för att registrering skall få ske. För arbetslivets del anser utredningen bl.a. att det är med särskilda nödvändigt bestämmelser i lag som tillvaratar den anställdes intresse när det gäller inrättande av personregister, utlämnande av och uppgifter den enskildes insyn. I fråga om massmedieomrâdet konstaterar utredningen att datalagen bör förtydligas för att ange att de grundlagsskyddade bestämmelserna inom yttrandefrihetsområdena skall tillämpas framför vid en datalagstiftningen dem emellan. I det andra betänkandet

konflikt

redogörs vidare för de förslag till EG-direktiv som

föreligger på dataskydds-

omrâdet. Dessa förslag får betydelse vid en eventuell anslutning av Sverige till EG. behandlas ibetänkandet behovet av Slutligen samordning inom integritetsskyddsomradet, liksom vissa gallringsfrágor. I en tredje etapp av arbetet, som redovisas i föreliggande betänkande, behandlar utredningen vissa särskilda integritetsskyddsfrágor. Det gäller närmast definition av begreppen

personregister och registeransvarig, frågor om utlandsöverföring, straff och skadestånd samt fullföljd.

Persondatamängd och persondataansvarig

Utredningen diskuterar (avsnitt 3) ingående begreppen personregister och registeransvarig som är grundläggande för den nuvarande regleringen. Utredningens överväganden görs mot bakgrund av såväl Europarådskonventionens bestämmelser på dataskyddsområdet som förslaget till EG-direktiv, liksom de synpunkter som remissinstanserna har lämnat över utredningens första betänkande. När det gäller begreppet personregister har utredningen funnit att den nuvarande bestämninge-n inte motsvarar de krav som den tekniska utvecklingen ställer. Utredningen förslår att personregister ersätts av begreppet persondatamängd, ett begrepp som bör bestämmas enbart med hänsyn till de tekniska möjligheter som ADB erbjuder utan till en användares avsikter.

hänsyn

Utredningen föreslår följande definition.

En persondatamängd är en samling personuppgifter som hänförs till ett visst ändamål och som kan bli tillgängliga genom systematiska uttag, sökningar eller sammanställningar vid en automatisk databehandling. Undantag bör dock föreskrivas för personuppgifter som ingår i sådana uppgiftssaml ingar som lagrade uppslagsverk, ordböcker eller liknande referensmaterial. På motsvarande sätt bör den registeransvarige ersättas med persondataansvarig. Denne bör i anslutning till de förslag till

EG-direktiv som föreligger bestämmas som den fysiska eller

juridiska person som beslutar om användningsändamål, vilka

slag av personuppgifter som skall lagras och vilka operationer

som skall utföras med dem. Förslaget innebär en skärpning i

kravet på förfogande i med nuvarande jämförelse ordning.

l samband med diskussionen om begreppet persondatamängd behandlar utredningen också frågan om avgränsning mot manuell bearbetning, liksom konsekvenserna för ett framtida tillsynssystem, sådant det skisserats i tidigare betänkanden. Särskilt redovisas de följder som begreppet får för sambearbetningsfallen (samkörning) och rätten till och under-

i insyn

rättelse m.m. Förslagen bedöms få gynnsamma konsekvenser for datainspektionens arbete och innebär påtagliga lättnader i förhållande till de förslag som utredningen redovisat i det första betänkandet. Utredningen föreslår bl.a att den

anmälningsplikt

som framgent bör föreligga till att avse endast

begränsas

känsliga personuppgifter. Det kan övervägas att ytterligare begränsa anmälningsskyldigheten till känsliga uppgifter inom de områden som inte kartlagts och detaljnormerats av datainspektionen. Utredningen har tidigare föreslagit en mera långtgående anmälningsplikt som ersättning för att tillståndskravet och förprövningen slopas.

Utlandsöverföring

I ett särskilt avsnitt (4) behandlas frågan om utlandsöverföring. Utredningen konstaterar att gränsöverskridande informationshantering lämpligen bör lösas inom ramen för det internationella harmoniseringsarbetet. I avbidan på att detta ger resultat bör emellertid dataöverföring som rör persondatamängd ske först efter medgivande från datainspektionen, dvs. i enlighet med nuvarande ordning. Endast om överföringen sker till en stat som antingen har anslutit sig till den europeiska dataskyddskonventionen eller annars av regeringen bedöms ha en tillfredsställande nivå på sin bör överföring fritt få

integritetsskyddslagstiftning

tillåtas.

Straff och skadestånd

I avsnitt 5 redogör utredningen för de nuvarande bestämmelserna och praxis rörande straff och skadestånd. Mot bakgrund av de undersökningar som utredningen har gjort kan konstateras att fallen av lagföring för brott mot datalagen är få. De ersättningsbelopp som kommer i fråga och som i de flesta fall utgått efter beslut av justitiekanslern är över lag låga. Utredningen

mycket

föreslår att straffen skärps och att ersättningsbeloppen för de integritetsinträng som kan komma i fråga höjs avsevärt.

Fullföljd mot datainspektionens beslut

Utredningen redovisar i ett avslutande avsnitt om (6) frågan fullföljd mot datainspektionens beslut. Utredningens överväganden mynnar i denna del ut i att de beslut som rör statliga

förvaltningsmyndigheter alltjämt bör kunna överklagas till

regeringen. Beslut som rör övriga, dvs. enskilda, kommunala myndigheter, andra offentliga organ och domstolar, bör däremot kunna överklagas till domstol. Enligt utredningen talar övervägande skäl för att dessa frågor bör prövas av kammarrätten med möjlighet att på sedvanligt sätt efter prövningstillstånd få saken prövad av regeringsrätten.

Det fortsatta arbetet

Utredningen kommer i en avslutande etapp, som skall genomföras under parlamentarisk medverkan, att behandla frågan om utformningen av en ny datalag. Arbetet beräknas vara avslutat under nästa år.

1 och

Utredningsuppdraget

direktiven

Utredningens direktiv (Dir. 1989:26) innebär ett uppdrag att göra en såväl saklig som lagteknisk översyn av datalagen (19732289, omtryckt 1982:446). Arbetet, som inleddes i november 1989, har utredningen valt att utföra i etapper. I den inledande etappen, som i september 1990 redovisades i delbetänkandet - i en

(SOU 1990:61) Skärpt tillsyn huvuddrag

reformerad datalag, diskuterade utredningen vissa principer för en ny datalag. Tyngdpunkten i det arbetet låg på en undersökning av om det nuvarande systemet med tillståndsprövning och licens kunde ersättas med en ordning med ökad för

tillsyn

att på det sättet effektivisera Vissa av

integritetsskyddet.

datalagens grundbegrepp togs också upp till övervägande i det sammanhanget, nämligen otillbörligt intrång i personlig integritet, automatisk databehandling och personregister. I en andra etapp, som redovisats i betänkandet (SOU 1991:21)

Personregistrering inom arbetslivs-, och massmedieforskningsområdena, behandlade utredningen skilda frågor som rör ADB-

registrering av personuppgifter inom vissa områden. Det gäller

personregistrering inom området för forskning och statistik,

inom massmedieområdet och personregistrering i anställnings-

förhållande. Vidare diskuterade utredningen frågan om samordning med annan integritetsskyddslagstiftningoch gallringsfrågor.

Utredningen redovisade också EG-kommissionens förslag till direktiv för enskilda vid angående skydd behandling av personuppgifter. Utredningens direktiv i nu beskrivna delar redovisas i anslutning till de olika frågorna. Direktiven i deras helhet finns intagna i SOU 1990:61. Utredningen har i tilläggsdirektiv (Dir.

1991:18) ålagts att utnyttja det underlag som presenterats i de

båda betänkandena samt beakta de som avgetts.

remissyttranden

b

Utredningen hade ursprungligen avsett att i en tredje etapp avsluta arbetet och redovisa förslag till en ny datalag. Arbetet i de tidigare etapperna och remissutfallet vad avser det första betänkandet har emellertid lett till att utredningen i den tredje etappen i stället valt att redovisa vissa särskilda frågor på integritetsskyddsområdet. Det gäller framför allt begreppen personregister och registeransvarig. Vidare behandlas i denna del frågor om straff och skadestånd, liksom fullföljdsfrågor. Utredningen har i fråga om straff och skadestånd genomfört en enkätundersökning för att bestämma omfattningen av de fall som föranlett lagföring eller skadestândstalan. Dessutom har en genomgång gjorts av justitiekanslerns praxis vad avser ersättning för skada på dataskyddsområdet. Resultatet av undersökningarna redovisas i avsnitt 5.2.2 resp. 5.3.2. Arbetet kommer att fortsätta i en avslutande etapp, under parlamentarisk medverkan, med utformning av en ny datalag.

2 Datateknikens fortsatta

utveckling

m.m.

2.1 Inledning

Datatekniken och dess utveckling under de senaste aren har behandlats av utredningen dels i avsnitt 6 i SOU 1990:61, dels i avsnitt 6.3 i SOU 1991:21. Ett genomgående intryck av den fortsatta utvecklingen på dataomrâdet är att datorerna blivit mindre, billigare och mer effektiva. Pâ arbetsplatserna har de enkla terminalerna och persondatorerna alltmer ersatts av kraftfulla arbetsstationer. Antalet personer som använder datorer har också fortsatt att öka kraftigt. I detta avsnitt behandlas främst den fortsatta utvecklingen av de områden av datatekniken som kan komma att ha särskild

betydelse för bedömningen av datalagens personregisterbegrepp.

Detta gäller främst den ökande användningen av datorstödd ordbehandling och elektronisk post, men också utvecklingen av andra av meddelandeöverföring, t.ex. telefax, Electronic slag Data Interchange (EDI) och även vissa mobila system. Den lagringsteknikens alltmer ökande behandlas

optiska betydelse

också. Inledningsvis skall dock nämnas de ändringar beträffande tillstándskravet för personregister som skedde som en följd av datalagstiftningskommitténs (DALK) översyn av datalagen och som trädde i kraft den 1 juli 1979.

2.2 viss teknik

Tidigare särbehandling

av

Personregister som fördes med användning av viss bestämd teknisk utrustning undantogs bestämmelser från enligt tidigare kravet pá tillstånd. En förutsättning skulle vara att det med hänsyn till utrustningens art och utförandet av den automatiska databehandlingen samt registrets utformning i övrigt framstod som uppenbart att otillbörligt intrång i registrerads personliga integritet inte skulle uppkomma. Som sådan exempel på utrustning som borde komma i fråga nämndes skrivautomater och andra system för framställning av text och dokument (s.k. Ordbehandling), datorutrustning för grafisk produktion, s.k. kontorsdatorer samt vissa datoriserade s.k. konferenssystem,

telekonferenssystem. En förutsättning för att undantagsregeln skulle vara tillämplig av detta dock

på utrustning slag angavs vara att databehandlingen skedde med hjälp av standardprogram eller andra program, som endast innebar bearbetbegränsade ningsmöjligheter. Om utrustningen i det enskilda fallet försetts med andra program eller kopplats till annan som utrustning möjliggjorde mera omfattande bearbetning, skulle undantagsregeln inte vara tillämplig 1978/79: 109 s (prop. 31). Undantagsregeln i datalagen togs bort den 1 1982. Skälet till detta var juli att det ansågs olyckligt från principiell och att praktisk synpunkt den tekniska utrustningen ställdes i centrum. vikt Avgörande skulle i stället vid ett

läggas personregisters omfattning och

utnyttjande (prop. 1981/82:189 s. 38 ff). Se vidare SOU 1990:61 avsnitt 4.2 - 4.3.

2.3 Datorprogram

2.3.1 Allmänt

En närmare teknisk beskrivning av hur ett är datorsystem

uppbyggt och fungerar har getts i delupphovsrättsutredningens

betänkande (SOU och datateknik s. 29 ff. 1985:51) Upphovsrätt I detta sammanhang skall därför endast nämnas följande. De delar av ett som består av elektroniska

datorsystem

komponenter, ledningar, plåt m.m. gár ofta under den gemen-

samma benämningen maskinvara (hardware,

hårdvara). Maskinvaran i en dator är och kan fås att bl.a. utföra generell

bearbetning, datalagring och kommunikation av olika slag. Vad

den kommer att göra bestäms av instruktioner, som liksom data lagras i datorns inre och yttre minnen. En samling av sådana instruktioner kallas för ett datorprogram. Begreppet programvara (software, mjukvara) kan sägas omfatta såväl själva programmet (programinstruktionerna) som

tillhörande dokumentation för användare och för personal som

skall handha och sköta driften av programmet. Ibland innefattas i begreppet också t.ex. service och utbildning. Anpassning och specialisering görs i programvaran, som är lättare att ändra eller byta ut än maskinvaran. De unika egenskaperna i ett datorsystem bestäms därför i hög grad av den programvara som datortillverkaren utvecklat eller som kunden kan köpa från fristående programtillverkare eller själv utvecklar. Det finns i princip två huvudkategorier av datorprogram, systemprogram och

applikationsprogram.

Systemprogram är oberoende av den tillämpning som datorsystemet skall utnyttjas för. En viktig kategori av systemprogram är operativsystemen som bl.a. förenklar ett antal ofta förekommande funktioner som t.ex. mellan olika

flyttningar

enheter i eller datorsystemet igångsättande av program och kontroll av att dessa program kan arbeta till synes parallellt, trots att datorn endast kan utföra en instruktion i taget. Antalet

generella operativsystem på marknaden är starkt begränsat.

Bland de mest använda för mindre datorer

operativsystemen

märks MS-DOS, PC-DOS, OS/2, Macintosh OS och UNIX.

Ett applikationsprogram är ett program som utför en bestämd

uppgift. Programmen kan delas in efter sin funktion i olika områden. Det finns program som medför att användaren kan använda sin dator för 0rd- och dvs. man

textbehandling,

skriver in och redigerar sin text en bildskärm i stället för på på papper. Först när man är nöjd med texten skriver man ut den på skrivare. Fördelen jämfört med en vanlig skrivmaskin är att man enkelt kan ändra och justera texter utan att behöva skriva om allt. Man fär dessutom tillgång till många funktioner som

sökning av text, flyttning av större textblock, automatisk

stavningskontroll och automatisk avstavning. Andra program

används för kalkylering, administration (t.ex. order- och lagerhantering, fakturering och bokföring), datakommuni-

kation, grafik och s.k. Computer Aided Design, CAD. Det finns även applikationsprogram som möjliggör s.k. Desktop Publishing (DTP), dvs. gör det möjligt för användaren att sammanställa en trycksak med utgångspunkt från material som behandlats i datorn - texter

från ordbehandlingsprogram,

ritningar från grañk- och CAD-program och bilder ritade med

eller inlästa med bildläsare, s.k. scanner. Vissa ritprogram är som gör det applikationsprogram registerhanteringsprogram för användaren att registrera, söka bland, sortera och möjligt skriva ut sorterade data. applikationsprogram är direkta Några som olika sätt förenklar användningen av hjälpprogram på datorn. Det finns också integrerade applikationsprogram som innehåller flera som löser uppgifter, men programdelar separata som ändå har förmågan att samverka med varandra. Exempelvis kan en av programmet samverka med en ordbehandkalkyldel och en så att ett brev kan innehålla sifferlingsdel grafikdel, material presenterat som diagram av olika slag.

2.3.2 Ordbehandlingsprogram m.m.

De flesta av de ordbehandlingsprogram som i dag finns på marknaden ger möjlighet till fri textsökning, dvs. även möjlighet att i en text återsöka vissa namn eller liknande. Flera av har bl.a. en funktion som möjliggör framställning programmen av utformade massbrev. Så är fallet med bl.a. de personligt marknadsledande WordPerfect och Microsoft programmen Word. har sådana att användaren Många av programmen egenskaper

förutom ordbehandling även får tillgång till kalkylering,

kommunikation och elektronisk

registerhantering, grafik, post.

Så är t.ex. fallet med ett annat stort program på marknaden, Framework. De flesta ordbehandlingsprogram ger även att föra över data till och från andra registerhantemöjlighet rings- och kalkylprogram. På marknaden finns i dag ordbehandlings- och registerhantesom kostar från ca 300 kr och uppåt. Det finns ringsprogram även som tillhör det s.k. Public Domaindylika program området, dvs. som kan kopieras fritt och användas program gratis eller för en obetydlig summa. En s.k. skrivautomat är en slags dator som normalt endast kan utföra ord- och textbehandling. En persondator ger däremot som ovan möjlighet att förutom 0rd- och textbehandling framgått även utföra en andra programrutiner som t.ex. bokmängd reskontra och löner. Man har med en persondator också föring,

integrationsmöjligheter mellan olika applikationsprogram.

2.4 Kontorsinformationssystem (KI)

Utmärkande for är att dessa i

kontorsinformationssystem (KI)

regel innehåller olika typer av funktioner som Ordbehandling, elektronisk post (ibland i kombination med ett konferenssystem), s.k. skrivbordsfunktioner (almanacka, dagbok o.d.), kalkyleringsmöjlighet, arkivhantering, kompletterande registerprogram, databashanterare och s.k. fria textsökningssystem m.m. I de flesta finns också

kontorsinformationssystem möjlig-

heter till gemensamma arkiv. Dessa består av ett fritext-

sökningssystem som kan kopplas samman med diarie- och ärendehanteringssystem och arkiveringssystem.

De olika funktionerna är integrerade i kontorsinformationssystemet, dvs. de fungerar tillsammans under en gemensam

meny med en rad undermenyer. Detta innebär att man från

vilken del av systemet som helst kan hämta information och återanvända eller bearbeta den. Så kan man t.ex. via ordbehandlingsfunktionen ta sig till och där

kalkyleringsfunktionen göra vissa bearbetningar, som man sedan kan lägga in i det

dokument som man arbetar med i ordbehandlingsfunktionen.

2.5 Datakommunikation

2.5.1 Lokala datanät m.m.

I Sverige levererades år 1989 95 000 arbetsenligt uppgift

stationer med lokala datanät Area

(Local Networks, LAN), dvs.

lokalt uppkopplade nät för överföring av information mellan datorer. Motsvarande siffra för år 1992 beräknas till 175 OOO. Trenden är att dessa lokala nät kommer att integreras till enorma persondatanät med tusentals användare i olika städer. De lokala näten har hittills huvudsakligen bestått av kopparkablar trots att fiberbaserade lokala nätverk har visat sig överlägsna i ett flertal hänseenden. Fiberkablar är immuna mot

störande elektriska impulser och det är enklare att upprätthålla

fullgod sekretess med sådana kablar än kopparkablar. Med

optisk överföring går det dessutom att bygga nätverk som

sträcker sig över större geografiska områden. Fiberkablar tar också mindre plats än Priset fiberkablar har

kopparledningar. på

emellertid tidigare varit så högt att det avskräckt från satsningar på fiberkablar. Det har inte heller funnits en klart definierad

standard för fibernätet. Det finns emellertid nu en standard för

fibertekniken, den s.k. FDDI-standarden (Fiber Distributed

Data Interface). Detta har medfört att utbudet av fiberprodukter har börjat öka. En kraftig sänkning av priset beräknas också ske inom den närmaste tiden, möjligen en halvering av priset på mindre än två år. Televerket har redan idag ett omfattande ñberoptiskt nät i drift. Dessutom har banverket tillsammans med teleföretaget Tele2 beslutat att bygga ett kabelnät av optoñber som avses bli nästan rikstäckande. Nätet skall år 1992 gå parallellt med stambanorna Stockholm - - Malmö och kanske så Göteborg småningom byggas ut till Norrlands kustland och inland. Vidare har elva europeiska järnvägsbolag, däribland SJ, planer på att bygga upp ett internt nätverk i Europa för dataöverföring. Avsikten är att dra fiberoptiska kablar längs järnvägsspåren och därigenom förbinda viktiga storstäder i hela Europa. En förutsättning är dock att den europeiska telemarknaden öppnas för konkurrens, vilket beräknas ske tidigast år 1992. I detta sammanhang bör också nämnas att införandet av ISDN (se vidare SOU 1990:61 s. 81) medför att man i framtiden kommer att kunna överföra tal, text och bild över samma förbindelse i telefonnätet. Det kommer även att bli möjligt att koppla in persondatorer på ISDN-nätet och använda nätet som ett lokalt nät oberoende av avståndet. ISDN-nätet beräknas att vara fullt operativt i Sverige år 1992. Televerket räknar med att hälften av landets större företag redan då kommer att använda ISDN.

2.5.2 Elektronisk post

De elektroniska postsystemen har som framgår av avsnitt 6.2.1

i SOU 1990:61 utvecklats kraftigt under den senare delen av 1980-talet och många använder i av intern

företag sig dag

elektronisk post. Den internationella standardiseringen har fortsatt och att låta möjligheten olika system för elektronisk post kommunicera med varandra har ökat markant. Det beräknas att antalet elektroniska brevlådor i Europa kommer att öka med ca 45 procent per år fram till år 1993. Tekniken tillåter i dag överföring av texter, brev och framöver även bilder mellan olika datorer. En del system kan endast användas inom ett lokalt datanät, andra kopplar samman stordatorer med varandra och omfattar hela världen. Elektronisk post innebär att text som kan skapas med hjälp av ord- och textbehandling skickas till önskade mottagare via ett datanät där meddelandet motsvarar ett brev. Meddelandena

kan utväxlas externt eller internt. De brukare som använder intern elektronisk terminaler och

post utnyttjar befintliga

persondatorer och kan därigenom kommunicera med varandra via en gemensam dator. Varje användare har sin personliga elektroniska brevlåda i den gemensamma datorn. Det finns också möjlighet att utvidga systemet så att användarna kan delta i datakonferenser genom att systemet får en gemensam brevlåda för flera användare. Detta ger användarna möjligheter att kommunicera med varandra oberoende av tid och rum. Elektronisk post kan också inga som en funktion i ett kontorsinforma-

tionssystem (se avsnitt 2.4 ovan). I videotex (se avsnitt 6.2.2 i

SOU 1990:61) finns också tillgång till elektronisk post. Med de flesta varianter av elektronisk post kan användaren samtidigt skicka samma text till flera mottagare, kontrollera om mottagaren har tagit del av den översända texten, i datorn arkivera de texter man vill spara, ha en egen brevlåda den på centrala datorns skivminne där inkomna texter lagras, om man inte omedelbart kan läsa det inkommande meddelandet, samt ha en egen behörighetskod som hindrar obehöriga att få tillgång till brevlådan. En del elektroniska postsystem har som nämnts särskilda funktioner for att också stödja gruppkommunikation. I dessa s.k. kan avsändaren adressera ett

datakonferenssystem

skrivet meddelande som ett inlägg till ett elektroniskt möte eller konferens, i vilket ett flertal personer kan vara deltagare. Det finns även s.k. Bulletin Board mot vilka man

Systems, BBS,

kan koppla upp sig för att ställa frågor, delta i

erfarenhetsutbyte

eller hämta programñler.

2.5.3 Vissa andra

meddelandesystem

Den intensiva utvecklingen av nya tekniker för överföring av textmeddelanden har fortsatt. Här skall endast behandlas den fortsatta utvecklingen av telefax, EDI och olika personsökarsystem. Slutligen redogörs i detta avsnitt kortfattat för Tele-

guide-projektet Malmö Direkt, som under senare delen av år

1991 inleds i Malmö. Se i övrigt avsnitt 6.2.1 i SOU 1990:61.

Telefax

Telefax konkurrerar både i Sverige och internationellt med telefon, vanlig post och olika former av elektronisk post.

Telefaxspridningen har fortsatt så att i praktiken alla företag och förvaltningar i dag kan nås med telefaxmeddelanden.

Hittills har det vanligaste sättet att telefaxtekniken

utnyttja

varit att sända ett pappersdokument i en speciell utrustning

ansluten till telefonnätet, omvandla det till elektronisk information och, i en annan utrustning, få ut en kopia av dokumentet

på ett papper. För att i datorsammanhang ytterligare öka

effektiviteten och minska kostnaderna har s.k. telefaxkort till datorer börjat komma ut på marknaden. Fördelarna med dessa är att man direkt från exempelvis en persondator med ett ordbehandlingsprogram, utan att behöva skriva ut en papperskopia, kan skicka ett dokument till en eller flera användare. Även mottagning av dokument kan ske direkt i datorn. Man kan sedan läsa dokumentet på bildskärmen. Det finns datorprogram som kan omvandla mottagen telefaxinformation till textformat. Telefaxtekniken behandlas i en teknisk rapport utgiven av datainspektionen i augusti 1991. I rapporten, ADB-säkerhet för personuppgifter vid telefaxöverföring, redovisas inspektionens syn på säkerheten vid telefaxanvändning.

EDI

Electronic Data Interchange (EDI) är en metod för att överföra dokument, främst affársdokument mellan datorer. Tillämpningen av EDI utmärks av att data som utbyts är formaliserade och strukturerade enligt någon EDI-standard, att datautbytet mellan datasystemen sker automatiskt och utan mellanliggande manuell hantering samt att datautbytet sker mellan datasystem i olika organisationer och i olika datamiljöer. EDI avviker från elektronisk post genom att meddelandet innehåller formaliserad och strukturerad information. Dessutom innebär EDI en kommunikation mellan datasystem till skillnad från elektronisk post som är en kommunikation mellan enskilda användare. Den information som överförs med EDI är direkt bearbetningsbar i datasystemen. Metoden har använts i USA i över 20 år, men fick sitt internationella genombrott först år 1986 då Västeuropa och USA slog samman sina två standarder till en internationell sådan

kallad EDIFACT (Electronic Data Interchange For Admini-

stration, Commerce and Transport). Sedan FN sanktionerat denna standard har den nu det officiella namnet UN/EDIFACT. Denna standard har förutom i USA och Västeuropa nu även vunnit stöd i Australien och Japan. Inom nationella och internationella organ, liksom inom olika branschföreningar, pågår sedan några år tillbaka ett intensivt arbete med EDI-standardisering av olika slags handelsinformation. Bland annat driver EG och EFTA ett gemensamt projekt,

TEDIS (Trade Electronic Data Interchange med Systems),

uppgift att koordinera och främja spridningen av EDI. I Sverige

har bilindustrin kommit längst med sitt kallat

EDI-projekt

ODETTE (Organisation for Data Exchange by Tele Transmission in Europe), som skapat standarder for informationsöverföring avseende leveransplanering, streckkodsmärkning, fakturering etc. ODETFE är anpassat till EDIFACT-standarden. Utveckling pågår av fler än 60 EDIFACT-meddelanden och ca 30 av dessa kommer troligen att kunna börja användas under år 1991. Allt fler branscher kommer därför att kunna administrera sina affarsförbindelser genom sina undervarianter av EDIFACT. Enligt vissa uppskattningar kommer EDI att användas för en väsentlig del av Sveriges varuflöde år 1995. I vissa branscher kan det komma att gälla for mer än hälften av varuflödet, t.ex. i bilindustrin, medan det tar längre tid innan andra branscher når så långt. Vissa statliga t.ex. och ett

myndigheter, tullen, antal stora branscher, t.ex. bilindustrin, byggindustrin, trans-

portbranschen och bankerna räknar med en snabb spridning för

EDI. I slutet av 1990-talet beräknas EDI ha nått en mycket bred

användning. Huvuddelen av penningflödet i Sverige beräknas t.ex. då ske med EDI. Vidare räknar tullen med att 80 procent av alla tullärenden sker med hjälp av EDI år 1995. Se vidare en i maj 1990 utgiven rapport, EDI for miljoner (T ELDOK Rapport nr 56, 1990). Det svenska s.k. att

nya tulldatasystemet (T DS) medger

export- och importhandlingar tas emot och behandlas med hjälp

av EDI. TDS avses hantera klarering av import-, export-, och

transitärenden samt debitering. I tullagen (1987: 1065) infördes den 1 juli 1990 en särskild bestämmelse om de närmare kriterierna for elektroniska meddelanden, där definierade som elektroniska dokument (12 a §). Med ett sådant dokument

avses enligt bestämmelsen en upptagning vars innehåll och

utställare kan verifieras genom ett visst tekniskt förfarande. Kommunikationen sker i form av meddelanden enligt EDI- FACT-standard. Näringsidkaren skall när han upprättar ett elektroniskt meddelande avsett för tullen förse detta med ett unikt identifieringsnummer (tullid) ur en alfanumerisk serie som han tilldelats av tullen. När meddelandet överförs till TDS skapas ett kvittensmeddelande som sänds tillbaka till avsändaren medan överföringen (filen) vidarebefordras till tullverkets centraldator i Luleå. Där sker en automatisk teknisk och

innehållsmässig granskning av de meddelanden som ingår i

filen. Därefter skickas för vart och ett av dessa meddelanden ett standardiserat svarsmeddelande tillbaka till avsändaren med uppgift att meddelandet antingen är korrekt eller innehåller något fel som bör rättas till. När en näringsidkare vill en göra rättelse avseende en uppgift som han tidigare lämnat i ett ärende

kan han inte göra ändringen i det tidigare lämnade meddelandet.

I stället måste han sända ett nytt kompletterande meddelande

som kommer att lagras i samma fil som det ursprungliga meddelandet tillsammans med alla andra meddelanden som rör samma ärende. Uppgifterna kan därför sökas med samma tullid. Till centraldatorn i Luleå 16 lokalt placerade

knyts

datorer på olika tullorter inom landet. I dessa datorer lagras och bearbetas de lokalt handlagda tullärendena. I sin tur kommer lokaldatorerna att anslutas till totalt ca l 000 bildskärmsterminaler och ca 400 skrivare. I tullagen har införts en bestämmelse om att ett elektroniskt dokument skall anses vara

inkommet till en tullmyndighet när det blivit tillgängligt för

myndigheten för överföring till sådan form att det kan läsas (12 b §). Se prop. l989/90:40, SkU 19, rskr. 188, SFS

1990:138. En närmare redogörelse för tulldatasystemets uppbyggnad och användning fmns i en av i generaltullstyrelsen

september 1990 utgiven skrift, TDS - En

sammanfattning.

För att studera förutsättningarna för och användbarheten av EDI i offentlig samt till samverkan

förvaltning möjligheterna på

detta område bildades år 1990 ett samarbetsprojekt för EDI mellan Statskontoret, televerket, landstingsförbundet och kommunförbundet. Som ett resultat av denna samverkan har Statskontoret nyligen publicerat en rapport (l99l:3), EDI i offentlig förvaltning. I rapporten pekas bl.a. på möjligheterna att använda EDI för att administrera arbetsgivarens rapport-

eringsskyldigheti ett framtida sjuklönessystem. Sjukanmälnings-

blanketter skulle enligt rapporten t.ex. kunna ersättas av EDIdokument.

Mobila System för meddelandeöverföring

Mobitex, som är ett system för mobil data- och textöverföring,

har funnits i sedan år 1986. som sköts av

Sverige Mobitexnätet,

Televerket Radio, består av ett antal basradiostationer som kommunicerar med mobila terminaler. Textmeddelanden kan sändas mellan användare som har textfunktion på sina terminaler. Meddelanden kan vara på högst 512 tecken, varför längre

texter måste skickas uppdelade som många korta. Systemet ger

uppgift huruvida meddelanden har kommit fram eller inte. Inom

ramen för systemet finns även möjlighet för viss kompletterande

talöverföring. Om man för tillfället inte kan ta emot meddelanden, kan dessa lagras i en brevlåda. Mobitex används i dag bl.a. för kommunikation mellan polisbilar och befintliga

datorsystem, sjukhus och ambulanser, vid budservice och i övrigt inom transportsektorn.

SOU 1991262 23

Möjligheten att lagra personuppgifter i de olika personsökar-

system som finns på den svenska marknaden är än så länge begränsad och de uppgifter som förekommer är oftast av mindre känslig art, huvudsakligen namn och telefonnummer. Trots detta förtjänar dock några av systemen att nämnas. Ett rikstäckande personsökningssystem, MBS, har varit i drift i drygt tio år. MBS-mottagaren är en liten avancerad FMmottagare som automatiskt ställer in sig på rätt FM-sändare. Den har bl.a. minnesfunktion för lagring av flera sökningar. Då någon ringer upp en MBS går sökningen från telefonen till en MBS-växel, som sänder sökningen vidare till FM-näten. Signalen når MBS-mottagaren, som avger en ljudsignal och i sitt teckenfönster visar den uppringandes telefonnummer. Det är inte bara den sökandes telefonnummer som kan sändas till en MBS-mottagare utan även kodnummer. Det är möjligt att nå flera mottagare samtidigt genom ett enda söknummer. MBS är Sveriges enda rikstäckande system för personsökning. Tele-

verket Radio har byggt upp MBS-systemet och svarar för dess

funktion och underhåll. År 1985 startade ett system med tonsignalering för mera regionala behov, Minicall. Systemet är landsomfattande och täcker Sveriges tätorter och industricentra. I april 1988 kompletterades Minicall med möjlighet att sända textmeddelanden.

Minicall Ton är en personsökare som avger upp till fyra olika

tonsignaler, när någon ringer till den från en vanlig telefon.

Varje tonsignal aktiveras genom ett eget telefonnummer och har

en egen, i förväg överenskommen En av

betydelse. signalerna

kan kopplas till den textbrevlåda som finns i Minicallsystemet. En annan signal kan kopplas till röstbrevlådan i

mobiltelefonsystemet NMT.

Minicall Text är en personsökare som tar emot textmeddelanden på upp till 400 tecken. Meddelandet tas fram i ett teckenfönster. Utsändning av meddelanden kan ske t.ex. från en persondator med modem, från en terminal ansluten till en företagsdator eller från en videotexterminal. Minicall Text kan också användas för tonsökning och kan då sammankopplas med Mobilsvar. Varje gång ett meddelande lämnas i Mobilsvar avger personsökaren en signal. Mottagaren kan lagra flera meddelanden samtidigt. De som har en Minicall personsökare, för ton eller text, kan även abonnera på en egen brevlåda för lagring av textmeddelanden. I sådant fall lagras alla utsända meddelanden i systemet under 72 timmar och förses med ett löpnummer. Ett meddelande kan sedan hämtas ur brevlådan, som är en textbrevlåda, och återutsändas. För att kunna hämta med-

delanden krävs tillgång till en terminal eller persondator e.d. Vid hämtning av meddelande anges lösenord, som bestäms av den som har mottagaren, mottagarens nummer samt meddelandets nummer. Det går också att hämta bara det sist inkomna= meddelandet. Meddelandet visas sedan i helhet på bildskärmen tillsammans med tidpunkt för utsändning. Brevlådan kan även användas för lagring av textmeddelanden även om man bara har en tonmottagare. En tonsökning sker när ett textmeddelande har matats in i och i

Minicall-systemet lagrats

brevlådan. Innehavaren av mottagaren kan sedan hämta meddelandet ur brevlådan. Inmatning och hämtning av textmeddelanden som är adresserade till en tonmottagare sker på samma sätt som vid vanliga textsökningar.

Teleguide-projektet Malmö Direkt

Under hösten 1991 inleddes i Malmö en verksamhet som har till mål att sprida s.k. TeleGuide-terminaler till hushållen i staden. Projektet, kallat Malmö Direkt, bedrivs av televerket i samarbete med IBM, Esselte och Malmö stad. Avsikten är att alla hushåll i Malmö som har ett telefonabonnemang skall få

möjlighet att hyra en TeleGuide-terminal. Med hjälp av denna

terminal, som kommer att vara ansluten till videotexnätet (se SOU 1990:61 s 84 f), skall användaren till en början dels kunna få viss lokal information (exempelvis om kommunala

upplysning

öppettider, trafñktider, lokala evenemang, viss mil jöinformation etc.), kunna utföra vissa banktjänster, beställningar av göra vissa varor (b1.a. matbeställningar inom den kommunala hemtjänstens ram), samt även erhålla viss

sjukvårdsupplysning för egenvård, dels kunna få del av den information som finns tillgänglig i det allmänna videotexnätet. Avsikten är att succes-

sivt

bygga ut systemet till att omfatta flera användningsom-

råden, t.ex. bostadsinformation med taxeinforma-

byggplaner,

tion, biblioteksservice, platsarmonser, konsumentrådgivning samt kommunala beslut och handlingar. De olika elektroniska tjänster som det finns tillgång till i videotex, t.ex. telex, telefax och elektronisk post kommer också att vara tillgängliga för dem som hyr en TeleGuide-terminal inom ram. Den projektets

månatliga hyreskostnaden för en terminal är 75 kr. Därutöver

tillkommer, förutom avgiften för telenätsanvändningen, en särskild användaravgift om 1 kr 15 öre per minut. Vissa användare, bl.a. sådana personer som använder sig av kom-

munens hemvårdstjänster, kommer dock att vara befriade från dessa avgifter. Den som en terminal kommer hyr att, förutom själva terminalen, även erhålla ett s.k. Smart Card (se SOU

1990:61 s 87). Detta kort som är personligt och försett med en särskild identiñkationskod måste användas då man loggar in i systemet. För att kunna utnyttja en TeleGuide-terminal krävs att man har loggat in med hjälp av sitt personliga kort. En av idéerna bakom projektet är att minska Malmö stads administrativa kostnader. Sá är det t.ex. avsikten att användarna av systemet i framtiden både skall kunna erhålla och betala räkningar avseende kommunala tjänster på elektronisk väg. Målsättningen är att inom en sexårsperiod hälften av alla hushåll i Malmö skall ha en egen TeleGuide-terminal.

