En ny datalag slutbetänkande. Bilagor

Ur KB:s samlingar

Digitaliserad år 2015

Statens offentliga utredningar

a

1993:10 gg g Justitiedepartementet

E-.‘‘.--".’

- -

L::-: :-:L:-::..

:

Slutbetänkande av Datalagsutredningen Malmö 1993

m Statens offentliga utredningar

mål

1993:10

Justitiedepartementet

datalag

En

ny

slutbetänkande av lzamlagsutredningen

Malmö 1993

SOU och Ds kan köpas från Allmänna Förlaget som ingår i C E Fritzes AB. Allmänna Förlaget ombesörjer också, uppdrag Regeringskansliets förvaltningskontor, av remissutsändningar av SOU och Ds.

Beställningsadress: Fritzes kundtjänst 106 47 Stockholm Fax: 08-20 50 21 Telefon: 08-690 90 90

ISBN 91-33-13281-8 GraphicSystemsAB Malmö1993 ISSN O375-250X

Till statsrådet Reidunn Laurén

Utredningen Ju 1989:02 översyn datalagen tillsattes i om en av maj 1989 med uppdrag att göra en översyn av datalagen 1973:289 från såväl saklig som lagteknisk synpunkt. Till särskild utredare förordnades lagmannen Ulf Arrfelt. Utredningen, som påbörjade sitt arbete i november 1989, antog namnet Datalagsutredningen. I en första etapp i utredningsarbetet har utredningen övervägt vissa principiella utgångspunkter för framtida datalag. Utredningens en överväganden och förslag i denna del redovisades i betänkandet SOU 1990:61 Skärpt tillsyn huvuddrag i reformerad datalag - en som överlämnades i september 1990. I en andra etapp har utredningen behandlat vissa frågor som rör integritetsskyddet i samband med personregistrering och automatisk databehandling inom områdena för forskning och statistik för samt

massmediernas och arbetslivets del. Övervägandena

i denna del redovisades i april 1991 i betänkandet SOU 1991:21 Personregistrering inom arbetslivs-, forskningsoch massmedieområdena m.m. I en tredje etapp, som i september 1991 redovisades i SOU 1991:62 Vissa särskilda frågor beträffande integritetsskyddet på ADBområdet, har utredningen behandlat vissa särskilda frågor på integritetsområdet. Det gällde framför allt begreppen personregister och registeransvarig, liksom frågor straff och skadestånd fullföljd om samt mot Datainspektionens beslut. Samtliga tre delbetänkanden har remissbehandlats. Den avslutande etappen redovisas i föreliggande betänkande, som har bedrivits under parlamentarisk medverkan. Utredningen har, med beaktande av de remissyttranden avgetts, arbetat fram förslag som ett till en ny datalag. Till ledamöter förordnades om inte annat sägs fr.o.m. den 16 maj 1991 riksdagsledamöterna Stig Bertilsson t.o.m. den 6.10.91 och Lars Bäckström t.o.m. den 19.1.92, f.d. riksdagsledamöterna Helge Hagberg fr.o.m. den 20.2.92 och Maria Hed t.o.m. den 19.2.92, riksdagsledamöterna Chris Heister fr.o.m. den 29.11.91, Eva Johansson, Kurt Ove Johansson och Bengt Kindbom, systemvetaren Ulrika Landergren fr.o.m. den 9.1.92, f.d. riksdagsledamoten Arne Mellqvist, riksdagsledamöterna Ingela Mårtensson och Inger Rene fr.o.m. den 7.10.91, ombudsmannen Stig Sandström fr.o.m. den 20.1.92, civilekonomen Jerker Sjögren fr.o.m. den 9.1.92 samt riksdagsledamoten Richard Ulfvengren fr.o.m. den 29.11.91. Som experter har medverkat om inte sägs fr.o.m. den annat

4 SOU 1993: 10

8.11.89 departementsrâdet i Justitiedepartementet Börje Alpsten, universitetslektorn vid juridiska institutionen vid Lunds universitet Jan Evers, avdelningschefen vid Statskontoret Håkan Färm, numera arbetsmarknadsrâdet Kerstin Gustafsson fr.0.m. den 13.6.91 numera den 16.6.92, chefsjuristen vid TCO Stig Gustafsson fr.0.m. t.o.m. 17.6.92, kanslirådet i Justitiedepartementet Erik Göransson numera

fr.0.m. den 25.2.92, lagmannen vid Ängelholms tingsrätt

numera Sigurd Heuman fr.0.m. den 17.10.89, numera bolagsjuristen Bertil Persson fr.o.m. den 21.4.92, direktören Gert Persson, f.d. avdelningschefen Edmund Rapaport fr.0.m. den 1.10.90 t.o.m. 31.3.91, kanslirádet i Kulturdepartementet Björn Rosén, numera departementsrâdet i Justitiedepartementet Carina Stävberg numera fr.o.m. den 17.lO.89 t.o.m. den 24.2.92, t.f. professorn Lars Söderström fr.o.m. den 1.10.90 t.o.m. den 31.3.91 samt f.d. verksjuristen vid Datainspektionen kammarrättslagmarmen Sten numera Wahlqvist. Sekreterare utredningen har varit numera statssekreteraren Krister Thelin fr.o.m den 13.9.89 t.o.m. den 10.10.91, numera bolagsjuristen Bertil Persson fr.0.m. den 1.11.89 t.o.m. den 20.4.92 och hovrättsassessorn Eva Wendel fr.o.m. den 1.1.92. Hovrättsassessorn Monica Felding har biträtt utredningen fr.0.m. den 18.1.93 t.o.m. den 10.2.93. Härmed överlämnas utredningens slutbetänkande SOU 1993210 En ny datalag. Till betänkandet fogas reservationer och särskilda yttranden. Kommitténs uppdrag är härmed slutfört.

Malmö i februari 1993

Ulf Arrfelt

Helge Hagberg Chris Heister Eva Johansson

Kurt Ove Johansson Bengt Kindbom Ulrika Landergren

Arne Mellqvist Ingela Mårtensson Inger René

Stig Sandström Jerker Sjögren Richard Ulfvengren

/Eva Wendel

Innehåll

Sammanfattning 13 . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1 Utredningsuppdraget och direktiven 21 . . . . . . . . . .

2 Gällande rätt i huvuddrag 23 . . . . . . . . . . . . . . . . .

3 Den tekniska utvecklingen 27 . . . . . . . . . . . . . . . . . 3.1 Inledning 27 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.2 Datoranvändningen i början av 1970-talet 27 . . . . . . . . . 3.3 Dagens informationssamhälle 28 . . . . . . . . . . . . . . . . 3.4 Datorprogram 29 . . . . . . . . . . . . . . . . . . . . . . . . . 3.4.1 Allmänt 29 . . . . . . . . . . . . . . . . . . . . . . . . 3.4.2 Ordbehandlingsprogram 30 m.m . . . . . . . . . . . .

3.5 Datakommunikation 31 . . . . . . . . . . . . . . . . . . . . . . 3.5.1 Nätverk 31 . . . . . . . . . . . . . . . . . . . . . . . .

3.5.2 Överföring av textmeddelanden 32

. . . . . . . . . . 3.5.3 Mobila system för meddelandeöverföring 35 . . . . 3.5.4 Teleguide 36 . . . . . . . . . . . . . . . . . . . . . . . 3.6 Databaser 37 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.7 Optiska lagringsmedia 39 . . . . . . . . . . . . . . . . . . . . 3.8 Multimedia 44 . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.9 Övrigt 45

. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.9.1 Kontorsinformationssystem KI 45 . . . . . . . . . 3.9.2 Aktiva kort 46 . . . . . . . . . . . . . . . . . . . . . . 3.9.3 Penndatorer 46 . . . . . . . . . . . . . . . . . . . . . . .10 Datorteknikens användning inom arbetslivet 47 . . . . . . . 3.11 Avslutning 49 . . . . . . . . . . . . . . . . . . . . . . . . . . .

4 Den internationella utvecklingen på dataskydds-

området 51 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4.1 Inledning 51 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4.2 Europarådets konvention 52 . . . . . . . . . . . . . . . . . . . 4.3 Europarådets rekommendationer 54 . . . . . . . . . . . . . . 4.3.1 Rekommendationen om skydd för personuppgifter

som används för anställningsändamâl

4.3.2 Rekommendationen om skydd för personuppgifter

som används för forskning eller för statistik 58 . .

6 SOU 1993: 10

4.3.3 Rekommendationen om skydd för personuppgifter

som används för direktreklamändamâl 60 . . . . . . 4.4 OECD:s rekommendation och riktlinjer m.m. 62 . . . . . . 4.5 EG-kommissionens förslag till direktiv 65 . . . . . . . . . . 4.6 Något om EG-rätten och EES-avtalet 69 . . . . . . . . . . .

Förhållandet mellan förslaget till EG-direktiv och

utredningens förslag till en ny datalag 73 . . . . . . . . . Inledning 73 . . . . . . . . . . . . . . . . . . . . . . . . . . . . Lagens tillämpningsområde 75 . . . . . . . . . . . . . . . . . Information till den enskilde och underrättelse

till dataskyddsmyndigheten m.m. 76 . . . . . . . . . . . . . . Utlämnande av personuppgifter 85 . . . . . . . . . . . . . . .

Lagens tillämpningsområde; personregister, person-

datamängd eller personuppgift 97 . . . . . . . . . . . . . 6.1 Gällande rätt 97 . . . . . . . . . . . . . . . . . . . . . . . . . . 6.2 Europarådets konvention 99 . . . . . . . . . . . . . . . . . . . 6.3 Förslaget till EG-direktiv 99 . . . . . . . . . . . . . . . . . . . 6.4 Utredningens tidigare ställningstaganden 100 . . . . . . . . Allmärma utgångspunkter 100 . . . . . . . . . . . . . . . . . Register, ADB, ändamål och personuppgift 100 . . . . . . En avgränsning med hänsyn till syftet att utnyttja

de tekniska möjligheterna 103 . . . . . . . . . . . . . . . . . En bestämning med hänsyn till enbart teknisk

möjlighet 105 . . . . . . . . . . . . . . . . . . . . . . . . . . . 6.5 Remissutfallet 107 . . . . . . . . . . . . . . . . . . . . . . . .

6.6 överväganden 108

. . . . . . . . . . . . . . . . . . . . . . . .

Förhållandet mellan datalagen samt tryckfrihets-

förordningen och yttrandefrihetsgnmdlagen 113 . . . . 7.1 Gällande rätt 113 . . . . . . . . . . . . . . . . . . . . . . . . . TF 113 . . . . . . . . . . . . . . . . . . . . . . . . . . . . YGL 116 . . . . . . . . . . . . . . . . . . . . . . . . . . . . RF 116 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7.2 Internationella förhållanden 117 . . . . . . . . . . . . . . . . 7.3 Personregister hos tidningar m.m. 119 . . . . . . . . . . . . 7.4 Utredningens tidigare ställningstaganden 125 . . . . . . . . 7.5 Remissutfallet 132 . . . . . . . . . . . . . . . . . . . . . . . .

7.6 överväganden 134

. . . . . . . . . . . . . . . . . . . . . . . . Normkonflikten mellan grundlagarna och datalag-

stiftningen 135 . . . . . . . . . . . . . . . . . . . . . . . . . . . Klipparkiven 141 . . . . . . . . . . . . . . . . . . . . . . . . . Avslutande synpunkter 146 . . . . . . . . . . . . . . . . . . .

Den materiella regleringen i datalagen; ett allmänt

begrepp som obehörigt intrång i personlig integritet

eller särskilda regler for de olika momenten i

informationsbehandlingen 149 . . . . . . . . . . . . . . . Gällande rätt 149 . . . . . . . . . . . . . . . . . . . . . . . . . Olika uttalanden om begreppet otillbörligt intrång i

personlig integritet 150 . . . . . . . . . . . . . . . . . . . . . Offentlighets- och sekretesslagstiftningskommittén

OSK m.m. 150 . . . . . . . . . . . . . . . . . . . . . . . . . Datalagstiftningskommittén DALK 151 m.m. . . . . . . . Datainspektionens praxis m.m. 154 . . . . . . . . . . . . . . Konstitutionsutskottets granskningsbetänkande 155 . . . . . Den datapolitiska propositionen 156 . . . . . . . . . . . . . . Data- och offentlighetskommittén DOK 157 m.m. . . . . 8.3 Europarådets konvention 158 . . . . . . . . . . . . . . . . . . 8.4 Förslaget till EG-direktiv 159 . . . . . . . . . . . . . . . . . . 8.5 Utredningens tidigare ställningstaganden 159 . . . . . . . . 8.6 Remissutfallet 161 . . . . . . . . . . . . . . . . . . . . . . . .

8.7 överväganden 161

. . . . . . . . . . . . . . . . . . . . . . . .

Specialreglering genom s.k. statsmaktsregister 165 . . . 9.1 Nuvarande ordning 165 . . . . . . . . . . . . . . . . . . . . . 9.2 Data- och offentlighetskommittén DOK 167 . . . . . . . . 9.3 Uttalanden i tidigare lagstiftningsärenden 167 . . . . . . . . 9.4 Europarådets konvention 168 . . . . . . . . . . . . . . . . . . 9.5 Förslaget till EG-direktiv 169 . . . . . . . . . . . . . . . . . . 9.6 Utredningens tidigare ställningstaganden 169 . . . . . . . . 9.7 Remissutfallet 171 . . . . . . . . . . . . . . . . . . . . . . . .

9.8 överväganden 171

. . . . . . . . . . . . . . . . . . . . . . . .

10 Behandling av känsliga personuppgifter för

forsknings- eller statistikändamål 175 . . . . . . . . . . . 10.1 Gällande rätt 175 . . . . . . . . . . . . . . . . . . . . . . . . . 10.2 Europarådets rekommendation 178 . . . . . . . . . . . . . . 10.3 Förslaget till EG-direktiv 179 . . . . . . . . . . . . . . . . . . 10.4 Utredningens tidigare ställningstaganden 179 . . . . . . . . Allmänna utgångspunkter 179 . . . . . . . . . . . . . . . . . Bestämningen av begreppet forskningsregister 182 . . . . . Undantag från kravet på informerat samtycke 183 . . . . . Registerforskning 184 . . . . . . . . . . . . . . . . . . . . . . 10.5 Remissutfallet 188 . . . . . . . . . . . . . . . . . . . . . . . .

10.6 överväganden 190

. . . . . . . . . . . . . . . . . . . . . . . . Inledning 190 . . . . . . . . . . . . . . . . . . . . . . . . . . . Informerat samtycke 191 . . . . . . . . . . . . . . . . . . . . Undantag från kravet på informerat samtycke 193 . . . . .

Behandling av personuppgifter för forsknings-

ändamål 197 . . . . . . . . . . . . . . . . . . . . . . . . . . . . Utlämnande personuppgifter som används för av forsknings- eller statistikändamál 198 . . . . . . . . . . . . . Förslaget till EG-direktiv 199 . . . . . . . . . . . . . . . . . .

11 Behandling av känsliga personuppgifter för

anställningsändamål 201 . . . . . . . . . . . . . . . . . . . . Gällande rätt 201 . . . . . . . . . . . . . . . . . . . . . . . . . 11.1.1 Datalagen 201 . . . . . . . . . . . . . . . . . . . . .. 11.1.2 Vissa arbetsrättsliga bestämmelser 202 . . . . . . . l1.1.3 Datainspektionens föreskrifter m.m. 208 . . . . . . 11.1.4 Datainspektionens praxis 209 . . . . . . . . . . . . . 11.2 Europarâdets rekommendation 210 . . . . . . . . . . . . . . 11.3 Tidigare utredningsarbete 210 . . . . . . . . . . . . . . . . . 11.4 Utredningens tidigare ställningstaganden 214 . . . . . . . . Allmänna utgångspunkter 214 . . . . . . . . . . . . . . . . . 215 Inrättande av register . . . . . . . . . . . . . . . . . . . . Insamling och lagring av uppgifter 217 . . . . . . . . . . . . 217 Utlämnande av uppgifter . . . . . . . . . . . . . . . . . . Insynsrätt 219 . . . . . . . . . . . . . . . . . . . . . . . . . . . Remissutfallet 219 . . . . . . . . . . . . . . . . . . . . . . . .

överväganden 222

. . . . . . . . . . . . . . . . . . . . . . . . Inledning 222 . . . . . . . . . . . . . . . . . . . . . . . . . . . Informerat samtycke m.m 222 . . . . . . . . . . . . . . . . . . Information till de anställda 229 . . . . . . . . . . . . . . . . Förslaget till EG-direktiv 230 . . . . . . . . . . . . . . . . . .

12 Vem är ansvarig för behandlingen av person-

uppgifter 233 . . . . . . . . . . . . . . . . . . . . . . . . . . 12.1 Gällande rätt 233 . . . . . . . . . . . . . . . . . . . . . . . . . 12.2 Europarâdets konvention 235 . . . . . . . . . . . . . . . . . . 12.3 Förslaget till EG-direktiv 235 . . . . . . . . . . . . . . . . . . 12.4 Utredningens tidigare ställningstaganden 236 . . . . . . . . 12.5 Remissutfallet 241 . . . . . . . . . . . . . . . . . . . . . . . .

12.6 överväganden 241

. . . . . . . . . . . . . . . . . . . . . . . .