2.5.4 Statliga myndigheters telekommunikationer

(STATTEL)

Regeringen uppdrog i juli 1988 åt Statskontoret att utreda de statliga myndigheternas datakommunikation i framtiden. Statskontoret skulle därvid göra en fördjupad studie av statsförvaltningens nuvarande och förväntade behov av datakommunikationstjänster samt en bedömning av vilka kommunikationslösningar som mest kostnadseffektivt tillgodoser behoven. Statskontoret redovisade uppdraget till regeringen i en rapport STATNÄT Datakommunikation för statsförvaltningen (1990: 17). Statskontoret lämnade däri förslag till en telekommunikationsstrategi och handlingsplan samt begärde ett uppdrag att fullfölja upphandlingsarbetet av kommunikationstjänster på det sätt som föreslagits i rapporten. Regeringen beslutade den 25 april 1991 att en särskild delegation för att effektivisera myndigheternas telekommunikationer (STATFEL-delegationen) skulle inrättas. Delegationen skall enligt direktiven (Dir. 1991:29)

- utforma krav på de gemensamma teletjänster som bör an-

vändas av myndigheterna under 90-talet,

- standarder som bör användas i

ange vilka statsförvaltningens

telekommunikation efter samråd med Statskontoret, - anskaffa och teckna avtal om olika teletjänster efter samråd med Statskontoret,

- verka för en bred användning av teletjänsterna och

- redovisa de olika teletjänsternas effekter, ekonomiska och andra, för statsförvaltningen som helhet och för enskilda

myndigheter.

Arbetet skall omfatta telefoni mellan statliga myndigheter,

statliga myndigheters telefonservice åt allmänheten, telefax-

kommunikation, datakommunikationstjänster, t.ex. överföring av transaktioner, filer och dokument, överföring av med-

delanden mellan datorer (Electronic Data Interchange), elektro-

nisk post, informationshämtning från databaser, och video-

kommunikation. Delegationen skall ha slutfört sitt arbete före utgången av år 1994.

2.5.5 Den fortsatta av databastekniken

utvecklingen

I utredningens första delbetänkande SOU 1990:61 behandlades databaser främst i avsnitt 6.2.2. Under det gångna året har de publika databaserna fortsatt att öka i antal samtidigt som användarna av dessa blivit allt fler. Kostnaden för databassökning har därför kommit att en utgöra

alltmer betydande kostnad för alltfler datoranvändare. Ut-

bredningen av CD-ROM-tekniken (se avsnitt 2.6) kan dock komma att innebära en minskning av on-line.

databassökning

De områden som täcks av olika slags databaser har också blivit alltmer omfattande. Hittills har det dock huvudsakligen varit fråga om databaser med olika slags textinformation. Sedan en tid tillbaka pågår emellertid uppbyggnaden av en omfattande bilddatabas i Sverige. Bildarkivet i Kiruna AB (Bildarkivet) har i samarbete med posten och med stöd från Utvecklingsfonden i Norrbotten påbörjat ett arbete med att lagra bilder från ett antal i landet verksamma fotografer och Bilderna läses in och

bildbyråer.

lagras digitalt tillsammans med uppgifter om motiv, fotograf,

bildbyrå samt andra sökbegrepp. I slutet av år 1991 beräknas ca

400 000 bilder ha blivit inlästa och lagrade i denna bilddatabas. Bolaget räknar med att år 1994 ha mellan och fem

fyra miljoner

bilder lagrade i sin bilddatabas. Bildarkivets bilddatabas, som riktar till

huvudsakligen sig bildbyråer, reklambyråer och tidningar, beräknas vara i full

drift vid årsskiftet 1991/92. Redan i dag finns dock ett antal bild- och anslutna

reklambyråer till systemet. För att kunna nå

databasen krävs i princip endast att man har till tillgång antingen en Macintoshdator eller en persondator samt ett modem. Därutöver kan datorn behöva kompletteras med särskild programvara, färgskärm med tillhörande grafikkort samt ett speciellt kort som bildinformationen.

dekomprimerar

Den som vill söka i bilddatabasen medelst datorns ringer modem upp bilddatabasen och etablerar kontakt. Med hjälp av en särskild meny kan användaren specificera vilken typ av bild som han eller hon önskar. Det finns som nämnts ovan olika sökbegrepp inlagrade med varje bild. Ett sökbegrepp kan t.ex.

vara en specifik bildbyrå eller fotograf. Ett annat kan vara begrepp som djur, natur, människa, ålder osv. Vid tillfälle varje

får användaren uppgift om hur många bilder det finns som uppfyller villkoren. Han eller hon får samtidigt upp 12 s.k. påsiktsbilder på sin datorskärm. Dessa bilder är av tillräcklig god kvalitet för att användaren skall kunna avgöra om bilden är intressant. Det tar mindre än en sekund att överföra en sådan bild från databasen till skärmen. Det är möjligt att bläddra igenom bilderna, förstora intressanta bilder, låta intressanta bilder bli kvar på skärmen eller lagra dem lokalt i sin dator. När användaren har bestämt sig för de bilder som önskas skickar han eller hon en beställning till Bildarkivet via menyn. Från Bildarkivet kan bilden sändas direkt till användarens dator medelst telenätet eller också beställningen vidarebefordras till

fotografen eller bildbyrån som i sin tur kan skicka en kopia av

bilden med post eller på annat sätt. Priset för att ansluta sig till Bildarkivet i Kiruna ABs bilddatabas beräknas komma att ligga kring 2 000 kr per månad. Till detta kommer en särskild sökavgift. Det planeras också ett antal allmänna sökterminaler från vilka enstaka kunder skall kunna beställa bilder. Tanken är att dessa ska finnas vid en butikskedja inom kontorsmaterielbranschen.

2.6 Optiska lagringsmedia

Den optiska lagringstekniken, och då speciellt CD-ROMtekniken, har fortsatt att breda ut med en alltmer ökande

sig

hastighet. CD-ROM (Compact Disc Read Only har,

Memory)

sedan den introducerades på marknaden år 1985, utvecklats till

en accepterad metod for lagring av information och är nu

standardiserad i nästan hela världen. Den är numera också svensk standard. CD-ROM-tekniken kommer inom de närmaste åren med all sannolikhet att revolutionera all informationsspridning. Optiska lagringsmedia, och däribland CD-ROMtekniken, har utredningen tidigare behandlat i avsnitt 6.3 i SOU 1990:61. En CD-ROM-skiva kan användas för att lagra text, bild och ljud, vilka alla tre möjligheter kan användas samtidigt. På en

enda CD-ROM-skiva kan t.ex. rymmas upp till 550 megabytes,

motsvarande ca 270 000 fullskrivna A4-sidor. Det snabbt att går söka och läsa på en CD-ROM-skiva, men man kan inte skriva information på skivan. Tiden att få fram information (åtkomsttiden) varierar mellan 0,4 och 1 sekund. För att läsa av informationen på en CD-ROM-skiva krävs det en särskild CD- ROM-spelare med laser, som kan anslutas till en persondator.

Sökningen av informationen sker med hjälp av ett sökprogram som temporärt lagras i datorn så länge en viss skiva används. Till varje CD-ROM-skiva hör ett sådant sökprogram och detta kan antingen finnas lagrat på skivan själv eller på en diskett, som följer med skivan. Sökprogrammen kan vara olika för olika CD-ROM-skivor. Sökningen sker oftast med hjälp av sökmenyer och kan vara fritextsökning eller strukturerad sökning. Åtkomsten till lagrad data sker alltså normalt via viss inkluderad programvara. Vid sidan av detta sökprogram finns inga generella tekniska hinder för att med hjälp av andra system eller program söka och läsa bland lagrad data. Möjligheterna att genomföra detta beror helt och hållet på hur lagrad data är skyddade. Det är fullt praktiskt genomförbart att ha krypterade CD-ROM-skivor och i dag förekommer både okrypterade och

krypterade skivor. Den praktiska nyttan av att genomföra

fritextsökningar vid sidan av ordinarie sökprogram får anses vara begränsad. Den stora lagringskapaciteten medför nämligen att det åtgår lång tid för genomsökning av en CD-ROM-skiva. Det tar ca 80 minuter för att söka genom en full CD-ROMskiva. Möjligheterna att överföra data från CD-ROM-skivor till andra lagringsmedia är även dessa beroende av hur uppgifterna är skyddade och om eventuellt en sådan överföring understöds från rutiner i medföljande programvara. I sin enklaste form sker Överföring genom kopiering av filer från CD-ROM-skivan till annat lagringsmedia. Dessa filer kan ibland vara direkt låsbara i s.k. ASCII-kod, men detta är snarare undantag än regel. CD-ROM har visat sig vara ett idealiskt medium för termbanker, ordböcker och andra typer av faktaverk. Användarens fördelar ligger främst i att det går snabbare och enklare att söka på en CD-ROM-skiva, att en sådan skiva kan rymma en oerhörd mängd data och att det är ett behändigt format till ett relativt lågt pris. Säkerheten vid läsning från en CD-ROM-skiva är också Det är också mer ekonomiskt

mycket hög. fördelaktigt

att använda sig av informationen på en CD-ROM-skiva än att söka i en databas som endast nås via telenätet och som det är att söka i on-line. CD-ROM-skivor har även

dyrt betydligt

längre hållbarhet än disketter och hårddiskar och är avsevärt slitstarkare. Det har visat sig vara och enklare att

mycket billigare sprida

stora informationsmängder lagrade CD—ROM—skiva än

pa på

annat sätt. För det första är det enkelt och billigt att skriva in

informationen pa skivan. Skillnaden mot inskrivning på

magnetskiva eller band är ofta betydande. Med hjälp av en slags

bildinläsare, s.k. scanner, är det i dag möjligt att på ett snabbt

och förhållandevis enkelt sätt läsa in stora textmassor på bl.a. optiska lagringsmedia. Detta gör att man lätt och billigt kan komma ut med skivor ofta, t.ex. en gång i veckan. Tillverkningskostnaden för en CD-ROM-skiva uppgår för närvarande till mellan 10 och 15 kr. För det andra är skivan liten och lätt och därför billig att distribuera. För det tredje krävs inga stora och dyrbara datorer för att läsa en CD-ROM-skiva. Den kan, som tidigare har nämnts, läsas via en särskild CD-ROM-spelare som kan anslutas till en persondator.

CD-ROM-tekniken har alltså givit persondatoranvändare en

snabb och billig tillgång till mycket stora informationsmängder av alla slag. Medlet lämpar sig särskilt för stora informationsav statisk karaktär som dessutom skall distribueras till mängder Produktion av CD-ROM-skivor sker med många mottagare. av särskild teknik som kräver kunskap och utrustning. I hjälp Sverige finns det för närvarande två företag som tillverkar CD- ROM-skivor. Utbudet av CD-ROM-skivor och CD-ROM-spelare har också ökat samtidigt som priserna på dessa har börjat sjunka på ett markant sätt. Det fanns år 1985 endast tusen CD-ROM-spelare i några världen. År 1987 hade siffran stigit till omkring 100 000, huvudsakligen i USA. Enligt en beräkning var antalet sådana apparater i världen tre år senare ca en halv miljon. Antalet CD- ROM-spelare i Sverige uppskattas år 1987 ha uppgått till ca 800. Enligt en bedömning kommer antalet sådana spelare i landet år 1992 att vara drygt 26 000. Priset på CD-ROMspelare har i stort sätt halverats på något år och det finns för närvarande CD-ROM-spelare på marknaden som kostar från 4 000 kr. Priset beräknas sjunka under innevarande

ytterligare år. Det finns numera också såväl stationära som portabla CD-

ROM-spelare på marknaden. Det är vidare möjligt att ansluta en CD-ROM-spelare till ett lokalt nätverk och därigenom göra den tillgänglig för flera användare. CD-ROM-tekniken innebär att massdistribution av mycket stora datamängder kan ske. På CD-ROM-skivor finns i dag bl.a. manualer, instruktionsböcker, reservdelskataloger, företagsinformationsdatabaser, telefonkataloger, geografiska informationsdatabaser, uppslagsverk, juridisk och medicinsk information, biblioteksinformation samt ordböcker och lexika. Utgivningen av CD-ROM-titlar har fördubblats varje år sedan år 1987. l boken The CD-ROM Directory, som är en förteckning över de CD-ROM-skivor som finns på världsmark-

naden, fanns år 1989 ca 400 titlar förtecknade, år 1990 drygt

800 och i 1991 års upplaga finns drygt 1 500 titlar med.

Samtidigt som utgivningen av CD-ROM-skivor för allmänt bruk ökar blir det också allt vanligare att tar fram

företag egna

skivor för internt bruk. Man bedömer allmänt att den stora marknaden för CD-ROM inom området just ligger specialframtagna skivor för användning inom och

företag, organisationer

myndigheter. Det kan t.ex. vara fråga om olika slags dokumentation, material för och

internutbildning instruktionsprogram.

CD-ROM kan i framtiden även visa sig bli en

mycket vanlig

distributionsform för datorprogram. Redan i dag har vissa av de företag som saluför datorprogram börjat att distribuera samtliga sina program med dokumentation på CD-ROM-skiva. En enda sådan skiva kan rymma tusentals olika program. Oftast distribueras skivorna gratis. Programmen CD-ROM-skivan är på dock låsta med ett särskilt Om vill använda kodsystem. någon

sig av något av datorprogrammen på skivan måste denne

kontakta programvaruföretaget och av det få en särskild

nyckel som gör det möjligt att använda det önskade

programmet. Ett nytt område inom vilket man synes ha börjat med lagring av information på CD-ROM-skivor är datorstödd Det typografi. finns CD-ROM-skivor med bl.a. stilförråd och bildmaterial. Hur tekniken hittills kommit att användas i Sverige kan

belysas av nedanstående exempel (Se även SOU 1990:61 s

89). SAABs har fram en CD-ROM-skiva som

Flygdivision tagit

innehåller hela reservdelskatalogen för sitt SAAB

civilflygplan

340. Avsikten är att manualer 000

flygplanets samtliga (40

papperssidor av vilka 75 procent byts ut årligen) skall distribueras på en CD-ROM, som kommer att

uppdateras fyra gånger

om året.

Rikspolisstyrelsen har inlett ett projektarbete för att en skapa

datoriserad kunskapsbank benämnd Svenskt Polislexikon (SPL).

Styrelsen har låtit framställa en CD-ROM-skiva som innehåller

sådan information som anses utgöra stöd för beslutsfattande inom polisväsendet. På CD-ROM-skivan finns bl.a. vissa lagar

och förordningar som har för betydelse polisens arbete, rikspolisstyrelsens råd och anvisningar, riksåklagarens cirkulär

och vissa av J Os och JKs beslut. Även visst som

katalogmaterial

t.ex. postnummerkatalogen finns med. Avsikten är att skivan skall uppdateras en gång per kvartal. har inletts med Projektet att CD-ROM-läsare har hos ett antal och placerats polisdistrikt

hos rikspolisstyrelsen. Utanför polisväsendet har CD-ROM-

läsare även placerats hos JO, JK och riksåklagaren. Bibliotekstjänst AB har sedan juli 1990 använt av CDsig ROM-teknik för att sprida information ur sina centrala databaser till folkbiblioteken. databas Bibliotekstjänsts bibliografiska

omfattar 1,2 miljoner titlar på böcker, tidningar, tidskrifter, skivor, kassettband och videoband. Varje år tillkommer ca 70 000 nya titlar. Hittills har ca l 500 datorer och CD-ROMspelare placerats ut på omkring 80 kommunala bibliotek i Sverige. Bibliotekstjänsthar delat in landet i tre regioner, Södra regionen, Östra regionen och Väst/Norra regionen. För varje region produceras en CD-ROM-skiva, benämnd CD-KAT, som upptar alla titlar som finns på de anslutna biblioteken inom resp. region. Sökprogrammet i CD-ROM-utrustningarna är utformat så att en användare antingen kan återfinna samtliga boktitlar som finns på de anslutna biblioteken i den aktuella regionen eller endast dem som finns i bibliotekssystemet för den kommun i vilket det aktuella biblioteket är beläget. Det är även möjligt att därutöver till att endast omfatta den begränsa sökmöjligheten biblioteksfilial där man just befinner sig. CD-KAT-skivan förnyas fem gånger per år och tillställs då de bibliotekslokaler som har CD-ROM-utrustning. Namn och adressuppgifter för de anslutna bibliotekens låntagare (närmare två miljoner personer) registreras av Bibliotekstjänst på en särskild CD-ROM-skiva, CDL, med samma uppdateringsfrekvens som CD-KAT. Skivan innehåller uppgifter om låntagarnas namn, personnummer, adresser och låntagarnummer. På skivan finns även vissa biblioteksstatistiska uppgifter, vilka dock inte är anknutna till identifierbara låntagare. Uppgifter om lånade böcker finns enligt uppgift inte på skivan. Med början hösten 1991 ämnar Bibliotekstjänst starta utgivningen av en CD-ROM-skiva som inne-

håller bibliografiska referenser till tidnings- och tidskrifts-

artiklar. Vidare finns planer på att senare ge ut en CD-ROMskiva med korta recensioner på nyutkommen litteratur.

Upplysningscentralen (UC) har framställt en CD-ROM-skiva

med information om hundratusentals företag. För vart och ett av dessa företag finns ett sjuttiotal olika uppgifter som daterar sig tre år tillbaka i tiden. Till den information som finns hör exempelvis och kan ske

omsättning nyckeltal. Sökning på

företagsnamn eller organisationsnamn. Det går också att söka på telefonnummer. Med hjälp av program som sänds med är det bl.a. möjligt att skriva ut etiketter. Det finns 27 kriterier för sökning. Två företag, Scandinavian PC Systems AB och PCD-Consult AB, har på var sin CD-ROM-skiva gett ut det allmänna företagsregistret (BASUN), dvs. SCBs register över ca 390 000 svenska företag, organisationer och myndigheter i Sverige. Namn och adresser kan sökas på dessa skivor efter olika urvalskriterier och skrivas ut på bl.a. etiketter, listor och kort. Båda versionerna uppdateras regelbundet. Det som skiljer dem

åt är sökprogrammet. Dessa CD-ROM-skivor kostar från ca 5 000 kr. Det svenska televerket uppger sig ha långt framskridna planer på att ge ut den kompletta svenska telefonkatalogen på en CD- ROM-skiva. På den internationella marknaden finns ett relativt stort antal CD-ROM-skivor som var och en i vissa fall kan innehålla uppgifter om miljontals personer och företag. Vad angår ett annat optiskt lagringsmedium, WORM-skivan (se avsnitt 6.3 i SOU 1990:61), kan nämnas att skatteförvaltningen i Stockholms län har för avsikt att på försök börja lagra deklarationsblanketter på sådana WORM-skivor. Avsikten är att med hjälp av s.k. scanner läsa in deklarationsblanketterna som elektroniska bilder på dessa skivor. Taxeringstjänstemännen skall sedan via en terminal kunna söka och granska valfritt ärende, sortera, bunta och markera ärenden för senare behandling. Utan att behöva använda sig av papper eller kopieringsmaskin skall en deklarationsgranskare kunna sköta skriftväxling med den skattskyldige, göra kommentarer och anteckningar under granskningen, lägga undan handlingar för senare bearbetning och skriva ut ärenden på skrivare eller telefax. Arbete pågår med att ta fram en ny generation CD-skivor, kallad CD-I (Compact Disc Interactive). CD-I är en teknik för att lagra digital video på en CD-skiva. CD-I kan, liksom CD- ROM, hantera både text, bild och ljud men dessutom rörliga bilder och film. CD-I-spelaren behöver dock inte anslutas till en dator utan kommer även att kunna kopplas upp mot en vanlig TV eller förstärkare. Redan på det stadium som CD-I-tekniken befinner sig på i dag kan på en CD-I-skiva lagras 6 300 högklassiga bilder, 130 000 bilder i enklare utförande, ljud i upp till 19 timmar och 72 minuters visning av rörliga bilder med samtidigt ljud i enklare återgivning. CD-I är tänkt att lanseras för hemmabruk med titlar inom musikvideos, spel, sport, turistinformation m.m. Den kommer även att kunna användas inom utbildning, t.ex. inom industrin och skolan. På sikt kan CD-I-skivan därför kanske komma att bli en konkurrent till videokassetter. Utvecklingsarbete pågår också beträffande den

s.k. CD-ROM/XA-skivan.(XA står här för Extended Architec-

ture.) Denna skiva är en utveckling av CD-ROM-skivan och

utgör en brygga mellan CD-ROM och CD-I. CD-ROM/XA gör

det möjligt att spela 17 timmar ljud mot 72 minuter som är det normala för en vanlig CD-ROM-skiva. På en CD-ROM/XAskiva är det också möjligt att kombinera och data, ljud, grafik rörliga bilder. Den fortsatta utvecklingen av detta medium

kommer därför att få stor betydelse för den s.k. multimediatekniken (se avsnitt 2.7). Vidare har nyligen lanserats en ny variant av optiskt lagrings-

medium, nämligen s.k. optiska kort, Optical Cards. Detta är

kort som inte är större än ett normalt kreditkort men som har

ett minnesutrymme om två megabytes, motsvarande ett tusental

A4-sidor med text. Kortet är främst avsett att användas som IDkort, för manualer och inom utbildning. Optiska kort kommer inom kort att användas på försök inom Västerbottens och Uppsala läns landsting där ett antal patienter kommer att få sina sjukjournaler inlagda på sådana kort.

2.7 Multimedia

Ett begrepp som på senare tid allt oftare kommit att användas

i datasammanhang är multimedia. Uttrycket började att

användas redan på 1960-talet som beteckning for att man i reklamkampanjer använde sig av olika slags media (tidningar, radio och TV) för att föra ut sitt budskap. I dag har multimedia blivit ett samlingsnamn for ett antal olika tillämpningar som har det gemensamt att information av olika typer av media, t.ex. ljud, bild, film, text, grafik och data, hanteras av samma datorsystem och presenteras samlat. De system som i dag huvudsakligen används inom multimediaområdet är s.k.

interaktiva videosystem, vilka bygger pa en blandning av

videoteknik och datateknik. Multimedia berör många olika ämnen och områden och kan användas för både konsumentbruk och företagsbruk. Exempel på användningsområden är datorstödd presentation och utbildning. I främst USA men också i viss omfattning i Sverige (t.ex.

ICAs styckmästarutbildning samt för utbildning av postbehand-

lingspersonal inom postverket) används multimediatekniken av

företag för att förmedla yrkeskunskaper till de anställda.

Motiven är att en sådan utbildning är mera effektiv och flexibel än traditionell lärarledd utbildning. Utbildningskostnaderna blir också Med interaktiv video ersätts läraren av en dator och lägre.

en videobandspelare. En sådan utbildning kan vara mycket

pedagogiskt upplagd och ske utan annan medverkan än den anställdes. En instruktionsröst vägleder eleven, medan olika bild- och textfunktioner blandas. Andra användningsområden för multimedia är musik, underhållning, uppslagsverk, forlagsverksamhet, kataloger och olika slags tjänster. Exempel på sammanhang där multimedia redan

kommit till användning är olika slags informationsanordningar

på flygplatser, järnvägsstationer etc. I framtiden kan kunder

med hjälp av multimedia genom sådana anordningar ges all information de önskar om en viss vara eller tjänst.

Resebyråer

kan komma att använda sig av multimedia och låta kunden se olika bilder och annan information om resmål. presumtiva Mäklare kan på sitt kontor visa detaljerade exteriör- och interiörbilder på olika husobjekt. Köpare av möbler kan t.ex. redan i affären möblera sitt hem med av multimedia. hjälp Offentliga myndigheter kan också använda sig av multimedia för att på ett billigt och lättförståeligt sätt lämna information till medborgarna. Så sker redan i dag i viss utsträckning i USA, t.ex. i delstaten Hawaii. En särskild av multimediatekniken är den som

tillämpning går

under beteckningen hypermedia. Hypermedia används för att beteckna ett sätt att hantera stora mängder ostrukturerad information. Användaren får genom hypermedia ett

godtyckligt

antal vägar att välja på för att ta sig fram mellan text, bilder, ljud och video. Typiska användningsområden för hypermediasystem är datoriserade uppslagsverk, instruktionsböcker och tekniska handböcker etc.

2. 8

Avslutning

Av den lämnade av datateknikens

redovisningen utveckling

framgår att det sker en allt ökande integration av funktioner och system. En följd av detta är att det inte längre är lätt att avgöra

olika datorprograms möjligheter, t.ex. kan man i dag med ett

datorprogram för ord- och textbehandling även utföra bl.a.

kalkyleringar, administrationsfunktioner, datakommunikation och registerhantering. Ett annat exempel hur funktionerna

på alltmer integreras är de s.k. Den

kontorsinformationssystemen.

information som lagras blir alltmer olikartad och kan bestå av både ord, text, bild och ljud. Jfr den ovan nämnda multimediatekniken. Det blir vidare allt svårare att skilja själva datorn och datorprogrammens olika funktioner från varandra. Även mellan vad som gränsdragningen är programvara och vilken information som är lagrad på datamedier blir allt svårare att göra. Det pågår inte bara en integration av de olika funktion-

erna i ett datasystem utan även av de olika Som datasystemen.

exempel kan nämnas att det inom såväl tillverkningsindustrin som tjänsteproduktionen sker en utveckling mot integrerade datoriserade I sådana kan

produktionssystem. integrerade system

ingå administrativa personaladministrativa system, registrering av in- och utpassering, behörighetskontroll, administrativa

redovisningssystem, planeringssystem samt styrsystem för pro-

duktion, materialhantering och transporter.

3 Begreppen personregister

och

registeransvarig

3.1 Personregister (persondatamängd)

3. l .l Gällande rätt

Med begreppet personregister förstås enligt 1 § datalagen

förteckning eller andra anteckningar som förs med register, av automatisk databehandling (ADB) och som innehåller hjälp

som kan hänföras till den som avses med

personuppgzfi‘

uppgiften.

I till l § anförde departementschefen om specialmotiveringen

bl.a. följande (prop. 1973:33 s. 118 f): registerbegreppet

Vad beträffar register bör därunder falla förutom begreppet register även förteckningar och andra anteckningar. Uppenbarligen avses i första hand förteckningar som omfattar ett flertal faktiska

av likartat undantagsfall bör det emellertid kunna uppgifter slag. I

vara fråga om endast en enda uppgift. För att ett register skall anses föreligga måste det emellertid direkt eller indirekt vara fråga

om behandling från inforrnationssynpunkt av faktiska uppgifter.

Ett ADB-register kan sålunda inte anses upprättat bara genom att

löpande text lagras i ett datamedium, exempelvis för att sättning

skall kunna ske med av ADB-teknik. faller

hjälp Uppenbarligen

på grund härav åtskillig databehandling av olika slags litteratur, främst skönlitteratur, utanför datalagens tillståndssystem. Först i

den mån databehandlingen tar sikte på faktiska uppgifter i den litterära framställningen - såsom för upprättande av innehålls-

register eller liknande föreligger ett register i datalagens mening. Vidare bör ett register anses föreligga, om de lagrade uppgifterna

skall användas för att framställa exempelvis en telefonkatalog, ett

adressregister eller en taxeringskalender. Den närmare gränsdragningen när det gäller att bestämma registerbegreppets innebörd får göras i praxis. Aven frågan huruvida ett eller flera register skall anses föreligga får avgöras närmare i praxis. Jag ansluter mig till SCB:s

uppfattning att det ofta torde vara lämpligt att betrakta hela systern av datafiler och till dessa hörande hårlednings- och bearbetningsprogram som ett enda personregister. En förutsättning bör dock vara att systemet tekniskt och administrativt fungerar så, att det är naturligt att uppfatta det som en enhet.

Med hänsyn till vad jag nu har anfört anser jag att med person-

register i datalagens mening bör avses register, förteckning eller andra anteckningar som förs med hjälp av ADB och som innehåller personuppgifter som kan hänföras till den som avses med uppgiften.

Avgörande för frågan om datalagen över huvud är taget

tillämplig på ett register är vidare huruvida registret förs med

hjälp av ADB eller inte. Register som fors med av annan hjälp teknik än ADB faller i dag utanför

datalagens tillämpnings-

område. Med avses

begreppet personuppgzft upplysning som avser

enskild person. Sådana personuppgifter kan vara av olika många slag. Upplysningar som avser en persons namn, personnummer,

födelsedatum, nationalitet, utbildning och familje- och an-

ställningsförhållanden är självklart att anse som sådana personuppgifter. Även upplysningar som är av mindre personlig natur kan emellertid anses Hit bör utgöra personuppgift. enligt

lagmotiven höra exempelvis upplysningar om en persons bostadsförhållanden, banktillgodohavanden, fastighets- eller

bilinnehav samt som i

upplysningar övrigt rör en persons

ekonomiska ställning. En personuppgift kan hänföras till en viss person antingen direkt eller med genom själva personuppgiften hjälp av särskild

identitetsuppgift som också ingår i En registret. identitetsuppgift

behöver dock inte var och unik eller sådan att den är

entydig

mera allmänt bekant. Även register som inte innehåller andra

identitetsuppgifter än sådana som gör det möjligt enbart för den invigde att förstå vilken person som en avser upplysning

omfattas av datalagens bestämmelser. Om en person kan identifieras

genom anställningsnummer,

medlemsnummer, kundnummer eller liknande är att registret anse som ett personregister. Detsamma statistiska gäller

uppgifter där beteckningar och som också återfinns dylikt på

dokument gör det att till viss

möjligt återknyta uppgifterna en

person. Ur praxis kan hämtas fall.

följande

Ett fall som år 1975 prövades av ett

regeringen gällde register

som avsåg att kontrollera ett

telefondebiteringen på företag

genom att uppgift om samtal som fördes vissa

på telefonanknyt-

ningar registrerades. Eftersom uppgifterna inte med säkerhet

kunna knytas till en viss anställd då person, varje telefonanknyt-

ning disponerades av flera personer, ansågs dock inte ett

personregister föreligga (Se om fallet även avsnitt 6.2.4 i SOU

1991:21). Ett spaningsregister som generaltullstyrelsen förde skulle enbart innehålla olika uppgifter om transportmedel (bilar, fartyg etc.) såsom transportmedelskod, fartygshamn, registreringsnamn, fabrikat, färg, årsmodell och särskilda kännetecken. Registret ansågs likväl vara personregister, eftersom ändamålet med registreringen var att söka upplysning om enskild person och det dessutom till exempelvis varje motorfordon fanns en ägare anknuten (dnr 3325-82). Av betydelse för personregisterbegreppet är också ändamålet med ett register. I ett tillståndsärende skall datainspektionen enligt 5 § datalagen meddela villkor om ändamålet med registret. Enligt de allmänna bestämmelserna i 7 § datalagen skall vidare ett personregister föras for ett bestämt ändamål (se också 7 a § om innehållet i den förteckning som en registeransvarig skall ha över sina personregister).

3.1.2 Utredningens tidigare överväganden

Utredningen har tidigare ansett (se avsnitt 8.3 i SOU 1990:61) att det är olämpligt att ha kvar en koppling mellan begreppet personregister och de ADB-tekniska registerbegreppen. Det begrepp som bör bilda utgångspunkt för i

integritetsskyddet

datalagen bör enligt utredningens mening så långt möjligt frikopplas från de tekniska registerbestämningarna.

Begreppet personregister bör enligt utredningen - med hänsyn

till risken för en sammanblandning med de tekniska registerbegreppen - bestämmas på ett annat sätt än f.n. Av for

betydelse integritetsskyddet är begreppet personuppgift, dvs. upplysning

eller som avser enskild anförde

uppgift person. Utredningen

vidare (s. 143 ff) bl.a.:

I datalagen bör som grundläggande bestämning därför tas in en regel som tar sikte på ändamålet med inforrnationsbehandlingen, utan att beståmningen som nu direkt kopplas till förekomsten av register, förteckning eller andra anteckningar. Om ändamålet med insamling eller lagring av personuppgifter, som kan tas fram eller bearbetas på elektronisk eller på annan automatisk väg, är att få uppgifter tillgängliga som kan identifiera en enskild person, skall datalagens integritetsskyddsbestämmelser vara tillämpliga och ett personregister anses föreligga, oavsett om uppgifterna finns lagrade i traditionella dataregister (filer) eller i databaser eller med någon annan teknik. Det innebär att exempelvis personuppgifter i såväl datoriserade klipparkiv som i ordbehandlingsprogram, vilka har sökfunktioner, kan anses som personregister, om tekniken används för att ta fram uppgifter om

enskilda. Det avgörande bör således vara i vilket syfte och på vilket sätt tekniken utnyttjas, inte de tekniska möjligheterna i sig. Det närmare ändamålet med hanteringen av personuppgifterna

och deras innehåll, dvs. personregister i datalagens nu föreslagna

mening, blir sedan styrande för de krav som uppställs i fråga om anmälan till datainspektionen eller tillämpning av de olika föreskrifter som inspektionen kan ha meddelat (se avsnitt 8.6.1 och 8.6.2). En sådan mera rättslig definition av begreppet personregister leder också till att ett nytt register får anses föreligga om ändamålet med registret ändras eller utvidgas på ett sådant sätt att situationen är att jämställa med att ett nytt register inrättas (jfr. KU 1985/86:25 s. 24 t). En viktig fråga är naturligtvis hur ändamålet skall kunna ges en tillfredsställande utfomming i integritetsskyddshänseende. Det får, á ena sidan, inte bli så vitt att det kan rymma allehanda verksamheter. Det får exempelvis anses uteslutet att ett uppgivet ändamål

från en registeransvarig anges enbart som samhällsplanering

eller för att kravet på ett tydligt angivet ändamål skall

forskning

vara uppfyllt. A andra sidan får det inte utformas så snävt att varje förändring i informationsbehandlingen skulle behöva föranleda en ny anmälan e.d. Det är önskvärt att, i linje med vad som gäller redan enligt vissa av datains ektionens föreskrifter (DIFS 1989:2 och 1990:1) och som har erörts i konstitutionsutskottets nyss angivna betänkande, endast väsentliga förändringar av ett register behöver utlösa en sådan aktivitet hos den registeransvarige. Enligt utredningens mening förefaller en ändamålsbestämning lämplig som tar sin ut ångspunkt i den registeransvariges verksamhet sådan den ramgår exempelvis av en

myndighets instruktion eller beskrivningen i en bolagsordning.

Denna begränsning skulle utgöra den yttersta ramen inom vilken den registeransvarige skulle ha att närmare konkretisera ändamålet med en åsyftad automatisk insamling eller lagring av personuppgifter. Med en utgångspunkt i en rättslig och ändamâlsrelaterad definition av personregisterbegrep et bör man enligt utredningens mening också i viss mån bättre omma till rätta med avgränsningen gentemot manuell bearbetning. Om det avseende ett register som inrättas eller förs för ett visst ändamål och där bearbetningen i något led sker på elektronisk eller på arman automatisk väg förekommer manuella inslag (exempelvis manuell

insamling av uppgifter som skall ingå i registret eller också att registret tillförs uppgifter på manuell väg), bör detta i princip inte

ändra karaktären av personregister i datalagens

mening. Enligt

gällande rätt förstås med inrättande av personregister även

insamling av uppgifter som skall ingå i registret. När det gäller övriga manuella inslag bör manuellt förda uppgifter, exempelvis

bestämda sökord, som är en för den automatiska

förutsättning bearbetningen, enligt utredningens mening framgent också

omfattas av registerbegreppet. Vidare kan övervägas att låta manuella personuppgifter som tekniskt bearbetad data hänvisar till in å i begreppet, om det finns ett klart samband mellan de olika

informationsdelarna. Slutligen bör, liksom f.n. givetvis dokumen-

tationen av bearbetningen omfattas av registerbegreppet.

Remissyttrandena

När det gäller utredningens rörande överväganden person-

registerbegreppet yttrade sig följande remissinstanser: riksdagens ombudsmän, datainspektionen, riksförsäkringsverket,

riksskatteverket, juridiska fakultetsnämnden

bankinspektionen, vid Stockholms universitet, Statskontoret, Svenska kommun-

förbundet, Landstingsförbundet och Swedish Direct Marketing

Association och Kommundata AB.

Riksförsäkringsverket, riksskatteverket, Svenska kommun-

och Kommundata AB i

förbundet, Landstingsförbundet synes

allt väsentligt dela utredningens preliminära ståndpunkter.

De remissinstanserna var, som framgår av det följande, övriga mer eller mindre kritiska till redovisning i denna utredningens

del.

det vara en riktig inriktning att söka

Datainspektionen ansåg

ett närmare till syftet med den

knyta personregisterbegrepp

automatiska behandlingen av och att det var en

personuppgifter

att försöka komma ifran risken för en

riktig målsättning

förväxling av tekniska registerbegrepp med ett personregister-

i menade emellertid att det också

begrepp lagen. Inspektionen var att de i lagen så nära

angeläget grundläggande begreppen

som anslöt till anförde

möjligt vanligt språkbruk. Inspektionen

därvid bl.a.:

Det är t.ex. främmande för vanligt språkbruk att använda registerbegreppet på textmassor som har lagrats på ADB-medium Tekniken har

i syfte att kunna t.ex. söka fram personuppgifter. gått dithän att behandling av personuppgifter måste kunna regleras

från oberoende av om de finns lagrade i integritetssynpunkt register eller e’.