13 Tillstånd eller tillsyn 249 . . . . . . . . . . . . . . . . . . . 13.1 Gällande rätt 249 . . . . . . . . . . . . . . . . . . . . . . . . . 13.2 Bakgrunden till gällande ordning 251 . . . . . . . . . . . . . 13.3 Framställning från Datainspektionen om ändringar i

datalagen 254 . . . . . . . . . . . . . . . . . . . . . . . . . . . 13.4 Europarádets konvention 255 . . . . . . . . . . . . . . . . . . 13.5 Förslaget till EG-direktiv 255 . . . . . . . . . . . . . . . . . . 13.6 Utredningens tidigare ställningstaganden 256 . . . . . . . . 13.7 Remissutfallet 258 . . . . . . . . . . . . . . . . . . . . . . . .

13.8 överväganden 259

. . . . . . . . . . . . . . . . . . . . . . . .

14 Vissa förutsättningar för renodlad tillsynsen verksamhet 263 . . . . . . . . . . . . . . . . . . . . . . . . . 14.1 Gällande rätt 263 . . . . . . . . . . . . . . . . . . . . . . . . . 14.2 Utredningens tidigare ställningstaganden 263 . . . . . . . . Datainspektionens bransch- eller sektorsreglering 263

Ändring . . .

i grundlagen 264 . . . . . . . . . . . . . . . . . . . . Anmälningsskyldigheten 265 . . . . . . . . . . . . . . . . . . Huvudpunkter i den framtida tillsynsverksamheten 266 . . 14.3 Remissutfallet 267

överväganden . . . . . . . . . . . . . . . . . . . . . . . .

14.4 269 . . . . . . . . . . . . . . . . . . . . . . . .

15 Gallring av personuppgifter 277 . . . . . . . . . . . . . . . 15.1 Den materiella gallringsregeln 277 . . . . . . . . . . . . . . 15.1.1 Gällande ordning 277 . . . . . . . . . . . . . . . . . . 15.1.2 Europarådets konvention 279 . . . . . . . . . . . . . 15.1.3 Förslaget till EG-direktiv 279 . . . . . . . . . . . . . 15.1.4 Utredningens tidigare ställningstaganden 280 . . .

15.l.5 överväganden 283

. . . . . . . . . . . . . . . . . . . 15.2 Vem skall besluta om gallring 286 . . . . . . . . . . . . . . 15.2.l Inledning 286 . . . . . . . . . . . . . . . . . . . . .. 15.2.2 Gällande rätt 286 . . . . . . . . . . . . . . . . . . . . 15.2.3 Förslaget till EG-direktiv 288 . . . . . . . . . . . . . 15.2.4 Utredningens tidigare ställningstaganden 289 . . . l5.2.5 Remissutfallet 291 . . . . . . . . . . . . . . . . . . .

I5.2.6 överväganden 292

. . . . . . . . . . . . . . . . . . .

16 Behövs en samordning datalagen med av annan integritetslagstiftning 295 . . . . . . . . . . . . . . . . . . . 16.1 Gällande rätt 295 . . . . . . . . . . . . . . . . . . . . . . . . . Regeringsformen m.m. 295 . . . . . . . . . . . . . . . . . . . Brottsbalken 296 . . . . . . . . . . . . . . . . . . . . . . . . . Lagen om övervakningskameror 297 m.m. . . . . . . . . . Sekretesslagen 299 . . . . . . . . . . . . . . . . . . . . . . . . Kreditupplysningslagen och inkassolagen 300 . . . . . . . . 16.2 Utredningens tidigare ställningstaganden 301 . . . . . . . . 16.3 Remissutfallet 302 . . . . . . . . . . . . . . . . . . . . . . . .

16.4 överväganden 302

. . . . . . . . . . . . . . . . . . . . . . . .

17 Organisatoriska frågor 303 . . . . . . . . . . . . . . . . . . 17.1 Nuvarande ordning 303 . . . . . . . . . . . . . . . . . . . . . 17.2 Utredningens tidigare ställningstaganden 305 . . . . . . . . Tillständsprövningen upphör 305 . . . . . . . . . . . . . . . . Förstärkt tillsyn 305 . . . . . . . . . . . . . . . . . . . . . . . Inspektionens normgivning 308 . . . . . . . . . . . . . . . . .

10 SOU 1993: 10

Handläggningen av anmälningar 309 . . . . . . . . . . . . . Information m.m. 309 . . . . . . . . . . . . . . . . . . . . . . 17.3 Remissutfallet 309 . . . . . . . . . . . . . . . . . . . . . . . .

17.4 överväganden 310

. . . . . . . . . . . . . . . . . . . . . . . .

18 Finansiella frågor 315 . . . . . . . . . . . . . . . . . . . . . 18.1 Nuvarande ordning 315 . . . . . . . . . . . . . . . . . . . . . 18.2 Utredningens tidigare ställningstaganden 315 . . . . . . . . 18.3 Remissutfallct 316 . . . . . . . . . . . . . . . . . . . . . . . .

18.4 överväganden 317

. . . . . . . . . . . . . . . . . . . . . . . .

19 Vissa övriga frågor 319 . . . . . . . . . . . . . . . . . . . . 19.1 Straffbestämmelser 319 . . . . . . . . . . . . . . . . . . . . . 19.1.1 Gällande rätt 319 . . . . . . . . . . . . . . . . . . . . 19.1.2 Praxis 322 . . . . . . . . . . . . . . . . . . . . . . .. 19.1.3 Internationella överenskommelser 325 . . . . . . . . 19.1.4 Utredningens tidigare ställningstaganden 325 . . . 19.1.5 Remissutfallet 328 . . . . . . . . . . . . . . . . . . .

19.1.6 överväganden 328

. . . . . . . . . . . . . . . . . . . 19.2 Skadestånd 328 . . . . . . . . . . . . . . . . . . . . . . . . . . 19.2.1 Gällande rätt 328 . . . . . . . . . . . . . . . . . . . . 19.2.2 Praxis 331 . . . . . . . . . . . . . . . . . . . . . . .. 19.2.3 Tidigare utredningsarbete 337 . . . . . . . . . . . . 19.2.4 Internationella överenskommelser 340 . . . . . . . . 19.2.5 Utredningens tidigare ställningstaganden 340 . . . 19.2.6 Remissutfallet 341 . . . . . . . . . . . . . . . . . . .

19.2.7 överväganden 341

. . . . . . . . . . . . . . . . . . .

19.3 Överklagande 342

. . . . . . . . . . . . . . . . . . . . . . . . . 19.3.1 Gällande rätt 342 . . . . . . . . . . . . . . . . . . . . l9.3.2 Förslaget till EG-direktiv 342 . . . . . . . . . . . . . l9.3.3 Utredningens tidigare ställningstaganden 342 . . . 19.3.4 Remissutfallet 247 . . . . . . . . . . . . . . . . . . .

l9.3.5 överväganden 348

. . . . . . . . . . . . . . . . . . . 19.4 Datalagens tillämpning på bilder m.m. 350 . . . . . . . . .

20 Övergången till ett nytt system 355

. . . . . . . . . . . . .

21 Ekonomiska konsekvenser av utredningens förslag 359

21.1 köpande kostnader 359

. . . . . . . . . . . . . . . . . . . . . 21.2 Overgängskostnader 360 . . . . . . . . . . . . . . . . . . . . .

22 Specialmotivering 363 . . . . . . . . . . . . . . . . . . . . . 22.1 Förslaget till lag om ändring i regeringsformen 363 . . . . 22.2 Förslaget till lag om ändring i tryckfrihets-

förordningen 366 . . . . . . . . . . . . . . . . . . . . . . . . .

22.3 Förslaget till lag om ändring i yttrandefrihets-

grundlagen 368 . . . . . . . . . . . . . . . . . . . . . . . . . . 22.4 Förslaget till datalag 369 . . . . . . . . . . . . . . . . . . . . 22.5 Förslaget till lag om ändring i förvaltningsprocess-

lagen 462 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22.6 Förslaget till lag om ändring i sekretesslagen 463 . . . . . 22.7 Förslaget till lag om upphävande av lagen om auto-

matisk databehandling vid taxeringsrevision, m.m. 468

22.8 Förslaget till lag om ändring i arkivlagen 468 . . . . . . . .

23 Reservationer och särskilda yttranden 471 . . . . . . . .

Summary 519 . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Bilagor separat volym

Innehåll .3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Bilaga 1 Författningsförslag 5 . . . . . . . . . . . . . . . . . . . . . . 1.1 Förslag till lag om ändring i regeringsformen 7 . . . . . . . . 1.2 Förslag till lag om ändring i tryckfrihetsförordningen 11 . . 1.3 Förslag till lag om ändring i yttrandefrihetsgrundlagen 13 . . 1.4 Förslag till datalag 15 . . . . . . . . . . . . . . . . . . . . . . . . 1.5 Förslag till lag om ändring i förvaltningsprocesslagen 27 . 1.6 Förslag till lag om ändring i sekretesslagen 29 . . . . . . . . . 1.7 Förslag till lag om upphävande av lagen om automatisk

databehandling vid taxeringsrevision, m.m. 33 . . . . . . . . 1.8 Förslag till lag om ändring i arkivlagen 35 . . . . . . . . . . .

Bilaga 2 Utredningens direktiv 37 . . . . . . . . . . . . . . . . . . . 2.1 Direktiv 39 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.2 Tilläggsdirektiv 49 . . . . . . . . . . . . . . . . . . . . . . . . .

Bilaga 3 Internationella dokument 51 . . . . . . . . . . . . . . . . . 3.1 Europarâdets dataskyddskonvention 53 . . . . . . . . . . . . . 3.2.1 Europarädets rekommendation om skydd för

personuppgifter som används för anställnings-

ändamål 87 . . . . . . . . . . . . . . . . . . . . . . . . 3.2.2 Europarådets rekommendation om skydd för

personuppgifter som används för forskning

eller för statistik 121 . . . . . . . . . . . . . . . . . . 3.2.3 Europarädets rekommendation om skydd för

personuppgifter som används för direktreklam-

ändamål

3.3 OECD:s rekommendation och riktlinjer 155 . . . . . . . . . 3.4 EG-kommissionens förslag till direktiv 161 . . . . . . . . . .

Bilaga 4 Utländsk rätt 291 . . . . . . . . . . . . . . . . . . . . . . . . Inledning 293 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4.1 Norden 294 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4.1.1 Danmark 294 . . . . . . . . . . . . . . . . . . . . . . 4.1.2 Finland 299 . . . . . . . . . . . . . . . . . . . . . . . 4.1.3 Island 303 . . . . . . . . . . . . . . . . . . . . . . . . 4.1.4 Norge 305 . . . . . . . . . . . . . . . . . . . . . . . . 4.2 Utom Norden 308 . . . . . . . . . . . . . . . . . . . . . . . . . . 4.2.1 Frankrike 308 . . . . . . . . . . . . . . . . . . . . . . 4.2.2 Nederländerna 309 . . . . . . . . . . . . . . . . . . . 4.2.3 Storbritannien 311 . . . . . . . . . . . . . . . . . . . 4.2.4 Tyskland 313 . . . . . . . . . . . . . . . . . . . . . . 4.2.5 Österrike 315 . . . . . . . . . . . . . . . . . . . . . . 4.2.6 Australien 316 . . . . . . . . . . . . . . . . . . . . . . 4.2.7 Japan 317 . . . . . . . . . . . . . . . . . . . . . . . . . 4.2.8 Kanada 318 . . . . . . . . . . . . . . . . . . . . . . . . 4.2.9 USA 319 . . . . . . . . . . . . . . . . . . . . . . . . .

Bilaga 5 Förteckning över remissinstanser 321 . . . . . . . . . . .

Bilaga 6 Förteckning över registerförfattningar 325 . . . . . . .

Bilaga 7 Statistisk undersökning 329 . . . . . . . . . . . . . . . . .

Sammanfattning

Datalagsutredningen har haft i uppdrag att göra en översyn av datalagen 1973:289 från såväl saklig som lagteknisk synpunkt. Den svenska datalagen var den första nationella lagstiftningen i sitt slag och väckte berättigad uppmärksamhet vid sin tillkomst. Sedan dess har 20 år gått, vilket i dessa sammanhang är en mycket lång tid, utan att lagens grundläggande struktur har ändrats. Lagen får såväl innehållsmässigt som till sin tekniska utformning anses vara ganska föråldrad. Den nuvarande datalagen reglerar användningen av personregister. Med personregister förstås register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling ADB och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Avgörande för frågan om datalagen överhuvudtaget är tillämplig ett register är således huruvida registret förs med ADB eller inte. Register som förs med hjälp av annan teknik än ADB faller i dag utanför datalagens tillämpningsområde. För varje register skall finnas en registeransvarig. Därmed förstås den för vars verksamhet personregistret förs, om han förfogar över registret. Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. Med att förfoga över ett register avses närmast en befogenhet att överföra registrets innehåll till läsbar form. En registeransvarig måste också kunna påverka innehållet i registret genom att tillföra eller ändra de uppgifter som ingår i registret för att anses förfoga över det. Personregister får inrättas och föras endast av den som efter anmälan har fått licens av Datainspektionen. En sådan licens berättigar den registeransvarige att föra ett eller flera personregister. För vissa register, som bedöms innebära särskilda risker för otillbörligt intrång i enskilds personliga integritet, krävs utöver licens även ett särskilt tillstånd från Datainspektionen. Tillstånd behövs i regel för att inrätta och föra ett personregister som innehåller l känsliga personuppgifter, 2 omdömen om den registrerade, 3 uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande samt

l4

4 personuppgifter som inhämtats från något annat personregister s.k. samköming. En grundläggande förutsättning för att Datainspektionen skall kunna ge tillstånd att inrätta och föra personregister är att det inte finns anledning att anta att registeringen medför otillbörligt intrång i de registrerades personliga integritet. Finns det anledning anta att personuppgifter skall användas för ADB i utlandet, får uppgifterna lämnas ut endast efter medgivande av Datainspektionen. Sådant medgivande får lämnas endast om det kan antas att utlämnandet av uppgifterna inte kommer att medföra otillbörligt intrång i personlig integritet. Något medgivande behövs dock inte, om personuppgifter skall användas för ADB enbart i en stat som har anslutit sig till Europarådets konvention om skydd för enskilda vid ADB-behandling av personuppgifter.

I datalagen finns allmänna bestämmelser om gallring av personuppgifter. Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet. Har förande av personregister medfört eller kan antas medföra otillbörligt intrång i personlig integritet kan Datainspektionen meddela villkor eller, om rättelse inte på annat sätt kan åstadkommas, förbjuda fortsatt förande av personregister eller återkalla meddelat tillstånd. Datainspektionens beslut får överklagas hos regeringen genom besvär. Enligt Datalagsutredningens förslag skall datalagen även i fortsättningen bara reglera sådan informationshantering som sker med hjälp av ADB. Liksom hittills skall lagen gälla både för den privata och offentliga sektorn. I övrigt innebär den föreslagna lagen mycket betydande förändringar i förhållande till vad som gäller i dag. De viktigaste förändringarna och nyheterna är följande.

Personregistcrbcgreppet, som har gett upphov till en hel del tolkningsproblem, slopas. Den nya datalagen blir tillämplig på behandling av personuppgifter. Med behandling förstås varje åtgärd som vidtas med personuppgifter genom ADB. Vissa undantag görs från huvudregeln, bl.a. tas ordbehandling och behandling som sker uteslutande för personligt bruk undan från lagens tilllämpningsområde.

Det blir lättare att avgöra vem som är registeransvarig, persondatansvarig enligt utredningens terminologi, i system som används av flera. Endast den är persondataansvarig som bestämmer ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas.

Systemet med licens och tillstånd avskaffas. Trots olika försök att rationalisera tillståndshanteringen och begränsa antalet tillståndsärenden är arbetet med dessa ärenden så omfattande att Datainspektionen i stort sett inte hinner ägna sig några inspektioner ute på fältet. Den uteblivna tillsynen medför bristande respekt för en datalagens regler. Det kan t.ex. nämnas att det f.n. finns omkring 50 000 meddelade licenser. Enligt utredningens beräkningar hade antalet bort vara mellan 500 000 och l milj.

De resurser som frigörs genom att systemet med licens och tillstånd avskaffas skall användas för en intensifierad tillsyn, särskilt inspektioner ute på fältet. En sådan tillsyn är enligt utredningens uppfattning det bästa sättet att upprätthålla ett gott integritetsskydd.

En förutsättning för att man skall kunna övergå till ett renodlat tillsynsförfarande är att datalagen så utförlig reglering ger en som möjligt av de förutsättningar som gäller för ADB-hantering av personuppgifter. Det nuvarande begreppet otillbörligt intrång i personlig integritet, som aldrig har kunnat ges ett någorlunda preciserat innehåll, avskaffas. I stället införs regler för de olika momenten i informationsbehandlingen. I den datalagen finns nya bestämmelser om bl a den nödvändiga anknytningen till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka personuppgifter som får behandlas, formen för samtycke frän den enskilde, säkerhet och gallring.

Regleringen i den nya datalagen skall kunna kompletteras med bestämmelser som utfärdas av Datainspektionen och olika som avser branscher eller sektorer.

Ett system med anmälningsskyldighet för vissa persondataansvariga införs. En anmälan skall göras till Datainspektionen när vissa känsliga uppgifter behandlas med ADB. Anmälningarna skall ligga till grund för Datainspektionens tillsyn. Anmälningsförfarandet blir betydligt enklare och riktar sig mot betydligt färre persondataansvariga än det nuvarande tillståndssystemet.

Liksom i dag skall personuppgifter få ADB-behandlas bara för bestämda ändamål. Ändamålet skall dock enligt utredningens förslag anges med större precision än enligt nuvarande datalag. Möjligheterna begränsas att använda personuppgifter samlats in för ett som ändamål för andra ändamål.

I den föreslagna lagen anges i sex olika punkter de alternativa grunder som ger rätt att ADB-behandla personuppgifter. En av grunderna är samtycke från dem som berörs av behandlingen.

När den enskildes samtycke behövs för en viss ADB-behandling skall det vara ett uttryckligt samtycke. Passivitet eller s k konkludent handlande kommer inte att vara tillräckligt.

För känsliga personuppgifter, t.ex. politisk uppfattning, sjukdom, hälsotillstånd eller olika slags omdömen, kommer särskilda regler att gälla. Enligt dessa bestämmelser får de känsliga uppgifterna ADB-behandlas bara om, när samtycke inte föreligger, det finns särskilt stöd i författning för behandlingen. Det kommer att behövas åtskilliga sådana författningar, särskilt på den offentliga sidan.

I några paragrafer i den föreslagna datalagen ges sådant särskilt författningsstöd i fråga om behandling av känsliga uppgifter forskningsområdet och hos arbetsgivare. Dessa bestämmelser anger alltså de förutsättningar som måste föreligga för att känsliga uppgifter, utan samtycke från de berörda enskilda, skall få ADBbehandlas för forskningsändamål och i förhållandet mellan arbetsgivare samt arbetstagare och arbetssökande. På forskningsområdet avses bestämmelserna tillgodose den viktiga registerforskningen.

En uttrycklig regel om förbud för den persondataansvarige att ADBbehandla personuppgifter för direktreklamändamâl i strid med den enskildes önskan tas in i datalagen.

Särskilda regler införs i datalagen som klargör hur de intressen som följer tryckfrihetsförordningen och yttrandefrihetsgrundlagen av skall avvägas mot integritetsintressena.

Vid gallring av personuppgifter som utgör allmän handling hos myndigheter kan integritetsintressena komma i konflikt med intresset att bevara uppgifterna, t.ex. för framtida användning inom forskningen. En särskild bestämmelse i utredningens förslag till datalag anger hur den avvägningen skall ske.

Bestämmelserna i den gällande datalagen om överföring av personuppgifter till utlandet för ADB-behandling av uppgifterna där har berörts i det föregående. Enligt utredningen förslag skall överföring utan särskilt medgivande kunna ske till en stat som visserligen inte har anslutit sig till Europarádets konvention men som har ett integritetsskydd som motsvarar det som följer av konventionens regler. Den bestämmelsen bör ganska stor praktisk betydelse. nya

Datainspektionens beslut skall i fortsättningen överklagas till domstol, inte som i dag till regeringen.

EG-kommissionen antog i september 1990 ett förslag till direktiv om skydd för enskilda vid behandling av personuppgifter och om det fria flödet av sådana uppgifter. Sedan förslaget behandlats i EG:s ministerråd och EG-parlamentet har EG-kommissionen i oktober 1992 antagit ett nytt förslag till direktiv. Detta förslag har förelagts Ministerrådet och enligt tidsplanen skall Rådet ta slutlig ställning till det nya förslaget under år 1993.

Åtskillig diskussion hur integritetsskyddet skall utformat

om vara har förekommit i anslutning till det tidigare utkastet till direktiv från Kommissionen och EG-parlamentets behandling av detta utkast. Fortfarande förekommer inom EG, såvitt man kan bedöma, oenighet om hur ett framtida direktiv skall vara utformat. Detta har bl.a. lett till att tidsplanen för antagandet av direktivet har förskjutits. Enligt företrädare för Kommissionen kommer Minsterrådet troligen inte att kunna ta slutlig ställning till förslaget förrän sommaren 1994. I den debatt som förts efter det Kommissionen presenterade sitt reviderade förslag i oktober 1992 har vissa bl.a. pekat på den s.k. subsidiaritetsprincipen. Vidare kan nämnas att vid Europeiska Rådets möte i Edinburgh den ll 12 december 1992 Kommissionen förklarat att den avser att revidera ett antal förslag i syfte att göra dem mindre detaljerade. Sett i ljuset av att samtliga medlemsländer snart kommer att ha nationella dataskyddslagar och anslutit sig till Europarådets dataskyddskonvention har det från vissa håll ifrågasätts om behovet av att anta direktivförslaget kommer att kvarstå. Redovisningen i det följande bygger på det nuvarande direktivförslagets lydelse. Direktiv som beslutas av behöriga EG-organ är bindande i fråga om det resultat som skall uppnås men överlämnar medlemsländerna att välja form och metod för detta. I förslaget till EG-direktiv har man beaktat den utveckling dataskyddsomrâdet som har skett och förslaget bygger de integritetsskyddslagar och den internationella reglering som har kommit fram under de senaste åren. l förhållande till den svenska datalagen innefattar direktivförslaget i en hel del hänseenden en önskvärd skärpning av reglerna för integritetsskyddet. Av dessa och andra skäl, särskilt det intensifierade europeiska samarbetet, har utredningen eftersträvat att få i huvudsak samma regler för integritetsskyddet som de som kan komma att gälla inom EG. Utredningens förslag till materiella regler för dataskyddet ligger också nära motsvarande bestämmelser i direktivförslaget. Det gäller bl.a. sådana frågor som ändamálsanknytning och byte av ändamål, förutsättningar för behandling av personuppgifter, hur samtycke från den enskilde skall lämnas, vilka personuppgifter som får behandlas, säkerhet, gallring och regleringen av känsliga personuppgifter. Vissa avvikelser förekommer emellertid i förhållande till förslaget till EG-direktiv. Som har nämnts i det föregående skall datalagen i

motsats till vad som gäller enligt direktivförslaget även i fortsättningen bara reglera sådan informationshantering som sker med hjälp ADB. av Såvitt utredningen känner till är nämligen varken omfattningen av eller innehållet i den manuella registreringen av någon betydenhet och innebär inte några mera påtagliga integritetsrisker. Vidare berör en del föreskrifter i direktivförslaget den svenska offentlighetsprincipen. De bestämmelser i förslaget till EG-direktiv som reglerar utlämnande av personuppgifter tillåter enligt utredningen inte något utlämnande enligt offentlighetsprincipen. Ett utlämnande av personuppgifter med stöd av offentlighetsprincipen kan heller inte anses förenlig med det sätt på vilket ändamålet för en viss ADB-behandling skall anges enligt direktivförslaget. Förslaget till EG-direktiv påverkar vidare principen i tryckfrihetsförordningen att en sökande som begär att få ut en handling har rätt att vara anonym. Slutligen innehåller inte direktivförslaget något undantag från huvudregeln om gallring som gör det möjligt att bevara personuppgifter med hänsyn till offentlighetsprincipen. l de hänseenden som nu har nämnts innebär utredningens lagförslag avvikelser från det föreslagna EG-direktivet för att offentlighetsprincipen skall lämnas orörd. Avvikelser i förhållande till förslaget till EG-direktiv förekommer också när det gäller informtion till den enskilde och underrättelser till dataskyddsmyndigheten. Kraven på information till den enskilde är långtgående. Enligt direktivförslaget skall den enskilde ha rätt att på begäran bli informerad om förekomsten av en viss ADB-behandling och om olika uppgifter som hänför sig till ADB-behandllingen. När en persondataansvarig lämnar ut personuppgifter skall vidare den enskilde vars personuppgifter det är fråga om i princip underrättas om utlämnandet. Tanken bakom dessa bestämmelser i direktivförslaget är att den enskilde skall bli medveten om att personuppgifter som rör honom ADB-behandlas och kunna göra sin rättigheter enligt dataskyddslagstiftningen gällande. Ett iakttagande av bestämmelserna skulle emellertid innebära en betungande informationsskyldighet för de persondataansvariga och en ganska betydande byråkratisering av kontrollsystemet. Utredningen har kommit till den slutsatsen att de skäl som från integritetssynpunkt talar för den angivna ordningen inte är tillräckligt starka för att väga över den byråkrati som skulle bli följden. Utredningen har då också beaktat att det finns goda möjligheter till insyn genom andra regler i den föreslagna datalagen och i sekretesslagen. Liksom i dag kommer den enskilde att få möjlighet att kontrollera om uppgifter som hänför sig till honom är föremål för ADB-behandling och, om så är fallet, att kontrollera om uppgifterna är riktiga, fullständiga och aktuella. Information om vilka känsliga personuppgifter som ADB-behandlas kan man vidare hos Datainspektionen. Den persondataansvarige skall nämligen, innan han får börja att

behandla sådana personuppgifter, göra en anmälan till Datainspektionen om ADB-behandlingen. Slutligen finns i sekretesslagen särskilda regler om dokumentationsskyldighet beträffande datasamlingar som en myndighet har tillgång till. Reglerna syftar till att tillgodose allmänhetens intresse av överblick över och orientering i det ADB-material som finns hos myndigheterna. När det gäller underrättelser till dataskyddsmyndigheten är utgångspunkten i förslaget till EG-direktiv att all ADB-behandling skall anmälas. Vad som får tas undan från anmälningsskyldigheten är vissa slag av behandling som inte menligt påverkar de enskildas integritet.

Åtgärder för att göra undantag från anmälningsskyldigheten förutsätter

dataskyddsmyndighetens medverkan. Utredningen konstaterar att, även om många undantag görs från huvudregeln om anmälningsskyldighet, det finns en betydande risk för att ett mycket stort antal datasamlingar måste anmälas till dataskyddsmyndigheten, bl.a. beroende på den höga takten i datoriseringen här i landet. Antalet kan bli så stort att den överblick över den integritetskänsliga databehandlingen som dataskyddsmyndigheten bör ha helt gär förlorad. De åtgärder som behövs för att göra undantag frän anmälningsskyldigheten kommer vidare att innebära en betydande belastning på dataskyddsmyndigheten. Utredningen har sammanfattningsvis kommit till den slutsatsen att det sätt pâ vilket avgränsningen av anmälningsskyldigheten har gjorts och det förfarande för att göra undantag frän anmälningsskyldigheten som anges i direktivförslaget är förenade med så betydande olägenheter att någon harmonisering med förslaget till EG-direktiv inte bör ske i denna del. I stället har i den nya datalagen anmälningsskyldigheten avgränsats på samma sätt som tillstândsplikten enligt den gällande datalagen, dvs. det anges uttryckligen i lagen vilken behandling som måste anmälas till Datainspektionen. Anmälningsskyldigheten har begränsats till att avse ADB-behandling av i sig känsliga personuppgifter. Även i övrigt görs i olika frågor avvikelser från direktivförslaget. Den nya datalagen är avsedd att träda i kraft den 1 januari 1995.

1 Utredningsuppdraget och direktiven

Utredningens direktiv Dir. 1989:26 innebär ett uppdrag att göra en såväl saklig som lagteknisk översyn av datalagen 1973:289, omtryckt 1992:446. Direktiven i sin helhet framgår av bilaga 2. Enligt ett direktiv riktat till alla kommittéer och särskilda utredare Dir. 1988:43 åligger det utredningen att bland annat redovisa hur det förslag som läggs fram förhåller sig till EG:s motsvarande regler, direktiv eller förslag till direktiv från EG-kommissionen. Om utredningens förslag skiljer sig härifrån skall skälen för detta redovisas. Arbetet, som inleddes i november 1989, har utredningen valt att utföra i etapper. I den inledande etappen, som i september 1990 redovisades i delbetänkandet SOU 1990:61 Skärpt tillsyn huvuddrag i en reformerad datalag, diskuterade utredningen vissa principer för en ny datalag. Tyngdpunkten i det arbetet låg på en undersökning av om det nuvarande systemet med tillståndsprövning och licens kunde ersättas med en ordning med ökad tillsyn för att pâ det sättet effektivisera integritetsskyddet. Vissa av datalagens grundbegrepp såsom otillbörligt intrång i personlig integritet, automatisk databehandling och personregister, togs också upp till övervägande. I en andra etapp, som redovisades i betänkandet SOU 1991:21 Personregistrering inom arbetslivs-, forsknings- och massmedieomrádena, m.m. behandlade utredningen skilda frågor som rör ADBregistrering av personuppgifter inom vissa områden. Det gällde personregistrering inom området för forskning och statistik, inom massmedieomrâdet och personregistrering i anställningsförhållande. Vidare diskuterade utredningen frågan om samordning med annan integritetslagstiftning och gallringsfrågor. Utredningen redovisade också EG-kommissionens förslag till direktiv angående skydd för enskilda vid behandling av personuppgifter. Utredningen fick därefter tilläggsdirektiv Dir 1991:18. Genom tilläggsdirektiven ålades utredningen att utnyttja det underlag som presenterats i de båda delbetänkandena och att beakta de remissyttranden som avgetts. Dessa direktiv har tagits in som bilaga I en tredje etapp, redovisad i september 1991 i det tredje delbetänkandet SOU 1991:62 Vissa särskilda frågor beträffande integritetsskyddet pá ADB-området, diskuterade utredningen särskilda

frågor inom integritetsskyddsområdet, främst begreppen personregister och registeransvarig. Även frågor straff och skadestånd, utlandsom överföringar samt fullföljdsfrágor behandlades. Den avslutande etappen, som redovisas i föreliggande betänkande, har bedrivits under parlamentarisk medverkan. Utredningen har, med beaktande av de remissyttranden som avgetts, arbetat fram ett förslag till en ny datalag. Lagförslaget innebär, med vissa undantag, en harmonisering med ett förslag till direktiv från EG-kommissionen om skydd för enskilda vid behandling av personuppgifter och om det fria flödet av sådana uppgifter. Förslaget frân EG-kommissionen samt vissa andra internationella dokument finns i bilaga 3. En redovisning av utländsk rätt har tagits in i bilaga 4. Den internationella utvecklingen på dataskyddsomrâdet behandlas också i avsnitt 4 i betänkandet. Som framgått har utredningen tidigare lagt fram tre delbetänkanden. Varje delbetänkande har remissbehandlats. En stor del av de frågor som diskuteras i slutbetänkandet har alltså tidigare behandlats av utredningen och varit föremål för remissbehandling. I dessa delar redovisas i slutbetänkandet först utredningens tidigare ställningstaganden. Därefter anges i korthet remissutfallet och sist följer utredningens slutliga överväganden. En förteckning över de remissinstanser som har yttrat sig över de tre tidigare betänkandena finns i bilaga I den utsträckning utredningen under tiden för de tre delbetänkandena har ändrat sina förslag redovisas bara den sista versionen.

SOU 1993: 10 23

2 Gällande rätt i

huvuddrag

Datalagen 1973:289, omtryckt 1992:446 inleds med en definition av begreppen personuppgift, personregister, registrerad och registeransvarig l §. Med personuppgifi avses upplysning som avser enskild person. Det kan vara upplysningar om namn, personnummer, födelsedatum, nationalitet, utbildning, familj och anställningsförhållanden. Även andra typer av upplysningar av mindre personlig karaktär räknas som personuppgifter. Enligt lagmotiven prop. 1973:33 s. 117 avses även uppgifter om en persons bostadsförhållanden, banktillgodohavanden, fastighets- eller bilinnehav och upplysningar i övrigt om en persons ekonomiska ställning. Med personregister förstås register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling ADB och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Endast register som förs med hjälp av ADB omfattas således av datalagen. Register som förs med hjälp av annan teknik än ADB faller i dag utanför lagens tillämpningsområde. En personuppgift kan hänföras till en viss person antingen direkt genom själva uppgiften eller med hjälp av en identitetsuppgift som också ingår i registret. Även register innehåller identitetsuppgifter som av sådan art att endast den invigde kan utläsa vilka personer som finns registrerade omfattas av datalagen. Likaså omfattas statistiska uppgifter där beteckningar som också återfinns på dokument gör det möjligt att knyta uppgifterna till en viss person. Med begreppet registrerad avses en enskild person beträffande vilken det förekommer en personuppgift i ett personregister. Registeransvarig är den för vars verksamhet personregister förs, om han förfogar över registret. Såväl fysiska juridiska och som personer myndigheter kan vara registeransvariga. Endast den som anmält sig till Datainspektionen och erhållit licens får inrätta och föra personregister 2 §. Datainspektionen granskar inte anmälan i sak utan ger endast den registeransvarige ett bevis licens om att anmälan har gjorts samt ett särskilt licensnummer 10 § dataförordningen 1982:480. En licens berättigar den registeransvarige att föra ett eller flera personregister. Licens erfordras inte för personregister som en enskild person inrättar eller för uteslutande för personligt bruk 2 § tredje stycket. Den som erhållit licens skall erlägga en årlig avgift till Datainspektionen 1 och 3 §§ förordningen, 1982:481, om avgifter för Datainspektionens verksamhet. Inspektionen får, om det föreligger särskilda skäl, sätta ned eller efterskänka avgiften. Med hjälp ADB av för Datainspektionen ett register över licensanmälningar, licensregistret