Aven om diet finns lagtekniska fördelar med att använda ett

som ett samlingsbegrepp för personuppgifter som

registerbegrepp hanteras för ett visst ändamål, anser DI mot bakgrund av det anförda, att utredningen bör undersöka möjligheterna att definiera på ett annorlunda sätt i syfte att registerbegreppet helt samlingen skall kunna utmönstras i en kommande datalag. hittills har redovisat om I fråga om det som utredningen (betänkandet sid. 142 ff) vill DI anföra

personregisterbegreppet

följande.

DI är alltså tveksam till om just ett personregisterbegrepp bör användas för att ange en grundläggande bestämning av lagens

tillämplighet. DI är dock enig med utredningen om det väsentligaste, nämligen att en sådan bestämning bör ges ett annorlunda

innehåll än vad dagens personregisterbegrepp har enligt lagtexten. Det bör vara syftet Utredningens inriktning synes här vara riktig.

eller avsikten med som avgör om

personuppgiftshanteringen_

datalagens skyddsregler skall vara tillämpliga. Ar syftet att samla

in och lagra samt ta fram eller bearbeta personuppgifter med hjälp

av automatik bör datalagen vara tillämplig, medan t.ex. användande av automatik endast för att underlätta tryckning av en

textmassa inte bör omfattas även om den innehåller personuppgif-

ter. Det är en grannlaga men viktig uppgift att dra denna gräns och att närmare beskriva den i lagförslag och motiv. Det synes vidare kunna vara ett riktigt betraktelsesätt att låta det närmare ändamålet med en informationsbehandling styra vad som skall anses vara den enhet eller det förfarande till vilket knyts

föreskrifter och villkor, t.ex. en anmälningsplikt.

DI vill i detta sammanhang peka på en oklarhet i utredmngsförslaget. Utredningen föreslår (sid. 143 nederst) att datalagens integritetsskyddsbestämmelser skall vara tillämpliga om ändamålet med insamling eller lagring av personuppgifter, som kan tas fram eller bearbetas på elektronisk eller på annan automatisk väg, är att få uppgifter tillgängliga som kan identifiera en enskild person. Konsekvensen av ett sådant synsätt blir att vissa av dagens personregister inom t.ex. områdena forskning oç_h statistik kommer att undantas från integritetsskyddsreglema. Andamålet med dessa register är nämligen sällan något annat än att registret skall utgöra underlag för att ta fram avidentifierade statistiska sammanställningar. DI finner det osannolikt att det har varit utredningens avsikt att datalagens tillämpningsområde bör avgränsas på ett sådant sätt... En särskild fråga är i vad mån manuell hantering av personuppgifter i vissa fall skall anses omfattade av reglerna i en datalag, anses ingå i personregistret , även om lagen liksom för närvarande i princip begränsas till ADB-hantering. Här bör man hålla isär två skilda frågeställningar. Den ena är om de endast manuellt lagrade personup gifterna skall anses ingå i ADB-hanteringen och därför om attas av reglerna i lagen, t.ex. Dls möjlighet att meddela generella föreskrifter eller villkor i det enskilda fallet. I den delen bör utredningen enligt DIs mening närmare överväga och klargöra i vad mån hantering av indata och utdata på papper samt manuellt förda handlingar av olika slag, t.ex. nyckelkoder, skall omfattas av datalagens regler. För att manuellt förda uppgifter skall träffas av regleringen bör det enligt Dls mening föreligga en mycket stark koppling till själva ADB-registret. Den andra frågeställningen är huruvida det vid bedömandet av

ett registers integritetskänslighet bör tas hänsyn också till person-

uppgifter som inte ingår i registret, därför att de förs manuellt, exempelvis därför att de innehåller mycket känsliga uppgifter som lättare blir tillgängliga genom ADB-registret. Utredningen bör enligt DIs mening närmare utreda de gräns-

dragningsproblem som dessa frågeställningar ger upphov till.

Bankinspektionen anförde för sin del följande:

Bankinspektionen anser utredningens förslag vara en lösning i

rätt riktning. Det synes emellertid enligt bankinspektionens uppfattning som nödvändigt att nännare analysera de konsekvenser

det nya registerbegreppet kan få om tillståndsförfarandet för

personregister samtidigt avskaffas. Bankinspektionen är tveksam

till att personregisterbegreppet skulle få en sådan vidsträckt omfattning att även manuella personuppgifter som tekniskt

bearbetad data hänvisar till, skulle ingå i begreppet (betänkandet s. 145). Bankinspektionen bedömer vidare att det kan uppstå svårigheter att avgöra om sambearbetningar av personregister i

lagens mening sker med den föreslagna definitionen. Samman-

fattningsvis förordas att en mer ingående analys görs av person-

registerbegreppet och förslagets tänkbara praktiska konsekvenser.

Juridiska fakultetsnämnden vid Stockholms universitet ansåg att en grundligare erfordrades och menade att utred-

analys

ningen misstagit sig på vissa punkter:

När utredningen talar om de tekniska registerbegreppen och diskuterar riskerna för sammanblandning mellan tekniska och juridiska begrepp lägger man överdriven vikt vid den fysiska datalagringen (traditionella filer, databaser m.m.) och bortser från den brygga mellan teknik och juridik som den logiska dataorganisationen utgör. Man överbetonar sannolikt - framför allt från rättsteknisk synpunkt till skillnad från utbildningssynpunkt -de svårigheter lokutionen register, förteckning eller andra anteckningar ger upphov till. Utredningens (inte helt klart redovisa-

de) förslag att inte direkt koppla ändamål till förekomsten av

register, förteckning eller andra anteckningar (sid. 143) förefaller därför vara svagare underbyggt och utrett än man är medveten om. Konsekvenserna av att ge upp registerbegreppet (om nu detta är avsikten?) måste alltså betydligt mer å

analyseras

djupet. Skall datalagen också i fortsättningen vara en lag för

databehandling måste man på något sätt markera att det är fråga om datasamlingar som låter sig systematiskt utnyttjas och bearbetas för att återfinna eller på andra sätt generera personanknuten information. Förhållanden till annan lagstiftning där registerbegreppet är aktuellt måste också ägnas tillräcklig uppmärksamhet med hänsyn till behovet av standardiserad rättslig terminologi inom datarätten (jfr. t.ex. TF 2 kapitlet, 7 § andra stycket, punkt 1). Utredningen betonar, helt i enlighet med gällande rätt och gängse synsätt, ändamålets betydelse för avgränsningen av personregister och, överhuvudtaget skyddet av den personliga integriteten. Samtidigt är det svårt att förstå vad utredningen avser med sin föreslagna ändring av personregisterbegreppet, vilken skulle innebära starkare anknytning till ändamålet med registret (sid. 160, jfr. 142-145). Redan enligt gällande rätt definieras ju ett register av det därtill knutna ändamålet - inte (ensidigt) av den tekniska uppbyggnaden, struktureringen etc, av en viss datasamling. Ursprungligen, dvs. vid datalagens tillkomst var det med hänsyn till dåvarande databehandlingsmetoder naturligt att uppfatta

tekniska åtgärder som avgörande för avgränsningen av ett register.

Men inte ens då var detta synsätt avgörande: i lagförarbetena framhåller departementschefen att det kunde vara lämpligt att betrakta hela system av datafiler... som ett enda personregister (prop. 1973:33, sid. 119). Detta synsätt har sedan fullfölts och utvecklats i Det blir således inte klart vad utr ningen

praxis.

menar med sin föreslagna ändring av personregisterbegreppet. Det exempel som ges är knappast hjälpsamt. Utredningen konstaterar nämligen att av vad som är ett register

bedömningen

för personligt bruk kommer att bli inte graden av användning

eller anknytning till förvärvsverksamhet utan endast ändamålet

med registret: Om således personuppgifter som används för

personligt bruk även till en begränsad del skulle användas exempelvis för ett ändamål som faller inom ramen för ett anställningsförhâllande eller arman förvärvsverksamhet, innebär det

senare syftet att reglerna för icke privata register blir tillämpliga.

Men detta gäller ju även nu - redan i lagtexten i 2 § tredje stycket anges att undantaget förutsätter att det är fråga om personregister som enskild erson inrättar eller för uteslutande för personligt

bruk. Oklarlieten blir inte mindre när utredningen längre fram

konstaterar att registerförteckningar enligt 7 a § datalagen inte behöver omfatta de register som förs huvudsakligen för person-

ligt bruk (sid. 192), kursiv tillagd).

Statskontoret uppgav att det hade samma uppfattning som utredningen angáende de tillämpningssvårigheter nuvarande

personregisterbegrepp innebär och anförde:

Att i stället, som föreslås, utgå ifrån ändamålet med informationsbehandlingen, syftet och på vilket sätt tekniken används, kan vara en möjlig väg att komma ifrån nuvarande tillämpningssvårigheter. En nackdel med en sådan lösning är att ändamålet och kopplingen till den registeransvariges verksamhet - som den framgår i en instruktion eller bolagsordning - i sig själv innebär tolkningsproblem och svåröverskådlighet, då dessa begrepp inte är entydiga eller möjliga att förutbeståmma. Detta gäller även om begränsningen utgör den yttersta ramen inom vilken den registeransvarige har att närmare konkretisera ändamålet med en åsyftad bearbetning, insamling eller lagring av personuppgifter. Vi föreslår att man söker en annan lösning än den som utredningen angivet.

Riksdagens ombudsmän (JO Hans Ragnemalm) avstyrkte

förslaget till ny ändamálsinriktad definition av datalagens personregisterbegrepp och uppgav:

Jag finner utredningens förslag i detta stycke behäftat med allvarliga brister, bl.a. risker från integritetsskyddssynpunkt. För det första synes avgränsningen av olika registertyper enligt den ändamålsinriktade begreppsbestämnin gen kunna ge upphov till praktiska tillämpningsproblem, vilka kan befaras bli väl så svårhanterli ga som de i betänkandet angivna tillämpningssvårighetema avseende den nu gällande definitionen. För det andra - och det är den för mig centrala invändningen - torde risken öka betydligt för att register växer fram helt utanför datainspektionens kontroll, vilkas blotta existens innebär en potentiell fara för integritetsiritrâng. Den som lägger upp ett ADB-register med integritetskänsliga personuppgifter utan angivet ändamål att få tillgång till uppgifter, som kan identifiera enskild person, skulle enligt förslaget inte ens vara pliktig att anmäla förhållandet till datainspektionen, då det enligt definitionen inte vore fråga om ett personregister, detta även om de tekniska möjligheterna i sig” skulle

medge framtagning av individrelaterade uppgifter. En sådan ordning ser jag mig föranlâten att bestämt avstyrka. Datalagens till

ADB-begreppet kopplade definition av begreppet personregister har inte tillkommit utan tungt vägande skäl. Det sammanhänger

med det förhållandet, att det är just ianspråktagandet av ADB-

tekniken i samband med insamling och lagring av integritetskänsliga personuppgifter, som - på grund av de särskilda möjligheter som denna teknik erbjuder vad gäller lagring, bearbetning, och distribution sammanställning av stor infonnationsmängder innebär dramatiskt ökade risker för integritetskränkningar. Jag anser, att de argument som lett till att datalagens personregisterbegrep kopplas till ett tekniskt ADB-begrepp har fortsatt bärkra t. Det kan i vart fall inte accepteras, att register inrymmande känsliga personuppgifter och med tekniska möjligheter att få fram sådana uppgifter på individnivå får etableras vid sidan av kontrollsystemet enligt datalagen, enbart på den grunden att registrets uppgivna syfte inte är att få sådana uppgifter tillgängliga.

Swedish Direct Marketing Association slutligen anförde för sin

del följande:

Organisationerna vill inte i och för sig motsätta sig en förslagen definition av registerbegreppet i vad gäller privata register och därmed tillämpligheten av datalagen, eftersom detta förhållandei sig är inte ägnat att förändra tillämpligheten av datalagen på personregister i någon större utsträckning. Vad som däremot möjligen kan inge farhågor med ett ändamålsstyrt personregisterbegrepp är hur hanteringen av det närmare ändamålet med insamlingen, det vill säga orsaken till varför uppgifterna insamlats, kan komma att ske. Det är ju med utgångspunkt i detta ändamâlsbegrepp som lagen och eventuella föreskrifter kommer att göra skyddsregler mot otillbörligt integritetsintrång gällande. Organisationerna vill framhålla att det är viktigt att inte ett allt för snävt synsätt kommer att tillämpas av lagstiftaren och tillsynsmyndigheten. Det skulle vara ett slöseri med näringslivets resurser och effektivitet om inte en tämligen vid ändamålsbeståmning blev tillåten vid föranden av register så att inte varje liten förändring utlöser ett arbete med anmälningar och förhandlingar med tillsynsmyndigheten under påstående att ett nytt register skapats. Grundprincipen måste i detta fall vara att om ett företag i näringslivet har till ändamål att marknadsföra och sälja vissa produkter, detta ändamål kan anses nog preciserat. Sådana personregister som förs av företag - inom ramen för såväl datalagen som eventuella föreskrifter och branschnormer - skall kunna omfatta såväl nuvarande kunder som sådana rupper av människor som kan tänkas bli kunder i framtiden el er tillföras nya uppgifter från offentliga register till stöd för marknadsföring av befintliga eller nya produkter.

3. 1.4 Europarådskonventionen

I Europarádskonventionen (se avsnitt 7.1 i SOU 1990:61)

definieras (art. 2) personuppgift, automatiskt dataregister och automatisk behandling på följande sätt:

Personuppgift (personal data): varje information som är hänförlig till en identifierad eller identifierbar individ (data-

subjekt/datasubject).

Automatiskt dataregister (automated data file): varje mängd

(set) uppgifter (data) som är föremål för automatisk behandling. Automatisk behandling omfattar följande operationer, om de

helt eller delvis utförs på automatisk väg (by automated means): lagring av data, utförandet av logiska och/eller aritmetiska

operationer med dessa data samt ändring, strykning, åter-

hämtning eller spridning av dem (alteration, erasure, retrieval

or dissemination).

3.1.5 Förslaget till EG-direktiv

I utkastet till EG-direktiv (se avsnitt 3 i SOU 1991:21) används följande definition (art. 2) av personregister (personal data

file): varje mängd (set) av personuppgifter, oavsett om de är centraliserade eller geografiskt utspridda, som är föremål för automatisk behandling eller som, även om de inte är föremål för automatisk behandling, är strukturerade och tillgängliga i en organiserad samling i enlighet med vissa särskilda kriterier, på sådant sätt att användningen eller kombinationen av dem underlättas (...structured and accessible in an organized collection according to specific criteria in such a way as to

facilitate their use or combination).

Med personuppgift (personal data) avses information varje som är hänförlig till en identifierad eller identifierbar individ

(datasubjekt/datasubject); en identifierbar individ är särskilt en

individ som kan identifieras med hänvisning till ett identifikationsnummer eller liknande identifieringsfaktor (identifiiing particular). Med behandling (processing) förstås följande operationer, oavsett om de utförs automatiskt eller inte: anteckning, lagring eller kombination av uppgifter, liksom i eller anändring vändning av eller kommunikation med dem, inklusive överföring (transmission), spridning (dissemination), återhämtning

(retrieval), innehållande (blocking) eller strykning (erasure).

I kommentaren till dessa definitioner sägs bl.a.: Begreppen har hämtats från Europarådskonventionen men har ändrats och

förtydligats för att ge en tillräcklig skyddsnivå inom Gemen-

skapen... Personuppgift. Liksom i (Europarådskonventionen) har en vid definition använts för att täcka all information som

kan kopplas till en enskild. Beroende användningen kan

på varje enskild uppgift som är till en även om den

hänförlig enskild,

verkar oskadlig, vara enbart en känslig (exempelvis postadress).

I syfte att undvika att fall där indirekt det

identifiering gör

möjligt att kringgå definitionen, anges att en identifierbar

individ är en individ som kan identifieras med till ett hänvisning nummer eller en liknande identifieringsfaktor (identifying

particular)... Personregister. Bestämningen utgår från

tillgänglighetskriteriet, antingen genom manuell hantering i de fall registret består av en strukturerade eller samling uppgifter, genom automatisk behandling som tillåter av sammanställning

spridda uppgifter (grouping together of disseminated data) eller

utdrag (extraction) av uppgifter från en text med

fullständig

användning av en metod som motsvarar den som finns i ett register. Begreppet täcker därför strukturerade automatiska och manuella register. Individuella register, och särskilt administrativa register, som inte innehåller en strukturerad samling personuppgifter omfattas inte på grund av de särskilda och skilda lagarna som dem i medlemsstaterna... Behandreglerar

ling. Genom att räkna upp de huvudsakliga behandlingsoperationerna har det begrepp som finns i Europarådskonventionen anpassats för att passa den vidare omfattningen av registerbegreppet. Operationer som kombinerar uppgifter omfattas, eftersom de gör det möjligt att framställa nya uppgifter (exempelvis elektroniska profiler (electronic pr0jiles). Hänvisningen till innehållande (blocking) avser som är med uppgifter spärrade användning av säkerhetsmetoder som är än vad som strängare normalt används men som inte innebär

överväganden för en bestämning av begreppet

personregister (persondatamängd)

Allmänna utgångspunkter

Register, ADB, ändamål och personuppgift

Det nuvarande personregisterbegreppet innefattar tre rekvisit som var för sig är nödvändiga för en avgränsning av begreppet, nämligen register, automatisk databehandling och personuppgift. Härtill kommer att varje register skall föras för ett bestämt ändamål. Begreppet register innefattar ett krav på att de uppgifter som avses är ordnade i en eller annat sätt strukturera-

förteckning på

de. Vissa av de s.k. applikationsprogram som förekommer vid

datoranvändning avser just registerhantering, dvs. gör det

möjligt för användaren att registrera, söka, sortera och skriva ut framtagen information (se avsnitt 2.3.1). I fråga om begreppet automatisk har

databehandling (ADB)

utredningen i ett tidigare betänkande funnit att det med

hänsyn

till den tekniska utvecklingen är svårt att finna en klar och entydig definition av begreppet. Å andra sidan har utredningen funnit att de tekniska begreppsförhållandena inte i behöver sig

leda till tillämpningssvårigheter, under att personförutsättning registerbegreppet som sådant kan ges en tillfredsställande

utformning (se avsnitt 8.2 i SOU 1990:61). Möjligheterna att pá automatisk väg lagra data (uppgifter), liksom att utföra logiska och/eller aritmetiska med operationer dessa data samt ändra, stryka, återfinna eller sprida dem, ökar

ständigt genom den informationsteknologiska utveckling som

pågår. I föreliggande betänkande avsnitt den kompletteras (se 2) beskrivning av den datatekniska utveckling som lämnats i ett tidigare betänkande (avsnitt 6 i SOU 1990:61). Av särskild betydelse för personregisterbegreppet och begreppet ADB är den snabba utbyggnaden av olika kommuni-

kationsmöjligheter. Här bör särskilt nämnas de elektroniska postsystemen. Tekniken tillåter i dag överföring av texter, brev och så småningom bilder mellan olika datorer. En del system kan endast användas inom lokala datanät, medan andra kopplar samman stordatorer och ger systemet en global täckning. Andra meddelandesystem som är stadda i snabb utveckling är

telefaxutrustningar anslutna till datorer, EDI (Electronic Data

Interchange, dvs. elektroniskt utbyte av data mellan olika datasystem) och olika mobila system för meddelandeöverföring (Mobitex, mobila personsökare och minicall). Slutligen bör framhållas de möjligheter som den optiska lagringstekniken, då speciellt CD-ROM (Compact Disc Read Only Memory), ger när det gäller att lagra stora mängder information. Tekniken möjliggör en massdistribution av data. För närvarande finns på CD-ROM manualer, instruktionsböcker, reservdelskatalo ger, företagsinformationsdatabaser,telefonkataloger, uppslagsverk, juridisk och medicinsk information, biblioteksinformation samt ordböcker och lexika. Utgivningen av titlar har fördubblats varje år sedan år 1987. Det kan förutses att tekniken kommer att användas också för att distribuera datorprogram. Program för datorer kan lagras på CD- ROM och därmed spridas effektivare än f.n. Ett genomgående drag i den tekniska utvecklingen på informationsområdet är integration. Internationella digitala telenät kan till synes obegränsat kombinera kommunikation av data, text, ljud och bild. Kommunikation sker vidare mellan olika databaser samt med databaser och uppgifter som hämtas från andra än elektroniska system, exempelvis optiska lagringsmedia. Även relativt enkla system blir alltmer integrerade, också på ett internationellt plan, och ger tillgång till mycket stora informationsmängder för användaren. Via vanliga kontorsinformationssystem och persondatorer är det möjligt att rutinmässigt kombinera 0rd- och textbehandling med elektronisk post samt

urvalssökning och sammanställning i databaser och optiska

lagringsmedia. Genom integrationen förekommer automatisk databehandling i olika grad, beroende på vilka delkomponenter som ingår i systemen. Varje försök att avgränsa ett rättsligt begrepp som personregister med hänsyn till förekomsten av tekniska rekvisit är dömt att misslyckas redan med hänsyn till den utvecklingstakt som informationsteknologin nu uppvisar. Ähdamálet är centralt för personregisterbegreppet. Ändamålet med ett register, som gäller upplysning eller uppgift som avser enskild person (personuppgift), anger på olika sätt dess tillåtna

användningsområde enligt nuvarande bestämmelser (se bl.a. 3, 5, 7 och 7a §§ datalagen). I sin av personregisterbegreppet (se avsnitt tidigare behandling 3.1.2) har utredningen framför allt berört två aspekter: dels att begreppet bör göras oberoende av förefmtliga tekniska registerbegrepp, dels att ändamålet med informationshanteringen bör vara av avgörande betydelse. Utredningens hittillsvarande överväganden har kritiserats av flera remissinstanser. Kritiken har huvudsakligen avsett att varit otydligt eller motsägelsefullt och utredningens resonemang

att inte varit grundlig. Särskilt juridiska fakultetsanalysen nog

nämnden vid Stockholms universitet har i sitt uppehållit

yttrande

sig vid personregisterbegreppet. Enighet förefaller att råda i frågan om att det rent ADBtekniska (att ett register, file, består av en registerbegreppet mängd lagrade sammanhängande poster som behandlas som en enhet i inte ensamt bör vara Som i

datorn) styrande. påpekas

bl.a. från juridiska fakultetsnämnden vid Stockholms yttrandet

universitet kan dock inte bortses från den betydelse som upp-

giftssamlingars och struktur i en logisk dataorgani-

uppbyggnad sation har. Datasamlingar som inte låter sig systematiskt utnytt-

jas och bearbetas for att återfinna eller på andra sätt ta fram personanknuten information bör således helt falla utanför begreppet personregister. På motsvarande sätt bör inte informationshantering omfattas som inte till någon del är föremål för automatisk, dvs. icke manuell, databehandling. Frågan i vilken utsträckning manuell behandling skall omfattas av behandlar

integritetsskyddet

utredningen i ett särskilt avsnitt nedan. Den automatiska databehandlingen innebär att en viss datakan struktureras och sammanställas så att register eller mängd förteckning i egentlig mening uppstår. ADB-begreppet med sitt krav att lagrade uppgifter på automatisk väg kan göras till på föremål för vissa logiska och/eller aritmetiska operationer innefattar således i sig ett slags bestämning av begreppet register.

Vad som skiljer hanteringen av en viss informationsmängd

med ADB från en manuell sammanställning och strukturering

av i eller andra förteckningar är givetvis de uppgifter register

till lagring, bearbetning, sammanutvidgade möjligheterna ställning och spridning av en datamängd som tekniken medger. Som JO är ADB-tekniken som sådan som påpekat det genom

riskerna för integritetskränkningar dramatiskt ökar. Riskerna med en ADB-hantering av personuppgifter finns således,

oberoende av huruvida ett register i traditionell

betydelse

föreligger. Den tekniska utvecklingen och ADB-begreppet, sådant det vanligen förstås, kan således sägas ha gjort begreppet register föråldrat. En fortsatt användning av begreppet när det gäller

integritetsskydd på ADB-området kan snarare bidra till att

oklarhet uppstår, bl.a. därigenom att det, som nämnts, kan förväxlas med ett rent ADB-tekniskt registerbegrepp (se ovan). Mot denna bakgrund föreslår utredningen att begreppet personregister helt utmönstras och ersätts med persondatamängd. Termen persondatamängd, dvs. en samling personupp-

gifter, förutsätter inte att uppgifterna är ordnade som i ett

register eller fofteckning. Det kan t.ex. vara fråga om person-

i en text.

uppgifter löpande Återkopplingen till en viss logisk

uppbyggnad av och struktur på uppgifterna finns, som redan framgått, i kravet på att databehandlingen skall vara automatisk, dvs. ske med ADB-teknik. Resonemanget förutsätter givetvis att datalagen även för framtiden bara skall avse användning av sådan teknik. Den slutsats som i denna del redovisas i det första betänkandet (SOU 1990:61 avsnitt 8.2) har utredningen inte funnit skäl att revidera. Skyddsforemålet kan emellertid inte avse en obestämd mängd information som innefattar Den personuppgifter. nödvändiga

avgränsningen bör göras med hänsyn till det ändamål som

uppgifterna hänför sig till. Begreppet ändamål är grundläggande for

integritetsskyddet

enligt nuvarande ordning. I utredningens direktiv anges också att det kan behövas eller för att

förtydliganden kompletteringar

ge detta centrala begrepp en mera konkret betydelse. Det bör därför anges att de uppgifter som skyddas enligt

datalagen är en datamängd bestående av en samling personupp-

gifter som hänförs till ett visst ändamål. Det innebär att om ett ändamål ändras kan en ny i

persondatamängd datalagens mening

föreligga, även om informationen är densamma. Ändamåls-

angivning bör ske med tillräcklig precision. Det är inte till-

räckligt att, som utredningen tidigare framhållit, enbart hänvisa till exempelvis eller för att ett

samhällsplanering forskning tydligt angivet ändamål skall anses föreligga.

I förslaget till EG-direktiv likaså av en

understryks betydelsen

konkret ändamålsangivning. Inom såväl den som offentliga privata sektorn bör uppgifter få lagras endast om det är för specificerade, uttryckliga och lagliga ändamål. I kommentaren till direktiven på denna punkt framhålls att ändamålet måste definieras och anges så snävt som möjligt. En allmän eller vag

beskrivning (exempelvis att uppgifterna behövs för affärs-

ändamål) är inte tillräcklig. Ändamålet skall anges innan uppgifterna lagras och vara uttryckligt. Därmed avses att det inte får föreligga dolda användningsändamål. Ett ändamål är dolt, om uppgifterna används för annat än det uppgivna ändamålet.

Ändringar i persondatamängdens innehåll och användning är

godtagbara endast om de ligger inom ramen för ändamålet. I fråga om begreppet personuppgzfl, som nu anges som upplysning som avser enskild person, bör slutligen den ändringen

göras, att bestämningen bättre knyter an till den definition som ges i Europarådets dataskyddskonvention (jfr även utkastet till

EG-direktiv på denna punkt): personuppgift är som ensam eller tillsammans

varje upplysning

med andra upplysningar år hänförlig till en identifierad eller identiñerbar enskild person.

Härigenom anges uttryckligen att det skall vara frågan om en till en viss bestämd Liksom f.n. bör inte

anknytning person.

juridiska personer omfattas. Vad som har sagts i det föregående innebär att, förutom

begreppet personuppgift, begreppen ADB och ändamål är

väsentliga för att avgränsa personregisterbegreppet, dvs. begreppet persondatamängd med den föreslagna terminologin. Emellertid är det inte tillräckligt att bestämma dessa rekvisit. Den informationstekniska utvecklingen leder till att ställning också måste tas till om redan en teknisk möjlighet att strukturera en viss datamängd skall vara i

nog för att en persondatamängd

nu angiven mening skall anses föreligga, eller om begreppet skall kvalificeras genom att användarens syfie med en viss informationshantering också beaktas. Frågan om betydelsen av och de tekniska behandlas i de två

syftet möjligheterna följande

avsnitten. Det är svårt att finna någon annan naturlig kvalificeringsfaktor

än syftet med informationshanteringen. Något alternativ till att

antingen ha en definition som ytterst styrs av teknisk möjlighet eller låta begreppet begränsas med ledning av avsikten har utredningen inte kunnat finna. Det bör, som framgått, inte komma i fråga att låta enbart slaget av

informationssystem, datorutrustning eller program vara styrande i detta hänseende. Det vore ett steg tillbaka som snabbt skulle låsa tillämpningen

vid en föråldrad teknik. Det är informationen och användningen av den som bör stå i förgrunden.

En avgränsning med hänsyn till syftet att utnyttja de tekniska möjligheterna

Av grundläggande betydelse för en avgränsning av begreppet

personregister, eller med utredningens föreslagna terminologi persondatamängd, är som nämnts huruvida begreppet skall omfatta alla de möjligheter till framtagning av personuppgifter som ett visst tekniskt system erbjuder eller om begränsningar skall föreskrivas i denna del. JO förefaller i sitt yttrande närmast förorda att redan möjligheten att ta fram individrelaterade uppgifter i sig skulle konstituera ett personregister (persondatamängd). Utredningen har i sina tidigare överväganden hittills närmast utgått frän att enbart den teoretiska och tekniska möjligheten inte bör vara tillräcklig för att ett personregister (persondatamängd) skall anses föreligga, utan att i linje med nuvarande praxis syftet med en informationshantering som kopplas till ADB-teknik och därmed användningen av visst system bör kvalificera begreppet. När utredningen i det tidigare betänkandet (SOU 1990:61) betonat betydelsen av ändamålet med informationshanteringen har avsetts att de tekniska just syftet utnyttja möjligheterna,

nämligen att ur en datasamling systematiskt söka, ta ut eller

sammanställa personuppgifter, dvs. uppgifter som kan hänföras till en enskild person, oberoende av på vilket tekniskt sätt dessa data är lagrade. De nuvarande termerna register, förteckningar och andra anteckningar i lagtexten har därvid som tidigare har berörts tolkats som begränsade till en viss användning av ADBteknik. Det särskilda ändamål som persondatamängden kan ha i en viss verksamhet, dvs. vilken närmare användning den register-

ansvarige ásyftar med personuppgifterna, får sedan som angetts

i föregående avsnitt betydelse för avgränsningen i fråga om olika personregister, t.ex. om en ändring av ändamålet i ett hänseende är sådan att exempelvis ett nytt register skall anses ha uppkommit. Denna bedömning är således möjligt först sedan

den grundläggande prövningen gjorts av huruvida en elektronisk

eller annan automatisk behandling av information skall anses vara sådan, att persondatamängd över huvud taget kan anses föreligga. Med denna utgångspunkt skulle, som framgått, person-

uppgifter som kunde tas fram genom sökning i ett fritextsystem

i de vanliga ordbehandlingsprogrammen i exempelvis persondatorer omfattas av persondatamängden, förutsatt att den

registeransvarige avsdg att använda söksystemet för just detta

ändamål. Vid bedömningen av huruvida ett sådant syfte

föreligger måste flera faktorer beaktas, såsom vem som är registeransvarig, verksamhetens karaktär 0.d. Blotta förekomsten av även av känsligt slag, i ett automatiskt

personuppgifter,

system bör således inte anses tillräckligt för att begreppet persondatamängd, skall anses föreligga. Nackdelen med att föra in syftet med en viss informationshantering for att kvalificera begreppet är, förutom den sammansom kan ske med ändamålsbegreppet, framför allt att blandning begränsningen blir beroende av en bedömning av användarens avsikter. Detta leder till att och kan

gränsdragnings- bevisfrågor

få alltför stor betydelse och försvåra den praktiska tillämp- Det är inte tillräckligt att konstatera att ett visst ningen. informationssystem som används medger strukturering av personuppgifter, utan den ansvariges uppgivna och faktiska användning måste närmare undersökas. Syftet har i praxis fått bl.a. den att de som lagras vid

betydelsen personuppgifter exempelvis framställning av tryckt text inte anses vara person-

register, så länge avsikten är att de inte skall kunna återsökas, oberoende av om ätersökning är möjlig eller inte. (Frågan om i samband med framställning av skrift

personregistrering tryckt

har utredningen utförligt behandlat i avsnitt 5 i SOU 1991:21). Behovet att informationsinnehället i ett ADB-system avgränsa vid av har vissa

bestämningen begreppet persondatamängd,

beröringspunkter med de bedömningar som gjorts vid beav handlingsbegreppet i när

handling tryckfrihetsförordningen

det gäller ADB-information. Det gäller närmast den enskildes

rätt att få del av potentiella handlingar hos myndigheter, dvs. alla de konstellationer av sammanhängande uppgifter som är möjliga att göra med vissa ADB-program. I en nyligen som

vilande i har vissa

antagen ändring tryckfrihetsförordningen

preciseringar gjorts i denna del (se prop. 1990/91:60, KUll, rskr. 160). Rätten att ta del av till

ADB-upptagningar begränsas

att avse de handlingar som kan framställa med

myndigheten

datorutrustning som Det skall

myndigheten själv utnyttjar.

således inte vara för den enskilde att ställa datorkapaci-

möjligt

tet eller till en och begära

datorprogram myndighets förfogande

bearbetningar med hjälp härav under åberopande av offentlig-

Vidare skall alltjämt for en myndighetsprincipen. skyldigheten het att lämna ut ett urval eller en sammanställning av uppgifter

begränsas till vad som faller inom ramen för rutinbetonade åtgärder, även om urvalet eller sammanställningarna är nya. Härmed avses att det endast skall behövas en enkel arbetsinsats

i form av t.ex. programarbete hos myndigheten för att göra

urvalet eller sammanställningen och att detta extraarbete kan ske utan nämnvärda kostnader eller andra komplikationer. De tekniska möjligheterna att ta fram och sammangöra ställningar över personuppgifter är i det nuvarande utvecklingsperspektivet närmast obegränsade. Ett exempel kan illustrera detta. Ett företag har ett vanligt som i ett

kontorsinformationssystem

lokalt nätverk innehåller olika av funktioner såsom slag ordbehandling, elektronisk post, registerprogram och system med s.k. fri Det lokala nätverket är i textsökning. sin tur upp-

kopplingsbart till andra systern inom den koncern som företaget

tillhör, såväl inom som utom landets finns gränser. Tillgång också till ett antal inhemska och utländska databaser. För en användare av systemet är det möjligt att ta fram och skapa sammanställningar av olika personuppgifter. Kombinationsmöjligheterna är därvid nära nog oändliga.

Med hänsyn till den informationsmängd - och därmed de integritetsrisker - som föreligger kan användarens eller an-

vändarnas lämnade att informationen inte skall

avsiktsförklaring

användas för att ta fram en viss te som ett

persondatamängd sig bräckligt skydd mot Motsvarande integritetsintrång. synpunkter

gör sig gällande i fråga om de tekniskt avancerade men

lätthanterliga elektroniska anteckningsböcker som gör det

möjligt för envar att lagra och sammanställa stora mängder personuppgifter.

Utvecklingen inom området for elektronisk har också

post uppmärksammats i samband med dess inom användning

förvaltningen. En svårighet är att hålla i sär olika handlingar

med olika status, dvs. hur man skall emellan minnes-

skilja anteckningar m.m. och allmänna samt mellan handlingar offentliga och En annan sekretessbelagda handlingar. fråga är

när ett elektroniskt meddelande skall anses ha kommit in till en myndighet. I har införts en särskild

tullagen bestämmelse om de

närmare kriterierna för elektroniska dokument

(prop. 1989/90:40, SkU19, rskr. 188, SFS 1990:138). Konstitutions-

utskottet har framhållit att bör få en regleringen generell lösning

(l989/90:KU2). Med hänvisning härtill har regeringen med

instärnmande av utskottet ansett att bör tas av frågan upp

datalagsutredningen inom ramen för den nu

pågående översynen av

datalagen (prop. 1990/91:60 s. 39 och KUll s. 9).

En med till enbart

bestämning hänsyn teknisk möjlighet

Ett alternativ till av

bestämning personregisterbegreppet (persondatamängd) på det sätt som angetts i föregående avsnitt

skulle vara att inte begränsa begreppet till fall, där personuppgifter genom ADB-teknik görs tillgängliga genom systematiska uttag, sökningar eller sammanställningar eller avses bli tillgängliga på det sättet, utan låta enbart förekomsten av de nu nämnda tekniska möjligheterna vara tillräcklig. Fördelen med en sådan ordning skulle vara att behovet att undersöka an-

vändningen eller syftet med användningen av vissa informa-

inte Det skulle räcka att konstatera att ett

tionssystem uppstår.

informationstekniskt system fanns som i sig gjorde strukturering av personuppgifter möjlig, oberoende av om detta var

åsyftat

eller inte. Vad som enligt utredningens mening med betydande styrka talar för att låta den tekniska möjligheten enbart vara utgångspunkt för en begreppsbestämning är den tekniska utvecklingen i sig och antagandet att användning och teknisk möjlighet i många fall sammanfaller. Om det är möjligt att genom auto-

matisk behandling göra personuppgifter tillgängliga i vissa informationssystem finns det, med hänsyn till de nuvarande och framtida informationssystemens utbredning, en beaktansvärd risk att systematiska uttag, sökningar eller sammanställningar av

personuppgifter också verkligen sker, även om systemen är tänkta för andra ändamål. I exemplet med kontorsinformationssystemet i föregående avsnitt kan det antas att det - i vart fall tiden över förekommer att sammanställningar av personuppgifter görs, utan att det från början varit avsett. Det förefaller närmast som om också utkastet till EG-direktiv på denna punkt, med betoningen i kommentaren av tillgänglighetskriteriet, anger att den tekniska möjligheten bör vara

avgörande för personregisterbegreppets avgränsning. Orda-

i utkastet till artikeln i är dock inte

lydelsen fråga entydig (se

avsnitt 3.1.5). Om möjligheten att göra personuppgifter till föremål för automatisk databehandling skall anses tillräcklig för att ett personregister (persondatamängd) skall föreligga, begränsas

visserligen tillämpningsproblemen när det gäller att bestämma olika användares avsikter med informationshantering. Å andra

sidan måste en yttersta gräns också anges för den tekniska

möjligheten som sådan. Det måste föreligga en reell möjlighet

att ta fram personuppgifter på automatisk väg, varvid ett givet

informationssystem betraktas som en helhet.

Även i ett som används

kontorsinformationssystem exempelvis

för personaladministrativa ändamål finns som regel funktioner som vida överstiger den vanliga användningen. I många fall finns dock kanske inte kunskap hos dem som rutinmässigt använder systemet om var gränserna för datorprogrammen och

systemets funktioner går. (Jfr vad som angetts i föregående

avsnitt om en myndighets skyldighet att lämna ut urval eller

sammanställning av uppgifter med hänvisning till handlingsoffentligheten endast inom ramen för rutinbetonade åtgärder). När de tekniska möjligheterna i nu angiven mening bedöms bör utgångspunkten emellertid vara vad man i ett visst system enligt tillgängliga manualer eller annan information kan utföra utan att for den skull utnyttja någon extraordinär expertis. Det innebär således en mera objektiv måttstock som inte enbart utgår från de resurser som kan finnas för tillfället hos en användare. Som regel bör det således vara så, att okunnighet i sig inte behöver av vad som skall anses påverka bedömningen omfatta den tekniska möjligheten och därmed avgränsningen av begreppet persondatamängd. Frågan om en användares kunskap och förutsättningar i ett visst fall får däremot en särskild vid en

betydelse straffrättslig

bedömning av uppsåt och vårdslöshet (se avsnitt 5). Det innebär att okunnighet om de tekniska möjligheterna hos användaren

kan medföra att straffrättsligt ansvar inte bör komma ifråga.

Mot bakgrund av vad som nu sagts om hur teknisk möjlighet

bör bedömas följer vidare att om ett datoriserat informations-

system, exempelvis ett enkelt ordbehandlingsprogram, saknar sökfunktion men kan tillföras sådan, föreligger den tekniska möjligheten att ta fram personuppgifter först sedan förut-

sättningarna att söka på personuppgift i praktiken föreligger.

Huruvida det skulle vara tekniskt och ekonomiskt enkelt att tillföra funktionen bör i inte tillmätas

princip betydelse.

Motsvarande bör gälla möjligheten att ta fram information, t.ex. genom kommunikation med databaser eller bearbetning av optiskt lagrade media. Först sedan kommunikation eller

bearbetning verkligen går att bör teknisk genomföra möjlighet

i nu angivet hänseende anses Förhållandena bör

föreligga.

således vara möjliga att och konstatera för

fysiskt objektivt exempelvis tillsynsmyndigheten. Omfattningen av bearbetnings-

möjligheterna är emellertid utan En viss

betydelse. persondata-

mängd består av alla de som är tekniskt

bearbetningar möjliga

att genomföra vid en given och som faller inom ramen

tidpunkt

för ett visst givet ändamål. Den omständigheten att begreppet ges en relativt vidsträckt avgränsning hindrar givetvis inte att begränsningar

ytterligare

i enskilda fall skulle kunna föreskrivas i villkor från datainspektion vad avser tillåtna o.d.

sökbegrepp

Kravet på att information kan till föremål för en autogöras matisk blir till-

databehandling, varigenom personuppgifter

gängliga genom systematiska uttag, sökningar eller samman-

ställningar, reser speciella frågor rörande delkomponenter som optiska lagringsmedia, dvs. främst CD-ROM, som kan ingå i ett integrerat system. CD-ROM gör det möjligt att lagra stora mängder information, inklusive personuppgifter. Sökning av information sker med av som lagras i en dator så länge

hjälp sökprogram temporärt

en viss skiva används. Innehållet på skivan kan naturligtvis också överföras till och lagras direkt i en dator. Informationen på skivan är dock inte möjlig att ändra. En ändring av innehållet kan emellertid ske efter bearbetning i en dator, om det lagras på ett annat minne. Likheten mellan CD-ROM och en databas är stor. CD-ROM har dock fördelar genom sin kapacitet och den snabbhet med vilken informationen kan avläsas. Det är också mer ekonomiskt fördelaktigt att använda sig av informationen på CD-ROM än sökning i en databas som endast kan nås via telenätet och som det är att ha on-line. CD-ROM har

dyrt

även betydligt längre hållbarhet än disketter och hårddiskar. Redan CD-ROM som sådan jämte det sökprogram som hör till skulle omfattas av en definition som enligt vad som redovisats ovan tog sikte på teknisk möjlighet, under förutsättning att

personuppgifter förekom lagrade på skivan.

För närvarande används CD-ROM för att lagra bl.a. biblioteksinformation samt ordböcker och lexika. I detta material kan naturligtvis personuppgifter ingå. Motsvarande gäller databaser med samma innehåll. Enligt utredningens mening skulle det

emellertid föra för långt att låta det nya personregisterbegreppet (persondatamängd) omfatta personuppgifter som enbart före-

kommer som biblioteksinformation eller i form av lexikaliska uppgifter. Det får förutsättas att tillgång till personuppgifter av detta slag, även med användning av avancerad sökteknik, inte

innebär någon ur integritetsskyddssynvinkel beaktansvärd risk. (Jfr den s.k. biblioteksregeln i 2 kap. ll § TF, prop.

l990/9l:60, KUll, rskr 160.) Om användningen av ett system tillåter att användaren får del

av uppgifter av en sådan referenskaraktär, oavsett om de

förekommer lagrade på CD-ROM eller i en databas, men systemet inte möjliggör sambearbetning med andra personuppgifter, bör de undantas från bestämningen av det nya personregisterbegreppet (persondatamängd). I den mån användningen av CD-ROM eller databas med det innehåll som nu har nämnts integreras i ett system som gör det möjligt att göra sökningar och sammanställningar med andra personuppgifter, bör undantaget således inte gälla. Det innebär exempelvis att, om informationen som hämtas från CD-ROM eller en databas med innehåll som nu har nämnts överförs och

en vilken i sin tur kan till lagras på dator, kopplas andra systern som innehåller personuppgifter, undantaget upphör att gälla. Härmed markeras att det inte är den tekniska bäraren av viss information (exempelvis CD-ROM) som är undantagen, utan den tekniska möjligheten till strukrurering av viss information som är föremål för reglering. En sådan vid bestämning som enbart möjligheten till strukturering utgör utan krav på avsikt att är ytterskapa register 0.d, ligare ett stöd för att utmönstra personregisterbegreppet och använda termen persondatamängd som utredningen föreslagit ovan. Det bör inte komma i fråga att låta kontroll och

tillsyn

omfatta alla personuppgifter med samma noggrannhet. En rimlig avvägning måste som framgått göras, så att hänsyn även kan tas till den skillnad i systemutnyttjande som finns mellan olika ADB-användare. Utredningens till en

förslag skärpt tillsyn

(se SOU 1990:61) bygger också på att kontrollen och

tillsynen

koncentreras till vissa känsliga datamängder. De konsekvenser som det föreslagna personregisterbegreppet får på utredningens förslag i övrigt, effekterna när det gäller att lämna

skyldigheten

underrättelse till den registrerade och att redovisa omfattningen av olika persondatamängder samt sambearbetning behandlas nedan. Sammantaget föreslår utredningen att föremålet för reglering av ADB-information och begreppet persondatamängd i en framtida datalag ges följande definition: “En persondatamängd är en samling personuppgifter som hänförs till ett visst ändamål och som kan bli tillgängliga genom systematiska uttag, sökningar eller sammanställningar vid en automatisk databehandling. Som persondatamängd anses inte personuppgifter som ingår i sådana uppgiftssamlingar som lagrade uppslagsverk, ordböcker eller liknande referensmaterial.

Avgränsning mot manuell bearbetning

Enligt gällande rätt förstås med inrättande av personregister även insamling av uppgifter som skall ingå i registret (2 § sista stycket datalagen). Utredningen har i det första betänkandet ansett att även framgent manuellt insamlade personuppgifter som skall tillföras - personregistret skall avses ingå i det. Vidare ansåg utredningen . att manuellt förda uppgifter, exempelvis bestämda sökord, som .är en förutsättning för den automatiska bearbetningen bör v.

omfattas av registerbegreppet. Utredningen pekade också på att

.«.\.,‘., det kunde att låta manuella som övervägas personuppgifter

‘3luV:—-.79r~:A—.»«.,

tekniskt bearbetad data hänvisade till ingå, om det fanns ett klart samband mellan de olika informationsdelarna. Slutligen borde, liksom f.n. dokumentationen av bearbetningen omfattas av registerbegreppet. I sitt remissyttrande har datainspektionen, som framgått, menat att frågan om manuell hantering reser två skilda frågeställningar. Den ena frågan är om manuellt lagrade personuppgifter skall omfattas av datalagens regler. Inspektionen förordar här att så

sker, endast om det föreligger en mycket stark koppling till

själva ADB-registret. Den andra frågan är huruvida det vid en bedömning av ett registers känslighet skall tas hänsyn också till uppgifter som inte ingår i registret, men som blir lättare tillgängliga genom ADBregistret. Frågan om inrättande av personregister får en annan betydelse om bestämningen av personregister skall ske redan genom att den tekniska möjligheten att på ADB-väg söka och sammanställa uppgifterna finns. Inrättandet blir därmed inte lika klart fixerat som enligt nuvarande ordning.

I vilken omfattning integritetsskyddsreglerna bör innefatta

också manuella uppgifter bör, som inspektionen framhållit, ses i ljuset av dels hur nära knutna de är till ADB-hanteringen, dels vilket slag av uppgifter det är fråga om. Utredningen har som framgått av det tidigare betänkandet avvisat tanken på att

generellt låta integritetsskyddet omfatta manuella uppgifter.

(Utkastet till EG-direktiv går här i en annan riktning, se avsnitt

2 i SOU 1991:21).

En grundförutsättning för frågan i vilken utsträckning som manuella uppgifter bör ingå i begreppet persondatamängd bör

vara att den registeransvarige har möjlighet att använda och kontrollera såväl de manuella uppgifterna som ADB-materialet. Vid bedömning av i vilken utsträckning manuella uppgifter

bör omfattas av begreppet persondatamängd kan särskilda fyra

fall urskiljas:

I Manuellt insamlade som skall till föremål uppgifter göras för ADB

I dvs. närmast för ADB i läsbar

Dokumentation, upptagning

form

I Manuellt förda sökord eller index till ett ADB-lagrat material

I Manuella till vilka ADB-förda sökord eller index uppgifter finns.

De två första fallen bör liksom f.n. omfattas. Tillämpningen av dessa fall reser som regel inte heller några svårigheter. De manuella uppgifterna i det tredje fallet, dvs. att orientering i och framtagning av ett ADB-lagrat material sker genom ett manuellt fört index, anses i praxis omfattas av det nuvarande personregisterbegreppet. Tyngdpunkten ligger i det fallet i _ADB-materialet och sambandet med de manuella uppgifterna är så påtagligt, att uppgifterna också bör bedömas som en helhet. Till denna kategori hör naturligtvis bl.a. fall där personuppgifterna blir tillgängliga först genom användning av en manuellt förd kod eller krypteringsnyckel (se avsnitt 4.5.10 i SOU 1991:21). Det fjärde fallet slutligen innebär vissa gränsdragningssvårigheter. Huvuddelen av informationen är i det fallet manuellt förd och ADB-uppgiften är närmast av index- eller sökordskaraktär. Sambandet mellan informationsdelarna är inte lika påtagligt och entydigt som i det föregående fallet, där den manuella informationen endast har till att ADB-

syfte göra

materialet tillgängligt med de vidare bearbetningsmöjligheter på automatisk väg som detta i sin tur innebär. En samling manuella uppgifter, till vilka är kopplat ett ADBfort index eller ADB-förda sökord, innebär att bearbetningsmöjligheterna är färre och att den automatiska databehandlingen är Som är det huvudsakligen ADB-

mycket begränsad. framgått teknikens möjligheter som motiverar integritetsskyddet på

området. Visserligen kan de manuella uppgifterna vara sådana, att det

ur strikt integritetssynvinkel finns skäl som talar för att de bör

omfattas av persondatamängden. Det är emellertid då närmast fråga om samma skäl som talar för att även manuellt material

skall omfattas av regleringen i datalagen. Med hänsyn till den bör alltså uppgifterna anses falla svaga ADB-anknytningen

utanför begreppet persondatamängd.

Avslutningsvis bör framhållas att frågan om gränsdragning

mellan ADB-material och manuella uppgifter försvinner, om förslaget till EG-direktiv antas och Sverige skulle behöva anpassa sina bestämmelser till dessa direktiv. Som nämnts skulle alla manuella personregister ingå i en sådan reglering (se avsnitt 2.2 i SOU 1991:21).

Konsekvenser för ett framtida tillsynssystem

En huvuduppgift för inspektionen i ett renodlat tillsynssystem, sådant det angetts av utredningen i ett tidigare betänkande (SOU 1990:61), blir att genom inspektioner och kontroll se till att

bestämmelserna efterlevs och integritetsskyddet upprätthålls. En

annan viktig del är den normering av vissa branscher och sektorer som inspektionen förutsätts göra i en sådan ordning.

Underlaget för tillsynen skulle i huvudsak utgöras av de

anmälningar om register som föreligger hos inspektionen. Det är vidare naturligt att datainspektionens tillsyn i forsta hand inriktas på de typer av register som skall anmälas till inspektionen. Enligt utredningen skulle inom de områden som normerats endast personregister med känsliga uppgifter 0.d.

behöva anmälas. Inom det område som inte i förväg reglerats

av inspektionen skulle dock i princip alla personregister anmälas. Anmälningsplikt skulle, oavsett om detaljnormering föreligger eller inte, således gälla för följande tre kategorier av personuppgifter. l. Känsliga uppgifter i egentlig mening, dvs. uppgift om

brott, tvångsingripande, hälsa, sexualliv, ras, politisk upp-

fattning, religiös tro etc. 2. Personuppgift som avser omdöme eller annan värderande

upplysning om någon. 3. Uppgifter om personer som saknar sådan anknytning till

den registeransvarige som följer av medlemskap, anställning, kundförhållande 0.d.

Med det vidsträckta personregisterbegrepp (persondatamängd)

som utredningen i föregående avsnitt diskuterat måste emellertid

en viss anpassning ske av det tidigare föreslagna tillsyns-

systemet. Utredningen har tidigare uppskattat att en så stor del som tre fjärdedelar av alla register skulle kunna regleras i förväg av datainspektionen. Med till informations-

hänsyn huvudsakligen

teknologins utveckling, vilken som framgått styrt valet av avgränsning av personregisterbegreppet, torde det område som inspektionen har möjlighet att detaljnormera komma att bli mindre än vad som tidigare förutsätts. En begränsning i denna del ligger också i linje med de Önskemål som datainspektionen framfört i sitt yttrande över ett tidigare betänkande (SOU 1990:61). Utgångspunkten för ett framtida bör mot denna

tillsynssystem

bakgrund i stället vara, att de grundläggande bestämmelserna

om datakvalitet, insynsrätt, rättelsemöjligheter m.m. i en framtida i bör vara datalag princip tillämpliga på alla person-

register i den omfattande mening som nu har redovisats. (Det

skulle således gälla även en persondatamängd som används uteslutande för personligt bruk, vilket motsvarar vad som gäller i återkommer till denna

dag. Utredningen fråga nedan.) Slaget

av personuppgifter och till den bör

anknytningen ansvarige

däremot vara avgörande för den närmare av

tillämpningen tillsyns- och kontrollbestämmelserna. En sådan uppdelning faller

väl in under att resurserna bör koncentreras till

huvudprincipen

de mera områdena.

integritetskänsliga Anmälningsplikr rörande de tre kategorier av uppgifter som

nämnts ovan bör vidare finnas för samtliga persondatamängder, oavsett användningsområde och bransch- eller sektorsnormering. Det innebär exempelvis att en som endast använder ansvarig personuppgifter som har en naturlig till honom inte

anknytning

behöver göra någon anmälan. Inte heller finns det att anledning i detalj normera en sådan eftersom den bör persondatamängd, täckas av de grundläggande bestämmelserna i Skulle datalagen. i ett fall med naturlig i vara

anknytning uppgifterna sig

känsliga, trots bör dock

anknytningen, givetvis anmälnings-

skyldighet föreligga. Som berörs nedan kan det dock övervägas att till områden inte ytterligare begränsa anmälningsplikten som normerats av datainspektionen. Som utredningen angett i närmast föregående betänkande

(SOU 1991:21) bör vidare forsknings- och arbetslivsområdena,

där känsliga uppgifter resp. uppgifter som avser omdöme kan förekomma, direkt regleras i en framtida datalag. Som nämnts kan en utgångspunkt vara att vissa grundläggande

skyldigheter bör vara tillämpliga på alla personuppgifter, inkl.

dem som används uteslutande för bruk. Detta personligt motsvarar i princip också nuvarande ordning. För personregister som en enskild person inrättar eller for uteslutande för personligt bruk krävs emellertid f.n. inte licens eller tillstånd. Inte heller krävs i motsvarande fall att s.k. 7 a §-

förteckning förs. I dock för som förs princip föreligger register

för personligt bruk bl.a. att lämna underrättelse skyldighet enligt 10 § till den som begär det och att vidta rättelse m.m. Det torde emellertid tillhöra ovanligheterna att en privatperson får en begäran om att lämna underrättelse ur eventuella personregister. Såvitt utredningen har kunnat finna utövar datainspektionen inte heller detta område. någon tillsyn på Mot denna bakgrund kan det sättas i om det finns

fråga

anledning att bibehålla vissa för som förs

skyldigheter register

uteslutande för personligt bruk. Det är knappast troligt att i ett

framtida tillsynssystem datainspektionen skulle ha möjlighet att intensifiera sin tillsyn på detta område. Det är inte heller önskvärt att så sker, eftersom utgångspunkten för tillsynen bör vara att bevaka områden där integritetsriskerna typiskt sett är större. Användningen uteslutande för personligt bruk hör inte till dessa områden. Bestämmelser som inte kan kontrolleras bör i princip inte införas. I förslaget till EG-direktiv har också angetts att enskilda register för privat och personligt bruk inte omfattas av bestämmelserna. Med hänsyn till vad som nu anförts anser utredningen att persondatamängder som används uteslutande för personligt bruk inte bara bör undantas från en framtida

anmälningsskyldighet

utan helt falla utanför Det bör datalagens tillämpningsområde. framhållas att det naturligtvis finns anledning även framgent att kontrollera och pröva om en viss användning är sådan att den anses falla inom området personligt bruk.

Med anmälningsskyldighet bör också följa en skyldighet att

betala en avgift till inspektionen, så länge en persondatamängd förekommer i verksamheten. Någon anledning att ta ut en avgift av alla ansvariga som tidigare avsnitt 8. ll i SOU

föreslagits (se

1990:61) föreligger inte längre med det vidsträckta person-

registerbegrepp som nu diskuterats.

När det gäller ett för att i ett

bemyndigande datainspektionen

framtida normera skilda områden bör

tillsynssystem detalj-

regleringen, som tidigare har antytts, kunna inskränkas till de områden där registrering av känsliga uppgifter förekommer. Omfattningen härav är bl.a. beroende av utvecklingen i fråga om registerlagar och statsmaktsregister i

övrigt.

För datainspektionens del bör de föreslagna ändringarna innebära påtagliga lättnader i förhållande till det nuvarande

tillståndssystemet, eftersom handläggningen av tillståndsärenden

kan upphöra. Vad som nu föreslås i fråga om persondatamängd och är en i

anmälningsplikt ytterligare avbyråkratisering

jämförelse med vad som skisserats i ett tidigare betänkande (se avsnitt 8.6.2 i SOU 1990:61). Koncentrationen av till enbart

anmälningsplikten känsliga

personuppgifter medför att antalet anmälningar bör

högst uppgå

till det antal som enligt nuvarande ordning är tillståndspliktigt (f.n. uppgår antalet till knappt 2 OOO årligen, exklusive de ärenden som faller inom det förenklade förfarandet; se avsnitt 5.1 och 5.2 i SOU 1990:61). Förändringen av begreppet persondatamängd torde i sig inte medföra någon ökning i detta hänseende. Om en anmälningsplikt, som begränsas det sätt som nu på föreslagits, likväl skulle anses innebära hinder för ett effektivt

resursutnyttjande för datainspektionens del kan det övervägas att låta anmälningsplikt gälla endast för känsliga personuppgifter som förekommer inom områden som inte har normerats av inspektionen. För detta talar att en normering av inspektionen av en viss bransch eller område bör föregås av en relativt noggrann kartläggning som ger den nödvändiga överblick som anmälningarna syftar till. Det bör slutligen också påpekas att anmälningarna av datainspektionen bör kunna handläggas på ett sådant flexibelt sätt, att onödig byråkrati och resursslöseri kan undvikas. Man torde kunna räkna med att det i en del fall inte behövs något särskilt beslut från datainspektionen i form av villkor för persondatamängden eller förbud att använda den. I dessa fall kan anmälningarna efter granskningen bara läggas till handlingarna. Den nu berörda frågan har naturligtvis ett nära samband med hur de materiella reglerna på integritetsskyddsområdet utformas. Utredningen återkommer till den frågan i den sista etappen av sitt arbete.

Sambearbetning

I ett tidigare betänkande (avsnitt 8.6.5 i SOU 1990:61) har utredningen angett att frågor om sambearbetning i ett framtida

tillsynssystem i princip bör regleras med samma grad av

flexibilitet som har förutsätts för register i allmänhet. Den omständigheten att sambearbetning sker av personuppgifter i flera persondatamängder kan visserligen ibland sägas leda till ett mera omedelbart och okontrollerat integritetsintrång än om insamling och lagring sker avseende en persondatadiskuterade därför i det betänkanmängd. Utredningen tidigare det om tillstånd skulle behållas för vissa fall, närmast de fall där datainspektionen inte i förväg normerat användningen, men fann att någon särlösning inte borde införas. En ordning med tillståndsprövning för dessa fall skulle enligt utredningen innebära ett orimligt stort ianspråktagande av datainspektionens

resurser utan motsvarande vinster för integritetsskyddet. Även

för sambearbetningsfallen borde ett flexibelt och

obyråkratiskt

system upprätthållas. Utredningens överväganden i denna del har inte motsagts av remissinstanserna. Utredningens övervägande i föregående avsnitt rörande ett nytt begrepp, persondatamängd, bör inte innebära någon avgörande ändring i fråga om synen på Sambearbetning. Sambearbetning innebär närmast att personuppgifter som ingår i en persondatamängd bearbetas med uppgifter som ingår i en annan mängd.

Det föreslagna begreppet persondatamängd som sådant förutsätter att en viss sambearbetning är möjlig inom ramen för

ett visst ändamål, utan att för den skull en ny persondatamängd

uppstår. Endast om ändamålet efter sambearbetning ändras, kan en ny persondatamängd sägas föreligga. Genom sambearbetningen kan också i övrigt ha ändrats i en sådan

uppgifterna

väsentlig grad att en ny persondatamängd föreligger. Om bearbetningen således inte är av ett mera väsentligt slag eller innebär att ändamålet ändras, sker ingen förändring av persondatamängden. Skulle ett nytt ändamål efter sambearbetning av en viss persondatamängd komma till användning,

föreligger däremot definitionsmässigt en ny persondatamängd.

I den mån det förekommer sambearbetningar som inte berör känsliga uppgifter, dvs. sådana personuppgifter för vilka enligt vad som utvecklats i föregående avsnitt anmälningsplikt skulle följa, bör dessa bearbetningar fritt få utföras, oavsett om en ny

persondatamängd föreligger eller inte. De grundläggande

bestämmelserna om datakvalitet m.m. i en framtida datalag bör

dock givetvis vara tillämpliga på de berörda persondatamängd-

erna. Frågan om missvisande uppgifter 0.d. bör särskilt uppmärksammas i det sammanhanget. En sambearbetning kan nämligen någon gång leda till att uppgifter som var och en for sig är av icke-känsligt slag sammantaget kan vara integritetskränkande eller missvisande. Se vidare nedan om rättelsemöjlighet. Sammanfattningsvis bör anmälan således i sambearbetningsfallen göras endast om sambearbetningen medför att en känslig uppgift innefattas i persondatamängden.

Persondatamängd och rätten till underrättelse och rättelse, m.m.

Rätten till i är för in-

insyn personregister grundläggande

får den enskilde en möjlighet att

tegritetsskyddet. Härigenom

kontrollera huruvida registrering av honom sker och i vad mån

som finns om honom eller henne är riktiga. uppgifter

Bestämmelserna härom (10 § datalagen) skall ses tillsammans

med rätten att få oriktiga eller missvisande personuppgifter rättade eller ofullständiga uppgifter kompletterade samt skyldigheten för den registeransvarige nuvarande regler att hålla enligt sina personregister förtecknade m.m. (8 - 9 resp. 7 a §§ data-

lagen).

I det skall redovisas hur det föreslagna persondataföljande

inverkar de bestämmelser som nu har mängdsbegreppet på nämnts.

7 a § -förteckning

Enligt nuvarande bestämmelser skall det hos den registeransvarige finnas en aktuell över de som förteckning personregister han är ansvarig för. skall innehålla Förteckningen uppgift om registrets benämning, registrets ändamål, lokalen där ADB huvudsakligen utförs och i vad mån uppgifter lämnas ut för automatisk i utlandet. Vidare skall databehandling enligt en lagändring som träder i kraft den 1 januari 1992 i vad anges mån personnummer registreras och för i föremyndigheter kommande fall huruvida rätt att föresälja personuppgifter kommer. (SFS 1991:187, 1990/91:60, rskr. prop. KU11, 160) Slutligen skall numret på den licens finnas registeransvariges antecknad. Vid en övergång till en ordning där ersätts registerbegreppet med kvarstår likväl behovet att för datamängd tillsynsändamål kunna identifiera av de omfattningen personuppgifter som förekommer i en viss verksamhet. att hålla aktuell Skyldigheten information härom bör därför Det nuvarande tillgänglig kvarstå. kravet på och registerbenämning registerändamål bör därför ersättas med en att förteckna skyldighet benämningen på den persondatamängd som görs for ett visst tillgänglig angivet ändamål. I den mån det således i en verksamhet förekommer att ADB-anknutna personuppgifter används för personaladministration skall detta t.ex. som för anges persondatamängd personaladministrativa ändamål . Som framhållits tidigare måste ändamålen anges specificerat och konkret. En kan förändras persondatamängd genom olika automatiska bearbetningar. Så länge de ryms inom det ändamålet angivna förändras inte i begreppet rättslig mening. Någon anledning att i en de olika förteckning ange bearbetningsmöjligheter och tekniska systern som kan finnas för ett ändamål finns givet därför inte, så länge ändamålet är med en angivet tillräcklig grad av precision. F.n. är 7 a § - till licensinnehav. förteckningen kopplad Som utredningen tidigare föreslagit (se avsnitt 8.11 i SOU 1990:61) bör licenssystemet avskaffas. av Någon försämring inspektionens bör detta dock kontrollmöjlighet inte medföra. Det kan - med hänsyn till den datatekniska utvecklingen på goda grunder antas att praktiskt taget alla i sin verksamhet kommer att använda ADB som hjälpmedel och därmed ha att skyldighet ha en över den förteckning persondatamängd som används. Som framgått bör inte användning uteslutande för bruk personligt omfattas.

10 § - utdrag och rärtelsemöjlighet

Den enskilde har rätt att på begäran från den som ansvarar för registret så snart det kan ske få underrättelse antingen om innehållet i personuppgift som ingår i personregistret och innefattar upplysningar om honom eller om att sådan uppgift inte förekommer i registret. Rätten till är en i och en

insyn grundpelare integritetsskyddet nödvändig förutsättning för att möjligheten till rättelse skall

kunna föreligga. Det förhållandet att registerbegreppet ersätts med begreppet datamängd bör inte medföra någon skillnad härvidlag. En förfrågan från den enskilde om personuppgift om honom föreligger kan avse antingen en persondatamängd för ett visst ändamål eller huruvida över huvud taget personuppgift om honom eller henne finns och kan tas fram med av ADB. hjälp I båda fallen får det ankomma på den ansvarige att de göra

sökningar och sammanställningar som frågan föranleder med utnyttjande av de tekniska förutsättningar som står till buds. Det

kan innebära att i en del fall kan bli

underrättelseskyldigheten

mera omfattande än för närvarande genom den bearbetningskontroll som måste göras. Inte heller rätten att få felaktiga uppgifter rättade eller

ofullständiga uppgifter kompletterade bör påverkas av att personregisterbegreppet ersätts av begreppet persondatamängd.

I båda fallen är det närmast som är föremål för personuppgiften rättelse 0.d. Med tanke på att bearbetningsmöjligheterna innefattas i det nya ett annat sätt begreppet persondatamängd på än registerbegreppet bör emellertid om missvisande frågan uppgifter särskilt observeras. I nuvarande ordning tillkom missvisande

begreppet uppgifter år 1988. Begreppet tar främst sikte på det intryck som en

personupp gift skapar i sitt sammanhang. Bedömningen får göras mot bakgrund av bl.a. registrets ändamål. Ett exempel på en missvisande uppgift som brukar nämnas är en inkomstuppgift som förts över till ett register för användning på ett område där man tillämpar ett annat inkomstbegrepp än på det område varifrån uppgiften hämtats. Någon klar gräns är inte möjlig att dra mellan oriktiga och missvisande En gemensam

uppgifter. beteckning brukar vara felaktiga uppgifter. Visserligen omfattar begreppet de möjliga persondatamängd bearbetningar som ADB-tekniken i ett visst givet ögonblick

erbjuder, men avgränsningen sker ytterst av ändamålet. Det

innebär att en kontroll av uppgifter i ljuset av de uppgivna

ändamålet avslöjar om är missvisande.

uppgifterna Möjligheten

att få rättelse av missvisande uppgifter bör således inte heller påverkas av att personregisterbegreppet ersätts av begreppet persondatamängd. Sammanfattningsvis bör enligt utredningens mening inte införandet av ett nytt begrepp i stället för personregister leda till någon mera genomgripande förändring när det gäller skyldigheten för den ansvarige att hålla information om personuppgifter aktuell, underrätta den enskilde om innehållet eller företa rättelse 0.d. Möjligen kan bli

underrättelseskyldigheten något

mera omfattande och därmed också de fall då rättelse 0.d. måste vidtas. Detta ligger emellertid väl i linje med en önskvärd

utbyggnad av integritetsskyddet.

3.2 Registeransvarig (persondataansvarig)

3.2.1 Gällande rätt

Även begreppet registeransvarig definieras i 1 § datalagen:

den för vars verksamhet personregister förs, om han förfogar över registret.

Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. Med att förfoga över ett register avses

närmast en befogenhet att överföra registrets innehåll till läsbar form. En registeransvarig måste också kunna påverka innehållet i registret genom att tillföra uppgifter eller ändra de uppgifter

som ingår i registret för att förfoga över det.

Departementschefen anförde i specialmotiveringen till 1 § i denna del bl.a. följande (prop. 1973:33 s. 19 t):

Definitionen av uttrycket registeransvarig bör utformas så, att man utesluter dels servicebyråer och andra som helt osjälvständigt handhar bearbetningen av ett register, dels sådana som använder sig av registret utan att kunna bestämma om dess innehåll. Med hänsyn hârtill anser jag att med registeransvarig bör avses den för vars verksamhet personregister förs, om han förfogar över registret. Begreppet förfogande bör därvid ges samma innebörd som i de föreslagna bestämmelserna i 2 kap. 2 § tredje stycket och 9 § första stycket TF. Den nu berörda regeln bör tillämpas på sådant sätt att alltid någon kan konstateras vara registeransvarig. Givetvis bör såväl fysiska som juridiska personer kunna vara registeransvariga. Aven myndigheter bör kunna falla under begreppet registeransvarig, fastän de inte år att anse som självständiga juridiska personer. Som har påpekats under remissbehandlingen förekommer det inte sällan att ett visst datasystem inrättas och förs för flera myndigheters eller organisationers räkning. I sådant fall blir varje

myndighet eller organisation att anse som registeransvarig, under förutsättning att myndigheten eller organisationen kan bestämma över registerinnehâllet eller någon del av detta. I en sådan situation åligger det var och en av myndigheterna eller organisationerna att ansöka om tillstånd beträffande registret.

Uppen-

barligen föreligger emellertid inte något hinder att ge in en gemensam ansökan eller att låta ett särskilt organ ansöka om tillstånd för de registeranvarigas räkning.

De omnämnda förslagen till 2 kap. 2 § tredje stycket och 9 § första TF avsåg närmast ändringar varigenom TF i vissa stycket delar gjordes tillämplig också på ADB-upptagningar. I denna

del anfördes i lagstiftningsärendet bl.a. (prop. 1973:33 s. 77):

Emellertid kan man, när det gäller upptagningar, inte helt och hållet nöja sig med den nu berörda huvudregeln, dvs. att en upptagning är allmän när den förvaras hos myndi het. Som har pâpekat(s) förekommer det att databehandling ut örs för myndigheters räkning vid privata företag eller andra organisationer som inte är att anse som myndigheter i TF:s mening. En upptagning som har kommit in till eller upprättats hos ett sådant företag e.d. och som används i en myndighets verksamhet bör givetvis inte vara undandragen offentligheten. Huvudregeln om när upptagningar skall anses allmänna bör därför kompletteras med en regel om att upptagning skall anses förvarad hos myndighet och därmed betraktas som allmän även i fall då den har kommit in till eller upprättats hos annan än myndighet, under förutsättning att myndighet förfogar över upptagningen. Den nu ñrordade regeln bör föras in i 2 kap. 2 § TF.

Frågan i vad män en myndighet förfogar över upptagning som

finns hos ett privat företag e.d. får avgöras med ledning av bl.a. de avtal som har träffats mellan myndigheten och företaget. För

att en myndighet skall anses förfoga över en ADB-uppta ng bör

det normalt förutsättas att myndigheten ha rätt att fgc)Ta1 över

upptagningen till visuellt läsbar form. En sådan överföring kan ske genom att myndigheten har en terminal e.d. som är kopplad till den privata dataanläggningen. På samma sätt bör man, när det gäller upptagningar som kräver tekniskt hjälpmedel för att kunna

avlyssnas, förutsätta att myndigheten kan föra över upptagningen

till avläsningsbar form.

spelar en central roll för bedömning av

Myndighetsbegreppet

begreppet registeransvarig inom den offentliga sektorn. Regeringsformen skiljer mellan tva slag av offentliga organ,

dels beslutande församlingar såsom riksdagen, kyrkomötet, kommunfullmäktige, landsting och kyrkofullmäktige, dels

myndigheter. De senare utgörs av regeringen, domstolarna och

förvaltningsmyndigheterna. Regeringsformens myndighetsbegrepp används även vid tillämpning av tryckfrihetsförord-

ningen och sekretesslagen. Även vid tolkning av datalagen anses

samma avgränsning av begreppet kunna (En

myndighet göras utförlig redovisning av myndighetsbegreppet finns i Hellners-

Malmqvist, Nya förvaltningslagen med kommentarer, 1989,

s. 38 ff). I praxis har vissa svårigheter när det att beuppstått gällt stämma huruvida en kommunal eller enhet statlig organisatorisk

utgör en egen myndighet eller ingår i en annan myndighet.

Staten och kommunen är och som juridiska personer sådana

bärare av civilrättsliga rättigheter och medan de skyldigheter,

statliga eller kommunala som inte anses myndigheterna regel vara juridiska personer. I praxis har det inte förekommit att staten som sådan ansetts

registeransvarig. För kommunernas del har det förekommit att inspektionen ansett en kommun eller en vara landstingskommun registeransvarig. I två fall har dock ansett att

regeringen ansvaret åvilat en berörd nämnd i stället 325-83 och 360- (dnr 83). Numera föreskrivs i de av

datainspektionen fastställda

verkställighetsföreskrifterna på området att de kommunala nämnderna är ansvariga (se DIFS 1990:2).