3 § dataförordningen. Licensregistret får Datainspektionen använda för sin tillsyns- och informationsverksamhet samt som underlag för uppbörd av licensavgifter. För vissa typer av register med känsliga uppgifter krävs utöver licens även ett särskilt tillstånd från Datainspektionen 2 § andra stycket datalagen. Sådant tillstånd behövs i regel för att inrätta och föra register som innehåller l i sig känsliga personuppgifter, 2 omdömen om den registrerade, 3 uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande samt 4 personuppgifter som inhämtas från något annat personregister s.k. samköming, om inte registreringen av uppgifterna eller utlämnandet av dessa sker med stöd av författning, Datainspektionens beslut eller den registrerades medgivande. Tillstånd erfordras inte för personregister som någon inrättar eller för uteslutande för personligt bruk 2 § tredje stycket. Tillstånd behövs inte heller för register vars inrättande beslutats av riksdagen eller regeringen s.k. statsmaktsregister eller för register som har tagits emot för förvaring av en arkivmyndighet 2 a § första och andra styckena. sammanslutningar får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska uppfattning, religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskapet i sammanslutningen 2 a § tredje stycket l. Myndigheter inom hälso- och sjukvården får utan tillstånd för vårdeller behandlingsändamål inrätta och föra personregister som innehåller uppgifter om någons sjukdom eller hälsotillstånd i övrigt 2 a § tredje stycket 2. Likaså får myndigheter inom socialtjänsten utan tillstånd inrätta och föra personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten 2 a § tredje stycket 3. Läkare och tandläkare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har crfarit i sin yrkesverksamhet 2 a § tredje stycket 4. Arbetsgivare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 § andra stycket lagen 1962:381 om allmän försäkring 2 a § tredje stycket 5. Vid sin tillståndsprövning skall Datainspektionen ta ställning till om det finns anledning att anta att registreringen medför ett otillbörligt intrång i den registrerades personliga integritet. Om så anses vara fallet skall tillstånd inte meddelas. Vid prövningen skall inspektionen särskilt beakta arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall inhämtas samt vilken inställning de som kan komma att registreras har eller kan antas ha till

SOU 1993: 10 25

saken. Inspektionen skall även särskilt beakta att inte andra uppgifter eller andra personer registreras än som står i överenstämmelse med ändamålet med registret 3 §. Särskilda skäl krävs för att tillstånd skall kunna meddelas för inrättande och förande av personregister som omfattar andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning 3 a §. Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna erhålla tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att någon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden 4 § första stycket. Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen får endast om särskilda skäl föreligger meddelas annan än myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter. Särskilda skäl krävs även för registrering av uppgifter om någons ras eller politiska uppfattning eller religiösa övertygelse 4 § andra och tredje styckena. Det förhållandet att ett personregister skall användas för statistiska bearbetningar eller vetenskapliga undersökningar kan, enligt lagens förarbeten, i sig utgöra "särskilda" eller "synnerliga skäl" under förutsättning att enskilda personers identitet inte offentliggörs. När Datainspektionen meddelar tillstånd att inrätta och föra personregister, skall inspektionen samtidigt meddela beslut om ändamålet med registret 5 §. I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet skall inspektionen i samband med tillståndsgivningen även meddela särskilda villkor 6 §. Sådana villkor får meddelas beträffande exempelvis inhämtande av uppgifter, vilka personuppgifter som får ingå i registret, utlämnande, bevaring och gallring. Personregister skall inrättas och föras så att inte otillbörligt intrång i registrerads personliga integritet uppkommer. I 7 § anges närmare vad som skall iakttas för att nå upp till vad som brukar kallas "god registersed". Den registeransvarige är också skyldig att förteckna de personregister som han är ansvarig för 7a §. Förteckningen skall vara aktuell och hållas tillgänglig för Datainspektionen. I datalagen finns också särskilda bestämmelser om ADB-användningen som är avsedda att garantera att personuppgifter är riktiga och fullständiga. Dessa bestämmelser, som återfinns i 8 och 9 §§, behandlar bl.a. rättelse av oriktiga och missvisande uppgifter. En central bestämmelse är vidare datalagens 10 Den ger den enskilde en rätt till insyn i personregister. Där stadgas att den registeransvarige på skriftlig begäran av den enskilde skall underrätta denne om innehållet i registret, såvitt det gäller honom eller henne. Ett sådant registerutdrag, s.k. 10 §-utdrag, har den enskilde rätt att kostnadsfritt få en gång per år.

26 SOU 1993: 10

I datalagen finns allmänna bestämmelser om gallring av personuppgifter och om vad som skall iakttas då en registeransvarig upphör att föra ett personregister för vilket Datainspektionen meddelat tillstånd 12 §. Vissa bestämmelser om tystnadsplikt finns i 13 En särskild bestämmelse om dokumentationsskyldighet avser att göra det möjligt att i efterhand fastställa vilka uppgifter i en ADB-upptagning som har legat till grund för avgörandet av ett mål eller ärende hos en myndighet. Sådan ADB-upptagning skall tillföras handlingarna i målet eller ärendet i läsbar form. Undantag gäller endast, om det finns särskilda skäl 14 §. Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet 15 - 18 §§. Inspektionen har möjlighet att meddela villkor eller, om rättelse inte kan åstadkommas annat sätt, förbjuda förandet av personregister eller återkalla meddelade tillstånd. Datainspektionens beslut enligt datalagen överklagas hos regeringen. Justitiekanslern får föra talan för att ta tillvara allmärma intressen 25 §. Bestämmelser om straff och skadestånd finns i 20 21 §§ och 23 - Ett personregister kan förklaras förverkat, om det inrättas eller förs utan nödvändig licens eller tillstånd 22 §. I datalagen regleras även det statliga person- och adressregistret SPAR, 26 28 §§. - Kompletterande bestämmelser om bl.a. licensanmälan, tillståndsansökan, handläggningen hos Datainspektionen, verkställighetsföreskrifter och bistånd till personer som är registrerade utomlands finns i dataförordningen 1982:480.

SOU 1993: 10 27

3 Den tekniska

utvecklingen

Inledning

Informationsteknologin vari inkluderas datortekniken har sedan datalagens tillkomst genomgått en explosionsartad utveckling och har kommit att användas inom de flesta områden och fått en allt större betydelse för samhällsutvecklingen. ADB-teknik utnyttjas i dag inom alla områden där man har behov av information och av att förmedla information. Sådan teknik används inte bara av myndigheter, organisationer och företag utan i allt högre grad även av enskilda människor som privat behöver använda eller förmedla information. Vi har i dag ett samhälle där informationsbehandling med hjälp av ADB utgör ett naturligt inslag.

3.2 i 1970-talet

Datoranvändningen början av

Offentlighets- och sekretesslagstiftningskommittén OSK konstaterade i sitt delbetänkande SOU 1972:47 Data och integritet att det fanns ungefär 340 datorsystem med personuppgifter pâ den offentliga sidan. ADB förekom eller planerades inom folkbokföringen, skatteadministrationen, personaladministrationen, rättsväsendet, exekutionsväsendet, sjuk- och hälsovården, administrationen av de allmänna försäkringarna, socialvärden, utbildningsväsendet, arbetsplaneringen och fastighetsregistreringen. Ett antal datorsystem var gemensamma för flera myndigheter. Stora datorsystem var vanligast på den statliga sidan men förekom också hos större kommuner. Antalet datorsystem var i början av 1970-talet väsentligt större den privata sektorn än på den offentliga. Antalet sådana system med personuppgifter uppskattades av OSK till ca 3 000. Systemen med flest antal registrerade personer återfanns hos företag som tillhandahöll uppgifter för selektiv direktreklam. En del omfattade hela Sveriges befolkning. De vanligast förekommande registren gällde personaladministration samt olika slags medlemsregister och kundregister, t.ex. över prenumeranter, bankkunder, kontokunder, försäkringstagare och hyresgäster. Antalet register, som endast innehöll uppgifter av mindre känslig art eller från vilka uppgifter inte lämnades ut till utomstående, var väsentligt större inom den privata sektorn än inom den offentliga.

Informationsutbyte förekom mellan företag och myndigheter, bl.a. mellan löneregister och skattemyndigheternas register. Vidare förekom informationsutbyte mellan centrala bilregistret och vissa försäkringsbolag. Andra typer av informationsutbyte innebar att arbetsgivare via sina branschorganisationer lämnade uppgifter om sina anställda till arbetstagarorganisationema. Den tekniska hanteringen av datorsystemen ägde rum i stora maskinhallar under överinseende av särskilt utbildad personal. OSK bedömde år 1972 antalet sådana datamaskinanläggningar i Sverige till 600 stycken.

3.3 Dagens informationssamhälle

Dagens datorutrustning är väsentligt kraftfullare, billigare och enklare att hantera än den som fanns att tillgå tidigare. Ett mycket stort antal människor har fått möjlighet att tillgodogöra sig information av olika slag och att bearbeta den efter egna önskemål. En alltmer långtgående Standardisering inom datakommunikation har ägt rum och har förenklat informationsutbytet mellan olika system. En effekt härav har blivit en allt intensivare internationell datakommunikation. Även trådlös datakommunikation är allt vanligare. Genom den hittillsvarande utvecklingen av lagringstekniken finns numera möjlighet att enkelt lagra i stort sett obegränsade mängder information, inkluderat lagring av bilder, till väsentligt lägre kostnader än bara för några år sedan. Kraftfulla och användaranpassade databashanteringssystem har förenklat möjligheten att lägga upp och bearbeta stora mängder data. Den tekniska utvecklingen har även medfört att användare via terminal själva enkelt kan göra valfria sammanställningar ur en databas. Datortekniken utnyttjas inom allt fler nya tillämpningsområden. Exempel på sådana områden är bevakning och tillträdesskydd, revision, ekonomiska transaktioner med hjälp av aktiva kort, journalhantering inom sjukvården och massmedias textarkiv. Ett markant inslag i ADB-teknikens utveckling är att den inte längre är bunden till centrala systern vars funktioner kan påverkas bara av ett fåtal människor. Genom utbredningen av persondatorer och lokala system har olika användare inom arbetslivet fått utökade möjligheter att påverka och själva utforma sitt ADB-stöd. De små bärbara datorerna har kommit att medföra ytterligare nya användningsområden för informationsbehandling med hjälp av ADB. Exempelvis inom sjukvården kommer en distriktssköterska vid sjukbesök att kunna söka information om patienten och även notera journalanteckningar i datorn. Statistiska centralbyrån fann i en år 1990 utgiven studie att 1,5 milj svenskar år 1989 använde datorer i sitt arbete, en ökning med 50 procent på fem år. Det motsvarade 32 procent av alla sysselsatta. Enligt undersökningen hade antalet datoranvändande företag ökat med 200 procent från år 1984 till 1989. Under samma tidsperiod hade

SOU 1993: 10 29

antalet personer som hade datorutrustning i bostaden tredubblats från 178 000 personer till 546 000 personer. Studien visade vidare att över hälften av de statligt anställda använde datorer i sitt arbete mot bara 14 procent av de anställda inom kommuner och landsting. Antalet datoranvändare varierade mycket mellan olika yrkesområden och näringsgrenar, från knappt 10 procent inom jord- och skogsbruk till närmare 90 procent inom bank- och försäkringsväsende 1 det följande ges en kortfattad översikt över vissa delar av den moderna informationsteknologin.

3.4 Datorprogram

3.4.1 Allmänt

En definition av dator betecknar den som en apparat för databehandling som utan mänskligt ingripande under körning kan utföra omfattande beräkningar med ett stort antal aritmetiska operationer eller logikoperationer Datorn kan sägas ha tre huvuduppgifter, nämligen bearbetning inbegripet beräkningar, lagring och kommunikation. Datorns arbete styrs av Systemprogram t.ex. operativsystem och tillämpningsprogram t.ex. för sortering, beräkning m.m.. Närmare tekniska beskrivningar av hur ett datorsystem är uppbyggt och fungerar har getts i Upphovsrättsutredningens delbetänkande SOU 1985:51 Upphovsrätt och datateknik s. 29 och i Datastraffrättsutredningens betänkande SOU 1992:110 Information och den nya informationsteknologin straff- och processrättsliga frågor m.m. s 84 ff. - De delar av ett datorsystem som består av elektroniska komponenter, ledningar, plåt m.m. går ofta under den gemensamma benämningen maskinvara "hardware", "hårdvara". Maskinvaran i en dator är generell och kan fås att bl.a. utföra bearbetning, datalagring och kommunikation av olika slag. Vad den kommer att göra bestäms av instruktioner, som liksom data lagras i datorns inre och yttre minnen. En samling av sådana instruktioner kallas för ett datorprogram. Begreppet programvara "software", "mjukvara" kan sägas omfatta såväl själva programmet programinstruktionerna som tillhörande dokumentation för användare och för personal som skall handha och sköta driften av programmet. Ibland innefattas i begreppet också t.ex. service och utbildning. Anpassning och specialisering görs i programvaran, som är lättare att ändra eller byta ut än maskinvaran. De unika egenskaperna i ett datorsystem bestäms därför i hög grad av den programvara som

‘ Datorvanor 1990, utgiven av statistiska centralbyrån och Dataföreningen i Sverige, 1990

2 SIS Dataordboken, utgåva 5.72, utgiven av SIS Standardiseringskommissionen i Sverige, 1989

datortillverkaren utvecklat eller som kunden kan köpa från fristående prograrntillverkare eller själv utvecklar. Det finns i princip tvâ huvudkategorier av datorprogram, systemprogram och applikationsprogram. Systemprogram är oberoende av den tillämpning som datorsystemet skall utnyttjas för. En viktig kategori av Systemprogram är operativsystemen som bl.a. förenklar ett antal ofta förekommande funktioner som t.ex. flyttningar mellan olika enheter i datorsystemet eller igângsättande av program och kontroll av att dessa program kan arbeta till synes parallellt, trots att datorn endast kan utföra en instruktion i taget. Antalet generella operativsystem marknaden är starkt begränsat. Bland de mest använda operativsystemen för mindre datorer märks MS-DOS, PC-DOS, OS/2, Macintosh OS och UNIX. Ett applikationsprogram är ett program som utför en bestämd uppgift. Programmen kan delas in efter sin funktion i olika områden. Det finns program som medför att användaren kan använda sin dator för 0rd- och textbehandling, dvs. man skriver in och redigerar sin text på en bildskärm i stället för på papper. Först när man är nöjd med texten skriver man ut den pá skrivare. Fördelen jämfört med en vanlig skrivmaskin är att man enkelt kan ändra och justera texter utan att behöva skriva om allt. Man fär dessutom tillgång till många funktioner som sökning av text, flyttning av större textblock, automatisk stavningskontroll och automatisk avstavning. Andra program används för kalkylering, administration t.ex. order- och lagerhantering, fakturering och bokföring, datakommunikation, grafik och s.k. Computer Aided Design, CAD. Det finns även applikationsprogram möjliggör s.k. Desktop Publishing DT P, dvs. gör det möjligt för som användaren att sammanställa en trycksak med utgångspunkt från material som behandlats i datorn texter från ordbehandlingsprogram, ritningar från grafik- och CAD-program och bilder ritade med ritprogram eller inlästa med bildläsare, s.k. scanner. Vissa applikationsprogram är registerhanteringsprogram som gör det möjligt för användaren att registrera, söka bland, sortera och skriva ut sorterade data. Några applikationsprogram är direkta hjälpprogram som på olika sätt förenklar användningen av datorn. Det finns också integrerade applikationsprogram som innehåller flera programdelar som löser separata uppgifter, men som ändå har förmågan att samverka med varandra. Exempelvis kan en kalkyldel av programmet samverka med ordbehandlingsdcl och en grañkdel, sâ att ett brev kan innehålla en siffermaterial presenterat som diagram av olika slag.

3.4.2 Ordbehandlingsprogram m.m.

De flesta av de ordbehandlingsprogram som i dag finns på marknaden möjlighet till fri textsökning, dvs. även möjlighet att i en text ger återsöka vissa eller liknande. Flera av programmen har bl.a. en namn funktion som möjliggör framställning av personligt utformade massbrev. Sá är fallet med bl.a. de marknadsledande programmen Word- Perfect och Microsoft Word.

SOU 1993210 31

Många av programmen har sådana egenskaper att användaren förutom ordbehandling även får tillgång till kalkylering, registerhantering, grafik, kommunikation och elektronisk Så är post. t.ex. fallet med ett annat stort program på marknaden, Framework. De flesta ordbehandlingsprogram ger även möjlighet att föra över data till och från andra registerhanterings- och kalkylprogram. På marknaden finns i dag ordbehandlings- och registerhanteringsprogram som kostar från ca 300 kr och uppåt. Det finns även program som tillhör det s.k. Public Domain-området, dvs. kan program som kopieras fritt och användas gratis eller för en obetydlig summa.

3.5 Datakommunikation

Överföring information sker idag via datakommunikation olika

av av slag. Det kan ske i rikstäckande eller världsomspännande publika - datanät. Det kan också ske via privata nät som används av en viss bestämd krets. De nya tekniska möjligheterna i kombination med ökad standardisering och avreglering av telemonopolet medför att geografiska avstånd inte längre utgör något större hinder för överföring av information. Det är i dag möjligt att koppla ihop två eller flera lokala nät via externa nät. Detta medför att man från en persondator kan få möjlighet att nå fram till databaser i andra organisationers lokala nät. Det finns inte längre några tekniska begränsningar för möjligheten att via datanät koppla samman olika datorsystem. Systemen medger att den överförda informationen kan lagras om användaren så önskar. Därefter kan användaren strukturera och använda informationen som kan utgöra personuppgifter på önskat sätt i sin persondator. Dessutom finns adresskataloger inbyggda i de flesta nätverkstyper. Ett annat sätt att överföra information som blir allt vanligare när det är fråga om stora och relativt stabila inforrnationsmängder är att skicka

datamedia, oftast CD-ROM-skivor se avsnitt 3.7, post.

per

3.5.1 Nätverk

Genom att använda ett s.k. modem ggqdulator/@;nodulator, vars uppgift är att omvandla elektriska pulser till tonsignaler, kan det vanliga telefonnätet användas för datakommunikation. Dataöverföringen kan antingen ske via det vanliga telefonnätet, Datel, eller via ett speciellt nät för dataöverföring, Datex. Ett annat nät för datakommunikation är Datapak. i Datorer kan kopplas samman i lokala datanät Local Area Networks, LAN för överföring av information dem emellan. Sådana datanät ökar kraftigt i antal. Trenden är att dessa lokala nät kommer att integreras till enorma persondatanät med tusentals användare i olika städer. Merparten av Europas teleförvaltningar har enats att införa ett om integrerat digitalt telenät, Integrated Services Digital Network, ISDN. ISDN, som bygger på en internationell standard, kan hantera kom-

binerad kommunikation av data, text, ljud och bild över samma förbindelse i telefonnätet. Det kommer även att bli möjligt att koppla in persondatorer på ISDN-nätet och använda nätet som ett lokalt nät oberoende av avståndet.