I fråga om statens

löneuträkningssystem (det s.k. SLÖR-

registret) har en del myndigheter hävdat att de inte

förfogar

över det i

datalagens mening. Enligt regeringens uppfattning

anses dock myndigheterna över och

förfoga registret vara registeransvariga, då de själva eller genom annan kan in i

gå registret och förse det med och därmed uppgifter påverka innehållet i det till del. någon Liknande problem som finns när det gäller avgränsningen inom den sektorn finns även inom

offentliga den privata. Inom

koncern- och andra kan det ibland

bolagsbildningar vara svårt

att fixera registeransvaret.

Europarådskonventionen

Enligt Europarådskonventionen (art. 2d) är en registeransvarig

(controller of the file) den eller

fysiska juridiska person, offentlig myndighet eller företrädare eller annat

något organ som i enlighet med inhemsk är

lag behörig att besluta vad

ändamålet med det automatiska skall vilka

dataregistret vara, slags uppgifter som skall lagras i det och vilka operationer som

skall utföras med dem.

3.2.3 till

Förslaget EG-direktiv

I utkastet till EG-direktiv (art. 2)

anges den registeransvarige på

samma sätt som i Europarådskonventionen men med dels

tillägg

avseende EG-rätt som till inhemsk dels att

komplettering rätt, behörigheten att besluta om registret också kan avse vilka

tredje

män som får tillgång till registren. (Controller of the file

means the natural or legal person, public authority, agency or

other body competent under Community law or the national law

a Member state to decide what will be the purpose of the of file, which categories of personal data will be stored, which

operations will be applied to them and which third parties may have access to them). I kommentaren anges det senare tillägget vara en anpassning i förhållande till konventionen på så sätt, att det särskilt anges att den person som är behörig att tillstyrka att registret rådfrågas, särskilt i händelse av en direkt begäran härom, är att anse som den registeransvarige.

3.2.4 Utredningens tidigare betänkande och remissutfall

I det första betänkandet har utredningen, förutom en redogörelse

för gällande rätt, inte vidare behandlat begreppet registeransvarig. Landstingsförbundet synes vara den enda remissinstans som har tagit upp frågan enligt följande.

För närvarande åvilar registeransvaret på det kommunala omrâdet den närmast berörda centrala eller lokala politiska nämnden. Ansvaret kan inte delegeras till exempelvis en tjänsteman. I takt med att verksamheten decentraliseras är det angeläget att införa en ordning där förvaltnings- och enhetschefer kan göras till registeransvariga. I många fall handlar det om register vars inrättande och förande inte är frågor av den art och betydelse att de bör tas upp i nämnden. I vissa fall, t.ex. i fråga om datoriserade patientjournalsystem, är nämnden enligt sekretess- och patientjoumallagarna inte alltid behörig att ta del av registrens innehåll.

3.2.5 överväganden rörande registeransvarighets-

begreppet

Begreppet registeransvarig är av grundläggande betydelse, eftersom de rättigheter och skyldigheter som anges i integritets-

skyddshänseende knyts till, förutom den registrerade enskilde, den registeransvarige. Utredningen har i föregående avsnitt föreslagit att begreppet personregister ersätts med persondatamängd. I konsekvens härmed bör registeransvarig fortsätt-

ningsvis kallas persondataansvarig.

Det förefaller som om den nuvarande avgränsningen, med krav på förfogande (se avsnitt 3.2.1), närmast vållar tillämp-

ningssvårigheter inom den offentliga sektorn. På den privata

sidan är det naturligare att koppla ansvaret till den juridiska

eller fysiska person som på ett eller annat sätt har beslutande-

rätten och den operativa kontrollen över persondatamängden. Men även där finns avgränsningsproblem inom exempelvis

koncernbildningar. På den offentliga sidan, där staten och

kommunerna som juridiska personer har ett övergripande civilrättsligt ansvar men verksamheten bedrivs av mer eller mindre är bilden dock mera

självständiga myndigheter, kompli-

cerad.

Myndighetsbegreppets tolkning vad avser rätten till offentliga

handlingar har i praxis till kommit synes att styra avgränsningen. Ett krav att innehållet

på möjlighet påverka (förfoga) i

det finns emellertid som framgått. Det är närmast om att fråga i över innehållet. Ett faktiskt rättslig mening förfoga förfogande är således som regel inte Det innebär

tillräckligt. att exempelvis servicebyråer och andra som osjälvständigt handhar bearbetning

av ett register inte är att anse som Genom att

registeransvariga. persondataansvarighets- och numera har myndighetsbegreppen

likställts i praxis har vissa fördelar Det innebär att den uppnåtts.

persondatamängd som förekommer och används inom en

myndighets område också är ansvar som

myndighetens sådan,

oberoende av hur den kontrollen i är operativa myndigheten ordnad. Det innebär en utveckling i en annan än den riktning som exempelvis förordar i sitt

Landstingsförbundet yttrande.

En annan möjlighet, om inte nuvarande definition bibehålls,

är att knyta persondataansvaret hårdare till den som har den

yttersta bestämmanderätten över och kontroll av ett informa-

tionssystem. I direktiven att utse en som

pekas på möjligheten ensam ansvarig för ett trots att andra

informationssystem, användare har tillgång till systemet och över detta helt förfogar

eller delvis. Valet skulle således närmast stå mellan av tre

något följande

alternativ:

I nuvarande

ordning, dvs. med ett visst krav på förfogande

över en och till delat ansvar

persondatamängd möjlighet

I ett exklusivt persondataansvar för en huvudanvändare i

fleranvändarsystem

I en av kravet

uttunning på förfogande, så att redan använd-

ningen konstituerade ansvar, vilket också skulle innebära flera ansvariga för olika delar av ett och samma system.

Vilket av alternativen som väljs bör ses i ljuset av de konsekvenser det medför för såväl den vars det

personuppgifter gäller

som den persondataansvarige. Särskilt tre omständigheter kommer därvid i förgrunden. Det gäller dels rätten att få insyn i och underrättelse om förekomsten av personuppgifter (jfr 10 § nuvarande datalag), dels den därmed sammanhängande rätten till rättelse av oriktiga och missvisande avsnitt 3.1.6). Till dessa två för den

uppgifter (se

enskilde väsentliga faktorer kommer den persondataansvariges skyldighet att ersätta den skada som den enskilde kan ha tillfogats att en persondatamängd innehåller oriktig eller genom missvisande uppgift. Nuvarande ordning tillmötesgår i så måtto den persondataansvarige, att dennes ansvar för felaktiga eller missvisande uppgifter kan sägas svara mot kravet på förfogande, samtidigt som den enskilde i de flesta fall inte behöver missta sig i fråga om mot vem anspråk på underrättelse om innehållet i en persondatamängd skall riktas.

I de fall exempelvis en myndighet, med vilken den enskilde

har kontakt, i sin verksamhet använder en persondatamängd,

utan att kan förfoga över uppgifterna däri, myndigheten sägas

föreligger dock inte någon rätt till insyn, underrättelse eller

rättelse enligt datalagen. (Rätt till insyn kan dock givetvis föreligga enligt reglerna om handlingsoffentlighet i tryckfrihets-

förordningen och Den enskilde är hänvisad att

sekretesslagen.)

vända sig till den som kan utpekas som ansvarig. Det kan naturligtvis inträffa att felaktig hänvisning görs eller att oklarhet råder mellan flera myndigheter om vem som är persondataansvarig till förfång för den enskilde. Om ansvaret i stället lades på den i vars verksam-

myndighet

het användes, oberoende av var kontrollen eller

uppgifterna

förfogandet i övrigt låg, skulle den enskildes rättigheter i detta hänseende bli bättre tillgodosedda. Den enskilde skulle kunna vända sig till med

myndigheten begäran om underrättelse om innehållet i persondatamängden

för egen del och därigenom få möjlighet att påtala eventuella felaktigheter.

Om myndigheten i fråga inte förfogar över uppgifterna, fick för myndigheten i författning föreskrivas en skyldighet att

medverka till att rättelse sker. I de fall försummelse förelåg,

skulle skadeståndsansvar föreligga för den persondataansvariga

Skadeståndskravet skulle således tunnas ut från

myndigheten.

nuvarande ordning med s.k. strikt ansvar, dvs. ett ansvar oberoende av till ett ansvar för vårdslöshet

försurnlighet,

(culpa). En sådan ordning för skadeståndsansvaret vore att

föredra framför att föreskriva ett strikt ansvar i de fall den persondataansvarige inte kan förfoga över och uppgifterna således påverka dess innehåll. Ingenting hindrar om emellertid, skyddet för den enskilde ytterligare skulle behöva att förstärkas, den ansvarige även i de fallen hade ett strikt ansvar men gavs möjlighet att i ett eller annars

fleranvändarsystem regressvis få

ersättning av den som orsakat en eller missvisande

felaktig

personuppgift i en datamängd. Utredningen återkommer till frågor om skadestånd i ett särskilt avsnitt.

Förutom att skadeståndsaspekten bör beaktas i en där

ordning, persondataansvaret läggs på den i vars verksamhet en persondatamängd förekommer, bör ansvaret inskränkas till att omfatta endast den del av ett som i verksam-

informationssystem ingår

hetsområdet. Det ändamål som av en viss styr användningen datamängd bör härvid kunna användas för att ansvarsavgränsa området i ett avsnitt

fleranvändarsystem. (Jfr 3.1.6).

En utveckling mot ett alternativ där inte

förfogandebegreppet

tillmäts samma för ansvaret kan i huvudsak

betydelse sägas

gynna den enskilde och ge flera dataanvändare ett ansvar som de idag saknar. Det återstående alternativet, nämligen att lmyta ansvarighets-

begreppet hårdare till det företag eller som har den

myndighet operativa kontrollen över ett dvs. en

fleranvändarsystem,

centralistisk modell, har en nackdel, eftersom den enskilde måste veta vem som har det rättsliga ansvaret för uppgifterna. Det räcker inte att vända till den eller där

sig myndighet företag

uppgiften använts. Ytterligare information kan behövas. Som nämnts kan därvid svårigheter när det att klara ut uppstå gäller vem som har ansvaret för att rättelser genomförs. En sådan har dock

ordning uppenbara fördelar. Dels läggs

ansvaret för den har

personuppgifternas riktighet på som

möjlighet att faktiskt påverka innehållet, dels kan skadestånds-

ansvaret härigenom också strikt den skade-

göras gentemot lidande enskilde. I samband med inrättandet av en ordning för summarisk process, dvs. mål om och

betalningsföreläggande handräckning, hos kronofogdemyndigheterna med av ADB-teknik har den hjälp

enskildes rättigheter i detta hänseende lett till en där lösning, såväl riksskatteverket (RSV) som den berörda

kronofogdemyndigheten tillagts ett fullständigt registeransvar, trots att riks-

skatteverkets befattning med målen varit SFS begränsad (se 1991:876, prop. 1990/9l:l26, LU34, rskr. 332). Med hänsyn till den över

förfoganderätt register som RSVs befattning

innebär var det enligt departementschefen att nödvändigt ålägga

RSV ett registeransvar i datalagens mening för kronofogdemyndigheternas register (se prop. 1990/91: 126 s. 67 f). Utvecklingen mot alltmer integrerade

informationssystem gör

att antalet olika användare ökar. Det är exempelvis vanligt att vissa offentliga register utnyttjas efter avtal med bl.a. banker och näringsidkare. Den information som finns i exempelvis register över företagsinteckningar och fastigheter kan genom datakommunikation direkt användas för bl.a. beslut om kreditgivning. På motsvarande sätt kan uppgifter i folkbokföringsregister, det centrala bilregistret eller i värdepapperscentralens register komma till användning i skilda sammanhang genom sammankoppling mellan olika delanvändare. I inget fall behöver användaren ha möjlighet att påverka innehållet i persondatamängden. I konsekvens med vad utredningen ansett i fråga om personregisterbegreppet skulle dock för användarens del en persondatamängd föreligga redan genom den möjlighet som finns att ta fram personuppgifter för ett visst ändamål genom ADB. Om redan användning av en sådan persondatamängd skulle grunda persondataansvar skulle en avsevärd utvidgning ske i förhållande till nuvarande regler. Förslaget till EG-direktiven anger att den som har rätt att lämna tredje man tillgång till registret är registeransvarig. Samtidigt förutsätts på denna punkt att den registeransvarige beslutar om användningsändamål, vilka slag av personuppgifter som skall lagras och vilka operationer som skall utföras med

dem. Ordalydelsen ger närmast vid handen att rekvisitet om

utlämnande skall förenas med övriga rekvisit.

Ett vidsträckt persondataansvarsbegrepp kan naturligtvis leda till att flera myndigheter eller andra användare kan anses ansvariga för samma persondatamängd, beroende på de tekniska hjälpmedel som användarna samt de ändamål och utnyttjar

datamängder det är om. Ur den enskildes är

fråga synvinkel

detta, som redan tidigare har berörts, nackdel

visserligen ingen

när det exempelvis gäller rätten att få uppgifter strukna eller rättade. Häremot skall emellertid ställas de svårigheter som kan uppstå för en ansvarig, inom såväl den som enskilda

offentliga

sektorn, som inte har möjlighet att påverka innehållet i persondatamängden utan enbart använder uppgifterna för särskilda lagliga ändamål. För att rättelse skulle kunna ske av

felaktiga uppgifter fick dessutom en konstrueras eller en förfoganderätt anmälningsskyldighet till den som har förfoganderätt införas. Utredningen anser att en rimlig avvägning mellan de olika

motstående intressena är att upprätthålla ett krav ett förpå fogande som, i likhet med EG-direktiven, förutsätter att den ansvarige beslutar om användningsändamål, vilka slag av

personuppgifter som skall lagras och vilka operationer som skall

utföras med dem. Denna lösning ligger således nära den centralistiska modellen. Härigenom skulle ansvar inte följa för dem som endast använder ett system eller endast förfogar över

det i mera begränsad mening (exempelvis de myndigheter som

använder SLÖR). En särskild fråga är vidare hur de fall bör bedömas där en myndighet använder en persondatamängd, för vilken annan ursprungligen är ansvarig, som ett led i en gransknings- eller

tillsynsverksamhet. Det gäller exempelvis vid fall av revision

eller annan granskning eller handläggning

polismyndighets

under förundersökning. Ett persondataansvar bör därvid följa

för den granskande eller undersökande myndigheten redan

genom att ändamålet är annat än hos den vars verksamhet är föremål för granskning eller tillsyn. Genom det nya ändamålet uppstår definitionsmässigt en ny persondatamängd (se avsnitt 3.1.6) för vilken persondataansvar bör föreligga. I den mån decentralisering sker av beslutsfattande 0.d., som berör användning av datasystem, från en central nivå till regionala eller lokala nivåer inom exempelvis den statliga förvaltningen, bör det uppmärksammas att också persondataansvaret kopplas till beslutsbefogenheterna. En delegation till lägre nivåer av dataansvaret utesluter dock inte att också den centrala myndigheten kan ha ett ansvar i det hänseende i likhet med vad som nu föreligger för riksskatteverkets del när det gäller den summariska processen (se ovan). Frågor av detta slag

aktualiseras t.ex. när det gäller lokala skattemyndighetens hand-

läggning av den numera datoriserade folkbokföringen (se prop. 1990/91:53, SkU9, rskr. 109, SFS 1990:1536 och prop. 1990/91:153, SkU28, rskr. 320, SFS 1991:481). Vid utform-

ning av bestämmelserna om persondataansvar bör också beaktas reglerna för arkivbildning resp. utlämnande av allmänna

handlingar. I görligaste mån bör persondataansvaret för

myndigheters del sammanfalla med begreppet arkivmyndighet och registreringskyldighet enligt sekretesslagen (jfr 3 § arkiv-

lagen, 1990:782, och 15 kap 13 § sekretesslagen, 1980:100). Det rekvisit med rätt till utlämnande som EG-direktiven

innehåller bör inte ges en självständig betydelse. I Sverige reser

tillämpningen av ett sådant rekvisit nämligen de speciella frågor som är knutna till den

grundlagsskyddade handlingsoffentlig-

heten, vilken torde sakna motsvarighet utomlands. Som utredningen tidigare har konstaterat är den svenska hand-

lingsoffentligheten enligt tryckfrihetsförordningen och sekretess-

lagen samt personregistreringen hos svenska

myndigheter på

vissa punkter svår att förena med EG-direktivens krav vad avser

avsnitt 2.3 i SOU 1991:21) inom den

(se personregistrering

offentliga sektorn. För att den enskildes krav på att utan dröjsmål få tillgodose veta vem som är persondataansvarig bör det även hos användare, som inte är finnas utsedda

persondataansvariga,

kontaktpersoner som kan ge nödvändig vägledning (jfr 8 § datalagen). En väsentlig för en sådan kontaktperson bör

uppgift vara att ange vem hos en persondataansvarig som har skyldighet

att bistå den vars är berörda med 10 §-utdrag

personuppgifter

eller vid misstanke om oriktig eller missvisande uppgift. Slutligen bör understrykas att frågan om vem som är straffrättsligt ansvarig for exempelvis brott mot datalagen inte är enbart att persondataansvaret fixerats. Straffavgjord genom

rättsligt ansvar kan, som bekant, enbart åvila fysiska personer.

Vid bedömning härav kan bl.a. frågor om delegation inom en myndighet ha betydelse. Se vidare avsnitt 5.2.1.

SOU l99l:62 79

4 Utlandsöverföringar

Den nuvarande datalagen (11 §) innehåller en regel om särskilt medgivande fran datainspektionen för att lämna ut personuppgifter i enskild verksamhet för ADB i utlandet. Bestämmelsen är tillämplig på personuppgifter vare sig uppgifterna ingår i personregister i eller inte. För det allmännas datalagens mening verksamhet finns motsvarande bestämmelser i 7 kap 16 § sekretesslagen. Undantag frän kravet på medgivande gäller om uppgifter skall lämnas ut för ADB enbart i en stat som anslutit sig till Europarådets konvention om skydd för enskilda vid ADB. Konventionen bygger, liksom förslaget till EG-direktiv på området, på att gränskontroll av dataflöde inte behövs för länder

som har en gemensam niva pa integritetsskyddet. Det önskvärda

i att underlätta gränsöverskridande informationsflöde ligger också bakom EG-direktivens krav ett på fullgott integritets-

skydd. (I utkastet till EG-direktiv åläggs medlemsländerna att

kontrollera att de länder utanför EG till vilka information överförs har en tillfredsställande skyddsnivå. I annat fall får

överföring inte ske). Enligt OECDs riktlinjer pa området skall medlemsländerna vidta alla rimliga och för att lämpliga åtgärder

se till att personuppgifter kan passera säkert och utan gränserna avbrott. Vidare skall medlemsländerna avhålla fran att sig göra inskränkningar i fråga om flödet av personuppgifter frán det

egna landet till andra medlemsländer. Sådana inskränkningar är

dock tillåtna i förhållande till ett annat om detta inte land,

iakttar riktlinjerna eller om personuppgifter bara skall

passera genom det andra landet till ett tredje land och avsändarlandets

integritetslagstiftning därigenom kringgås. Ett medlemsland får

också göra inskränkningar i fråga om personuppgifter för vilka den inhemska innehåller särskilda

integritetslagstiftningen

skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlandet (se avsnitt 7.2 i SOU 1990:61). I praktiken synes det inte vara sä att vanligt medgivande enligt datalagen inhämtas. Det kan på goda grunder antas att över-

föring av uppgifter f.n. sker i strid med bestämmelserna även till länder som inte är konventionsanslutna. Liknande erfarenheter finns utomlands (se exempelvis om Storbritannien i avsnitt 7.4.3 i SOU 1990:61). Frågan om utlandsöverföring bör i första hand ses mot bakgrund av den pågående lagharmoniseringen på dataskyddsområdet som i sig skulle onödiggöra särskilda skyddsbestämmelser vid gränsöverskridande kommunikation. Det får förutsättas att ett likartat skydd inom en inte alltför avlägsen framtid antagits, inte bara för Europas del, utan for hela OECDområdet, dvs. även för Australien, Japan, Kanada, Nya Zeeland och USA. Syftet med gränskontroll av personuppgifter är naturligtvis att uppgifterna inte används utanför Sverige på ett sätt som innebär integritetskränkning eller i länder där är

integritetsskyddet

svagare. I avvaktan på att den nödvändiga internationella harmoniseringen genomförts bör därför en viss kontroll behållas. När det gäller personuppgifter som faller inom de områden där utredningen föreslagit att någon anmälan inte behövs, dvs. personuppgifter som inte är känsliga eller innehåller omdöme eller enbart avser med en naturlig till den

personer anknytning

ansvarige, kan det dock att låta informationsöverförövervägas ingen ske helt fritt. Motsvarande skulle kunna gälla de uppgifter som skulle omfattas av ett undantag från bestämningen av begreppet persondatamängd (referensmaterial o.d.). Uppgifter som i Sverige skulle föranleda anmälan skulle datainspektionen däremot först pröva, innan det medgavs att de fördes utomlands. Det gäller således personuppgifter av känsligt slag, uppgifter som avser omdöme och uppgifter om personer som saknar till den En nackdel med en

anknytning ansvarige. sådan uppdelning i privilegierade och icke-privilegierade

uppgifter är att sambearbetningsmöjligheter utomlands inte kan

beaktas. Uppgifter som i endast är av mindre Sverige känsligt

slag skulle likväl efter kunna vara och

bearbetning känsliga

integritetskränkande. (Jfr vad som sagts i föregående avsnitt om missvisande uppgifter.) Motsvarande gäller enstaka

uppgifters

karaktär. Uppgifter som endast tagna för sig i Sverige hänförs till kategorin icke-känsliga kan i ett annat land anses vara känsliga, exempelvis uppgift om facklig tillhörighet (se förslaget till EG-direktiv art. 17). Mot denna bakgrund har utredningen stannat för att låta all

informationsöverföring som sker till länder som inte omfattas av

konventionen på området omfattas av kontrollen och kräva

medgivande av datainspektionen. En sådan lösning synes också

ligga i linje med EG-direktivens krav när det gäller överföring till tredje land. Om länder, som inte är konventionsanslutna, likväl bedöms ha en tillfredsställande på sin lagstift-

skyddsnivå

bör mera allmänt kunna tillåtas också till dessa ning, Överföring länder. Regeringen bör i en förordning kunna ange vilka länder som kan komma i fråga. Inspektionens prövning i de återstående fallen bör ske efter de kriterier som skall för en tillåten i

gälla persondatamängd

Sverige.

5 Straff och skadestånd

5 .l

Inledning

Datalagen innehåller ett flertal sanktionsregler. Datainspektionen kan under vissa förutsättningar meddela villkor, andra tidigare meddelade villkor, av

förbjuda fortsatt förande personregister,

återkalla meddelat tillstånd och förelägga vite. Behörigheten att förbjuda förande av register omfattar dock inte statsmaktsregister, dvs. register om vars inrättande riksdagen eller regeringen har beslutat. Ett personregister kan, om det inrättats eller förts utan nödvändig licens eller tillstånd, även förklaras förverkat. Strafl är föreskrivet för det fall ett personregister inrättas eller förs utan licens eller tillstånd, liksom för underlátenhet att följa vissa andra i datalagen angivna bestämmelser. Skadestånd kan också utgå i dessa fall. Vidare finns föreskrifter

om skadestândsskyldighet för en om en registeransvarig, registrerad tillfogats skada genom att personregister innehåller

oriktig eller missvisande uppgift. Slutligen finns bestämmelser om straff och skadestånd för den som olovligen bereder sig

tillgång till ADB-upptagning eller ändrar i eller utplånar

personregister m.m. I förevarande avsnitt

(dataintráng).

behandlas sanktionerna straff och skadestånd.

5.2 Straff

5.2. 1 Gällande rätt

I 20 § finns om straff för överträdelser av

datalagen regler

vissa bestämmelser i datalagen. Enligt första döms till

stycket

böter eller fängelse i högst ett år den som uppsåtligen eller av oaktsamhet 1. inrättar eller för personregister utan licens eller tillstånd enligt datalagen, när detta erfordras, 2. bryter mot villkor eller förbud som datainspektionen har meddelat enligt 5, 6 eller 18 §,

3. lämnar en personuppgift i strid mot utlämnandeförbudet i 11 §, dvs. lämnar ut personuppgifter ur

när det finns risk för att uppgifterna

personregister

skall användas i strid mot datalagen eller lämnar ut sådana utan erforderligt tillstånd av

uppgifter,

datainspektionen, när det kan antas att uppgifterna skall användas för automatisk databehandling i en stat som inte anslutit sig till Europarådets data-

skyddskonvention. 4. bryter mot gallringsregelni 12 §,

5. lämnar en osann uppgift vid fullgörande av skyldigheten att lämna underrättelse enligt 10 §, 6. lämnar en osann uppgift i sådana fall som avses i

17 §, dvs. då datainspektionen begär upplysningar för sin tillsynsverksamhet.

Enligt andra stycket döms till böter den som uppsåtligen eller

av oaktsamhet mot 7 a § första eller tredje stycket, dvs. bryter

inte för registerförteckning eller inte har angivit avsändaren på försändelse som innehåller personuppgift till den registrerade. En straffbestämmelse finns också i 21 § datalagen. Där föreskrivs att den som olovligen bereder sig tillgång till en för automatisk databehandling eller olovligen ändrar

upptagning eller eller i ett för in en sådan upptagning skall utplånar register

dömas för dataintrång till böter eller i högst två år, om

fängelse

inte är med straff i brottsbalken. Med gärningen belagd avses här även uppgifter som är under befordran via upptagning elektroniskt eller annat liknande hjälpmedel för att användas vid automatisk databehandling. Brottet är straffbart även på försöksoch förberedelsestadiet, om det inte är ringa. Ett personregister kan enligt 22 § datalagen förklaras förverkat om det inrättats eller förts utan nödvändig licens eller tillstånd eller förts i strid med ett av datainspektionen meddelat förbud. Här bör också nämnas att bestämmelsen i 13 § datalagen om sanktioneras av bestämmelsen i 20 kap. 3 §

tystnadsplikt

brottsbalken om brott mot tystnadsplikt. Datalagens straffbestämmelser är inte formellt utformade så att ansvaret riktas mot någon särskilt utpekad person. Av för-

arbetena till dock att man utgått från att datalagen framgår straffbestämmelserna endast i ringa utsträckning skulle vara

annan än den registeransvarige (se prop. 1973:33

tillämpliga på s. 104). Som nämnts avsnitt 3.3.1) kan såväl som

tidigare (se fysiska

och vara I de

juridiska personer myndigheter registeransvariga.

fall då den av en eller en

registeransvarige utgörs myndighet t.ex. ett aktiebolag, uppstår frågan vilken fysisk

juridisk person, som skall bära det straffrättsliga ansvaret för brott som person

förövas inom ramen för en sådan registeransvarigs verksamhet.

har man att tillämpa allmänna straffrättsliga princip- Härvidlag er. När det gäller placeringen av ansvaret för lagöverträdelser som i privata företags verksamhet har vissa regler om begås s.k. utvecklats i rättspraxis. I princip åvilar det företagaransvar ansvaret I ett aktiebolag utgörs

straffrättsliga företagsledningen.

denna av eller den verkställande direktören. Ansvaret

styrelsen

inom fördelas så att ansvaret i första hand företagsledningen åvilar den ledamot inom vars verksamhetsområde en lagöverträdelse Verkställande direktören kommer därvid begåtts.

i första hand i eftersom han ansvarar för den löpande

fråga Endast finns anledning att ålägga en

förvaltningen. undantagsvis

medlem av en juridisk persons högsta beslutande organ (t.ex. eller ansvar. Aktieägare anses bli

bolags- föreningsstämma) ansvariga endast vid kvalificerad medverkan eller mycket grova

brott.

Såväl enskilda näringsidkare som ledare av juridiska personers

verksamhet kan rådande rättspraxis under vissa förutenligt det straffrättsliga ansvaret på en ställföre-

sättningar överflytta trädare, som anförtrotts att med tämligen stor självständighet

leda företagets verksamhet i dess helhet eller en gren därav.

Som för att ansvaret skall kunna överflyttas krävs

förutsättning att det med till föreliggande omständigheter är svårt för hänsyn

företagaren att förhindra vissa lagöverträdelser. Exempel på

sådana omständigheter är att företaget är så omfattande att

inte kan behärska alla detaljer i verksamheten, att

företagaren företagaren är bosatt på arman ort än den där verksamheten bedrivs eller att företagaren på grund av ålder eller sjukdom, eller omfattande i andra företag eller allmänna lyte engagemang inte helt kan övervaka arbetets anordnande och angelägenheter

bedrivande. Se Hans Thornstedts promemoria (DsJu professorn 1975:23) om vissa specialstraffrättsliga problem.

Företagsledningen ansvarar emellertid alltid för att företaget på sådant sätt att lagöverträdelser kan förutsättas organiseras inte ske i dess verksamhet. Ledningen har alltså att sörja för att

företaget har en och att

ändamålsenlig personalorganisation

underordnad personal är och instruerad

kompetent tillräckligt

för sina uppgifter. Även om av straffansvar skett

överflyttning

är ledningen att in om det visas brister

skyldig gripa föreligga

eller annars särskild Vid oaktsamhetsbrott anledning föreligger. kan ansvar utkrävas av den i företagsledningen som oaktsamt brustit i vad som enligt det nyss honom. sagda ålegat Då uppsåt erfordras för straffbarhet, blir även om

företagaren,

han anförtrott åt en

förvaltningen ställföreträdare, ansvarig för

lagöverträdelser som inträffar med hans och vetskap vilja. Naturligtvis blir också

företagaren straffansvarig om han givit

order om en lagöverträdelse. Detsamma om han inte gäller, respekterar den bestämda mellan

arbetsfördelningen sig och

ställföreträdaren och trots denna faktiskt utövar och ledning kontroll i detalj av viss verksamhet. Ansvaret åvilar då företagaren och inte ställföreträdaren för förseelser, som står i samband med denna verksamhet. Dessa principer för det

företagaransvar på privata närings-

livets område torde även kunna tillämpas då

straffrättsligt

ansvar skall utkrävas för brott i en verksamhet. Det

myndighets

innebär att även styrelseledamöter och chefer i kan myndigheter

bli straffrättsligt ansvariga. Vid brott mot kommer

datalagen straffansvaret att åvila den eller de personer som är ansvariga

för verksamheten. Detta torde i princip gälla både och statliga

kommunala I om kommunala

myndigheter. fråga nämnder torde

ansvaret åvila nämndens ordförande och dess ledamöter. Högsta domstolen (HD) har i ett rättsfall (NJA 1987 s. 426) prövat frågan om ordföranden i en kommunal nämnd kunde göras ansvarig för brott mot bestående

datalagen i att person-

register förts utan tillstånd av Ordföranden

datainspektionen.

gjorde bl.a. gällande att ansvaret för den

datalagsfrågor genom ansvarsfördelning som gällde inom kommunen till delegerats

nämndens kanslichef. I domen, vari åtalet uttalar HD

ogillades, bl.a. att de principer för företagaransvar som utbildats i

rättspraxis för det privata kan som

näringslivet tjäna en utgångspunkt också på den kommunala sektorn. HD nämner vidare att möjligheten att delegera ansvar möjligen är något

mindre omfattande på den kommunala sektorn och att om-

ständigheterna i det särskilda fallet måste tillmätas betydande

vikt när det att ta till

gäller ställning om delegation av det straffrättsliga ansvaret för förtroendevalda kunnat ske.

5.2.2 Praxis

Datalagens straffbestämmelser har endast tillämpats i ett fåtal

fall.

Av en av datalagstiftningskommittén i februari 1981 upprättad

PM framgår att kommittén då endast hade funnit tre avdömda fall vad gäller brott mot datalagens bestämmelser. Dessa var

följande.

Norrtälje tingsrätt dömde år 1978 en person till dagsböter enligt 20 § 1 p datalagen för att ha inrättat personregister utan tillstånd. Ett aktiebolag hade använt ett annat närstående aktiebolags personregister för marknadsföring utan att söka erforderligt tillstånd.

Borås tingsrätt dömde år 1978 en person till dagsböter för dataintrâng och brott mot tystnadsplikt. Dataintrånget bestod i att en

polisman berett sig tillgång till rikspolisstyrelsens polisregister i

en angelägenhet som inte rörde tjänsten. Genom att polismannen dessutom visat registerutdrag för kollegor som inte haft berättigat intresse av att få del av uppgifter dömdes han även för brott mot tystnadsplikten. Borås tingsrätt dömde år 1980 en person för bl.a. brott mot 20 § 2 p datalagen till dagsböter. I domen âberopades även 6 § 7 p datalagen. Brottet bestod i att ett bolag som hade tillstånd enligt förenklat förfarande att föra kund-, leverantörs-, abonnent- och faktureringsregister även använde register med annat bolags

kunder för marknadsföring. Enligt datainspektionens föreskrifter

fick endast egna kunder ingå i registret.

Utredningen har tidigare under avsnitt 5.2.1. berört en dom av högsta domstolen. Domstolen ogillade i ett avgörande från år

1987 ett åtal för brott mot datalagen avseende en valnämnds-

ordförande för att Valnämnden inrättat och fort ett person-

register. Underinstanserna hade även ogillat ett åtal för brott

mot datalagen avseende en sektionschef vid Stockholms kommuns dataenhet för att kommunens befolkningsregister i strid

mot ett beslut av sambearbetats med det av

datainspektionen Valnämnden inrättade registret. I målet aktualiserades frågan om

vem som bar det straffrättsliga ansvaret. Rättsfallet är refererat

i NJA 1987 s. 426.

Rikspolisstyrelsen gjorde i november 1988 en rundfrâga till

landets om frekvensen av databrott och

polismyndigheter datorrelaterad brottslighet. Resultatet av undersökningen har

redovisats i RPS Rapport 1991:1 Datorrelaterad brottslighet. En

undersökning hos polismyndigheterna. Redovisningen omfattar

brottsutredningar som var aktuella under tiden 1 januari 1987 - 31 augusti 1989. I rapporten redovisas 47 ärenden, varav det

i 18 fall var fråga om brott eller misstanke om brott mot 21 §

datalagen (dataintráng). I övrigt gällde de redovisade ärendena

olika slags brottsbalksbrott med

datoranknytning (18 ärenden),

brott mot lagen om upphovsrätt (7 ärenden) samt fall av illojal konkurrens (4 ärenden). För att få en bild av hur sanktionsbestämmelserna i datalagen har tillämpats av domstolarna under de senaste åren har utredningen tillskrivit landets samtliga 97 tingsrätter. Dessa har tillfrågats om de under åren 1985 - 1991 har handlagt mål där talan förts med åberopande av bestämmelserna i 20 - 24 §§ datalagen. Utredningen har fått svar från 89 tingsrätter. Av svaren framgår att 14 av dessa tingsrätter har handlagt mål av det efterfrågade slaget. Det totala antalet sådana mål under den aktuella perioden uppgick till 17. Nästan samtliga mål avsåg frågan om straffansvar. Endast två av målen gällde skadestånds-

skyldighet enligt 23 § datalagen (Dessa skadeståndsmål redogörs

närmare för i avsnitt 5.3.2). Av brottmålen gällde nio mål ansvar for De

dataintrång.

övriga sex brottmålsdomarna var följande.

Göteborgs tingsrätt ogillade i april 1985 ett åtal för brott mot datalagen avseende en läkare vid Göteborgs sjukhusförvaltning. Sjukhusförvaltningen hade år 1975 beviljats tillstånd att inrätta och föra ett personregister för att genomföra en undersökning om bamolycksfall i kommunen. Läkaren, som var s.k. kontaktman, hade fortlöpande varit i kontakt med datainspektionen samt begärt förlängning m.m. angående registret samt ensam utnyttjat detta för forskning. I november 1980 erhöll sj ukvårdsförvaltningen tillstånd att tillfälligt till registret inhämta uppgifter från socialförvaltningens personregister. Datainspektionen föreskrev i samband därmed att de från inhämtade socialförvaltningen uppgifterna skulle förstöras senast den 31 april 1981. Vid en inspektion av datainspektionen i oktober 1982 framkom att så inte hade skett. Aklagaren lade läkaren till last att han av oaktsamhet inte tillsett att uppgifterna förstörts. Tingsrätten fann att den omständigheten att läkaren hade up trätt som kontaktman mellan datainspektionen och sj ukvårdsförva tningen inte kunde medföra att det ansvar, som åvilat den att tillse registeransvarige att datainspektionens föreskrifter följts, överflyttats på läkaren.

Falköpings dömde år 1986 kanslichefen i en kommun för

brott mot data agen enligt 20 § l tingsrätt jämförd med 2 § andra stycket

3 och fjärde stycket datalagen till trettio dagsböter. Tingsrätten fann utrett att fritidsintendenten i kommunen utan tillstånd av datainspektionen insamlandet av personuppgifter avsedda

påbörjat

att ingå i ett dataregister. Kanslichefen, som i administrativt hänseende var överordnad fritidsintendenten och som haft befogenhet att beordra intendenten att inställa arbetet, hade samtyckt till insamlandet av Domen till

uppgifterna. överklagades

Göta hovrätt som fastställde dom i ansvarsdelen. tingsrättens Högsta domstolen meddelade inte prövningstillstånd.