3.5.2 Överföring av textmeddelanden

Det pågår en intensiv utveckling av nya tekniker för överföring av textmeddelanden. Tidigare medier som t.ex. telegram har nästan försvunnit helt. Telex har en relativt låg överföringshastighet och begränsad teckenuppsättning, men är ändå på grund av sin världsomfattande spridning fortfarande ett mycket använt medium. Teletex, en modern variant av traditionell telex, kommer dock troligen på sikt att ersätta telex. Den utrustning som i huvudsak används vid teletex är i stort sätt en vanlig persondator med ett ordoch textbehandlingsprogram och möjlighet till datakommunikation. En text, t.ex. ett brev eller ett meddelande, skapas med hjälp av 0rd- och textbehandlingsprogrammet pâ teletexutrustningen. Därefter skickas texten till önskad mottagare via i första hand Datexnätet till mottaga-

teletexutrustning. Överföringshastigheten för teletex är ca 50

rens gånger högre än med vanlig telex. Telefax började på allvar att användas som ett generellt kommunikationsmedel i början av 1980-talet. Bl.a. förekomsten av internationella standarder, kompatibiliteten mellan olika telefaxutrustningar, den relativt låga kostnaden och möjligheten att utnyttja det allmänna telefonnätet har lett till en snabb spridning av utnyttjandet av telefax. I dag kan i praktiken alla företag och förvaltningar i Sverige nås med telefaxmeddelanden. Hittills har det vanligaste sättet att utnyttja telefaxtekniken varit att sända ett pappersdokument i en speciell utrustning ansluten till telefonnätet, omvandla det till elektronisk information och, i en annan utrustning, få ut en kopia av dokumentet på ett papper. För att i datorsammanhang ytterligare öka effektiviteten och minska kostnaderna har s.k. telefaxkort till datorer börjat komma ut på marknaden. Fördelarna med dessa är att man direkt från exempelvis en persondator med ett ordbehandlingsprogram, utan att behöva skriva ut en papperskopia, kan skicka dokument till eller flera användare. Även ett en mottagning av dokument kan ske direkt i datorn. Man kan sedan läsa dokumentet på bildskärmen. Det finns datorprogram som kan omvandla mottagen telefaxinformation till textformat. Elektronisk post innebär att text som kan skapas med hjälp av ordoch textbehandling skickas till önskade mottagare via ett datanät där meddelandet motsvarar ett "brev". Meddelandena kan utväxlas externt eller internt. De brukare som använder intern elektronisk post utnyttjar befintliga terminaler och persondatorer och kan därigenom kommunicera med varandra via en gemensam dator. Varje användare har sin personliga "elektroniska brevlåda" i den gemensamma datorn. Det finns också möjlighet att utvidga systemet så att användarna kan delta i datakonferenser genom att systemet får en gemensam "brevlåda" för

flera användare. Detta ger användarna möjligheter att kommunicera med varandra oberoende av tid och rum. Elektronisk post kan också ingå som en funktion i ett kontorsinformationssystem se avsnitt 3.9. l. l videotex se nedan finns också tillgång till elektronisk post. Med de flesta varianter av elektronisk post kan användaren samtidigt skicka text till flera mottagare, kontrollera om mottagaren har samma tagit del den översända texten, i datorn arkivera de texter man vill av ha "brevlåda" på den centrala datorns skivminne där spara, en egen inkomna texter lagras, om man inte omedelbart kan läsa det inkommande meddelandet, samt ha en egen behörighetskod som hindrar obehöriga att få tillgång till "brevlådan". En del elektroniska postsystem har som nämnts särskilda funktioner för att också stödja gruppkommunikation. l dessa s.k. datakonferenssystem kan avsändaren adressera ett skrivet meddelande som ett inlägg till ett elektroniskt möte eller konferens, i vilket ett flertal personer kan vara deltagare. Exempel på sådana system är KOM, SuperKOM, PortaCom och EARN European Academic and Research Network. Det finns även s.k. Bulletin Board Systems, BBS, mot vilka man kan koppla upp sig för att ställa frågor, delta i erfarenhetsutbyte eller hämta programfiler. De elektroniska postsystemen har utvecklats kraftigt under den delen av 1980-talet och många företag använder sig idag av senare intern elektronisk post. Den internationella standardiseringen har fortsatt och möjligheten att låta olika system för elektronisk post kommunicera med varandra har ökat markant. Det beräknas att antalet elektroniska "brevlådor" i Europa kommer att öka med ca 45 procent år fram till år 1993. Tekniken tillåter i dag överföring av datafiler, per texter, brev inkl. fax och även bilder mellan olika datorer. En del system kan endast användas inom ett lokalt datanät, andra kopplar samman stordatorer med varandra och omfattar hela världen. EDI, Electronic Data Interchange är en metod för att överföra dokument, främst affärsdokument mellan datorer. Tillämpningen av EDI utmärks att data utbyts är formaliserade och strukturerade av som enligt någon EDI-standard, att datautbytet mellan datasystemen sker automatiskt och utan mellanliggande manuell hantering samt att datautbytet sker mellan datasystem i olika organisationer och i olika datamiljöer. EDI avviker från elektronisk post genom att meddelandet innehåller formaliserad och strukturerad information. Dessutom innebär EDI en kommunikation mellan datasystem till skillnad från elektronisk post är en kommunikation mellan enskilda användare. som Den information som överförs med EDI är direkt bearbetningsbar i datasystemen. Metoden har använts i USA i över 20 år, men fick sitt internationella genombrott först år 1986 då Västeuropa och USA slog samman sina två standarder till en internationell sådan kallad EDIFACT Electronic Data Interchange For Administration, Commerce and Transport. Sedan FN sanktionerat denna standard har den nu det officiella namnet UN/EDIFACT. Denna standard har förutom i USA och Västeuropa nu även vunnit stöd i Australien och Japan. Inom nationella och internationella organ, liksom inom olika branschföreningar, pågår sedan några år tillbaka ett intensivt arbete

med EDI-standardisering av olika slags handelsinformation. Bland annat driver EG och EFTA ett gemensamt projekt, TEDIS Trade Electronic Data Interchange Systems, med uppgift att koordinera och främja spridningen av EDI. l Sverige har bilindustrin kommit längst med sitt EDI-projekt kallat ODETTE Organisation for Data Exchange by Tele Transmission Europe, som skapat standarder för informationsöverföring avseende leveransplanering, streckkodsmärkning, fakturering etc. ODETTE är anpassat till EDIFACT-standarden. Enligt vissa uppskattningar kommer EDI att användas för en väsentlig del av Sveriges varutlöde år 1995. I vissa branscher kan det komma att gälla för mer än hälften varuflödet, t.ex. i bilindustrin, av medan det tar längre tid innan andra branscher når så långt. Vissa statliga myndigheter. t.ex. tullen, och ett antal stora branscher, t.ex. bilindustrin, byggindustrin, transportbranschen och bankerna räknar med en snabb spridning för EDI. Det svenska s.k. tulldatasystemet nya TDS medger t.ex. att export- och importhandlingar tas emot och behandlas med hjälp av EDI. TDS hantera klarering import-, avses av export-, och transitärenden samt debitering. l slutet 1990-talet av beräknas EDI ha nått en mycket bred användning. Huvuddelen av penningflödet i Sverige beräknas t.ex. då ske med EDI. Vidare räknar tullen med att 80 procent av alla tullärenden sker med hjälp EDI år av 1995. Se vidare en i maj 1990 utgiven rapport, EDI för miljoner TELDOK Rapport nr 56, 1990. Videotex är beteckningen på ett informations- och kommunikationssystem för spridning av text och viss grafisk information. Användarutrustningen består vanligen av speciella videotexterminaler med modem. Det är dock även möjligt att använda vissa TV-apparater som monitorer. Också persondatorer kan utnyttjas under förutsättning att de kompletteras med program för datakommunikation. Televerket sköter det svenska videotexnätet till vilket antal ett företag har anslutit sina datorer så att deras databaser blivit åtkomliga för användaren av videotex. De företag anslutit sig för som ansvarar den information och de specialtjänster erbjuds videotex, som genom medan televerket svarar för kommunikation och service. Söktekniken är enkel och gemensam för alla databaser i videotex. Man väljer från menyer och bläddrar fram bilder. Informationen är nämligen lagrad bildvis och inte som en sammanhängande textmassa. De anslutna företagen kan göra det möjligt för kunderna att sköta sina affärer direkt från videotexterminaler i hemmen. Avgränsade kan även skapa grupper slutna informationstjänster som bara är tillgängliga för den egna kretsen i videotex. I videotex finns också tillgång till olika elektroniska tjänster såsom telex, telefax, elektronisk post och personsökning Minicall. Användaren betalar en mindre abonnemangs- och trafikavgift till televerkets videotextjånst och särskilda bildavgifter till de företag eller institutioner som gjort bilderna. Televerket sköter dock all debitering. Databaser anslutna till det svenska videotexsystemet omfattar bl.a. ekonomi och börsinformation, reseinformation, statistik, kreditupplysningar, information från offentliga register bl.a. bilregistret och

fastighetsregistret, tidtabeller, valutakurser, telefonkatalog samt Spelinformation.

3.5.3 Mobila system för meddelandeöverföring

Mobitex, som är ett system för mobil data- och textöverföring, har funnits i Sverige sedan år 1986. Mobitexnätet, som sköts av Televerket Radio, består av ett antal basradiostationer som kommunicerar med mobila terminaler. Textmeddelanden kan sändas mellan användare som har textfunktion på sina terminaler. Meddelanden kan vara på högst 512 tecken, varför längre texter måste skickas uppdelade som många korta. Systemet ger uppgift huruvida meddelanden har kommit fram eller inte. Inom ramen för systemet finns även möjlighet för viss kompletterande talöverföring. Om man för tillfället inte kan ta emot meddelanden, kan dessa lagras i en "brevlåda". Mobitex används idag bl.a. för kommunikation mellan polisbilar och befintliga datorsystem, sjukhus och ambulanser, vid budservice och i övrigt inom transportsektorn. Möjligheten att lagra personuppgifter i de olika personsökarsystem som finns på den svenska marknaden är än så länge relativt begränsad och de uppgifter som förekommer är oftast av mindre känslig art, huvudsakligen namn och telefonnummer. Trots detta förtjänar dock några av systemen att nämnas. Ett rikstäckande personsökningssystem, MBS, har varit i drift i drygt tio år. MBS-mottagaren är en liten avancerad FM-mottagare som automatiskt ställer in sig på rätt FM-sändare. Den har bl.a. minnesfunktion för lagring av flera sökningar. Då någon ringer upp en MBS går sökningen från telefonen till en MBS-växel, som sänder sökningen vidare till FM-nâten. Signalen når MBS-mottagaren, som avger en ljudsignal och i sitt teckenfönster visar den uppringandes telefonnummer. Det är inte bara den sökandes telefonnummer som kan sändas till en MBS-mottagare utan även kodnummer. Det är möjligt att nå flera mottagare samtidigt genom ett enda söknummer. MBS är Sveriges enda rikstäckande system för personsökning. Televerket Radio har byggt upp MBS-systemet och svarar för dess funktion och underhåll. År 1985 startade ett system med tonsignalering för mera regionala behov, Minicall. Systemet är landsomfattande och täcker Sveriges tätorter och industricentra. I april 1988 kompletterades Minicall med möjlighet att sända textmeddelanden. Minicall Ton är en personsökare som avger upp till fyra olika tonsignaler, när någon ringer till den från en vanlig telefon. Varje tonsignal aktiveras genom ett eget telefonnummer och har en egen, i förväg överenskommen betydelse. En av signalerna kan kopplas till den "textbrevlåda" som finns i Minicall-systemet. En annan signal kan kopplas till "röstbrevládan" i mobiltelefonsystemet NMT. Minicall Text är en personsökare som tar emot textmeddelanden på upp till 400 tecken. Meddelandet tas fram i ett teckenfönster. Utsändning av meddelanden kan ske t.ex. från en persondator med modem, från en terminal ansluten till en företagsdator eller från en

36 SOU 1993: 10

videotexterminal. Minicall Text kan också användas för tonsökning och kan då sammankopplas med Mobilsvar. Varje gång ett meddelande lämnas i Mobilsvar avger personsökaren en signal. Mottagaren kan lagra flera meddelanden samtidigt. De som har en Minicall personsökare, för ton eller text, kan även abonnera på en egen "brevlåda" för lagring av textmeddelanden. I sådant fall lagras alla utsända meddelanden i systemet under 72 timmar och förses med ett löpnummer. Ett meddelande kan sedan hämtas ur "brevlådan", som är en "textbrevláda", och återutsändas. För att kunna hämta meddelanden krävs tillgång till en terminal eller persondator e.d. Vid hämtning av meddelande anges lösenord, som bestäms av den som har mottagaren, mottagarens nummer samt meddelandets nummer. Det går också att hämta bara det sist inkomna meddelandet. Meddelandet visas sedan i sin helhet på bildskärmen tillsammans med tidpunkt för utsändning. "Brevlådan" kan även användas för lagring av textmeddelanden även om man bara har en tonmottagare. En tonsökning sker när ett textmeddelande har matats in i Minicall-systemet och lagrats i "brevlådan". Innehavaren av mottagaren kan sedan hämta meddelandet ur "brevlådan". Inmatning och hämtning av textmeddelanden som är adresserade till en tonmottagare sker samma sätt som vid vanliga textsökningar.

3.5.4 TeleGuide

Under år 1992 inledde Televerket i samarbete med andra en verksamhet som hade till mål att sprida s.k. TeleGuide-terminaler till landets telefonabonnenter. Förebild var det franska MiniTel-systemet. Med hjälp av en TeleGuide-terminal, som är ansluten till videotexnätet, skulle användaren till en början dels kunna få viss lokal information exempelvis upplysning om kommunala öppettider, traffiktider, lokala evenemang, viss miljöinformation etc., kunna utföra vissa banktjänster, göra beställningar av vissa varor bl.a. matbeställningar inom den kommunala hemtjänstens ram, dels kunna få del av den information som finns tillgänglig i det allmänna videotexnätet. Avsikten var att successivt bygga ut systemet till att omfatta flera användningsområden, t.ex. bostadsinformation med byggplaner, taxeinformation, biblioteksservice, platsannonser, konsumentrådgivning samt kommunabeslut och handlingar. De olika elektroniska tjänster som det finns tillgång till i videotex, t.ex. telex, telefax och elektronisk post, är också att tillgängliga för dem som hyr en TeleGuide-terminal. Förutom en månatlig hyreskostnad för en terminal och avgiften för telenätsanvändningen, tillkommer en särskild användaravgift per minut. Den som hyr en terminal får, förutom själva terminalen, även ett s.k. "Smart

Card" se avsnitt 3.9.2. Detta kort som är personligt och försett med

en särskild identifikationskod måste användas då man loggar in i systemet. För att kunna utnyttja en TeleGuide-terminal krävs att man har loggat in med hjälp av sitt personliga kort. På grund av för liten anslutning till TeleGuide, beslöts i februari 1993 att aweckla TeleGuide-projektet.

SOU 1993: 10 37

3.6 Databaser

Databaser finns för de flesta ämnesområden: ekonomi, teknik, fysik, kemi, medicin, miljö, samhällsvetenskap, humaniora, juridik, dagsnyheter etc. De innehåller många olika typer av material såsom tidskriftsartiklar, litteraturreferenser, statistiska sifferserier, grafiska bilder Materialet i databaserna uppdateras regelbundet, i vissa m.m. fall dagligen. De områden som täcks av olika slags databaser har blivit alltmer omfattande. Hittills har det dock huvudsakligen varit fråga om databaser med olika slags textinformation. Sedan en tid tillbaka finns emellertid även en omfattande bilddatabas i Sverige. Bilddatabasen beskrivs närmare i det följande. De flesta publika databaser tillhandahålls av s.k. databasvärdar. Dessa är serviceföretag som äger eller har rätten till ett antal databaser. Vissa databasvärdar driver bara en eller ett par databaser och har då ofta själva framställt databasens innehåll. Andra värdar kan ha hundratals olika databaser. För att få tillgång till databaserna krävs normalt användarabonnemang i form av ett separat abonnemang till varje värd. Till detta kommer i de flesta fall en sökavgift som debiteras minut uppkopplad tid och/eller står i relation till hur stort material per användaren tar ut från databasen. Den utrustning som behövs är en terminal eller persondator, ett kommunikationsprogram anpassat till datorn samt ett modem. För att nå informationen i en databas måste man använda en viss uppsättning kommandon, ett sökspråk. Eftersom sökspråket i allmänhet är knutet till databasvärdens system finns det många olika sökspråk på marknaden. På senare tid har användningen av s.k. "gateways" ökat. Detta innebär att kopplar upp sig mot en databasvärd och därifrån man kopplas vidare till andra värdar och kan söka i databaserna hos dessa med samma sökspråk som gäller hos den först uppkopplade värden. På så vis krävs endast ett användarabonnemang. Ett exempel härpå är DAFA Data ABs InfoTorg. De publika databaserna kan med hänsyn till sitt innehåll indelas i två huvudgrupper, källdatabaser och referensdatabaser. Källdatabaser består information som direkt och i sin helhet kan överföras till av användarens lokala datorutrustning. Referensdatabaser ger referenser eller sökingångar till annat material. Lagring av information sker i databaser vanligen hos den som samlar in uppgifterna. Lagringen kan ske i centrala datorer, i lokala datorer eller i en slutanvändares persondator. Lagring kan ske i minnen anslutna till dessa typer av datorer men också löstagbara

media såsom disketter, CD-ROM-skivor se avsnitt 3.7, optiska kort se avsnitt 3.7, videokassetter eller liknande.

Som tidigare nämnts finns numera en stor bilddatabas i Sverige. Det är Posten Bildbanken AB som i Kiruna har startat ett omfattande digitalt bildarkiv. Bilderna tillhandahålls av bildbyråer, muséer, fotografer och andra som innehar för marknaden intressanta bilder. Tillsammans med bilderna lagras digitalt även uppgifter om motiv,

fotograf, bildbyrå samt andra sökbegreppEnligt avtal med bildleverantörema skall de bilder levereras till bolaget utgöra s.k. som kommersiella bilder, d.v.s. bilder som avser att dokumentera områden i samhället och som försäljs för reklam, publicering i armonser, tidningar etc. Nyhetsbilder avses inte ingå i bilddatabasen. En kategori bilder som kan ingå är porträttbilder av fysiska Även på personer. andra bilder kan personer vara avbildade. Den vill söka i som bilddatabasen ringer medelst datorns modem upp denna och etablerar kontakt. Med hjälp av en särskild meny kan användaren specificera vilken typ av bild som han önskar. Det finns nämnts olika som ovan sökbegrepp inlagrade med varje bild. Ett sökbegrepp kan t.ex. vara en specifik bildbyrå eller fotograf. Ett annat kan begrepp djur, vara som natur, människa, ålder osv. Vid varje tillfälle får användaren uppgift om hur många bilder det finns som uppfyller villkoren. Han eller hon får samtidigt upp 12 s.k. påsiktsbilder på sin datorskärm. För varje bild anges ett bildnummer, klassificeringskod, lagringsdatum, fotograf enligt 2 § lagen 1960:730 om rätt till fotografisk bild, svan/vit färg samt bildrestriktioner. Dessa påsiktsbilder är tillräcklig god kvalitet av för att användaren skall kunna avgöra om bilden är intressant. Det tar mindre än en sekund att överföra en sådan bild från databasen till skärmen. Det är möjligt att "bläddra" igenom bilderna, förstora intressanta bilder, låta intressanta bilder bli kvar på skärmen eller lagra dem lokalt i sin dator. När användaren har bestämt sig för de bilder som önskas skickar han eller hon en beställning till Posten Bildbanken AB via menyn. Bilden kan sändas direkt till användarens dator medelst telenätet eller också vidarebefordras beställningen till fotografen eller bildbyrån som i sin tur kan skicka en kopia bilden med post eller av annat sätt. Posten Bildbanken AB räknar med att år 1994 ha mellan fyra och fem miljoner bilder lagrade i sin bilddatabas. En utveckling av databehandlingen är den s.k. client/servertekniken som innebär att informationen bearbetas både i central dator en

servern och i persondatorn klienten. Servern kan t.ex. sköta

sökning i stora databaser medan persondatorn klienten sköter sammanställningen och presentationen. Informationen i ett client/serversystem lagras i databaser i datorerna. Olika delar av en databas kan finnas i olika datorer. Det är också möjligt att viss information som en användare behöver finns i en dator hos en annan organisation. Användaren vet ofta inte var informationen finns lagrad, bara att han kan nå den från sin persondator. Han kan själv göra egna sammanställningar som kan tjäna ett helt annat ändamål än det som ursprungligen gällde för databaserna. En sådan sammanställning kan existera under en kort tid, nämligen tills presentation resultatet har gjorts. av Men den kan också finnas till under längre tid för upprepad en bearbetning och användning. Client/servertekniken tillämpas ännu endast i begränsad omfattning i Sverige. Tekniken kan dock beräknas vara i allmänt bruk inom både den offentliga och privata sektorn under senare hälften 1990-talet. av Dataförmedling är en företeelse som har blivit allt vanligare med ökande möjlighet till kommunikation. Med dataförmedling avses att någon bygger upp databaser och förmedlar information dessa på ur

affärsmässiga grunder. Som tidigare nämnts finns det publika databaser varifrån man säljer information av olika slag. Den nya utveckling som nu kan skönjas är en växande skara av privata databasvärdar som inriktar sig på en viss bransch och aktivt söker, förädlar och lagrar information som sedan tillhandahålls. Det kan t.ex. gälla information om företag. En annan typ av förmedling är att ett företag tillhandahåller databasutrymme där användarna själva kan införa annonser.

3.7 Optiska lagringsmedia

En utveckling som särskilt bör nämnas inom det informationsteknologiska området är utvecklingen av den optiska lagringstekniken, en teknik som nu breder ut sig med en tilltagande hastighet. Med tillkomsten av denna teknik har persondatoranvändare fått en snabb och billig tillgång till mycket stora informationsmängder av alla slag. CD-ROM-tekniken kommer inom de närmaste åren med all sannolikhet att revolutionera all informationsspridning. Optisk lagring baseras användning av ljus, och lagringstekniken är biprodukt av den ursprungliga optiska videoskivan som introen ducerades av Philips under 1970-talet. En närmare redovisning av den optiska tekniken har bl.a. lämnats i betänkandet SOU 1987:74 Optisk elektronisk övervakning s. 67 ff. - Det finns i huvudsak tre slags optiska lagringsmedia pá marknaden: CD-ROM-skivor, WORM-skivor ochWMRA/RWM-skivor. Kompaktskivan eller CD-skivan Compact Disc lanserades âr 1983 högkvalitativ efterföljare till LP-skivan. CD-skivan rymmer som en digitalt stereoljud av mycket hög kvalitet. Ett renodlat datamedium, CD-ROM Qompact Qisc I{ead Qnly Memory introducerades pä marknaden är 1985. Skivan kan användas för att lagra text, bild och ljud, vilka alla tre möjligheter kan användas samtidigt. En enda CD-ROM-skiva, som är 12 cm i diameter och 1,2 mm tjock, har en användbar kapacitet mer än 550 megabytes, motsvarande ca 270 000 fullskrivna A4-sidor motsvarande 1 ton papper, 75 minuter musik, 10 000 svartvita dokumentsidor i bildform eller 1 000 digitala videobilder i färg. CD-ROM är nu standardiserad i nästan hela världen. Den är numera också svensk standard. Det gär snabbt att söka och läsa på en CD-ROM-skiva, men man kan inte skriva information på skivan. Tiden att få fram information åtkomsttiden varierar mellan 0,4 och 1 sekund. För att läsa av informationen på en CD-ROM-skiva krävs det en särskild CD-ROMspelare med laser, som kan anslutas till en persondator. Sökningen av informationen sker med hjälp av ett sökprogram som temporärt lagras i datorn så länge en viss skiva används. Till varje CD-ROM-skiva hör ett sådant sökprogram och detta kan antingen finnas lagrat på skivan själv eller en diskett, som följer med skivan. Sökprogrammen kan vara olika för olika CD-ROM-skivor. Sökningen sker oftast med hjälp av sökmenyer och kan vara fritextsökning eller strukturerad sökning. Åtkomsten till lagrad data sker alltså normalt via viss inkluderad programvara. Vid sidan av detta sökprogram finns inga

generella tekniska hinder för att med hjälp andra system eller av program söka och läsa bland lagrad data. Möjligheterna att genomföra detta beror helt och hållet på hur lagrad data är skyddade. Det är fullt praktiskt genomförbart att ha krypterade CD-ROM-skivor och i dag förekommer både okrypterade och krypterade skivor. Möjligheterna att överföra data från CD-ROM-skivor till andra lagringsmedia är även dessa beroende av hur uppgifterna är skyddade och om eventuellt en sådan Överföring understöds från rutiner i medföljande programvara. I sin enklaste form sker överföring genom kopiering av filer från CD-ROM-skivan till annat lagringsmedia. Dessa filer kan ibland vara direkt låsbara i s.k. ASCII-kod, detta är men snarare undantag än regel. CD-ROM har visat sig vara ett idealiskt medium för termbanker, ordböcker och andra typer av faktaverk. Användarens fördelar ligger främst i att det går snabbare och enklare att söka på CD-ROMen skiva, att en sådan skiva kan rymma oerhörd mängd data och att det en är ett behändigt format till ett relativt lågt pris. Säkerheten vid läsning från en CD-ROM-skiva är också mycket hög. Det är också mer ekonomiskt fördelaktigt att använda sig av informationen på CDen ROM-skiva än att söka i en databas som endast nås via telenätet och som det är dyrt att söka i on-line. CD-ROM-skivor har även betydligt längre hållbarhet än disketter och hårddiskar och är avsevärt slitstarkare. Det har visat sig vara mycket billigare och enklare att sprida stora informationsmängder lagrade CD-ROM-skiva än på annat sätt. För det första är det enkelt och billigt att skriva in informationen på skivan. Skillnaden mot inskrivning på magnetskiva eller band är ofta betydande. Med hjälp av en slags bildinläsare, s.k. är det i scanner, dag möjligt att på ett snabbt och förhållandevis enkelt sätt läsa in stora textmassor på bl.a. optiska lagringsmedia. Detta gör att man lätt och billigt kan komma ut med skivor ofta, t.ex. en gång i veckan. Tillverkningskostnaden för en CD-ROM-skiva uppgår för närvarande till mellan 10 och 15 kr. För det andra är skivan liten och lätt och därför billig att distribuera. För det tredje krävs inga stora och dyrbara datorer för att läsa en CD-ROM-skiva. Den kan, tidigare har som nämnts, läsas via en särskild CD-ROM-spelare som kan anslutas till en persondator. CD-ROM-tekniken har alltså givit persondatoranvändare en snabb och billig tillgång till mycket stora informationsmängder av alla slag. Mediet lämpar sig särskilt för stora informationsmängder statisk av karaktär som dessutom skall distribueras till många mottagare. Produktion av CD-ROM-skivor sker med hjälp särskild teknik av som kräver kunskap och utrustning. I Sverige finns det för närvarande två företag som tillverkar CD-ROM-skivor. Utbudet av CD-ROM-skivor och CD-ROM-spelare har också ökat samtidigt som priserna på dessa har börjat sjunka på ett markant sätt. Det fanns år 1985 endast några tusen CD-ROM-spelare i världen. År 1987 hade siffran stigit till omkring 100 000, huvudsakligen i USA. Enligt en beräkning var antalet sådana apparater i världen tre år senare ca en halv miljon. Antalet CD-ROM-spelare i Sverige uppskattas âr

1987 ha uppgått till ca 800. Enligt en bedömning uppgick antalet sådana spelare i landet år 1992 till närmare 30 000. Priset på CD- ROM-spelare har i stort sätt halverats på något år och det finns för närvarande CD-ROM-spelare på marknaden som kostar från 2 000 kr. Priset beräknas sjunka ytterligare. Det finns numera också såväl stationära som portabla CD-ROM-spelare på marknaden. Det är vidare möjligt att ansluta en CD-ROM-spelare till ett lokalt nätverk och därigenom göra den tillgänglig för flera användare. CD-ROM-tekniken innebär att massdistribution av mycket stora datamängder kan ske. På CD-ROM-skivor finns i dag bl.a. manualer, instruktionsböcker, reservdelskataloger, företagsinformationsdatabaser, telefonkataloger, geografiska informationsdatabaser, uppslagsverk, juridisk och medicinsk information, biblioteksinformation samt ordböcker och lexika. Utgivningen av CD-ROM-titlar har fördubblats varje år sedan år 1987. Samtidigt som utgivningen av CD-ROM-skivor för allmänt bruk ökar blir det också allt vanligare att företag tar fram egna skivor för internt bruk. Man bedömer allmänt att den stora marknaden för CD- ROM just ligger inom området specialframtagna skivor för användning inom företag, organisationer och myndigheter. Det kan Lex. vara fråga om olika slags dokumentation, material för intemutbildning och instruktionsprogram. CD-ROM kan i framtiden även visa sig bli en mycket vanlig distributionsforrn för datorprogram. Redan i dag har vissa av de företag som saluför datorprogram börjat att distribuera samtliga sina program med dokumentation på CD-ROM-skiva. En enda sådan skiva kan rymma tusentals olika program. Oftast distribueras skivorna gratis. Programmen CD-ROM-skivan är dock låsta med ett särskilt kodsystem. Om någon vill använda sig av något av datorprogrammen på skivan måste denne kontakta programvaruföretaget och av det få en särskild "nyckel" som gör det möjligt att använda det önskade programmet. Ett nytt område inom vilket man synes ha börjat med lagring av information på CD-ROM-skivor är datorstödd typografi. Det finns CD- ROM-skivor med bl.a. stilförråd och bildmaterial. På den internationella marknaden finns ett relativt stort antal CD- ROM-skivor som var och en i vissa fall kan innehålla uppgifter om miljontals personer och företag. Mer än 100 olika CD-ROM-skivor beräknas ha framställts i Sverige under 1992. Hur CD-ROM-tekniken hittills kommit att användas i Sverige kan belysas med följande exempel. Den första svenska kommersiella CD-RC M-skivan, TERMDOK, utgavs av Walters Lexikon i samarbete med Tekniska nomenklaturcentralen för ca fyra år sedan och innehöll 25 000 tekniska termer med definitioner och 100 000 översättningar till bl.a. engelska, tyska och franska. En uppdatering av skivan skedde år 1989 och denna nya version innehåller 350 000 termer med begreppsförklaringar och översättningar. Esselte Focus 17 band gavs år 1989 ut på CD-ROM-skiva.

År 1990 utgavs en CD-ROM-skiva som innehåller 21 ordböcker på 12 olika språk med över 5 miljoner uppslagsord. SAABs Flygdivision har tagit fram en CD-ROM-skiva som innehåller hela reservdelskatalogen för sitt civilflygplan SAAB 340. Avsikten är att flygplanets samtliga manualer 40 000 papperssidor av vilka 75 procent byts ut årligen skall distribueras på en CD-ROM, som kommer att uppdateras fyra gånger om året. Rikspolisstyrelsen har låtit framställa en CD-ROM-skiva som innehåller sådan information som anses utgöra stöd för beslutsfattande inom polisväsendet. På CD-ROM-skivan, benämnd Svenskt Polislexikon SPL, finns bl.a. vissa lagar och förordningar som har betydelse för polisens arbete, Rikspolisstyrelsens råd och anvisningar, Riksáklagarens cirkulär och vissa av Riksdagens ombudsmäns och Justitiekanslerns beslut. Även visst katalogmaterial som t.ex. postnummerkatalogen finns med. Avsikten är att skivan skall uppdateras en gång per kvartal. Projektet har inletts med att CD-ROM-läsare har placerats hos ett antal polisdistrikt och hos Rikspolisstyrelsen. Utanför polisväsendet har CD-ROM-läsare även placerats hos Riksdagens ombudsmän, Justitiekanslern och Riksáklagaren. Bibliotekstjänst AB har sedan juli 1990 använt sig av CD-ROMteknik för att sprida information ur sina centrala databaser till folkbiblioteken. Bibliotekstjänsts bibliografiska databas omfattar 1,2 miljoner titlar på böcker, tidningar, tidskrifter, skivor, kassettband och videoband. Varje år tillkommer ca 70 000 nya titlar. Bibliotekstjänst har delat in landet i tre regioner, Södra regionen, Östra regionen och Väst/ Norra regionen. För varje region produceras en CD-ROM-skiva, benämnd CD-KAT, som upptar alla titlar som finns på de anslutna biblioteken inom resp. region. Sökprogrammet i CD-ROM-utrustningarna är utformat så att en användare antingen kan återfinna samtliga boktitlar som finns på de anslutna biblioteken i den aktuella regionen eller endast dem som finns i bibliotekssystemet för den kommun i vilket det aktuella biblioteket är beläget. Det är även möjligt att därutöver begränsa sökmöjligheten till att endast omfatta den biblioteksfilial där man just befinner sig. CD-KAT-skivan förnyas fem gånger per år och tillställs då de bibliotekslokaler som har CD-ROMutrustning. Namn och adressuppgifter för de anslutna bibliotekens låntagare närmare två miljoner personer registreras av Bibliotekstjänst på en särskild CD-ROM-skiva, CDL, med samma uppdateringsfrekvens som CD-KAT. Skivan innehåller uppgifter låntagarnas om namn, personnummer, adresser och låntagamummer. På skivan finns även vissa biblioteksstatistiska uppgifter, vilka dock inte är anknutna till identifierbara låntagare. Uppgifter om lånade böcker finns enligt uppgift inte på skivan. Upplysningscentralen UC har framställt en CD-ROM-skiva med information om hundratusentals företag. För vart och ett av dessa företag finns ett sjuttiotal olika uppgifter som daterar sig tre år tillbaka i tiden. Till den information som finns hör exempelvis omsättning och nyckeltal. Sökning kan ske på företagsnamn eller organisationsnamn. Det går också att söka på telefonnummer. Med hjälp av program som sänds med är det bl.a. möjligt att skriva ut etiketter.