Norrköpings tingsrätt ogillade i januari 1990 ett åtal fir brott mot

datalagen avseende en person som under avtjänande av straff på

kriminalvårdsanstalt med hjälp av ADB utan tillstånd upprättat och fört ett personregister över bl.a. landets samtliga riksdags-

ledamöter och personer som förekommit i den honom rörande förundersökningen. Den tilltalade uppgav att han hade använt och avsåg att använda registren enbart för att skapa debatt och bilda opinion samt för att kunna tillvarata sin rått vid kommande

dornstolsprövning. Tingsrätten fann att denna uppgift inte

motbevisats utan fick tas för god. Registren ansågs därför ha inrättats och förts uteslutande för personligt bruk för vilket tillstånd inte hade erfordrats. Efter överklagande av åklagaren fastställde Göta hovrätt i mars 1990 tingsrättens dom.

Göteborgs tingsrätt dömde i februari 1990 en man för brott mot datalagen till sextio dagsböter. Den dömde hade varit verkställande direktör och firmatecknare i ett aktiebolag som utan licens och tillstånd inrättat och i drygt ett års tid fört ett personregister innehållande olika personers namn, arbetsgivare, inkomst och förmögenhetsförhållanden. Då bolaget försattes i konkurs överlåts bl.a. detta personregister till ett annat av mannen ägt aktiebolag. Vid konkurstillfillet innehöll registret uppgifter om ca 12 700 personer varav åtminstone 4 700 personer inte hade något kundförhållande till konkursbolaget.

Malmö tingsrätt dömde i september 1990 en man för brott mot 20 § 1 stycket l punkten datalagen till sextio dagsböter. Den dömde hade utan licens och tillstånd inrättat och fört ett ADBregister. Registret innehöll rubriknamnen på olika tidningsartiklar och för varje rubrik en sidohänvisning till ett antal pärmar med diverse tidningsurklipp. Personnamn var sökbara i den mån namnet ingick i en rubriknamnet. Urklippen innehöll uppgifter om personer vilka dömts för brott och om den politiska debatten.

Mannen använde registret i sin verksamhet som journalist,

författare för att snabbt kunna och föredragshållare plocka fram fakta från pärmama. Rätten ansåg registret vara att anse som ett personregister i datalagens mening, vilket inte använts uteslutande för personligt bruk. Den omständigheten att personuppgifterna i registret i vissa fall måste översättas till en viss person på manuell väg genom sidohänvisningama i registret och mannens samling av urklipp ansågs inte utgöra grund för en annan be-

dömning. Detta även om det endast var möjligt för mannen att

förstå vilken person som avsågs. Tingsrättens dom vann laga kraft.

Västerås tingsrätt dömde i april 1991 en man för brott mot 20 § 1 stycket 1 punkten datalagen till tjugo dagsböter. Den dömde var

verkställande direktör och huvudredaktör för en tidning vars datoriserade klipparkiv, innehållande bl.a. personuppgifter, hade

förts utan licens och tillstånd under ca sex månader. Under denna tid hade bibliotek och skolor via terminaler haft direktåtkomst till registret. Tingsrätten farm omständigheterna förmildrande och utdömde därför endast ett lågt bötesstraff. Domen har överklagats. Se även SOU 1991:21 s. 94.

I detta sammanhang kan även nämnas tre fall i vilka

följande

datainspektionen gjort anmälan om misstänkta datalagsbrott.

Datainspektionen ingav år 1989 till justitiekanslem en anmälan

mot statens invandrarverk för misstanke om brott mot 20 § 2 datalagen. Datainspektionen menade att statens invandrarverk i vissa hänseenden inte efterkommit av inspektionen meddelade villkor om bl.a. kontroll och säkerhet i verkets s.k. SU-system

(systemet för utlänningsårenden; ett personregister omfattande ca 470 000 personer med uppgifter om bl.a. utlärmingars namn, födelsetid, medborgarskap, resedokument, vissa tvångsâtgärder, ansökan om politisk asyl, utvisning p.g.a. brott m.m.) samt om utlämnande av personuppgifter från registret. Datainspektionen påtalade att villkor inte följts rörande behörighetskontroll och behandlingshistorik samt rörande utlämnande av personuppgifter till arbetsmarknadsdepartementet och rikspolisstyrelsen. Justitiekanslern farm i beslut den 2 oktober 1989 att de av datainspektionen meddelade villkoren hade blivit åsidosatta i viktiga hänseenden och att dessa brister var allvarliga med tanke på att SUsystemet var mycket integritetskänsligt. Justitiekanslern fann dock att något straffrättsligt förfarande inte borde inledas med anledning av vad som förekommit. Skälen härför angavs framför allt vara att det förekom omständigheter som kunde tyda på att datainspektionen blivit informerad om åtminstone vissa av bristerna men inte påtalat dessa samt att bristerna i Övrigt, dvs. utlämnandet av personuppgifter till arbetsmarknadsdepartementet och rikspolisstyrelsen, inte kunde antas ha varit ägnade att leda till integritetskränkning för någon enskild.

Datainspektionen ingav i maj 1990 till åklagarmyndigheten i Solna en anmälan mot Karolinska Institutet om ifrågasatt brott mot datalagen. I anmälan anförde datainspektionen att det ålåg Karolinska Institutet i e enskap av registeransvarig för de personregister som fördes ör institutets att

forskningsverksamhet

enligt 2 § andra stycket datalagen ansöka om tillstånd för in-

rättande och förande av personregister. Vidare anförde datainspek-

tionen att det också ålâg institutet att enligt 7 a § första stycket datalagen föra en aktuell förteckning över de personregister som fördes för institutets verksamhet samt att enligt 12 § andra stycket i förekommande fall göra anmälan till datainspektionen när institutet upphörde att föra ett personregister för vilket inspektionen meddelat tillstånd. I anmälan att påtalade datainspektionen

Karolinska Institutet föreföll ha brutit mot de angivna lagrummen.

Aklagarrnyndigheten i Solna inledde förundersökning men beslöt

i december 1990 att lägga ned denna. Datainspektionen begärde

överprövnin g av nedläggningsbeslutet. Regionåklagarmyndigheten i Stockholm beslöt i maj 1991 att förundersökningen skulle

återupptas för att utreda varför inte tillstånd hade sökts och avanmälan skett beträffande vissa av de påtalade personregistren.

I augusti 1991 ingav datainspektionen till åklagannyndi heten i

Stockholm en anmälan mot en social distriktsnämnd om i rågasatt

brott mot 20 § första stycket datalagen. Nämnden ansökte i

december 1990 om tillstånd att få inrätta och föra ett personregister benämnt Arbetskortsregister. Vid en inspektion hos distriktsnämnden den 31 maj 1991 fann datainspektionen att det ifrågavarande personregistret redan hade inrättats och användes i verksamheten. I sin åtalsanmälan anförde inspektionen att den sociala distriktsnämnden underlåtit att ansöka om tillstånd innan registret, som innehåller mycket integritetskänsliga uppgifter (bl .a. uppgifter om brott och brottsmisstanke), inrättades trots att den varit medveten om att denna skyldighet förelegat samt att säkerhetsåtgärdema till skydd för personregistret varit bristfälliga.

5.2.3 Tidigare och

pågående utredningsarbete

Offentlighets- och

sekretesslagstiftningskommittén (OSK)

föreslog i sitt betänkande (SOU 1972:47) Data och integritet att vissa straffbestämmelser infördes i datalagen. Dessa gällde över-

trädelser med anknytning till själva datalagen. Vidare föreslogs

även ett tillägg till brottsbalken rörande ett nytt brott, dataintráng. Detta brott bestod i att man olovligen beredde sig

tillgång till upptagning för automatisk eller databehandling

olovligen ändrade eller utplånade sådan upptagning. Förslaget till straffbestämmelser som gällde överträdelse av olika stadganden i datalagen kom med vissa smärre justeringar att in i den som OSKs betänkande. I

flyta datalag följde på

propositionen (1973:33) anförde departementschefen att datalagens särskilda straffbestämmelser endast i ringa utsträckning skulle vara tillämpliga på annan än registerföraren (s. 104). Han ansåg vidare att det även behövdes straffbestämmelser som helt allmänt material mot

skyddade datalagrat

obehöriga åtgärder oavsett om åtgärderna medförde otillbörligt

integritetsintrång eller ej. Till det straffbara området borde

enligt departementschefen höra dels förfarande som innebar att någon olovligen beredde sig till för

tillgång upptagning ADB, med eller utan besittningsrubbning, dels fall då

någon olovligen ändrade eller utplånade sådan upptagning eller då upptagning olovligen fördes in i ett register. Enligt departementschefen fanns det ett behov av en kompletterande straffbestämmelse. I motsats till OSK farm han att en sådan bestämmelse inte ett på naturligt sätt kunde fogas in i något av brottsbalkens kapitel. Den borde därför enligt hans mening tas in i datalagen. Departementschefen ansåg även att försök och förberedelse till

dataintrång i princip borde vara kriminaliserat 105 I

(s. f).

specialmotiveringen till 21 § datalagen anfördes följande (s. 145

f):

Till de bestämmelser i brottsbalken som sålunda kan bli tilllämpliga hör i första hand reglema om tillgrepps- och förfalskningsbrotti 8 resp. 14 kap. brottsbalken. Det kan även bli aktuellt att döma till ansvar för exempelvis skadegörelse enligt 12 kap. 1 § brottsbalken eller trolöshet mot huvudman enligt 10 kap. 5 § brottsbalken. Det bör påpekas att straff för förfalskningsbrott kan ådömas endast om föremålet för åtgärden är att betrakta som urkund. Som urkund anses enligt 14 kap. 1 § andra stycket brottsbalken dels protokoll, kontrakt, skuldebrev, intyg och annan handling som upprättats till bevis eller annars är av betydelse som bevis, dels legitimationskort, biljett eller dylikt bevisrnärke. Urkundsbegreppet i det nämnda lagrummet är enligt uttalande som har gjorts i den auktoritativa kommentaren till brottsbalken att fatta så

vidsträckt att det omfattar även anteckningar som åstadkommits på helt maskinell väg, t.ex. diktafonband eller grafiska framställningar. Denna tolkning av lagrummet, till vilkenjag ansluter mig, innebär att även upptagningar för ADB i stor utsträckning faller under begreppet urkund. Manipulerande med en maskin som framställer urkunder kan däremot enligt kommentaren inte anses utgöra förfalskningsbrott.

Straffbestämmelsen avseende dataintrång kom att föras in i i stället för i brottsbalken som OSK föreslagit. Vidare datalagen kriminaliserades även försök och förberedelse. Olovligt införande av i kom också att omfattas av

upptagning register

straffbestämmelsen. I 20 § datalagen infördes också straffregler som gällde brott

mot datalagens bestämmelser om tystnadsplikt. Då nya regler infördes i brottsbalken om bl.a. brott mot tystnadsplikt den 1

januari 1976 försvann denna straffbestämmelse ur datalagen (prop. 1975:78, JuU 22, rskr. 212, SFS 1975:740). Datalagstiftningskommittén (DALK) berörde straffbestämmelsen om dataintrång i delbetänkandet (SOU 1978:54) Person- register - Datorer Integritet. Detta foranleddes bl.a. av att datainspektionen ifrågasatt om inte bestämmelsen borde ändras. Som skäl angav inspektionen att regeln var subsidiär till i brottsbalken, vilket kunde innebära att en gärning av reglerna det aktuella slaget enligt brottsbalken bedömdes som ett lindrigare brott, nämligen egenmäktigt förfarande. DALK fann dock att det inte fanns tillräckliga skäl att ändra straffregeln (s. 281). I samband med 1979 års ändringar av 2 § datalagen som innebar att som fördes med viss bestämd teknisk

personregister utrustning undantogs från det då gällande tillståndskravet, erhöll

20 § punkten 2 sin nuvarande lyde1se.(prop. 1978/792109, KU 37, rskr. 360, SFS 1979:334). I propositionen fann departe-

mentschefen (s. 29 f) beträffande straftbestämmelsen om dataintrång att den även i fortsättningen borde vara subsidiär till

brottsbalkens regler. Enligt hans mening fanns ingen anledning

till att brott som föll under de allmänna straffbestämmelserna i brottsbalken skulle särbehandlas enbart därför att ADB hade

använts som vid brott eller utgjort en förutsättning hjälpmedel

för detta. Han ansåg dock att straffbestämmelsen borde ses över och att detta skulle ske i samband med utredningen av en

generell lagstiftning om personregister.

Bestämmelsen i 20 § punkten 1 och förverkandebestämmelsen

i 22 § fick sin nuvarande lydelse i samband med att licens-

systemet infördes år 1982 (prop. 1981/822189, KU 33, rskr.

349, SFS 1982:446). Samtidigt tillkom som en följdändring även andra stycket i 20 §.

På av b1.a. förmögenhetsbrottsutredningens be-

grundval

tänkande (SOU 1983:50) Översyn av lagstiftningen om för-

utvidgades år 1986 bestämmelsen om mögenhetsbrotten i 9 1 § brottsbalken en regel med direkt bedrägeri kap. genom påverkan av resultatet av automatisk

tillämpning på olovlig

informationsbehandling eller andra liknande processer (prop. l985/86:65, JuU 17, rskr. 121, SFS 1986:123). Bestämmelsen i 10 5 § brottsbalken om trolöshet mot huvudman kom att kap. gälla också i fråga om den som anförtrotts att självständigt handha eller övervaka skötseln av en kvalificerad teknisk Vidare gjordes föreskriften i 10 kap. 7 § brottsbalken uppgift. om olovligtbrukande tillämplig oavsettbesittningsförhållandena, b1.a. för att möta vissa situationer där någon olovligen utnyttannans datoranläggning. För att undanröja eventuella jade någon oklarheter rörande omfattningen av straffbestämmelsen om i 21 datalagen gjordes denna bestämmelse dataintrång § tillämplig på information som är under befordran

uttryckligen

via elektroniskt eller annat liknande hjälpmedel för att användas

för automatisk databehandling (s.k. wiretapping), även om

inte är att anse som upptagning för ADB (SFS uppgifterna 1986:122).

Datastrajfrdttsutredningen

Datastraffrättsutredningen (J u 1989:04) skall enligt sina direktiv b1.a. se över om bestämmelsen om dataintrång

(Dir 1989:54)

bör finnas kvar i sin nuvarande utformning eller om det är att inarbeta bestämmelsen i brottsbalken. Enligt vad som möjligt inhämtats kommer utredningen att föreslå att bestämmelsen om dataintrång över till brottsbalken. Datastraffrättsutred-

flyttas

ningens arbete kommer att redovisas i ett betänkande som beräknas kunna överlämnas i juni 1992.

5.3 Skadestånd

5.3.1 Gällande rätt

Om en registrerad tillfogas skada genom att ett personregister

innehåller oriktig eller missvisande uppgift om honom, skall den

23 första stycket datalagen ersätta registeransvarige enligt §

skadan. Regeln korresponderar med regeln om rättelse av oriktiga och missvisande uppgifter i 8 § datalagen. Den omständigheten att

den sin den

registeransvarige uppfyllt rättelseskyldighet enligt

paragrafen behöver inte innebära att han befrias från sin

skadeståndsskyldighet.

Skadeståndsregeln i 23 § första innebär att skadestycket

ståndsskyldighet föreligger även om den skadeståndsansvarige

inte har orsakat skadan avsiktligt eller vårdslöshet, dvs. genom s.k. strikt skadeståndsansvar. Detta innebär bl.a. att även för det fallet att en viss felaktighet i ett inte har sin personregister grund i ett agerande från den registeransvariges sida utan härstammar från ett annat håll, t.ex. från ett annat person-

register, den registeransvarige bär ansvaret den

gentemot

registrerade. Den registeransvarige kan dock i vissa fall enligt allmänna skadeståndsrättsliga regler ha rätt att regressvis

återkräva det skadeståndsbelopp han betalat ut. En regel om skadestånd vid brott finns i 23 intagen § andra stycket datalagen. Där stadgas att om någon tillfogas skada genom brott som avses i 20 § första stycket datalagen (brott mot datainspektionens villkor och vissa allmänna registerbestämmelser) eller 21 § datalagen skall den som

(dataintrång), gjort sig

skyldig till brottet ersätta skadan. Vid bedömande om och i vad mån skada har skall uppstått man enligt 23 § tredje stycket datalagen ta även till hänsyn lidande och andra omständigheter av annan än rent ekonomisk

betydelse, dvs. ersättning kan utgå även för s.k. ideell skada.

Av allmänna bl.a. att skade-

skadeståndsrättsliga regler följer

stånd enligt 23 § första och andra stycket kan för

datalagen utgå

personskada, sakskada och ren förmögenhetsskada. Enligt 23 §

tredje stycket kan alltså även skadestånd utgå för ideell skada

utan samband med sakskada. Att skadestånd i ett visst fall skall utgå enligt paragrafens andra stycke behöver inte utesluta att skadestånd kan även utgå enligt första stycket för samma förfarande. Som exempel nämns i förarbetena (prop. 1986/872116 s. 22) att en registeransvarig

registrerar en personuppgift, som dels är oriktig eller miss-

visande och dels inte får registreras vad enligt datainspektionen bestämt för registret. Att uppgiften är oriktig eller missvisande kan grunda 23

skadeståndsskyldighet enligt § första stycket datalagen. Brottet mot villkor faller under datainspektionens

straftbestämmelsen i 20 § första och kan

stycket datalagen grunda skadeståndsskyldighet enligt 23 § andra stycket. I bägge

fallen kan ersättning utgå även för ideell skada enligt tredje stycket. När skada uppstår till följd av i

oriktighet myndighets register

kan det vara fråga om sådan skada vid som

myndighetsutövning

avses i 3 kap. 2 § Även om skadestånds-

skadeståndslagen.

regeln i datalagen innebär att skadeståndsskyldigheten regleras

särskilt på förevarande område bör enligt förarbetena till datalagen (prop. 1973:33 s. 149) vissa regler i skadeståndslagen kunna vara tillämpliga, t.ex. bestämmelsen i 6 kap. 1 § om jämkning av skadestånd på grund av vållande på den skadelidandes sida. Den utvidgning av det straffrättsliga tjänsteansvaret för offentligt anställda som trädde i kraft den 1 oktober 1989 innebar inga ändringar av bestämmelserna om det allmännas ansvar enligt skadeståndslagen (prop. 1988/89:113, JuU24, rskr. 312, SFS 1989:608). Däremot upphörde genom en lagändring vissa bestämmelser i skadeståndslagen (3 kap 3-5 §§) om särskilda begränsningar i det allmännas skadeståndsansvar att gälla den ljanuari 1990 (prop. 1989/90:42, LUIO, rskr. 50, SFS 1989:926).

Enligt 9 § lagen om inskrivningsregister (1973:98) har staten

strikt ansvar för skador som orsakats av tekniska fel. Regeln stadgar att bestämmelsen i 19 kap 19 § jordabalken om ersättning för förlust till följd av fel eller försummelse äger motsvarande förlust som orsakats av tekniska fel i

tillämpning på

registret eller i anordning som anslutits till detta hos vissa

statliga och kommunala myndigheter. I 19 kap 5 § fastighetsbildningslagen (1970:988) finns en liknande skadeståndsregel

för skador som orsakats av tekniska fel i och fastighetsregistret i vissa till registret anslutna terminaler. Liknande skadeståndsregler finns dels i 370 § sjölagen (189l:35) för skada som orsakats av tekniska fel i skepps- eller

skeppsbyggnadsregistret vid användning av ADB eller i anordning som hos registermyndigheten eller annan statlig myndighet är ansluten till registret, dels i 5 kap 1 § företagshypotekslagen (1984:649) för skada som någon lider till

följd av tekniskt fel i eller i

företagsinteckningsregistret någon anordning som hos inskrivningsmyndigheten eller annan statlig myndighet är ansluten till registret. Även i aktiekontolagen (1989:827) finns i 7 kap 2 § en

bestämmelse om rent strikt skadeståndsansvar som direkt riktar sig mot ADB-baserad verksamhet. Regeln innebär att om någon tillfogas skada till följd av oriktig eller missvisande uppgift i ett avstämningsregister eller i annat fall genom fel i samband med uppläggning eller förande av ett sådant register, denne har rätt till ersättning av värdepapperscentralen (VPC). VPC har dock viss möjlighet att exculpera sig. En annan lag som bör nämnas i detta sammanhang är inkassolagen (1974:182). Enligt 18 § inkassolagen skall den som bedriver inkassoverksamhet och förorsakar skada genom

otillbörlig påtryckning eller annan otillbörlig inkassoåtgärd

ersätta denna. Om ett inkassoregister förs med hjälp av ADB är skadeståndsregeln i datalagen tillämplig. En skadeståndsregel finns också intagen i 21 § kreditupplysningslagen (1973:1173). Enligt denna skall den som bedriver kreditupplysningsverksamhet ersätta skada som till följd av verksamheten tillfogas någon genom intrång i hans personliga

integritet. Vidare uppkommer skadeståndsskyldighet om oriktig

uppgift lämnas, om inte den som bedriver verksamheten kan visa att tillbörlig omsorg och varsamhet iakttagits. Vad som skall ersättas är både ideell och ren förmögenhetsskada. I de fall ett kreditupplysningsregister förs med hjälp av ADB blir dock även skadeståndsregeln i datalagen tillämplig (jfr prop. 1973:155 s. 122). i. ä l 5.3.2 Praxis L* 3;» å i De praktiska erfarenheterna av datalagens skadeståndsregel är $ EC mycket begränsade beroende på att antalet skadeståndsärenden ;f varit litet. Det alldeles övervägande antalet av dessa har gällt

anspråk mot staten. De har slutligt reglerats av justitiekanslern

(JK) som i de fall skadestånd över huvud taget medgetts har bestämt dessa till förhållandevis låga belopp. Vid remissbehandlingen av DALKs delbetänkande (SOU 1978:54) Personregister - Datorer - Integritet hänvisade JK i sitt till att han reglerat ett trettiotal skadeståndsärenden i

yttrande

vilka han hade tillämpat 23 § datalagen. Åtskilliga av anspråken

hade avsett ringa belopp, i några fall endast ersättning för portokostnader (se prop. 1978/79:lO9 s. 199). För att få en bild av hur omfattande skaderegleringen var hos

JK samt av ärendetypen vad gällde registeransvariga, typen av

fel, ersättningsbelopp m.m. granskade DALK härefter beslut hos JK som rörde för åren 1978 -

skadestånd enligt datalagen

1980. Resultatet av undersökningen redovisades i en år 1981 upprättad PM. Av denna att JK under år 1978 be-

framgår

slutade om ersättning i 11 fall, under år 1979 i 18 fall och under år 1980 i sex fall. Nästan alla ärenden gällde fel i bilregistret eller parkeringsanmärkningsregistret och medförde för trañksäkerhetsverket eller berörd

skadeståndsskyldighet

Ett fall gällde fel i en skatteregister

länsstyrelse. länsstyrelses

och ett annat fall fel i register hos en försäkringskassa. Lägsta ersättningsbelopp som beslutats var 2 kr 10 öre och högsta belopp 2 200 kr. Av ärendena rörde 24 belopp som understeg 100 kr, och 13 av fallen gällde 20 kr eller mindre. Näst högsta belopp var 361 kr. De flesta fallen rörde fel i parkeringsanmärkningsregistret beroende t.ex. på att undanröjda beslut if

ä

inte registrerades, av bilar hade skett eller att för

förväxling hög

parkeringsavgift registrerats. Vad som ersatts var telefon- och portokostnader för att få rättelse. Vidare hade ersättning för besvär och tidsspillan utgetts samt för ränteförlust ersättning genom att återbetalning av

felaktiga parkeringsavgifter fördröjts.

Även när det gällde fel i bilregistret hade skadestånd utbetalats för rättelsekostnad och som for I ersättning tidsspillan. några fall hade det gällt ersättning för som onödig besiktning, något

varit en följd av I ett fall hade en bil åsatts felaktiga uppgifter.

fel årsmodell. Köparen ansågs på grund härav ha gett ett för högt pris för bilen när han köpte den och tillerkändes begagnad ersättning med 2 100 kr för att kompensera detta, förutom ersättning för resor och telefonsamtal med 100 kr. De fel-

registreringar som medfört hade ofta varit skadeståndsskyldighet

mer inriktade på objekt - t.ex. bilen - än personer och ibland

gällt detaljuppgifter om objekten som t.ex. felaktiga chassinummer och dylikt. I en del fall hade ersättning yrkats för ideell skada i form av lidande. De fall som ersatts hade dock psykiskt uteslutande gällt ekonomisk skada. I DOKs delbetänkande (SOU Rättelse och skade- 1986:24)

stånd Patientuppgifter i personregister refereras

ytterligare några exempel på skadeståndsärenden hos justitiekanslern under åren 1984 och 1985 (s. 42 f). De var följande.

En oriktig adressuppgift i folkbokföringsregistret hade spritt sig till bl.a. riksförsäkringsverkets och medfört sj ukförsäkringsregister försenad av Felet utbetalning bidragsförskott. hade uppkommit genom att två personer med samma namn hade förväxlats sedan pastorsämbetet aviserat om adressändring för den ene. Den drabbade mannen begärde ersättning av staten med 12 000 kr, varav huvuddelen för eget arbete och för lidande. Utredningen visade endast att mannens post i vissa fall hade blivit försenad. Han ansågs varken berättigad till ersättning för psykiskt lidande eller för eget arbete. Däremot utbetalades 25 kr, för ränteförlust, portokostnader, brevpapper m.m.

Sedan länsstyrelsen fått underrättelse om att en utomlands bosatt man hade ändrat namn sände trafiksäkerhetsverket ut ett nytt körkortsunderlag på vilket en bokstav i mannens namn var fel. På den avi som hade sänts ut farms anvisningar om vad körkortshavaren skall göra om uppgifterna inte är riktiga. I stället för att iaktta denna rutin försökte mannen nå trafiksäkerhetsverket per telefon och lade enligt egen up gift ut 1 100 kr på de resultatlösa försöken att få kontakt med tra rksäkerhetsverket. Han ansågs inte berättigad till skadestånd.

Två makar begärde ersättning med 2 500 kr vardera, för lidande, obehag och kostnader i samband med att en kronofogdemyndighet vid tvâ olika tillfällen anmanat dem att betala kvarstående skatt trots att anstånd hade visade att det första beviljats. Utredningen kravet som riktats till båda makama hade skrivits ut två dagar innan Skattemyndigheten hade beslutat om anstånd. Det andra kravet, som enbart riktats mot mannen, hade däremot orsakats av

,du

ett fel hos kronofogdemyndigheten. Ersättning utbetalades till mannen med 500 kr för visst obehag och en del extra arbete.

En man begärde ersättning med 50 000 kr för psykiskt lidande som han angav hade förorsakats av att han fått kontrolluppgift avseende annan persons inkomster från en taxeringsmyndighet. Utredningen visade att Tekniska Högskolan i Stockholm var arbetsgivare till en gästforskare som saknade personnummer. För denne hade högskolan tillskapat en identitetsbeteckning som var densamma som klagandens personnummer och som angavs på kontrolluppgiften. Sedan klaganden besökt lokala skattemyndigheten rättades felet efter ett fåtal dagar. Ersättningen bestämdes av justitiekanslern till 500 kr för psykiskt lidande.

Mannen i det sist refererade ärendet väckte sedermera talan vid

Stockholms tingsrätt och att staten skulle förpliktas att

yrkade

till honom 49 500 kr ränta. I dom i maj

utge ytterligare jämte

1987 tillerkändes mannen 9 500 kr jämte ränta. Staten överklagade domen till Svea hovrätt som i januari 1990 fastställde

tingsrättens domslut. En av hovrättens ledamöter var skiljaktig och ville utdöma hela det beloppet.

yrkade

Utredningen har gått igenom och granskat beslut hos JK som rör skadestånd enligt datalagen för åren 1985 - 1991. Härvid

kan konstateras att någon större förändring av skaderegleringen

mot vad som redovisades av DALK och DOK inte skett. Antalet

sådana ärenden är i stort oförändrat i förhållande till tidigare år

och uppgår till ca 10 per år. Registeransvariga och typen av fel

är i stort sett de samma som under tidigare år. En stort antal av

ärendena har gällt fel i bil-, körk0rts-, eller parkeringsanmärkningsregistret och medfört skadeståndsskyldighet for trafiksäkerhetsverket eller länsstyrelse. De ersättningsbelopp som till-

erkänns för ideell skada varierar från några hundratals kronor till 10 000 kr som utgick i ett ärende (se nedan). En utveckling

mot en något höjd skadeståndsnivå kan dock skönjas under de

allra senaste åren.

Som exempel på några avgöranden av JK under kan

perioden

nämnas:

Två makar framställde anspråk på ersättning med 2 500 kr vardera för det lidande och obehag i övrigt samt de kostnader som uppkommit för dem till följd av att de vid två tillfällen fått

anmaningar från kronofogdemyndigheten att betala kvarstående

skatt trots att anstånd beviljats. Utredningen visade att den andra anmaningen, som endast var riktad mot mannen, var orsakad av att kronofogdemyndigheten försummat att registrera att anstånd

beviljats. Mannen tillerkändes ersättning med 500 kr (Beslut 1985-

06-1 l).

En man registrerades i både kriminal- och rikspolisregistret som

skyldig till två rattfylleribrott när det rätteligen bara var ett. JK

tillerkände mannen ersättning för lidande med 2 000 kr (Beslut

1986-01-23).

innehöll under två månader

En länsstyrelses folkbokñringsregister

om att en man hade avlidit ett visst datum en oriktig uppgift

istället för, som var fallet, att han hade erhållit åktenskapsskillnad

detta datum. Den oriktiga uppgiften ledde till att mannen erhöll ett brev adresserat till sitt eget dödsbo. Mannen tillerkändes ersätt-

ning för lidande med 500 kr (Beslut 1986-03-07).

En kvinna ersättning för kostnader och lidande som begärde åsamkats henne på grund av att riksskatteverket hade ändrat ett som hon av misstag tidigare hade tilldelats. personnummer hade bl.a. föranlett henne att ta Andringen av personnumret

kontakt med ett tiotal olika myndigheter, banker m.m. för att

underrätta dessa om Vidare hade

personnummerändringen.

vid två tillfällen fördröjts. Kvinnan tilllöneutbetalningama

erkändes ersättning med totalt 500 kr (Beslut 1986-03-11).

Genom att två personnummer hade sammanblandats kom det centrala skatteregistret att innehålla en oriktig inkomstupp ift. Den medförde att en man under tvâ år lCk föroriktiga uppgiften från taxeringsnämnden om en inkomst som han inte frågningar

hade haft. Ersättning tillerkändes med l 000 kr (Beslut 1986-03-

13).

En man erhöll en oriktig betalningsanmaning från kronofogdemyndigheten på grund av en felaktig registrering om restförd skatt. Mannen tillerkändes ersättning med l 000 kr (Beslut 1986-

03-21).

En felaktig uppgift i aktiebolagsregistret om att en man var styrelseledamot ledde till att denne upprepade gånger söktes för

och även kallades till JK

delgivning kronofogdemyndigheten.

tillerkände mannen ersättning för lidande med 2 500 kr (Beslut

1987-09-03).

Två makar fick en lägre inkomst vid föräldraledighet än de skulle

ha haft, detta som en följd av orikti a uppgifter i ett sjukför-

Ena maken tillerkän es ersättning fir utebliven

säkringsregister.

och lidande. Ersättningen för lidande bestämdes till arbetsförtjänst

500 kr (Beslut 1987-09-16).

Som en följd av falsk tillvitelse kom person- och belastningsoriktiga beträffande en kvinna om

registret att innehålla uppgifter misstanke om stöld och bedrägeri. I vart fall uppgiften rattfylleri, om misstanke om rattf lleri hade funnits registrerad i mer än två år. Vidare kom ett öreläggande av ordningsbot att felaktigt

i körkortssamman-

registreras i registret över brott av betydelse

han . Den hade funnits i registret i minst tre år. uppgiften Un errättelse om ordningsboten hade lämnats till körkortsregistret. inte hade betalts hade anteckning även skett i Då ordningsboten för lidande bestämdes till 5 000 kr. utsökningsregistret. Ersättning

(Beslut 1987-10-27).

En man begärde ersättning för att han nödgats fullgöra en krigsförbandsövning under tolv dagar trots att han inte varit skyldig till med 1 781 kr för

detta enligt vämpliktslagen. Ersättning begärdes förlorad arbetsförtjänst och med 12 000 kr för frihetsberövande

fált. visade att inkallelsen var

dygnetrunttj änstgöringi Utredningen

Eftersom det som underlaget för

oriktig. register utgjorde inkallelsen var ett personregister prövades begäran om ersättning

enligt datalagen. JK uttalade i sitt beslut i februari 1988 att 23 § fick anses täcka även det fall där det saknades en datalagen

personuppgift, vilken borde ha tillförts registret med hänsyn till ändamålet med detta. Mannen ansågs därför berättigad till ersättning för den skada som orsakats honom genom att registret

varit ofullständigt då en av fem genomförda krigsförbandsövningar

inte blivit registrerad. Mannen erhöll begärd ersättning för förlorad arbetsförtjänst. Ersättningen för lidande bestämdes till

3 000 kr (Beslut 1988-02-23).

En kvinna begärde skadestånd med bl.a. 50 000 kr för lidande på

grund av att socialstyrelsens register över sluten psykiatrisk vård

innehâllit en oriktig uppgift om att hon lidit av schizofreni. Utredningen visade att uppgiften i registret varit felaktig och att kvinnan därför var berättigad till ersättning. JK bestämde i ett beslut i september 1988 ersättningen för lidande till 7 500 kr. I sitt beslut anförde JK att den omständigheten att personuppgifterna varit mycket integritetskänsliga och funnits i registret under förhållandevis lång tid samt att obehaget kunde sägas ha förstärkts av att de oriktiga uppgifterna hade kvarstâtt viss tid i registret även

sedan deras felaktighet åtalats, var omständigheter som orde att

jämärelsevis

ersättningen för lidan e borde bestämmas till ett högt belopp. A andra sidan menade JK att det i sammanhanget

också måste vägas in att inget framkommit som tytt på att personuppgifterna obehörigen röjts eller spritts till andra register

(Beslut 1988-09-02).

I ett senare ärende som också gällde en felaktig uppgift i socialstyrelsens register över sluten psykiatrisk vård, begärde en man skadestånd med 50 000 kr för psykiskt lidande. Ersättningen för

lidande bestämdes av JK till 5000 kr (Beslut 1989-09-25).

Ett av fört personregister innehöll

riksförsäkringsverket en oriktig uppgift om det skatteavdrag som skulle vid utbetalning av

ersättning från försäkringskassan. Uppgi göras ten medförde att avdrag

för preliminär skatt skedde med för litet belopp, vilket ledde till att den registrerade senare pâfördes kvarstående skatt och

kvarskatteavgift. Ersättning tillerkändes för den merkostnad som kvarskatteavgiften medförde samt för lidande och obehag med

2 O00 kr (Beslut 1989-01-04).

Pâ grund av en ñrväxling av en gäldenärs förnamn och efternamn kom en man att felaktigt registreras som gäldenär i utsökningsregistret. Den felaktiga ledde till att han från registreringen kronofogdemyndigheten erhöll underrättelse om utsökningsmål och utmätningsförrättning. Ersättningen för lidande bestämdes till

3 000 kr (Beslut 1989-02-08).

En man som på grund av kom att

namnförväxling felaktigt registreras som styrelseledamot i aktiebolagsregistret tillerkändes

förutom viss ersättning för kostnader även 500 kr för lidande

(Beslut 1989-04-21).

I samband med sin makes hade en kvinna

dödsfallregistrering

blivit registrerad i det regionala som

folkbokföringsregistret

avliden i stället för som änka. JK fann att felaktigheten hade avsett

ett i högsta grad integritetskänsligt område och hade - trots att åtgärder för rättelse snabbt hade vidtagits - lett till ett avsevärt lidande. Ersättning för lidande bestämdes till 10 000 kr (Beslut

1990-02-13).

På grund av en förväxling av personnummer kom oriktiga uppgifter om en man att registreras i ett försäkringskasseregister. Detta medförde att ett intyg om sjukförsäkringstillhörighet i Sverige kom att innehålla personuppgifter om mannen samt om en främmande kvinna och hennes barn såsom familjemedlemmar. Detta medförde diskussion mellan mannen och hans hustru. Mannen begärde bl.a. ersättning med 500 kr för lidande. JK

tillerkände honom det yrkade beloppet (Beslut 1990-06-05).

På grund av oriktiga uppgifter i bilregistret tvingades en bilägare i onödan inställa sitt fordon till en

registreringsbesiktning.

Bilägaren tillerkändes ersättning för de merkostnader som därigenom uppstått. Bilägarens yrkande om ersättning för ideell

skada lämnades utan bifall (Beslut 1991-05-08).

På grund av en personförväxling korn en kvinna som var bosatt i Gustavsberg att felaktigt kyrkobokföras i Sveg. Detta medförde att

en felaktig uppgift registrerades i det regionala folkbokföringsregistret. Folkbokföringsregistret används för uppdatering av

andra myndighetsregister, t.ex. skatteförvaltningens centrala och regionala skatteregister, kommunala register och register hos försäkringskassan. Aven dessa register kom därför att innehålla

oriktiga adressuppgifter. Kvinnan begärde skadestånd med 10 000

kr avseende ersättning för att hennes personnummer använts

felaktigt och för det extraarbete hon haft för att tillrättalägga och

utreda felet hos olika myndigheter, telefonkostnader samt personligt lidande. Ersättningen för besvär, kostnader och lidande

bestämdes av JK till totalt 5 000 kr (Beslut 1991-06-14).

På grund av personalbrist hos en länsstyrelse kom ett beslut om återkallelse av körkort att registreras i det centrala körkortsregistret först efter utgången av beslutets gilti hetstid. Detta medförde att körkortsinnehavaren inte i rätt tid ick tillbaka sitt körkort och därigenom gick miste om arbetsförtjänst. Körkortsinnehavaren tillerkändes yrkad ersättning för den förlorade

arbetsförtjänsten. Något yrkande om ideellt skadestånd framställdes inte (Beslut 1991-08-06).

En vämpliktig tillerkändes ersättning för den inkomstförlust han hade åsamkats på grund att han blev inkallad tre månader för

tidigt. Den felaktiga inkallelsen berodde på en felaktig uppgift om honom i ett dataregister (Beslut 1991-08-28).

Av de tingsrätter som svarat på om de

utredningens förfrågan

under åren 1985 - 1991 handlagt datalagsmål (se avsnitt 5.2.2) har endast en tingsrätt, Stockholms tingsrätt, att den

uppgett

handlagt mål som gällde skadeståndsskyldighet enligt 23 §

datalagen. Stockholms tingsrätt uppgav att den handlagt två

sådana mål.

I det ena av dessa mål fastställde tingsrätten i en mellandom

år 1989 att vissa av Upplysningscentralen UC

Aktiebolag (UC) registrerade betalningsanmärkningar inte var skadestånds-

grundande. Kärandena, som vitsordade att innehållet i de registrerade uppgifterna varit korrekt, gjorde bl.a. gällande

uppgifterna varit oriktiga på det sätt som i 23 § data-

l avsågs lagen i dess fore den 1 1988.

lydelse april (Skadeståndsskyldig-

LL

heten omfattade då inte skada som vallats enligt datalagen att ett innehöll missvisande

genom personregister personupp-

fann att uttrycket oriktig borde förstås så att gift.) Tingsrätten

inte är korrekt och ansåg att lydelsen av 23 §

uppgiften fore den 1 april 1988 och det faktum att en ändring datalagen inte gav utrymme for att ålägga UC skade-

ansågs påkallad ståndsansvar for uppgift som inte är oriktig.

I det andra målet väckte en man år 1989 talan vid tingsrätten och att Stockholms läns landsting skulle förpliktas att till

yrkade

honom skadestånd med 25 700 kr jämte ränta. Av det utge 25 000 kr ersättning för lidande

yrkade beloppet avsåg psykiskt och 700 kr kostnaden for självrisk för byte av en lägenhetsdörr.

Bakgrunden var att någon - for parterna okänd person - sedan

hösten 1984 vid flera tillfällen hade använt en patientbricka med

kärandens namn, personnummer och adress. Denne okände

hade bl.a. använt sig av denna patientbricka då han hade

person behandlats for en infektionssjukdom. Då denne person inte återkom till infektionskliniken efter en permission begärde av för att hämta honom i bostaden.

sjukhuset hjälp polisen

Polisen också in i kärandens bostad. De detta

tog sig gjorde att bl.a. Vid tidpunkten för genom bryta upp lägenhetsdörren. begäran om biträde från polisen fanns personupp-

sjukhusets i ett och i en manuellt förd Käranden

gifter dataregister journal.

att hans integritet bl.a. hade kränkts

gjorde gällande personliga

det i hans bostad och genom

genom felaktiga polisingripandet

att han utpekats som en allvarligt sjuk person. Landstinget, som

bestred käromålet, gjorde gällande att några felaktiga uppgifter inte hade in i registret eftersom uppgifterna var korrekta

tagits såvitt den okände man som hade varit intagen på inavsåg fektionskliniken. Tingsrätten fann att det förekommit sådana i ett for vilken ersättnings-

oriktiga uppgifter personregister

23 § Då enligt tingsrättens

skyldighet enligt datalagen förelåg.

mot kärandens bostad skulle ha skett

mening polisingripandet

även om om käranden endast funnits i den manuellt

uppgifter förda journalen ansågs denne inte vara berättigad till ersättning för skada som han kunde ha lidit till följd av polisingripandet.

fann dock att käranden lidit ideell skada Tingsrätten klarlagt dels genom den integritetskränkning som det hade inneburit att

uppgifterna i registret hade utpekat honom som en sjuk person,

dels genom den risk som funnits for att han skulle ha kunnat utsättas för felbehandling om han hade tagits in på sjukhus. Käranden tillerkändes ersättning med 10 000 kr jämte ränta. Domen meddelades i 1990.

juni

5.3.3 Tidigare utredningsarbete

Offentlighets- och sekretesslagstiftningskommitten (OSK) ansåg

i sitt betänkande 1972:47) Data och integritet att den (SOU dåvarande skadeståndslagens bestämmelser inte var tillräckliga för att den rätt till skadestånd vid fel i

reglera registrerades

som förs med hjälp av ADB. OSK föreslog

personregister

skulle när hade

därför att särskilda regler gälla registrerad

att hade lämnats

utsatts för en skada genom felaktiga uppgifter ut. OSK diskuterade även en obligatorisk försäkringsskyldighet för de men tanken på en sådan skyldighet registeransvariga

tillbakavisades (s. 92 t). Vid av OSKs förslag (se 1973:33 remissbehandlingen prop. s. 146 en särskild om ideellt skadestånd vid ft) föreslogs regel vissa straffbelagda handlingar, främst utlämnande av uppgift. Från flera håll ansågs emellertid att den föreslagna skadevar alltför Ett annat alternativ

ståndsskyldigheten långtgående.

som fördes fram var att rätten till skadestånd till de begränsa

fall där medfört kränkning av den registrerades

oriktigheten ett väsentligt sätt. Några remissinstanser

personliga integritet på

att endast sådana som var hänförliga till den ansåg oriktigheter handläggning skulle vara relevanta.

registeransvariges egen

ville ha en reglering av det inbördes ansvaret

Någon uttrycklig mellan den och den från vilken felaktig uppgift registeransvarige

har lämnats ut. I den 1973:33) som följde på OSKs be-

proposition (prop.

tänkande att behovet av skadestånds-

ansåg departementschefen

datateknikens område i stor utsträckning täcktes regler på bestämmelserna i Han menade dock genom skadeståndslagen. liksom OSK att det för vissa fall fanns skäl att införa regler om skadestånd som gick längre än skadeståndslagens bestämmelser

för de fall då skada uppstått till följd av att personregister

innehållit Som motiv för att införa ett strikt

oriktig uppgift.

skadeståndsansvar för dessa fall anfördes bl.a. att skadeverk-

av en kan bli betydande ningarna oriktig registeruppgift genom den stora av en uppgift som datatekniken möjliggör spridning

och den särskilda tilltro som i många fall åtnjuter.

datauppgifter

Som ett motiv anfördes att faktiska fel kan upp-

ytterligare

komma i ett dataregister genom missöden som inte kan läggas

till last som vållande. Departementschefen tyckte att vissa

någon skäl talade för att utsträcka rätten till ersättning för ideell skada även till fall då handling har begåtts med avseende på brottslig

material utan att någon personuppgift har fått ett

datalagrat innehåll. Som exempel nämndes fall där någon stulit oriktigt

som i och för sig är riktig eller upprättat personregister

uppgift

utan tillstånd. Någon särskild bestämmelse för sådana- fall föreslogs emellertid inte i propositionen. Föredragande departementschefen ansåg att skadeståndsansvaret den gentemot enskilde borde åvila den som sist haft hand om dvs. uppgiften, den registeransvarige som lämnat ut den eller oriktiga uppgiften på annat sätt orsakat skadan. En sådan kunde registeransvarig enligt föredraganden i vissa fall ha rätt att regressvis återkräva utgiven ersättning av annan (prop. s 148 f). Sålunda intogs en skadeståndsregel i datalagen som i stort överensstämde med den OSK föreslagit. Denna innebar strikt ansvar för den för skada registeransvarige som tillfogats registrerad genom att personregister innehåller oriktig uppgift om honom. Även ideellt skadestånd kunde Skadeståndsutgå. skyldighet förelåg även om den inte oriktiga uppgiften var hänförlig till den registeransvariges egen verksamhet. I sitt betänkande (SOU 1978:54) Personregister - Datorer - Integritet berörde DALK att kritik hade riktats mot skadeståndsregeln i datalagen. Enligt hade datainspektionen ifrågasätts om det var lämpligt att införa en så vittgående som skadeståndsregel samtidigt enligt kritiken var inkonsekvent då den inte täckte alla situationer där kunde otillbörligt intrång tänkas uppkomma. DALK fann att ännu inte hade skadeståndsregeln tillämpats och att praktisk erfarenhet av saknades. DALKs regeln Enligt mening fanns inte skäl att förorda tillräckliga någon ändring av den gällande skadeståndsregeln (s. 281). I propositionen l978/79:109 med till i forslag ändring datalagen fann departementschefen att borde skadeståndsreglerna ses över. En mera borde inträngande undersökning enligt departementschefen göras i samband med utredningen av en generell lagstiftning om personregister. Data- och offentlighetskommittén (DOK) föreslog i sitt första delbetänkande (SOU Rättelse och skadestånd 1986:24) Patientuppgifter i personregister b1.a. att den som hade brott begått enligt datalagen skulle bli skyldig att betala skadestånd även för s.k. ideell skada (23 §). Kommitten att med ansåg det, hänsyn till de till ideellt möjligheter skadestånd i samband med brott mot den personliga integriteten som numera tagits upp i skadeståndslagen, vore inkonsekvent om man inte vid behov kunde utkräva skadestånd för lidande som hade orsakats av brott mot datalagens bestämmelser. Med hänsyn till departementschefens uttalande i förarbeten och den allmänna datalagens restriktiviteten i svensk rätt när det att för ideell gäller medge ersättning skada fann kommitten det mindre att förlita till utlämpligt sig vecklingen av praxis och ett i l föreslog tillägg kap 3 § skadeståndslagen som klart angav att ideellt skadestånd kan utgå

~,—..;:e==.s.«;.-

.

i samband med brott mot datalagen (s. 46) DOK föreslog även vissa ändringar i datalagen innebärande utökad skyldighet för den registeransvarige att rätta felaktiga uppgifter i ett personregister och för denne att utse en eller flera kontakt-

skyldighet

personer. DOKs förslag ledde till vissa ändringar i datalagen som trädde i kraft den 1 april 1988 (prop. 1986/87:116, KU 1987/88:5,

rskr. 10, SFS 1987:990). Ändringarna innebar att den register-

ansvarige i ökad utsträckning blev skyldig att rätta felaktiga

uppgifter i ett personregister. Rättelseskyldigheten utsträcktes till att i vissa fall även omfatta uppgift som är missvisande utan att vara oriktig. Den registeransvarige blev också skyldig att utse en eller flera kontaktpersoner som skall bistå de registrera-

de vid misstanke om att en personuppgift är felaktig. Vad angår

skadeständsskyldigheten den till att enligt datalagen utvidgades avse skada som vallats genom att ett personregister innehåller missvisande personuppgift. I 23 § infördes nuvarande andra stycke som inte var avsett att innebära någon ändring i sak utöver vad som redan gällde enligt skadeståndslagen (jfr prop. 1986/871116 s. 21 f). Vidare infördes i datalagen en särskild föreskrift om att även ersättning för ideell skada kan utdömas. Som skäl för att en sådan regel fördes in i datalagen och inte, som DOK föreslagit, i skadeståndslagen angavs att skadeståndslagen i första hand borde reserveras för regler av mera allmän

räckvidd och att regler som endast berör ett speciellt område

bör tas in i den särskilda lagstiftning som gäller för det området (prop. s. 19 t). I propositionen uttalade departementschefen även att de motiv som åberopades vid datalagens tillkomst till stöd för 23 § datalagen enligt hans mening alltjämt hade bärkraft (s. 17). Han yttrade vidare:

Med hänsyn till de intressen som datalagen är avsedd att skydda torde det i första hand vara de registrerade som kan bli berättigade till ersättning för ideell skada vid brott som avses i nämnda lagrum. För att skadestånd skall utgå i ett konkret fall bör givetvis krävas att målsäganden har blivit utsatt för en integritetskränkning som inte är obetydlig. En sådan integritetskränkning kan t.ex. bestå i att en integritetskänslig uppgift om målsäganden kommit till obehörigas kännedom genom det brottsliga förfarandet. Aven en påtaglig risk för detta bör kunna beaktas. Ett integritetsintrång av detta slag torde kunna uppkomma t.ex. i vissa fall när ett register förs utan tillstånd (jfr 20 § första stycket 1 datalagen) eller när en personuppgift registreras, lämnas ut eller bevaras i strid med en bestämmelse i datalagen eller en föreskrift som meddelats av datainspektionen (jfr 20 § första stycket 2 - 4). Motsvarande torde kunna bli fallet om någon olovligen bereder sig tillgång en (jfr 21 §).

till_ personuppgift

Ersättning för ideell skada bör också kunna utgå när den registrerade genom det brottsliga förfarandet blir utsatt för en påtaglig risk för att bli föremål för felaktiga ingripanden från myndigheter eller för att inte kunna tillvarata sina lagliga rättig-

heteri ett visst avseende. Ett sådant integritetsintrån torde kunna uppkomma t.ex. i vissa fall då någon olovligen än rar, utplånar eller för in en personuppgift i ett register (jfr 21 § datalagen). Skadestånd bör också kunna utgå om en registrerad blir ur stånd att tillvarata sin rätt i en angelägenhet på grund av att en registeransvarig har lämnat osann uppgift vid fullgörande av sin skyldighet att lämna en underrättelse enligt 10 § (jfr 20 § första stycket 5). Aven i vissa andra fall torde ett brott mot datalagen kunna ge upphov till ett integritetsintrång som berättigar till ersättning för ideell skada. Särskilt gäller detta vid s.k. wire-tapping som avses med den år 1986 utvidgade gämingsbeskrivningen i fråga om dataintrâng och som ligger brytande av telehemlighet nära (prop. 1985/86:65 s. 30 ff). Det får ankomma på råttstillämpningen att bedöma uppkommande skadestândsfall mot bakgrund av allmänna skadeståndsrättsliga principer och de intressen som datalagen skall skydda.

5.4 Internationella överenskommelser

Enligt artikel 10 i Europarádets dataskyddskonvention (se avsnitt 7.1 i SOU 1990:61) skall den nationella lagen innehålla

sanktioner och rättsmedel. I kommentaren till artikeln

lämpliga att det ankommer pá varje enskild stat att bestämma sägs karaktären av dessa sanktioner och rättsmedel, dvs. huruvida

dessa skall vara av civilrättslig, administrativ eller straffrättslig

karaktär.

Medlemsländerna skall enligt punkt 19 i OECDS riktlinjer i

fråga om integritetsskyddet och persondataflödet över gränserna

(se avsnitt 7.2 i SOU 1991:21) b1.a. särskilt sträva efter att

införa lämpliga sanktioner och rättsmedel. Förslaget till EG-direktiv (se avsnitt 2 i SOU 1991:21) innehåller också bestämmelser om den registrerades rätt till

skadestånd (art. 21) och en föreskrift om att medlemsstaterna

också måste ha verkningsfulla sanktionsbestämmelser för att förhindra överträdelser. Vid utformningen av dessa skall särskilt beaktas att överträdelse av dataskyddsprinciperna utgör en

kränkning av en grundläggande rättighet (art. 23).

5.5 Utredningens tidigare överväganden

I utredningens första delbetänkande behandlas sanktionsfrágorna endast kortfattat i avsnitt 8.8 varvid sägs att en skärpning av dessa bör Som en allmän princip bör enligt utredövervägas. ningen gälla att straff- och skadestándsbestämmelserna inte är

till fall där kommer att

begränsade anmälningsskyldighet

Vidare nämns att i det föreslagna tillsynssystemet en föreligga. försummad i de fall skall

anmälan, anmälningsskyldighet

bör medföra liksom fall där ett register med ett föreligga, straff, visst ändamål förs för ett annat ändamål. Likaså bör straff föreskrivas för avvikelse från vissa av de bestämmelser som kan ha meddelat inom det normerade området,

datainspektionen

liksom från de villkor kan ha meddelat i ett särskilt inspektionen fall. Straff bör också försummelse att inhämta medfölja på till utlandsöverforing där det har föreskrivits. Vidare givande att det bör vara straffbart att bryta mot ett meddelat anges förbud.

5.6 Remissyttrandena

Av de remissinstanser som sig över utredningens första yttrat delbetänkande har endast ett fåtal nämnt sanktionsfrågorna. vikten av straff- och

Datainspektionen understryker tydliga

skadeståndsbestämmelser i den framtida datalagen och betonar att i sitt fortsatta arbete bör uppmärksamma de utredningen

förhållanden som hittills rått när det gäller sanktionssystemets

och söka utforma ett sanktionssystem som är tillämpning bl.a. att det i tillämpningen kan avgöras effektivt, därigenom

vem som är straffansvarig. Svenska vill särskilt påtala att registerkommunförbundet

ansvar inte kan delegeras till en enskild kommunalrättsligt eller en enskild ledamot eller i en nämnd

tjänsteman suppleant

och att vem som är straffrättsligt ansvarig i kommunala frågan

sammanhang bör behandlas i det fortsatta utredningsarbetet. Swedish Direct Marketing Association vill av försiktighetsskäl förorda återhållsamhet såvitt avser eventuella skärpningar av

straffbestämmelser inom området. Föreningen anser att en

av vad som är bäst ett gott skydd mot noggrann analys främjar

- straff eller - först bör

otillbörligt integritetsintrång upplysning

goras.

Överväganden

5 .7

I det av utredningen avsnitt 8.6

föreslagna tillsynssystemet (se

i SOU 1990:61 och avsnitt 3.1.6 i förevarande betänkande) kommer datalagen att innehålla de bestämmelsergrundläggande

na för integritetsskyddet, medan den konkreta till

anpassningen vissa sektorer och områden kommer att ske genom en regelutfyllnad från datainspektionen. Vidare i detta framtida

föreligger systern anmälningsskyldighet endast för de mera integritets-

känsliga persondatamängderna. Datainspektionens tillsyn och

kontroll skall i första hand inriktas de sistnämnda på persondatamängderna. För att det föreslagna skall få önskad effekt

tillsynssystemet

krävs det, som utredningen redan 8.8.2 i SOU påpekat (avsnitt

1990:61), att en skärpning av sanktionsbestämmelserna sker.

Straff- och skadeståndsbestämmelserna bör även naturligtvis gälla de fall som inte omfattas av lagens

anmälningsskyldighet.

5.7.1 Straff

I dag gäller att den som eller av oaktsamhet inrättar uppsåtligen eller för personregister utan licens eller

erforderlig tillstånd enligt datalagen ådöms straffansvar. Detsamma bör den

gälla som i ett framtida underlåter att sin

tillsynssystem fullgöra anmälningsskyldighet.

Enligt den nuvarande datalagen är det vidare straffbart att

bryta mot vissa generella föreskrifter i förbudet

lagen, nämligen att lämna ut personuppgifter utomlands m.m., bestämmelserna om gallring och om vad som skall iakttas när ett personregister upphör att föras samt reglerna om att ha en för-

skyldighet

teckning över personregister och ange avsändare i till

handlingar

den registrerade. Motsvarande straffbestämmelser bör återfinnas

i en ny datalag.

En framtida datalag kommer därutöver enligt utredningens förslag att innehålla vissa materiella för den

förhållningsregler

som enligt lagen är ansvarig för i form av personuppgifter grundläggande principer för Arbetslivs- och forsk-

dataskydd.

ningsområdena, där känsliga uppgifter kan förekomma, avses vidare bli särskilt reglerade i en framtida

i datalag. Datainspek-

tionen kommer att svara för i form av

detaljregleringen

generella föreskrifter för vissa områden och branscher. Förutom för överskridande av de i

datalagen intagna grundläggande principerna för bör även straff föreskrivas dataskydd,

för avvikelse från vissa av de bestämmelser som datainspek-

sou 1991:62 109

tionen kan ha meddelat. Motsvarande bör gälla i fråga om de villkor och förbud som inspektionen kan ha meddelat i ett särskilt fall. Vad angår utformningen av den bestämmelse i datalagen som avser att straffbelägga avvikelse från datainspektionens generella föreskrifter måste särskilt beaktas bestämmelserna i 8 kap. 3, 5, 7 och ll §§ regeringsformen. Som utredningen redovisat i ett tidigare betänkande (SOU 1990:61) föreslås att 8 kap. 7 § regeringsformen ändras så, att till uppräkningen i första stycket

i paragrafen fogas ämnet skydd mot kränkning av personlig

integritet vid personregistrering med hjälp av automatisk databehandling. Härigenom blir det möjligt att delegera normgivning också vad avser den kommunala sektorn och den privata verksamhet som inte kan räknas till näringsverksamhet. Enligt 8 kap 7 § sista stycket kan riksdagen i lag, som innehåller bemyndigande med stöd av första stycket samma paragraf, föreskriva även annan rättsverkan än böter för överträdelse av föreskrift som regeringen meddelar med stöd av bemyndigandet. Det innebär att, om fängelse skall följa på en överträdelse av en av datainspektionen meddelad föreskrift, en sådan straftbestämmelse måste tas in i datalagen. Slutligen bör en ny datalag innehålla motsvarigheter till de nuvarande bestämmelserna om straff för den som lämnar osann uppgift vid fullgörande av att lämna s.k. 10

skyldighet §-utdrag

eller som lämnar osann uppgift rörande den automatiska databehandlingen när datainspektionen begär uppgifter för sin tillsyn. Det bör liksom i dag vara tillräckligt med oaktsamhet för att straffansvar skall anses föreligga. Vid bedömningen av det straffvärde som föreligger vid brott mot datalagens regler måste särskilt beaktas att datalagen har till

uppgift att skydda den enskildes personliga integritet mot

otillbörligt intrång. Med undantag av vissa mindre förseelser mot datalagens

regler, såsom att inte föra förteckning över persondatamängd

eller inte ange avsändaren på försändelse som innehåller personuppgift till den vars personuppgifter det gäller, måste

brott mot lagens bestämmelser, med hänsyn till lagens särskilda

Skyddsområde, rimligen ges ett förhållandevis högt straffvärde. Med ett sådant högt straffvärde måste också strängare straff än i dag kunna utdömas. Fall som det finns anledning att se allvarligt på är t.ex. sådana där myndigheter eller företag i strid mot datalagens bestämmelser registrerar särskilt känsliga uppgifter om sina anställda, t.ex uppgifter om deras politiska åsikter.

Vid bedömningen av vilken straffskala som bör väljas kan man jämföra med de straffskalor som gäller för de bestäm-

melser i brottsbalken som tar sikte på att skydda den personliga integriteten i annat hänseende än när det gäller att skydda mot

en rent kroppslig kränkning. Dessa är närmast reglerna om

hemfridsbrott (4 kap. 6 §), brytande av post- eller telehemlighet

8 §), intrång i förvar (4 kap. 9 §), och olovlig av- (4 kap. 9 a §) samt i vidare mening även bestämmel-

lyssning (4 kap.

serna om ärekränkning i 5 kap (se avsnitt 3 i SOU 1991:21). En sådan jämförelse ger vid handen att straffskalan bör bestämmas till böter eller fängelse i högst tvâ år. Utredningen föreslår därför att straffskalan i datalagen anpassas till denna nivå. Vad de rena ordningsförseelserna, dvs. i en framtida lag angår bestämmelser motsvarande de två ovan nämnda fallen om registerförteckning och skyldighet att ange avsändare, bör de även i fortsättningen endast kunna leda till böter. I fråga om brott mot kan det möjligen

anmälningsskyldigheten

hävdas att även detta är att bedöma som en ordningsförseelse och därför endast bör kunna straffas med böter. Den omständigheten att man underlåter att inge en erforderlig anmälan kan dock ske med avsikt att undanhålla datainspektionen kunskap om att en känslig persondatamängd förs och därigenom minska risken för upptäckt. Det bör därför även vara möjligt att ådöma annan än enbart böter. Så är för fallet beträffande

påföljd övrigt

den som i dag underlåter att skaffa erforderlig licens. Enligt rådande rättspraxis har det ansetts möjligt att under vissa förutsättningar i viss mån delegera straffansvar. Såvitt avser brott mot datalagens bestämmelser har HD också i ett rättsfall (NJA 1987 s 426) prövat frågan om sådan delegation. De regler för delegation av straffansvar som sålunda utvecklats i och som redovisats i avsnitt 5.2.1 bör

rättspraxis också fortsättningsvis gälla även i fråga om brott mot datalagens

Anledning att i en ny datalag särskilt reglera frågan om regler.

av det straffrättsliga ansvaret föreligger därför överflyttning

inte. Nuvarande som framgått, att ledningen för regler innebär, en eller verksamhet under vissa förutsättningar

privat offentlig

kan det straffrättsliga ansvaret på en ställföreträdare,

överflytta som anförtrotts att med tämligen stor självständighet leda

verksamheten i vissa delar.

5.7.2 Skadestånd

De skadeståndsregler som finns i den nuvarande datalagen bör kunna föras in även i en framtida datalag. Ersättning bör alltså också framledes utgå om någon tillfogas skada genom att en

innehåller eller missvisande om

persondatamängd oriktig uppgift

honom eller henne. Med till den som utredningen förordar behänsyn lösning

träffande vem som skall bära ansvaret för personuppgifter som

förs med ADB avsnitt bör skadeståndsansvaret även (se 3.2.5) i framtiden vara strikt till sin natur, dvs. oberoende av gälla vårdslöshet. En bestämmelse om skadestånd vid brott mot datalagens bör också ingå i en framtida datalag. regler Liksom i bör även kunna utgå för s.k. ideell dag ersättning skada. Med till den på straffnivån som hänsyn skärpta syn redovisat i avsnitt bör en höjning av

utredningen föregående

i dessa fall också ske. Enligt utredningens skadeståndsbeloppen bör skadeståndets storlek vid det slag av integritetsmening som kommer i vid brott mot datalagen i vissa kränkning fråga fall kunna med de som utdöms för annan

jämställas belopp av integritet, i fall av fysiskt kränkning personlig exempelvis

övervåld. tänker t.ex. det ärende i avsnitt 5.3.2 Utredningen på som i register över sluten

avsåg felaktig uppgift socialstyrelsens vård. Det innebär att i jämförelpsykiatrisk ersättningsbeloppen

se med nuvarande i dessa fall bör höjas

justitiekanslerns praxis

väsentligt.

6 mot

Fullföljd datainspektionens

beslut

6.1 Allmänt

Datainspektionens beslut kan f.n. överklagas enbart hos regeringen. För överklagandet gäller forvaltningslagens (1986:223) bestämmelser. Det innebär bl.a. att klagotiden är tre veckor från det klaganden fick del av beslutet och att enbart den som beslutet angår, om det har gått denne emot, har rätt att överklaga.

Enligt en uttrycklig bestämmelse i datalagen har också justitie-

kanslern rätt att överklaga för att ta tillvara allmänna intressen. Utredningen har i ett tidigare betänkande (SOU 1990:61, avsnitt 8.9) förutskickat att frågan om fullföljd skall behandlas i ett senare skede av utredningsarbetet. Frågan redovisas av utredningen i föreliggande avsnitt. Vid

övervägande av överklagandemöjlighet rörande inspektionens

beslut är det framför allt två frågor som måste beaktas. Den första frågan gäller om en möjlighet till domstolsprövning bör införas. Denna fråga behandlas i avsnitt 6.2. Den andra frågan gäller i vilken domstolsinstans ett eventuellt överklagande bör prövas (avsnitt 6.3).

6.2 Bör en domstolsprövning ersätta fullföljd till regeringen?

I direktiven har pekats på de krav på tillgång till domstolsprövning som den konventionen om skydd för de europeiska

mänskliga rättigheterna och de friheterna

grundläggande

(Europakonventionen) uppställer. Konventionens rättigheter

gäller såväl fysiska som juridiska personer.

Enligt art. 6 i konventionen föreskrivs att envar skall, när det

gäller att pröva hans civila rättigheter och skyldigheten..., vara

berättigad till opartisk och offentlig rättegång inom skälig tid och inför en oavhängig och opartisk domstol som upprättats enligt lag. Den europeiska domstolen i Strasbourg har givit

begreppet civila rättigheter och skyldigheter en tämligen vid

tolkning, enligt vilken begreppet anses omfatta inte bara vad som traditionellt brukar hänföras till civilrätten. Även viktigare offentligrättslig reglering av individens näringsfrihet och frihet i ekonomiskt hänseende räknas hit (en kortfattad redovisning av art. 6 och praxis finns i Ds Ju 1986:3). Utvecklingen på detta område har lett till att möjligheten till domstolsprövning rent generellt vidgats i Sverige genom att institutet rättsprövning införts. Enligt lagen (1988:205) om rättsprövning av vissa förvaltningsbeslut, som är tidsbegränsad till utgången av år 1991, skall regeringsrätten på ansökan av enskild part i ett sådant för-

valtningsärende hos regeringen eller en förvaltningsmyndighet

som rör något förhållande som avses i 8 kap. 2 eller 3 § regeringsformen pröva om avgörandet i ärendet strider mot någon rättsregel. (I prop. l990/91:l76 föreslås lagen förlängas till utgången av år 1994.) Rättsprövning kan gälla endast sådana beslut som innebär myndighetsutövning mot den enskilde. Dessutom krävs att beslutet annars kan prövas av domstol endast efter ansökan om resning och inte skulle ha kunnat överprövas i annan ordning. Beslut av vissa nämnder är dock undantagna från rättsprövning, liksom beslut i vissa typer av ärenden.

Av förarbetena till lagen (prop. 1987/88:69) framgår att regeringsrättens prövning skall omfatta inte bara lagtolkning utan också faktabedömning och Även kraven i bevisvärdering.

1 kap. 9 § regeringsformen om allas likhet inför lagen samt om saklighet och opartiskhet bör kunna prövas. Det är däremot inte avsett att rättsprövning skall kunna ske av politiska lämplighetsfrågor i egentlig mening. De beslut av datainspektionen som kan komma i fråga i ett framtida är i huvudsak huruvida

tillsynssystem frågor person-

uppgifter av visst slag får förekomma i en viss datamängd eller

om användningen av uppgifter skall begränsas till visst ändamål eller förbjudas. Vidare hör hit frågor om medgivande till

utlandsöverföring, liksom förelägganden av olika slag riktade till den persondataansvarige för att tillgodose krav på rättelse eller komplettering av felaktiga eller ofullständiga uppgifter.

Däremot faller frågan om straff och skadestånd utanför, eftersom dessa frågor avgörs av allmän domstol. Såväl den enskilde som den persondataansvarige kan ha anledning att vilja få ett beslut av datainspektionen överprövat. Normbeslut, dvs. datainspektionens beslut att efter delegation normera vissa sektorer eller branscher, bör emellertid inte omfattas av fullfoljdsreglerna (se avsnitt 8.9 i SOU 1990:61). Om integritetsskyddet enligt datalagen skulle vara hänforligt till en sådan rättighet som avses i art. 6 Europakonventionen skulle således en domstolsprövning vara det enda möjliga alternativet till nuvarande ordning vid fullföljd från datainspektionen. De rättigheter och som enskilda har enligt

skyldigheter

saknar direkt motsvarighet i Det

datalagen Europakonventionen. som och regeringsformens 2 kap. integritetsskydd datalagen

emellertid nära den rätt till för

3 § ger uttryck för ligger skydd

privat- och familjeliv, hem och korrespondens som konven-

tionen innehåller l 2 § regeringsformen och

(art. 8, jfr kap. avsnitt 3 i tidigare betänkande SOU 1991:21). I utredningens den praxis som har utvecklats vid vid dess

Europakommissionen tillämpning av konventionen har också frågan om dataskydd ansetts falla inom ramen för rätten till skydd för privatlivet. Enligt art. 13 i Europakonventionen skall den vars konventions-

kränkts ha rätt till ett effektivt rättsmedel

skyddade rättigheter

inför inhemsk Därmed anses dock inte ett krav på

myndighet.

domstolsprövning föreligga, utan även administrativa rättsmedel kan vara tillräckliga för att konventionens krav i denna

uppfylla

del (jfr Danelius, Mänskliga rättigheter, 4 uppl., s. 134 ff). Eftersom inte heller direkt torde omfattas av

integritetsskyddet

bestämmelserna i art. 6, förefaller således inte en övergång till domstolsprövning kunna motiveras med hänvisning enbart till

Europakonventionen.

Den svenska ordningen med en hos regeringen

överprövning

av beslut av har en tradition och

förvaltningsmyndighet lång

saknar motsvarighet utomlands. Det vanliga i andra länder är att beslut, i den mån de kan överklagas,

förvaltningsmyndigheters av allmän domstol eller förvaltningsdomstol. Å andra

prövas sidan har den svenska förvaltningstraditionen en mera självän den som utomlands utövas från

ständig prägel styrning ministerierna över de underlydande myndigheterna.

Fördelen med att behålla regeringen som överinstans är att lämplighetsfrågor som rymmer behov av en mera övergripande bedömning kan bli bättre tillgodosedda.

l den mån det är fråga om en mera uttalad rättslig prövning minskar dock behovet av en sådan diskretionär bedömning. De

116 SOU 1991262

materiella bestämmelserna i en framtida datalag bör vara så utformade att de möjliggör en rättslig prövning. Vad som nu har sagts talar för att regeringens befattning med överklagande inom datalagens område upphör. Härigenom kan regeringen också i linje med en utveckling som pågår avlastas

ytterligare en ärendegrupp. Sedan flera år sker inom regerings-

kansliet en systematisk översyn av reglerna om rätt att överklaga till regeringen. Riktlinjerna för detta arbete fastställdes av riksdagen år 1984 (prop. 1983/84:120. En redovisning av utvecklingen finns i bil.2 till budgetpropositionen 1991 s. 55 f). I översynsarbetet ingår även att undersöka om det är ändamålsenligt att låta domstolsprövning ersätta överklagande i admini-

.\...—y...fl.._..;.‘

strativ ordning på områden där Europakonventionens krav om

tillgång till domstolsprövning gör KU1990/91:7

sig gällande (se

\‘.7v\V’

s. 12). .m Olika skäl talar således för att fullföljd av inspektionens beslut framgent i stället skall göras till domstol. Bl.a. skulle en anpassning till en europeisk modell åstadkommas och risken for att nuvarande ordning trots allt står i strid med Europakonventionen undanröjas. Utredningen föreslår med hänvisning till vad som nu har anförts att överklagande av enskilda framgent görs hos domstol

och inte hos regeringen. Detta stämmer också överens med vad

som föreslås i utkastet till EG-direktiv (art. 14.8). När det gäller att föra

förvaltningsmyndigheters möjlighet

talan mot inspektionens beslut måste emellertid vissa andra frågor beaktas. Att lösa tvist mellan statliga innebär

förvaltningsmyndigheter

att andra än rent rättsliga aspekter kommer i förgrunden. Om

datainspektionen skulle fatta beslut på integritetsområdet som gäller en annan förvaltningsmyndighets handläggning kan detta

sägas röra en tvist mellan två vilka båda är under-

myndigheter,

ställda regeringen. Frågor om i inom den

integritetsskydd ADB-sammanhang statliga förvaltningen torde i många fall komma att bli aktuella som en följd av att en myndighet beslutat att av administrativa

skäl eller effektivitetsskäl införa eller utvidga ett ADB-stöd. Den prioritering som därvid kan behöva göras mellan integritetsskydd, å ena sidan, och den statliga förvaltningens effektivitet, å den andra, bör lämpligen lösas genom att frågan slutligt avgörs av regeringen som har den nödvändiga överblicken. En statlig bör därför även

förvaltningsmyndighet

framgent kunna överklaga till regeringen. När det gäller kommunala myndigheter, som inte lyder under

regeringen, gör sig behovet av en regeringsprövning inte

gällande på samma sätt. Visserligen sker en utveckling med

ADB-stöd i rationaliseringssyfte inom den kommunala sektorn

i inte så få fall mot bakgrund av statliga beslut om ålägganden och bidrag m.m. Den kommunala verksamheten omfattas emellertid inte till alla delar av en statlig reglering. Det innebär att regeringen inte som för den statliga förvaltningen kan göra de övergripande bedömningar för den kommunala sektorn som motiverar regeringens ställning som för den

besvärsmyndighet

statliga förvaltningen. I de kommunala fallen bör således en domstolsprövning lämpligen göras, liksom när det gäller enskilda. Särbehandlingen för statliga myndigheters del har en motsvarighet när det gäller i

fullföljdsreglerna sekretesslagen

(1980:100). Se 15 kap. 7-8 §§ (prop. 1979/80:2 Del A s. 362 fn. Den lösning som nu föreslås ligger också i linje med den särskilda behandling av s.k. statsmaktsregister som

utredningen

i ett tidigare betänkande har forordat skall behållas (se avsnitt 8.7 i SOU 1990:61).