SOU 1993: 10 43

Två företag, Scandinavian PC Systems AB och PCD-Consult AB, har på var sin CD-ROM-skiva gett ut det allmänna företagsregistret BASUN, dvs. SCBs register över ca 390 000 svenska företag, organisationer och myndigheter i Sverige. Namn och adresser kan sökas på dessa skivor efter olika urvalskriterier och skrivas ut bl.a. etiketter, listor och kort. Båda versionerna uppdateras regelbundet. Det som skiljer dem åt är sökprogrammet. Slutligen kan nämnas att den kompletta svenska telefonkatalogen inom kort troligen kommer att ges ut på en CD-ROM-skiva. Ett annat optiskt datalagringsmedium utgör de s.k. WORM—skivoma write QnceÅead Many. Användaren kan skriva data endast en gång på varje fysisk plats på skivan. Det går alltså inte att radera eller ändra den information som en gång skrivits dit. Däremot går det att läsa den ett obegränsat antal gånger. WORM-skivan är därför väl lämpad för dokumentlagring och säkerhetskopiering som kräver stort lagringsutrymme, säkerhet och kontinuerlig uppdatering. WORM-tekniken återfinns ofta i kontorsinformations- och arkivsystem hos många stora organisationer. Lagringskapaciteten motsvarar 10 000 500 000 sidor text beroende på WORM-skivans format. Skatteförvaltningen i Stockholms län har på försök börjat att lagra deklarationsblanketter på WORM-skivor. Med hjälp av s.k. scanner läses deklarationsblanketterna in som elektroniska bilder på dessa skivor. Taxerings-tjänstemännen kan sedan via en terminal söka och granska valfritt ärende, sortera, bunta och markera ärenden för senare behandling. Utan att behöva använda sig av papper eller kopieringsmaskin kan en deklarationsgranskare sköta skriftväxling med den skattskyldige, göra kommentarer och anteckningar under granskningen, "lägga undan" handlingar för senare bearbetning och skriva ut ärenden på skrivare eller telefax. En tredje variant av optisk skiva är den raderbara Rewriteable skivan ibland benämnd WMRA write Many Bead Always eller WRM write l2ead Many. Detta är en magneto-optisk MO skiva där magnetfältens förmåga att ändra laserljusets polariseringsriktning utnyttjas. På dessa skivor kan den information som en gång skrivits in tas bort och utrymmet utnyttjas för att skriva in ny information. Den kan närmast jämföras med ett ordinärt magnetiskt lagringsmedium såsom en hårddisk, dock med mångdubbel kapacitet. En ny variant av optiskt lagringsmedium är s.k. optiska kort, Optical Cards. Detta är kort som inte är större än ett normalt kreditkort men som har ett minnesutrymme om två megabytes, motsvarande ett tusental A4-sidor med text. Kortet är främst avsett att användas som ID-kort, för manualer och inom utbildning. Optiska kort används på försök inom Västerbottens och Uppsala läns landsting där ett antal patienter får sina sjukjournaler inlagda på sådana kort. Här skall också nämnas den senaste generationen av CD-skivor, CD-I Compact Disc Interactive. CD-I är en teknik för att lagra digital video på en CD-skiva. CD-I kan, liksom CD-ROM, hantera både text, bild och ljud men dessutom rörliga bilder och film. CD-Ispelaren behöver dock inte anslutas till en dator utan kan även kopplas upp mot en vanlig TV eller förstärkare. CD-I lanseras främst för

hemmabruk med titlar inom musikvideos, spel, sport, turistinformation m.m. Den kan även användas inom utbildning, t.ex. inom industrin och skolan. Pâ sikt kan CD-I-skivan därför kanske komma att bli en konkurrent till videokassetter. Utvecklingsarbete pågår också beträffande den s.k. CD-ROM/XAskivan.XA står här för Extended Architecture. Denna skiva är en utveckling av CD-ROM-skivan och utgör en brygga mellan CD-ROM och CD-I. CD-ROM/XA gör det möjligt att spela 17 timmar ljud mot 75 minuter som är det normala för en vanlig CD-ROM-skiva. På en CD-ROM/XA-skiva är det också möjligt att kombinera data, ljud, grafik och rörliga bilder. Den fortsatta utvecklingen av detta medium kommer därför att få stor betydelse för den s.k. multimediatekniken

se avsnitt 3.8.

Att lagra bilder CD-ROM har hittills varit relativt dyrt och förbehållet professionella användare såsom tidningar, reklam- och fotobyråer. Under hösten 1992 introducerades emellertid ett nytt system, kallat Photo CD, i Sverige. Detta system, som är resultatet av ett samarbetsprojekt mellan Kodak och Philips, ger även den normale datoranvändaren en möjlighet att arbeta med fotografiska bilder på helt andra villkor än tidigare. Kostnaden är förhållandevis liten, kvaliteten hög och behovet av lagringsutrymme i datorn mindre än tidigare. Systemet är enkelt för användaren. Denne kan ta bilderna på samma sätt som tidigare, t.ex. med smâbildskamera. Filmen lämnas på vanligt sätt till framkallning och kopiering, men man beställer även en Photo CD-skiva. Med hjälp av en s.k. filmscarmer läses filmen in till elektroniska bilder pä Photo CD-skivan. Pâ varje sådan skiva ryms ca 100 bilder, dvs fyra 24-bilders eller tre 36-bildersrullar. Med CDskivan följer en numrerad karta med de överförda bilderna i miniformat. Kostnaden för att fâ en rulle film Överförd till en Photo CDskiva uppgår f.n. till ca. 250 kr. I priset ingår då även framkallning och en uppsättning papperskopior. En Photo CD-skiva går att framställa från såväl diafilm som negativ film, färg eller svartvit. Med hjälp av en särskild CD-spelare kan sedan bilderna antingen visas på en vanlig TV eller överföras till en dator och visas på dess skärm. Den digitala bildinformationen går också att använda i en dator för vidare

behandling, t.ex. för Desktop Publishing se avsnitt 3.4.1. Priset för

en sådan särskild CD-spelare för bilder uppgår f.n. till ca 3 500 kr.

3.8 Multimedia

Uttrycket multimedia började att användas redan 1960-talet som beteckning för att man i reklamkampanjer använde sig av olika slags media tidningar, radio och TV för att föra ut sitt budskap. I dag har multimedia blivit ett samlingsnamn för ett antal olika tillämpningar som har det gemensamt att information av olika typer av media, t.ex. ljud, bild, film, text, grafik och data, hanteras av samma datorsystem och presenteras samlat. De system som i dag huvudsakligen används inom multimediaomrâdet är s.k. interaktiva videosystem, vilka bygger på en blandning av videoteknik och datateknik.

SOU 1993210 45

Multimedia berör många olika ämnen och områden och kan användas för både konsumentbruk och företagsbruk. Exempel på användningsområden är datorstödd presentation och utbildning. I främst USA men också i viss omfattning i Sverige används multimediatekniken av företag för att förmedla yrkeskunskaper till de anställda. Motiven är att en sådan utbildning är mera effektiv och flexibel än traditionell lärarledd utbildning. Utbildningskostnaderna blir också lägre. Med interaktiv video ersätts läraren av en dator och en videobandspelare. En sådan utbildning kan vara mycket pedagogiskt upplagd och ske utan annan medverkan än den anställdes. En instruktionsröst vägleder eleven. medan olika bild- och textfunktioner blandas. Andra användningsområden för multimedia är musik, underhållning. uppslagsverk, förlagsverksamhet. kataloger och olika slags tjänster. Exempel på sammanhang där multimedia redan kommit till användning ar olika slags informationsanordningar flygplatser, järnvägsstationen etc. I framtiden kan kunder med hjälp av multimedia genom sådana anordningar ges all information de önskar om en viss vara eller tjänst. Resebyråer kan komma att använda sig av multimedia och låta kunden se olika bilder och annan information om presumtiva resmål. Mäklare kan på sitt kontor visa detaljerade exterior- och interiörbilder på olika husobjekt. Köpare av möbler kan t.ex. redan i affären "möblera" sitt hem med hjälp av multimedia. Offentliga myndigheter kan också använda sig av multimedia för att på ett billigt och lättförståeligt sätt lämna information till medborgarna. Så sker redan i dag i viss utsträckning i USA, t.ex. i delstaterna Kalifornien och Hawaii. En särskild tillämpning av multimediatekniken är den som går under beteckningen hypermedia. Hypermedia används för att beteckna ett sätt att hantera stora mängder ostrukturerad information. Användaren får genom hypermedia ett godtyckligt antal vägar att välja på för att ta sig fram mellan text, bilder, ljud och video. Typiska användningsområden för hypermediasystem är datoriserade uppslagsverk, instmktionsböcker och tekniska handböcker etc.

3.9 Övrigt

3.9.1 Kontorsinformationssystem KI

Utmärkande för kontorsinformationssystem KI är att dessa i regel innehåller olika typer av funktioner som Ordbehandling, elektronisk post ibland i kombination med ett konferenssystem, s.k. skrivbordsfunktioner almanacka, dagbok o.d., kalkyleringsmöjlighet, arkivhantering, kompletterande registerprogram, databashanterare och s.k. fria textsökningssystem m.m. I de flesta kontorsinformationssystem finns också möjligheter till gemensamma arkiv. Dessa består av ett fritextsökningssystem som kan kopplas samman med diarie- och arendehanteringssystem och arkiveringssystem. De olika funktionerna är integrerade i kontorsinformationssystemet, dvs. de fungerar tillsammans under en gemensam "meny" med en rad

"undermenyer". Detta innebär att man från vilken del av systemet som helst kan hämta information och återanvända eller bearbeta den. Så kan man t.ex. via ordbehandlingsfunktionen ta sig till kalkyleringsfunktionen och där göra vissa bearbetningar, som man sedan kan lägga i det dokument som man arbetar med i ordbehandlingsfunktionen.

3.9.2 Aktiva kort

Ett s.k. aktivt kort eller "Smart Card" är ett plastkort i kreditkortsformat i vilket en mikrodator har bakats in. Mikrodatorn strömförsörjs från och kommunicerar med yttervärlden via kontakter i kortets yta. Mikrodatorn innehåller en mikroprocessor, ett minne, s.k. ROM Bead Qnly Memory med ett fast styrprogram, ett arbetsminne och ett användarminne. Både mikrodatorn och minnet är integrerat i enda en mikrokrets. Varje gång något skrivs i kortet bränns eller flera bitar en i minnet. Detta gör att man inte kan manipulera med redan skriven information. All åtkomst regleras av styrprogrammet. Informationsbehandlingen sker i själva kortet genom att kortinnehavaren ger ett lösenord. Detta kan t.ex. vara en PIN-kod Bersonal ldentification flumber eller i framtiden en kod baserad ett fingeravtryck. Aktiva kort kan användas som identifiering vid åtkomst till databaser, överföring av data genom kommunikation och nyckel som vid kryptering. Kortet kan också användas vid in- och utpasseringskontroll. Vidare kan det utnyttjas som ett elektroniskt betalkort och då användas vid t.ex. transaktioner via videotex, betalning av telefonsamtal eller banktransaktioner. Aktiva kort kan också vara portabla databärare. De kan innehålla särskilt anpassad information och användas som exempelvis medicinska hälsokort, medlemskort, försäkringsbevis eller tentamensböcker.

3.9.3 Penndatorer

Den s.k. penndatorn har nyligen introducerats i Sverige. Användaren av en sådan penndator använder sig inte av ett tangentbord utan skriver med hjälp av en särskild penna informationen direkt på datorns glasskärm. Datorn har lärt sig att tolka den enskilde användarens handstil och omvandlar denna till digital information. Penndatorerna är inte utrustade med diskettstationer utan med ett s.k. flashminne som rymmer lika mycket information som en ordinär hårddisk. Flashminnet är ett kreditstort minneskort som kan användas både som internminne och hårddisk, och som kan flyttas mellan olika datorer. Penndatorn, som väger mellan l och 1,5 kg, är avsedd att användas vid inmatning av information "på fältet", t.ex. av försäljare, olika slags operatörer, sjukvårdspersonal och lagerpersonal. I Sverige använder t.ex. Televerkets personal penndatorer vid installeringen av fiberoptiska telekablar. I några polisdistrikt i USA används penndatorer för rapportskrivning. Vid rapportering av t.ex fortkörning fyller polismannen i personuppgifterna, varvid datorn via modem automatiskt kontrollerar att dessa personuppgifter är korrekta samt kompletterar med uppgifter

SOU 1993: 10 47

från körkorts- och bilregister. Polismannen undertecknar dokumentet och fortköraren bekräftar med sin signatur och erhåller ett kvitto.

3.10 Datorteknikens

användning inom arbets-

livsområdet

Allt mer avancerade datoriserade system har kommit att utvecklas för användning inom bl.a. näringsliv och förvaltning. Förutom administrativa redovisningssystem, planeringssystem och styrsystem för produktion, materialhantering och transporter har även, främst i USA och Japan, tagits fram tekniskt högtstående personaladministrativa system och lönesystem. Pâ marknaden finns också ett antal system för in- och utpasseringskontroll och kassatenninalsystem som innefattar registreringsmöjligheter i sig. I gruppen personaladministrativa system ingår sedvanliga löne- och personalregister för löne- och personalredovisning, ofta med ett särskilt tidredovisningssystem. Dessa personregister innehåller allmänna anställningsuppgifter, närvaro- och frånvaroregistrering, löneberäkning, redovisning för skattemyndigheter m.m. De löne- och personaladministrativa registren kan bestå av ett sammanhängande register eller flera delregister som tillsammans bildar löne- eller personalregistret. Till detta enda register eller delregistren kan finnas, fristående eller knutna, system som ger möjlighet till registrering i fråga om in- och utpassering, färdskrivare, tidskontroll, rekrytering, kompetens och utbildning, hälsotester, behörighetskontroll och kassaarbete. Flextid och i övrigt mer varierande arbetstider samt utökade möjligheter till ledighet ställer ofta krav på en mer ingående tidredovisning och därmed också ökad användning av datoriserade system. Vissa arbetsgivare har därför infört ett gemensamt löne- och personaladministrativt ADB-system. Många har dessutom in- och utpasseringssystem med direkt koppling till flextidssystem. Registrering av in- och utpassering kan användas för kontroll av att den anställde är behörig att komma in på arbetsplatsen. Många av dessa system kan dock vara sammankopplade med andra system, t.ex. med system för tidredovisning och personalplanering. En viktig roll i

sammanhanget spelar aktiva kort se avsnitt 3.9.2. Nästan alla

passersystem på marknaden är kopplade till ett passerkort eller en kodnyckel som registrerar loggar vissa eller alla händelser. Med dessa är det möjligt att registrera de anställdas förflyttningar inom samt passage in och ut från arbetsplatsen. Vissa moderna system tillåter också centralstyming och sambearbetning av tidredovisnings- och säkerhetssystem. De flesta system den svenska marknaden är av utländskt ursprung. Ett område som för närvarande är under snabb utveckling är identifierings- och verifieringstekniker. Som alternativ till det magnetiserade kortet finns numera system för identitetskontroll som baseras på röst, Ögonbotten, fingeravtryck, handgeometri fingeravstånd eller namnteckning.