6.3 Vilken domstolsinstans bör data-

pröva inspektionens beslut?

När det gäller frågan om valet av domstolsinstans som bör överpröva datainspektionens beslut förefaller det enligt utredningens mening vara mest närliggande att låta denna

prövning företas av de allmänna förvaltningsdomstolarna. I

dessa domstolar finns en erfarenhet av administrativa förvaltningsbeslut som saknas i de allmänna domstolarna. Som

framgår av avsnitt 5 är omfattningen av skadestånds- resp.

ansvarstalan enligt datalagen i allmänna domstolar inte heller sådan att dessa domstolar av det skälet har en med

förtrogenhet

det speciella område som datalagen utgör. Antalet framtida överklagandeärenden är givetvis svårt att uppskatta. Det får dock bedömas vara av en mycket begränsad omfattning. Antalet klagoärenden som nu prövas av regeringen inskränker sig ca tio fall årligen. Detta förhållande och målens speciella karaktär talar mot att låta länsrätten vara första instans.

Överklaganden bör därför göras till kammarrätten. Av forum-

reglerna följer att målen kan koncentreras till kammarrätten i Stockholm (se 1 § förordningen, 1977:937, om kammarrätternas domkretsar m.m.).

övervägande skäl talar således för att datainspektionens beslut

framgent överklagas till kammarrätten i Stockholm. En möjlighet till fullföljd på sedvanligt sätt efter prövningstillstånd till regeringsrätten bör givetvis finnas. När det slutligen gäller beslut av datainspektionen som rör en domstol bör domstolen också kunna överklaga dessa. Domstolarna är emellertid inte statliga och förvaltningsmyndigheter lyder inte under regeringen, varför det synsätt som i föregående avsnitt redovisats för inte bör förvaltningsmyndigheterna tillämpas. Även för dessa fall bör således en domstolsprövning föreskrivas. När det gäller de beslut av datainspektionen som kan komma i fråga rör de domstolens administration och inte någon sökande eller part vid domstolen. Den ordning inom en domstolsinstans som gäller för besvärsmål eller annan ordinär fullföljd är därför inget naturligt val för överklagande. Ett lämpligare alternativ är att låta även en domstol överklaga till kammarrätten. Vad som nu har sagts bör gälla inte bara för allmänna domstolar i första och andra instans och för de allmänna förvaltningsdomstolarna i första instans utan också för de specialdomstolar och domstolsliknande nämnder som finns. Det innebär att de av inspektionens beslut som rör exempelvis bostadsdomstolen, arbetsdomstolen,marknadsdomstolen,försäkringsöverdomstolen och bör till kammarrätten. hyresnämnderna fullföljas Om kammarrätten bör dock ges exklusiv behörighet högsta domstolen och undantas. De båda regeringsrätten högsta instanserna får anses kunna de beslut av själva slutligt pröva datainspektionen som nu är i fråga. Om datainspektionens beslut rör en kammarrätt bör talan mot beslutet, utan krav på prövningstillstånd, kunna fullföljas till regeringsrätten. De privaträttsliga som nämns i 1 8 § organ, slutligen, kap sekretesslagen, dvs. sådana organ som är jämställda med myndigheter när det gäller att ta del av allmänna handlingar (bl.a. notarius publicus och AB Svensk bör i Bilprovning), förevarande sammanhang följa den som för dem ordning gäller som inte är statliga Det förvaltningsmyndigheter. innebär således att fullföljd bör ske till kammarrätten och inte till regeringen. Motsvarande bör gälla för under myndigheterna riksdagen. Vad i utredningen föreslagit fråga om överklagande bör inte ändra justitiekanslerns att för att ta till vara möjlighet överklaga allmänna intressen. Huruvida talan av denne skall föras hos regeringen eller i domstol är av vem avhängigt datainspektionens beslut riktar sig emot eller annars angår, dvs. en statlig

förvaltningsmyndighet resp. en enskild en

person, myndighet

under riksdagen, en kommunal myndighetsliknande myndighet, organ eller en domstol (domstolsliknande nämnd).

Summary

The Swedish Commission on Data Protection was appointed

by

the Government (Ministry of Justice) in 1989 and directed to revise the Data Protection Act of 1973 (revised in 1982). In a first report (September 1990) the Commission presented certain basic principles for a future Data Protection Act. The main features of the suggestions made in the report were the following.

I The of for and

present system applying permission

notification of personal data files should be abolished.

I The Data Protection should be the Agency given

authority to Supplement the basic and important

provisions of the Act through regulations for different fields or sectors.

I The functions of the should be

supervisory Agency strengthened and directed mainly towards sensitive files.

I An should be introduced to the

obligation notify Agency

about sensitive files.

In a second the Commission addressed

report (April 1991)

special issues related to certain areas of personal data files, i.e. personal data used for scientific research and statistics, registra-

tion in the employment sector, personal data files in relation to

the media and rules governing freedom of information and of

the press. Questions regarding personal data files and archive

storage were also dealt with in the report, as was the question whether there is a need for an overall integration and coordination of the legislation aimed at the protection of

privacy,

in relation to automated data files.

especially personal

Further, the second report dealt with the Council directives of the Commission of the European Communities (SYN 287) of September 1990, on the protection of individuals in relation to the processing of personal data. The Commission on Data Protection discussed some implications of the directives for the Swedish legislation, were Sweden to harmonize its rules with those of the European Communities.

Regarding personal data files used for scientific research and

statistics the report emphasized that informed consent should be the basis for the use of personal data in this field. In the relation between the data protection rules and the

present and proposed constitutional rules on the freedom of the

press and the audiovisual media the Commission concluded that the Data Protection Act should not be applied to the files used

for production.

Finally, according to the report the use of automated personal data files in the employment sector should be regulated on the basis of the relevant recommendations of the Committee of Ministers of the Council of Europe. The provisions in the Data Protection Act would thus be strengthened for the protection of

the personal integrity of the employees. In the present report, which originally was planned to be the

final report, the Commission considers several additional special issues of importance for a reformed Data Protection Act, i.e the definitions of data and controller the

personal file of file, transfer of data to other countries, sanctions and liabilities, and

the right to judicial remedy.

Definitions of personal data file and the controller of the file

In Ch. 3 the Commission discusses the need for a change of the present definitions of personal data file and the controller of the

file. The takes into account the relevant provisions of analysis

the Council of Europe Data Protection Convention of 1980, the proposal for a Council Directive of the Commission of the European Communities (SYN 287) and the comments received from authorities and other interested parties on the first report of the Commission. The Commission suggests that the term personal data file is replaced by the term personal data set defined in the following way:

Personal data set is a set of personal data, which is related to a specific purpose and can be accessible by systematic extraction, retrieval or grouping together of disseminated data through automatic data processing.

The emphasis is placed on a structured

accessibility by

automated processing with the purpose as a limitation on the theoretical and technical possibilities of a given system. As in the previous report the Commission finds that pure manual processing should be excluded from the scope of the Data Protection Act. The controller of the personal data set is consequently substituted for the controller of the file. The former term is defined as the natural or legal person competent to decide what will be the purpose of use of the personal data set, which categories of personal data will be stored and which operations will be applied to them. The definition follows closely that of the EC—directives. The suggestions regarding these basic concepts influence the proposals made in the two previous the Commission.

reports by

The Commission therefore discusses the consequences regarding the border between manual and automated processing, matching of files and the right to be informed of the data and to correct

them. The obligation to notify the Data Protection Agency,

to be introduced in a pure

previously proposed supervisory

system, should under the new definitions be restricted to cases where certain sensitive personal data are involved in order to

make the supervisory body more efficient.

Transfer of data to other countries

The question of transfer of data to other countries is discussed in Ch. 4. The Commission notes that this particular area is best dealt with within the framework of international harmonization. In the absence of a universal solution the Commission considers it to maintain the present the Data

necessary system, whereby

Protection Agency has to give its explicit permission to all transfer of data to countries not party to the Council of Europe Convention of 1980. However, the Commission suggests that transfer to countries deemed to have an equivalent and sufficient level of data protection in their national laws could be made without such a that these countries are

permission, provided decreed by the Government.

Liabilites and sanctions

Issues concerning liabilites and sanctions are considered in Ch. 5. A survey done by the Commission shows very few cases of criminal action under the present Data Protection Act of 1973 during the time the Act has been in force. The same applies to cases where damages for personal are concerned. How-

injury

ever, the Chancellor of Justice (iustitiekanslern) has given to individuals in some cases where compensation a state agency has been involved. The amounts have

generally been very small and in no case exceeded 10 000 SEK. (The cases have involved

individuals who for instance have been as

incorrectly registered subject to involuntary mental treatment as well as persons noted

as deceased.) The Commission proposes that as a main rule the violation of the material provisions of the future Data Protection Act should be punishable by fine or imprisonment for a period not exceeding two years (as compared to a maximum of one year imprisonment in the present Act). The level of compensation for should be raised to the Commis-

injury considerably according

sion to meet the amounts paid for certain of types physical assault.

The right to judicial remedy

The right to judicial is dealt with in Ch. 6. In the

remedy

present system the decisions by the Data Protection are Agency

subject to review by the Government, which is in accordance

with the Swedish law on the to decisions of

right appeal against

the state agencies and other bodies. The public non-municipal Commission notes the present practice the decisions of

whereby

public authorities are to a large extent reviewable the by administrative courts. This development has been promoted

by

the application of the European Convention on the Human Rights and Basic Freedoms (cf. art 6 of the Convention). The Commission proposes that the decisions the Data

by

Protection Agency which concern another state should agency

also in the future be reviewed by the Government. However, the Agency’s decisions regarding individuals and public

authorities other than state agencies should be tried the by administrative court of second instance (kammarrätten).

The future work of the Commission

In its final stage of work, the Commission will draft a new Data Protection Act. This part of the assignment will be carried out with the participation of Members of Parliament. The final report with the draft of the Act is scheduled to be presented some time late in 1992.

SÄRSKILT YTTRANDE av experten Håkan Färm

Den tekniska utvecklingen samt kraven på effektivitet och rationaliseringar inom skilda verksamhetsområden får användare

och konstruktörer av datorbaserade informationssystem att söka

nya vägar för samutnyttjande av information. Redan i dag är situationen sådan att organisationer har kontorsinformationssystern som i lokala nätverk innehåller olika slag av funktioner såsom ordbehandling, elektronisk post, databashantering m.m. I samtliga fall är personuppgifter tekniskt möjliga att söka från de datoriserade arbetsplatser som ingår i systemet. De lokala nätverken kan i sin tur vara uppkopplade till andra system inom en koncern såväl inom som utom landets gränser. Tillgång kan finnas till ett antal externa inhemska och utländska databaser. Kombinationsmöjligheterna är nära nog oändliga.

Från integrationssynpunkt är det mot denna bakgrund utom-

ordentligt viktigt att noggrant, på fältet, uppmärksamma hur

användningen av informationssystem utvecklas och tidigt kunna

korrigera oacceptabel användning av personuppgifter. Jag delar därför till fullo utredningens tidigare slutsats att en aktivare tillsyn bör komma till stånd på bekostnad av tillståndsgivningen. En rejält minskad hos

byråkrati datainspektionen

(DI) är nödvändig för att frigöra resurser för en ökad tillsyn på fältet. Jag utgår då från att det samhällsekonomiska läget inte kommer att tillåta någon av DIs resurser. För

betydande ökning

att hålla nere krävs bl.a. stor restriktivitet när det

byråkratin

gäller att belasta DI med blankettadministration, ärendebehand-

ling etc. Utredningens förslag i tidigare betänkande att slopa

tillståndsprocessen till förmån för ett anmälningsförfarande var ett steg i rätt riktning. Utredningen har föreslagit att bör

begreppet personregister

ersättas med har

begreppet persondatamängd. Utredningen

föreslagit att denna skall definieras enbart utifrån att det föreligger en teknisk möjlighet att strukturera en viss datamängd

utan hänsyn till en användares avsikter. Det är, såvitt jag kan

bedöma, i praktiken en utvidgning av dagens registerbegrepp vars konsekvenser jag anser inte vara tillräckligt utredda. Förslaget innebär att löpande texter (promemorier, brev, meddelanden i elektronisk post) som lagras i bl.a. persondatorer med automatik inkluderas i regelverket vilket högst sannolikt kommer att leda till ett stort antal anmälningar.

Förslaget kan förefalla integritetsstärkande, vilket är bra, men när anmälningarna till DI ökar föreligger en uppenbar risk att förslaget motverkar syftet genom att inskränka på resurserna för tillsyn. Jag anser därför att utredningen nu när de flesta faktorer i en kommande lagstiftning behandlats, istället borde ha prövat möjligheter att ytterligare minska antalet anmälningar till DI, t.ex. genom att föreslå undantag eller helt eliminera ansökningsförfarandet.

Såvitt jag kan bedöma föreligger två syften med anmälnings-

förfarandet. Det ena är att informera DI om vilka integritetskänsliga register som kommer att finnas. Det andra är att utgöra en grund för avgiftsdebitering, dvs. att tillföra DI intäkter. Enligt min mening har DI sådana kunskaper om olika samhällssektorer att det skulle kunna utgöra en tillräcklig grund för angelägen tillsyn. Dessutom skulle förteckningarna enligt nuvarande § 7 a i datalagen istället kunna ges en mer framträdande roll i sammanhanget. Beträffande avgifterna kan det tyckas något ologiskt att behöva betala för att få göra en anmälan. Det ter sig då naturligare att betala för att få en licens, som ändå uppfattas som en form av motprestation. Förfarandet är dock inte längre aktuellt enligt utredningens förslag. En strävan bör dock vara

tycker jag att även fortsättningsvis ha ett system där avgiften

liksom tidigare kopplas till en prestation, men nu förslagsvis

tillsyn. Detta skulle bl.a. stimulera tillsynsarbetet.

I dagens databehandling är registerbegreppet svårfångat. Det är inte längre lika lätt från användningssynpunkt att definiera register. En användare upplever snarare att hon för tillfället har tillgång till olika uppgifter från olika håll. Dessa uppgifter

sammanförs (vanligtvis från många olika register) i en aktuell

arbetssituation. Det är dessa uppgifter och användning av dem som utgör integritetshotet och inte registren i sig själva. Detta

förstärks av den databehandlingssituation som skisserats

inledningsvis.

Jag anser därför att man bör pröva konsekvenserna av att i framtida lagstiftning utmönstra nuvarande och

registerkoppling

i stället bygga den på att en organisation behöver personuppgifter som maskinellt får hanteras resp. inte hanteras på vissa sätt. Konkret innebär detta bl.a. att personregister som centralt begrepp försvinner samt att nuvarande förslag till definition av persondatamängd förändras, om det bibehålls. Kopplingen till ändamålet försvinner, vilket för övrigt överensstämmer med det förslag till reglering som bereds inom EG. Begreppet person-

datamängd kan då innebära antingen de samlade personuppgifterna i en organisation eller alla i en

personuppgifter organi-

sation om en viss person. Om sedan också - detta § 7 a förteckningen bygger på synsätt kommer en organisation naturligare att kunna avkrävas att redovisa vilka som används i organisationen,

personuppgifter

vilket är väsentligt än att bara redovisa vilka

mycket tydligare

register som finns. Detta förbättrar väsentligt insynen jämfört med i dag enligt min mening. Beträffande frågan om överklagande m.m. i en ny datalag tycker jag det finns anledning att ifrågasätta vissa domstolars ställning i sammanhanget. Enligt utredningens forslag skall DIs

beslut som riktar sig till enskilda registeransvariga kunna

överklagas till allmän förvaltningsdomstol, med hänvisning bl.a. till Europakonventionen om mänskliga rättigheter. Domstolsprövning i dessa fall förefaller enligt min mening vara en lämplig ordning. Vad det här är fråga om är ju myndighetsutövning gentemot enskilda. DIs beslut som riktar sig mot en kommun föreslås också kunna överklagas till allmän förvaltningsdomstol. Några eller praktiska hinder mot förslaget i denna del principiella föreligger enligt min mening inte.

När det gäller statliga förvaltningsmyndigheters (under

regeringen) möjligheter att överklaga DIs beslut föreslår utredningen en annan ordning. Utredningen anför här att frågor om i inom den statliga

integritetsskydd ADB-sammanhang

förvaltningen i många fall torde bli aktuella som en följd av att en av administrativa skäl eller effektivitetsskäl

myndighet

beslutat införa eller utvidga ett ADB-stöd. Enligt utredningens uppfattning bör dessa frågor slutligen prövas av regeringen, som har den nödvändiga överblicken. Mot denna ordning har jag ingen invändning. Här är det ju inte fråga om en situation då en enskild är direkt till en statlig En

motpart myndighet. domstolsprövning är därför inte påkallad av hänsyn till Europa-

konventionen. har valt en annan lösning när det gäller DIs Utredningen beslut som rör en domstol. Enligt utredningens forslag skall ett beslut kunna överklagas till kammarrätten om beslutet rör - allmänna domstolar i första och andra instans, - allmänna förvaltningsdomstolar i första instans, - och specialdomstolar (t.ex. arbetsdomstolen) - domstolsliknande nämnder.

Beträffande högsta domstolen och regeringsrätten anser utredningen att de bör undantas, om kammarrätten ges exklusiv behörighet. Enligt utredningen får de båda högsta instanserna anses själva kunna slutligt pröva de beslut av DI som är i fråga. Detta förefaller mig vara ett egendomligt resonemang. Om jag förstår det hela rätt, skulle det innebära att de båda högsta domstolsinstanserna skulle kunna överpröva ett beslut av DI som riktar sig mot dem själva. Det strider mot de flesta principer. Om man inte vill att någon annan än de högsta instanserna själva skall dessa får de undantas från pröva frågor, DIs tillsyn och beslutssfär. Det finns anledning att ifrågasätta en sådan ordning. Domstolarna är visserligen inte statliga

förvaltningsmyndig-

heter under regeringen. Beslut av en domstol i administrativa ärenden kan dock i allmänhet överklagas genom förvaltningsbesvär, i vissa fall till regeringen. En domstols beslut att införa eller utvidga ett ADB-stöd får antas grunda sig på administrativa skäl eller effektivitetsskäl. Regeringen har även beträffande domstolarna ett ansvar för att verksamheten bedrivs effektivt. Av samma skäl som anförts i fråga om de statliga

förvaltningsmyndigheterna bör DIs beslut som rör domstolarna

(i alla instanser) kunna överklagas till regeringen.

Avslutningsvis tycker jag att utredningen nu på ett förtjänstfullt sätt lyft fram de flesta av de faktorer som bör utgöra

stommen i en ny datalag. På de flesta enskilda punkterna har

lösningar föreslagits. Enligt min mening måste det dock finnas

en öppenhet i det fortsatta arbetet för att förändra lösningarna och pröva olika kombinationer av från bl.a. åtgärder integritetssynpunkt och från ekonomisk ekonomiska

synpunkt. Några analyser och slutsatser finns till exempel ännu inte redovisade.

Regelverket måste prövas som en helhet och inte i delar. En viktig utgångspunkt förutom de redan redovisade måste dessutom vara att lagen skall vars så att den kan förstås och

tydlig

tillämpas av alla dem som kommer att beröras.

SÄRSKILT YTTRANDE av experten Sten Wahlqvist

I direktiven till utredningen att inte sägs utredningens forslag bör leda till ökade kostnader och att bör datainspektionen (DI) ha den storlek den har nu. Mot härav bakgrund ifrågasätter jag om det med den nuvarande mycket höga utvecklingstakten på ADB›området är möjligt att vid ett av nuvarande slopande tillståndskrav i stället införa ett omfattande anmälningsförfarande och att dessutom en framtida tillutvidga datalags lämpningsområde i förehållande till nuvarande lags genom att göra personregisterbegreppet, eller med den föreslagna terminologin begreppet persondatamängd, vidare än vad det är i dag. Enligt min mening är det även tveksamt om den föreslagna utvidgningen av har personregisterbegreppet något egentligt värde från integritetssynpunkt. I sin för verksamhetsplan budgetåren 1992/93 och 1993/94 samt i anslagsframställningen för 1992/93 konstaterar budgetåret DI att den omfattande och ökade mycket utvecklingen användningen av ADB-teknik snart alla samhällsområden på sagt fortsätter. Under det senaste budgetåret ökade t.ex. antalet tillståndsansökningar med mer än hundra procent i förhållande till året innan. Den tekniska kraven utvecklingen, på effektiviseringar och rationaliseringar inom skilda samhällsområden förutsätter ständigt ökande eller förändrad inom personregistrering privat och verksamhet. Kraven offentlig på en effektivare offentlig sektor, liksom nya organisationsformer inom skilda samhällsområden kommer att förutsätta ökad av olika samordning databaserade informationssystem. Förväntade bransch och strukturrationaliseringar på den privata sektorn kommer att ytterligare förstärka denna utveckling. Denna att utveckling gör kraven på DI fortlöpande kommer att öka. Den ursprungliga generella for tillståndsplikten personregister som infördes med datalagen år 1973 inskränktes genom lagändringar år 1982. Syftet var redan då att forskjuta tyngdpunkten i DIs verksamhet mot sådana som särskilt frågor ansågs betydelsefulla från integritetssynpunkt. Resurser skulle således föras över från den arbetskrävande tillståndsverksamheten till den eftersatta tillsynsverksamheten. Den förväntade effekten uteblev dock i allt eftersom bortfallet av tillståndsväsentligt, ärenden avsåg ärenden som redan före hade lagändringen

handlagts summariskt och kom att vägas upp av ett ökande antal andra tillståndsärenden med allt större svårighetsgrad. Tillströrrmingen av nya tillståndsansökningar är nu tre gånger så stor som år 1983. Härtill kommer ansökningar om ändringar i redan meddelade tillstånd. Mot bakgrund härav och med hänsyn till att en förändring enligt direktiven måste ske inom ramen för oförändrade resurser är det enligt min mening rätt väg att, som utredningen föreslagit i sitt första betänkande, slopa det nuvarande tillståndsförfarandet. Endast härigenom ges ordentliga möjligheter att inom

ramen för nuvarande resurser intensifiera DIs tillsynsverksam-

het. För att inte motverka de möjligheter att bedriva en ökad som ett slopat tillståndskrav öppnar är det emellertid

tillsyn

viktigt att inte i stället för tillståndsförfarandet införa en omfattande anmälningsplikt som ställer krav på DIs resurser. En strävan måste vara att regleringen av ADB-hanteringen av i och DIs föreskrifter blir så

personuppgifter lag, förordning och utförlig som möjlig så att anmälningarna kan tydlig

minimeras i största möjliga utsträckning eller helst undvaras helt och hållet. I detta sammanhang är också viktigt att påpeka att DI även utan ett anmälningsförfarande har möjlighet att ha överblick och kontroll över personregistren i landet genom att vid behov fordra in de förteckningar som registeransvariga är

att ha över sina personregister (7 a § datalagen). skyldiga

Det bör noteras att den av utredningen föreslagna anmälningsplikten bl.a. gjorts beroende av om DI detaljnormerat aktuell eller inte. min bör det i

typ av personregister Enligt mening

första hand ankomma på riksdagen att i lag så långt det är

möjligt, och utförligare än i dag, reglera personregistreringen samt därefter på regeringen att i förordning ge ytterligare

närmare föreskrifter. I detta sammanhang är det också viktigt att notera att även DIs tar resurser från

regelgivningsarbete

Redan i rent faktiskt

tillsynsverksamheten. nuläget åtgår betydande resurser hos inspektionen för regelgivningsarbete

(bl.a. föreskrifter om förenklade ansökningsförfaranden inom olika områden). Mot denna bakgrund är det viktigt att man i ett

nytt system inte ålägger DI ett så omfattande regelgivnings-

arbete att det motverkar med reformen, nämligen att

syftet frigöra resurser till DIs tillsynsverksamhet.

Även om utredningen nu föreslår en viss begränsning av anmälningsplikten i förhållande till vad utredningen tidigare föreslagit innebär föreslaget ändå att en anmälningsplikt införs

för i princip alla de register som i dag är tillståndspliktiga. Visserligen kräver inte anmälningar beslut på sätt tillstånds-

ansökningar alltid gör men ett anmälningsförfarande kräver arbete från DIs sida och därmed resurser. Mot bakgrund av tidigare erfarenheter ligger det därför enligt min mening i farans riktning att den ökande ADB-utvecklingen för med sig att man om några år kan befinna sig i samma situation som man gjorde

några år efter 1982 års lagändringar, nämligen att hanteringen

av anmälningarna och en omfattande egen regelgivning be-

gränsar möjligheterna att bedriva en effektiv tillsyn.

Mina farhågor blir än större när utredningen dessutom föreslår att begreppet personregister eller persondatamängd skall bestämmas enbart med hänsyn till den tekniska möjlighet som ADB erbjuder utan till en användares avsikter. Detta

hänsyn

innebär en inte oväsentlig utvidgning i förhållande till vad som gäller i dag. Enligt nu gängse praxis anses inte ett personregister föreligga om man använder sin persondator eller ordbehandlare enbart som en gamla tiders skrivmaskin. Nuvarande datalag anses tillämplig först om man lagrar det skrivna materialet i avsikt att senare - vilket är tekniskt med och möjligt persondatorer nutidens ordbehandlare - söka dvs att bearbeta på person, materialet på olika sätt för att få fram eller komplettera uppgifter om individer. Enligt utredningens förslag kommer nu all löpande text, t.ex. promemorior och brev, som innehåller att i om

personnamn inrymmas begreppet persondatamängd

texten skrivs med nya tiders skrivmaskin dvs. persondatorer

eller ordbehandlare. Den föreslagna utvidgningen kommer enligt min mening att leda till ett stort antal till

mycket anmälningar

DI. Många gånger saknar namngivna personer i löpande text en

naturlig anknytning till den registeransvarige eller med den föreslagna terminologin den persondataansvarige. Enligt utredningens förslag föreligger då en anmälningspliktig person-

datamängd.

I stort sett alla som inte använder sina persondatorer eller

ordbehandlare uteslutande för personligt bruk torde således förr

eller senare bli tvungna att göra anmälningar till DI på grund av

den föreslagna utvidgningen. Man kan då fråga sig vad ett

anmälningsförfarande har för värde från integritetssynpunkt i

förhållande till de kostnader det kommer att medföra för DI och för dem som måste göra anmälningar. Dessutom bör noteras att datalagens regler i övrigt blir tillämpliga på löpande text som innehåller t.ex. reglerna om

personnamn förteckningsskyldighet,

och rätt till DIs

rättelseskyldighet insyn. tillsynsområde utvidgas

också inte oväsentligt.

Förutom att jag således sammanfattningsvis ifrågasätter om

utredningens förslag kan rymmas inom ramen för DIs

nuvarande resurser vilket förutsätts i direktiv utredningens ställer jag mig mycket tveksam till behovet från integritetssynpunkt att utvidga det gamla

personregisterbegreppet.

Emgmmmmmgüdmmwnmmmamwmmünmmmmmn

eller ordbehandlare som skrivmaskin som integritetsriskerna uppkommer. Riskerna uppkommer först när man med av hjälp sin persondator eller ordbehandlare sorterar och bearbetar, sammanställer lagrade uppgifter för att få information om enskilda människor. Enligt min bör en framtida

mening

reglering givetvis utgå från de integritetsrisker som kan finnas.

;få _,

nr

Statens 1991

offentliga utredningar

Kronologisk förteckning

Flykting- och immigrationspolitiken. A. 33. Branden på Sally Albatross. Den 9- 12 januari 1990. Finansiell tillsyn. Fi. Fö.

5-.*.W.N.—

Statens roll vid främjande av export. UD. 34. HIV-smittade - ersättning för ideell skada. Ju. Miljölagstiftningen i framtiden. M. 35. Några frågor i ansluming till en arbetsgivarperiod Miljölagstiftningen i framtiden. Bilagedel. inom sjukpenningförsäkringen. S. Sekretariatets kartläggning och analys. M. 36. Ny kunskap och förnyelse. C. 6. Utvärdering av SBU. Statens Beredning för Ut- 37.Räkna med miljön! Förslag till natur- och värdering av medicinsk metodik. S. miljöråkenskaper. Fi. 7. Sponslig och ekonomisk utveckling inom trav- 38.Råkna med miljön! Förslag till natur- och och galoppsponen. Fi. miljöräkenskaper. Bilagedel. Fi. 8. Beskattning av kraftföretag. Fi 39. Säkrare förare. K. 9. Lokala sjukförsäkringsregister. S. 40. Marknadsanpassade service- och stabsfunktioner - ny 10. Affarstidema. C. organisation av stödet till myndigheter och regel l.Aflärstiderna. Bilagedel. C. ringskansli. C. l2.Ungdom och makt. C. 41. Marknadsanpassade service- och stabsfunktioner - ny 13. Spelreglema på arbetsmarknaden. A. organisation av stödet till myndigheter och rege- 14. Den regionala bil- och körkortsadministrationen. K. ringskansli. Bilagedel. C. 15. Informationens roll som handlingsunderlag - 42. Aborterade foster, m.m. S. styrning och ekonomi. S. 43. Den framtida länsbostadsnärrtnden. Bo. l6.Gemensamma regler - lagstiftning, klassifikationer 44. Examination som kvalitetskontroll i högskolan. U. och informationsteknologi. S. 45. Påföljdsfrågor. Frigivning från anstalt, m.m. Ju. l7.Forskning och utveckling - epidemiologi, kvalitets- 46. Handikapp, Välfärd, Rättvisa. S. säkring och Spris utvecklingsprojekt. S. 47. På väg - exempel på förändringsarbeten inom 18. Informationsstnrktur för hälso- och sjukvården - en verksamheter för psykiskt störda. S. utvecklingsprocess. S. 48. Bistånd genom internationella organisationer. UD. 19. Storstadens trafrksystem. Överenskommelser om 49. Bistånd genom internationella organisationer. trafik och miljö i Stockholms- Göteborgs- och Annex l. Det multilaterala biståndets organisationer. Malmöregionema. K. UD. 20. Kapitalkosmader inom försvaret. Nya former för 50. Bistånd genom internationella organisationer. finansiell styrning. Fö. Annex 2. Sverige och u-ländema i FN - en återblick. 2l.Personregistrering inom arbets1ivs-, forsknings- och UD. massmedieområdena, m.m. Ju. 51. Bistånd genom internationella organisationer. 22.Översyn av lagstiftningen om träfiberråvara. I. Annex 3. Särstudier. UD. 23.Ett nytt BFR - Byggforskningen på 90-talet. Bo. 52. Alkoholbeskattningen. Fi. 24.Visst går det an! Del 1,2 och 3. C. 53. Forskning och teknik för flyget. F6. 25. Frikommunförsöket. Erfarenheter av försöken med 54. Skola - skolbarnsomsorg - en helhet. U. en friare nämndorganisation. C. 55. Sveriges nationalrapport till FNs konferens om miljö 26. Kommunala entreprenader. Vad är möjligt? En och utveckling - UNCED 1992. M. analys av rättsläget och det statliga regelverkets 56. Kompetensutveckling - en utmaning. A. roll. C. 57. Arbetslöshetsförsålaingen - finansierings- 27. Kapitalavkastningen i bytesbalansen. Tre systemet. A. expertrapporter. Fi. 58. Ett nytt turistråd. I. 28.Konkurrensen i Sverige - en kartläggning av konkur- 59. Konkurrens för ökad välfärd. Del l. rensförhållandena i 61 branscher. Del 1 och 2. C. Konkurrens för ökad välfärd. Del 2. 29.Periodiska hålsoundersökningar i vissa statliga, Konkurrens för ökad välfärd. Bilagor. C. kommunala och landstingskommunala anställningar. 60. Olika men ändå lika. Om invandrarungdomar i det C. mångkulturella Sverige. C. 30. Särskolan -en primärkommunal skola. U. 6l. Statens bostadskreditnämnd - organisation och 31.Statens arkivdepåer. En utvecklingsplan till år 2000. dimensionering. Bo. U. 62. Vissa särskilda frågor beträffande integritets- 32. Naturvårdsverkets uppgifter och organisation. M. skyddet på ADB-området. Ju.

Statens 1991

offentliga utredningar

Kronologisk förteckning

63. Tillsynen över hálso- och sjukvården. S. 64. Au förvalta kulturmiljöer. U. 65. Eu samordnat vuxenstudiestöd. U.

Statens 1991

offentliga utredningar

Systematisk förteckning

Justitiedepartementet Kommunikationsdepartementet

Personregistrering inom arbetslivs-, forsknings- och Den regionala bil- och körkortsadministrationen. [14] massmedieområdena, m.m. [21] Storstadens trañksystem. Överenskommelse: om ?HV-smittade - ersättning för ideell skada. [34] trafik och miljö i Stockholms- Göteborgs- och Malmö- Påföljdsfrågor. Frigivning från anstalt. m.m. [45] regionema. [19] Vissa särskilda frågor beuäffande integritetsskyddet Säkrare förare [39] på ADB-områdeL [62]

Finansdepartementet

Utrikesdepartementet Finansiell tillsyn. [2]

Sportslig och ekonomisk utveckling inom trav- och Statens roll vid främjande av export. [3] galoppsporten. [7] Bistånd genom internationella organisationer. [48] Beskattning av kraftföretag. [8] Bistånd genom internationella organisationer. Annex l. Kapitalavkastningen i bytesbalansen. Det multilaterala biståndets organisationer. [49] Tre expertrapporter. [27] Bistånd genom internationella organisationer. Annex 2. Räkna med miljön! Förslag till natur- och miljö- Sverige och u-ländema i FN - en återblick. [50] räkenskaper. [37] Bistånd genom internationella organisationer. Annex 3. Räkna med miljön! Förslag till natur- och miljö- Särstudier. [51] räkenskaper. Bilagedel. [38] Alkoholbeskatmingen. [52]

Försvarsdepartementet Kapitalkosmader inom försvaret. Nya fonner för Utbildningsdepartementet

finansiell styrning. [20] Särskolan -en primärkommunal skola. [30] Branden på Sally Albatross. Den 9-12 januari 1990. [33] Statens arkivdepåer. En utvecklingsplan till år 2000.

Forskning och teknik för flyget [53] [31] Examination som kvalitetskontroll i högskolan. [44] Skola - skolbarnsomsorg - en helhet. [54]

Socialdepartementet Att förvalta kulturmiljöer. [64]

Utvärdering av SBU. Statens Beredning för Ut-vårde- Ett samordnat vuxenstudiestöd. [65] ring av medicinsk metodik. [6]

Lokala sjukförsäkringsregister [9] Arbetsmarknadsdepartementet

Informationens roll som handlingsunderlag - styrning Flykting- och immigrationspolitiken. [l] och ekonomi. [15]. Spelreglema på arbetsmarknaden. [13] Gemensamma regler - lagstiftning, klassiñkationer och Kompetensutveckling - en utmaning. [56] informationsteknologi. [l6]. Arbetslöshetsförsäkringen - finansierings- Forskning och utveckling - epidemiologi, kvalitetssäsystemet. [57] kring och Spris utvecklingsprojekt. [l7]. lnformationsstmktur för hälso- och sjukvården - en utvecklingsprocess. [l8].

Bostadsdepartemntet

Några frågor i anslutning till en arbetsgivarperiod inom Ett nytt BFR - Byggforskningen på 90-talet. [23] sjukpenningförsäkringen. [35] Abonerade foster, m.m. [42] Den framtida lånsbostadsnamnden. [43] Handikapp, Välfärd, Rättvisa. [46] Statens bostadskreditnämnd - organisation och På väg - exempel på förändringsarbeten inom dimensionering. [61] verksamheter för psykiskt störda [47] Tillsynen över hälso- och sjukvården. [63]

Industridepartementet

Översyn av lagstifmingen om träñberråvara. [22] Eu nytt turistråd. [58]

Statens

offentliga

utredningar

Systematisk förteckning

Civildepartementet

Affärstidema. [10] Affärstidcma. Bilagcdel. [11] Ungdom och makt.[12] Visst gär det an! Del l, 2 och 3. [24] FrikommunfÖrsökeL Erfarenheter av försöken med en friare nämndorganisation. [25] Kommunala entreprenader. Vad är möjligt? En analys av rättsläget och det statliga regelverkets roll. [26] Konkurrensen i Sverige - en kartläggning av konkurrensförhällandena i 61 branscher. Del 1 och 2. [28] Periodiska hälsoundersökningar i vissa statliga, kommunala och landstingskommunala anställningar. [29] Ny kunskap och förnyelse. [36] Marknadsanpassade service- och stabsfunktioner - ny organisation av stödet till myndigheter och regeringskansli. [40] Marknadsanpassade service- och stabsfunktioner - ny organisation av stödet till myndigheter och regeringskansli. Bilagedel. [41] Konkurrens för ökad välfärd. Del l. Konkurrens för ökad välfärd. Del 2. Konkurrens för ökad välfärd. Bilagor. [59] Olika men ändå lika. Om invandrarungdomar i det mångkulturella Sverige. [60]

Miljödepartementet

Miljölagstiftningen i framtiden. [4] _ Miljölagstiftningen i framtiden. Bilagedel. Sekrctariatets kartläggning och analys. [5] Naturvårdsverkets uppgifter och organisation. [32] Sveriges nationnlrapport till FNs konferens om miljö och utveckling - UNCED 1992. [55]