I ökande utsträckning använder företag och myndigheter system för behárighetskontroll i syfte att avgränsa den anställdes eller grupper av anställdas möjligheter att få tillgång till datasystemet och till informationen i det. Dessa kontrollfunktioner kan kombineras med loggfunktioner för att de ansvariga skall kunna följa hur systemet används. Varje datatransaktion fråga. svar, inmatning, beräkning som utförs av en anställd registreras i en logg med den anställdes identitet, transaktionskod och tidangivelse. Denna kontroll av de anställda syftar inte normalt till att kontrollera den anställdes arbetsprestation utan är till för att skydda datautrustning. program och data från t.ex. obehörigt utnyttjande. identiteten på de anställda som utnyttjar systemet kan dock på detta sätt registreras och den loggade informationen kan användas för att i efterhand belysa hur den enskilde utnyttjat systemet, hur lång tid det tagit, vilken typ av information som har sökts fram, etc. Behörighetskontroll utgör emellertid också, rått använd, ett skydd för de anställda mot misstankar om obehörig användning av datorsystem och information. Inom såväl tillverkningsindustriii som tjänsteproduktionen sker en utveckling mot integrerade datoriserade produktionssystem. I sådana integrerade system kan ingå administrativa redovisningssystem, planeringssystenz och styrsystem för produktion, materialhantering och transporter. Ett exempel är de mobila system för överföring av data, t.ex. mobitexsystemet se avsnitt 3.5.3, som i ökad omfattning har kommit att användas inom transportsektorn. En lastbilschaufför som levererar varor styrs av de körorder, positionsanvisningar, textmeddelanden etc. som visas på en mobil terminal i lastbilen och följesedlar och fakturor produceras i takt med att leveranser sker i det totalintegrerade systemet. Denna typ av system återfinns dock framför allt i tillverkningsindustrin. De alltmer integrerade och flexibla systemen skapar möjligheter att frångå det mycket styrda arbetet, t.ex. vid löpande band, och över till ett mer grupporganiserat arbete. Denna utveckling kan emellertid innebära att, när den direkta styrningen av den enskilde arbetstagarens arbete minskar, krav ställs på en mer omfattande registrering för planering och uppföljning. Skillnaden mellan integrerade system och tidigare system år att företagsledningarna med de nya systemen får snabbare information om produktionsförloppen, samt att informationen ger möjlighet till nedbrytning till minsta produktionsenhet, dvs. den enskilde arbetstagaren. Det finns idag tekniska förutsättningar som gör det möjligt att registrera stora mängder information om de olika delarna av arbetsprocessen och därmed också uppgifter om de enskilda arbetstagarna. Datoriserade system kan totalintegreras mellan administration, planering, produktionsstyrning, materialhantering, transporter, in- och utpassering m.m. De olika delsystemen kan via datakommunikation nå motsvarande system hos t.ex. ett dotterföretag både inom Sverige och utomlands. Dessa tekniska förutsättningar ger stora möjligheter till registrering av uppgifter för individuell uppföljning och kontroll av de enskilda arbetstagarna. En beskrivning av konsekvenserna av införandet av denna teknik på svenska arbetsplatser finns bl.a. i dataeffekt-

SOU 1993: 10 49

utredningens delbetänkande SOU 1981:17 Industrins datorisering effekter på sysselsättning och arbetsmiljö. Under senare år har datoriserade system införts i dagligvaruhandeln där användningen av EAN-koder European Article fiumbering gett förutsättningar för maskinell registrering av priser i snabbköpsen kassorna.En närmare redogörelse för EAN-kodema återfinns i konkurrenskommitténs delbetänkande, SOU 1990: 106, Prisinformation till konsumenter s. 60 ff. Med hjälp av dessa system sker registrering köp och insamling av information rörande bl.a. försäljning och av lager. I ett butiksdatasystem kan registreras uppgifter om försäljningen dag och totalt under vald tidsperiod samt per kassör och dataper terminal. De integritetsproblem som kan förekomma i dessa system är att prestationsmätning företrädesvis kassapersonal är möjlig trots - av att detta inte varit huvudmålsättningen vid införandet. Information kan antalet gjorda rättelser, tid för varu-registrering, tid för erhållas om betalning och väntetid. Datortekniken kan också användas i ordermottagningen och försäljningen i företag, t.ex. vid telefonförsäljning där försäljaren per telefon tar emot och registrerar kundernas order. Tekniken medger att inkommande telefonsamtal kan dirigeras till lediga försäljare via en specialutrustad datorstyrd telefonväxel. I växeln kan registreras hur många telefonsamtal som tagits emot, vilken försäljare som tog emot det, hur länge samtalet pågått, hur länge ordermottagaren varit påkopplad, samt hur många samtal som stått och väntat. Vidare registreras antalet order, typ av order, krediteringar, byten osv. Det finns även möjligheter att avlyssna pågående telefonsamtal, t.ex. för att kunna bedöma hur en försäljning genomförts. Nya kommunikationstekniker ger större möjligheter att övervaka såväl när och till ringer som innehållet i telefonsamtal. vem man Moderna telefonväxlar ger möjlighet till registrering av de anställdas telefonsamtal med notering den uppringande. Införandet av ISDNom

tekniken se avsnitt 3.5.1 har bl.a. medfört ökade möjligheter att

registrera uppgifter om utgående och ingående samtal. Det finns även möjlighet att koppla samman en telefonväxel med program för produktionsplanering, passagekontroll etc. Såväl utrustning som för telefonsamtalsmätning tidsmätning, destination, programvara samtalskostnad är ett snabbt växande område inom telekommunikationsindustrin.

3.11 Avslutning

Av den lämnade redovisningen av datorteknikens utveckling framgår att det sker en allt ökande integration av funktioner och system. En följd detta är att det inte längre är lätt att avgöra olika datorav möjligheter, t.ex. kan i dag med ett datorprogram för programs man 0rd- och textbehandling även utföra bl.a. kalkyleringar, administrationsfunktioner, datakommunikation och registerhantering. Ett annat exempel på hur funktionerna alltmer integreras är de s.k. kontorsinformationssystemen. Den information som lagras blir alltmer

olikartad och kan bestå av både 0rd, text, bild och ljud. Jfr den ovan nämnda multimediatekniken. Det blir vidare allt svårare att skilja själva datorn och datorprogrammens olika funktioner från varandra. Även gränsdragningen mellan vad som är programvara och vilken information som är lagrad på datamedier blir allt svårare att göra. Det pågår inte bara en integration av de olika funktionerna i ett datorsystem utan även av de olika datorsystemen. Som exempel kan nämnas att det inom såväl tillverkningsindustrin som tjänsteproduktionen sker en utveckling mot integrerade datoriserade produktionssystem. I sådana integrerade system kan ingå administrativa personaladministrativa system, registrering av in- och utpassering, behörighetskontroll, administrativa redovisningssystem, planeringssystem samt styrsystem för produktion, materialhantering och transporter.

4 Den internationella

utvecklingen på

dataskyddsområdet

4.1 Inledning

Den svenska datalagen frän är 1973 var den första lag med nationell behandlade integritetsskyddet vid automatisk databehandräckvidd som ling. Sedan dess har utvecklingen inom informationsteknologin medfört alltmer ökande datoranvändning i samhället. Flera länder har antagit en lagstiftning inom dataskyddsomrâdet. Det gäller exempelvis Belgien, Danmark, Finland, Frankrike, Guernsey, Irland, Island, Isle of Man, Japan, Jersey, Kanada, Luxemburg, Nederländerna, Norge, Portugal, Schweiz, Spanien, Storbritannien, Tyskland, USA, och Österrike. Datoriseringen har medfört krav på att informationsflödet över nationsgränserna underlättas. En av förutsättningarna för att inforrnationsutbytet över gränserna skall kunna fungera på ett tillfredsställande sätt är, att det i mottagarlandet finns regler som ger ett skydd mot obehörig spridning av överförda uppgifter. Detta har i sin tur resulterat i internationella överenskommelser och rekommendationer inom dataskyddsomrádet. I utredningens direktiv anförs att det är viktigt att överväga hur den svenska datalagen förhåller sig till andra jämförbara länders motsvarande lagstiftning, särskilt de nordiska grannländerna och länderna inom EG. Vidare framhålls nödvändigheten av att Sverige uppfyller sina internationella åtaganden pá detta område. I det följande kommer att redogöras för Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter avsnitt 4.2, några av Europarádets rekommendationer inom dataskyddsomrádet avsnitt 4.3, 0ECD:s riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna avsnitt 4.4 samt EGkommissionens förslag till direktiv avsnitt 4.5. Därefter följer en kortfattad beskrivning av EG-rätten och EES-avtalet avsnitt 4.6. I bilaga 4 finns en redovisning av utländsk rätt.

Europarådets konvention

Europarådets ministerkommitté antog år 1980 en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, den s.k. dataskyddskonventionen. Till konventionen har fogats en förklarande rapport den expertgrupp av inom Europarådet som utarbetat konventionstexten. Konventionen i dess helhet finns intagen i bilaga Konventionen trädde i kraft den l oktober 1985, då kravet var uppfyllt att fem medlemsländer tillträtt konventionen. Den har hittills ratificerats av Danmark, Finland, Frankrike, Irland, Island, Luxemburg, Norge, Spanien, Storbritannien, Sverige, Tyskland och Österrike. Anslutning övervägs för närvarande av bland annat Nederländerna och Portugal. Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Enligt expertgruppens förklarande rapport är utgångspunkten att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överenskommelser om mänskliga rättigheter. Konventionens tillämpningsområde är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet artikel 3. Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Därutöver finns viss möjlighet till undantag från några enskilda bestämmelser artikel 9. Reservationer mot bestämmelserna i övrigt får inte göras artikel 25. Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i konventionen artikel ll. Konventionen har fem kapitel. Den centrala delen är kapitel artiklarna 4 -ll som innehåller de grundläggande principerna för dataskydd. Varje konventionspart skall vidta de åtgärder som behövs för att dess nationella lagstiftning skall innehålla dessa grundläggande

principer. Åtgärderna skall vidtagna senast vid den tidpunkt då

vara konventionen träder i kraft för parten artikel 4. Dessa grundläggande principer skall garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehandling av personuppgifter. Detta skall göra det möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna. Kapitel innehåller krav på beskaffenheten de personuppgifter av som undergår automatisk databehandling artikel 5. Dessa krav

innebär bl.a. att uppgifterna skall inhämtas och behandlas ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd artikel 6. Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga säkerhetsátgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse m.m. artikel 7. Vissa ytterligare skyddsåtgärder för registrerade personer föreskrivs artikel 8. Vidare föreskrivs bl.a. att alla som är registrerade i ett personregister skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas beskaffenhet och dylikt artikel 9. För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet eller dylikt eller för att skydda den registrerade eller andra personers fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa fall inskränkas i fråga om personregister för statistikändamål eller vetenskapliga forskningsändamål. Den nationella lagen skall också innehålla lämpliga sanktioner och rättsmedel artikel 10. Kapitel III, som rör dataflödet över gränserna, syftar till att förena kraven på fritt informationsflöde och dataskydd. Det är enligt expertgruppen viktigt att man ser bestämmelserna i kapitel III i samband med de grundläggande principerna i kapitel II, som garanteatt databehandlingen av personuppgifter i alla berörda länder är rar föremål för samma grundläggande reglering. Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna artikel 12. Bestämmelserna gäller, oavsett vilket medium som används, vid överföring över nationsgränser av personuppgifter som undergår eller skall undergå automatisk databehandling eller samlas in för det ändamålet. Huvudregeln är att överföring som mellan konventionsstater skall vara fri. Det är inte tillåtet att ställa upp sig förbud eller krav på särskilt medgivande uteslutande i syfte att vare skydda den personliga integriteten. I tvâ fall är det emellertid tillåtet att göra undantag från huvudregeln. Den ena grunden för undantag är att avsändarlandets lagstiftning innehåller särskilda bestämmelser för vissa kategorier av personuppgifter men mottagarlandets lagstiftning inte ger ett likvärdigt skydd. Den andra grunden är att det egentliga mottagarlandet står utanför konventionen men överföringen dit sker via en konventionsstat. I ett sådant fall är det möjligt för avsändarlandet att, för att undvika att dess lagstiftning kringgås, exempelvis kräva särskilt tillstånd för överföringen. Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstatema. Konventionen har konstruerats på ett sätt som gjort det möjligt att begränsa innehållet till de grundläggande principerna

54 SOU 1993: 10

och för övrigt lita till samarbete mellan konventionsstaterna, bl.a. inom ramen för en rådgivande kommitté, när det gäller att införa och harmonisera dessa principer i de olika staternas lagstiftning. l kapitel IV finns bestämmelser om att varje konventionsstat skall utse en eller flera myndigheter för samarbetet mellan parterna och även ange varje myndighets behörighet artikel 13. De myndigheter som utses i de olika länderna skall tillhandahålla upplysningar om lagstiftning och administrativt förfarande pá dataskyddsomrâdet Vidare m.m. behandlas frågor om bistånd till registrerade personer som är bosatta utomlands artikel 14. Den myndighet som utses i ett visst land skall hjälpa personer i utlandet med att utöva sina rättigheter till insyn och rättelse m.m. Sådant bistånd skall lämnas oavsett den begär om som hjälp är bosatt i en annan konventionsstat eller i ett land som står utanför konventionen. I kapitel V finns bestämmelser om den rådgivande kommittén, dess sammansättning och uppgifter m.m. artikel 18 och 19.

Europarådets rekommendationer

Inom Europarådet har utarbetats ett flertal rekommendationer inom dataskyddsomrádet. Av särskilt intresse i detta sammanhang är rekommendationen om skydd för personuppgifter som används för anställningsändamâl, Recommendation No. R 89 rekommendationen om skydd för personuppgifter som används för forskning och statistik, Recommendation No. R 83 10 samt rekommendationen om skydd för personuppgifter som används för direktreklamändamál, Recommendation No. R 85, 20. En närmare redogörelse för innehållet i dessa rekommendationer lämnas under avsnitt 4.3. 4.3.2 och 4.3.3. Andra rekommendationer inom dataskyddsomrádet som tagits fram är rekommendationer beträffande medicinska databanker Recommendation No. R, 81, 1, rättsdata Recommendation No. R, 83, 3, socialförsäkringsregister Recommendation No. R, 86, 1, polisregister Recommendation No. R, 87, 15 och kommunikation till tredje man av personuppgifter som innehas av offentliga organ Recommendation No. R, 91, 10. En antagen rekommendation är till skillnad från en konvention inte bindande, men genom att anta rekommendationerna utan reservationer anses medlemsländerna i princip ha åtagit sig att följa dem och att, om så behövs, anpassa sin nationella lagstiftning till dessa regler.

4.3.1 Rekommendationen om skydd för personuppgifter som används för anställningsändamäl

Rekommendationen antogs av Europarådet är 1989. Sverige har utan reservation ställt sig bakom rekommendationen. Rekommendationen finns intagen i bilaga De i rekommendationen angivna principerna är tillämpliga pä insamling och användning av personuppgifter för anställningsändamäl både inom den allmänna och enskilda sektorn samt avser uppgifter som förs med hjälp av ADB. De länder som önskar får enligt rekommendationen tillämpa den även på manuellt förda register. Rekommendationen omfattar inte konfidentiell information som insamlas eller används av arbetsgivare för anställningsäitdamål i fråga om personal med arbetsuppgifter som har nära anknytning till allmän säkerhet och statens säkerhet samt brottsbekämpning, i den utsträckning detta är nödvändigt för att tillgodose de angivna intressena. Begreppet anställningsändamål i rekommendationen avser förhållanden mellan arbetsgivare och arbetstagare som är hänförliga till rekryteringen av arbetstagare, fullföljandet av anställningskontraktet, ledningen av verksamheten, omfattande också fullgörandet av skyldigheter enligt lag eller kollektivavtal, samt planeringen och organisationen av arbetet. Om inte annat följer av inhemsk lag, gäller rekommendationen i tillämpliga delar även arbetsförmedlingar. Enligt rekommendationen skall respekten för den personliga integriteten och den mänskliga värdigheten skyddas vid insamlingen och användningen av personuppgifter för anställningsändamål. Innan en arbetsgivare installerar eller förändrar automatiska system för att samla in och använda personuppgifter om anställda skall han till fullo informera eller konsultera de anställda eller deras företrädare. Om konsultationsförfarandet leder till slutsatsen att den personliga integriteten och mänskliga värdigheten kan påverkas, skall arbetsgivaren eftersträva och om möjligt vinna de anställdas samtycke, om inte - inhemsk lag eller praxis ger annat lämpligt skydd. Detsamma gäller om arbetsgivaren introducerar eller förändrar tekniska metoder för att övervaka anställdas förehavanden eller prestationer. l princip bör personuppgifterna inhämtas från den enskilde själv. Den enskilde skall informeras när det kan vara lämpligt att konsultera uppgiftskällor utanför anställningsförhållandet. Som exempel på när ett sådant uppgiftsinhämtande kan anses lämpligt nämns i kommentaren att arbetsgivaren behöver kontrollera riktigheten av uppgifter som en anställd lämnat i ett befordringsärende eller om han lämnat över ett vilseledande krav på täckning av utgifter. Uppgifter som samlas in för anställningsändamål skall vara relevanta och får inte vara överdrivet omfattande. Anställningens art måste beaktas liksom också att det

ibland kan vara nödvändigt för arbetsgivaren att erhålla fler uppgifter än normalt. Vid anställningsförfaranden får endast inhämtas sådana uppgifter som är nödvändiga för att bedöma den arbetssökandes lämplighet och karriärmöjligheter. Härvid får endast uppgifter inhämtas från den enskilde. Om inte annat sägs i lag, får andra källor endast användas med hans samtycke eller om han i förväg blivit informerad om denna möjlighet. Att använda tester, analyser och liknande förfarande i syfte att bedöma en enskilds karaktär eller personlighet får ske endast med hans medgivande eller om det i lag föreskrivs annat godtagbart skydd. Om den enskilde önskar det skall han informeras om resultaten av testerna. Uppgifter om den anställde får endast lagras om de har samlats in enligt principerna i rekommendationen och är avsedda att användas för anställningsändamâl. Lagrade uppgifter skall vara riktiga och, där det är nödvändigt, hållas aktuella. De skall på ett korrekt sätt spegla den anställdes situation. De skall inte lagras eller vara kodade ett sådant sätt att den anställdes rättigheter kränks genom att han, utan att känna till det, karaktäriseras eller profileras. Lagras omdömen om anställdas prestationer och potentiella möjligheter på arbetsplatsen skall uppgifterna grundas på en rättvis och hederlig bedömning och får inte vara formulerade på ett förolämpande sätt. Personuppgifter som samlats in för anställningsändamâl får endast användas av arbetsgivaren för sådana ändamål. Då uppgifter skall användas för anställningsändamâl av annat slag än det för vilket de ursprungligen samlades in och då sambearbetning av personregister sker, skall tillfredsställande åtgärder vidtas för att undvika feltolkning av uppgifterna i det annorlunda sammanhanget och för att säkerställa att de inte används på ett sätt som är oförenligt med det ursprungliga ändamålet. När viktiga beslut som rör den anställde skall fattas på grundval av sådana uppgifter, skall han informeras om detta. l enlighet med inhemsk lagstiftning och praxis eller villkoren i kollektivavtal får personuppgifter lämnas ut till de anställdas företrädare, i den mån sådana uppgifter är nödvändiga för att dessa skall kunna ta tillvara de anställdas intressen. Personuppgifter får utlämnas till myndigheter för att de skall kunna fullgöra sin myndighetsutövning endast inom ramen för arbetsgivares skyldigheter enligt lag. I annat fall får uppgifter endast utlämnas om det är nödvändigt för anställningsändamâl som inte är oförenliga med de ändamål för vilka uppgifterna ursprungligen samlats in och de anställda eller deras företrädare informerats om det eller, när det inte är fråga om ett utlämnande för anställningsändamâl, om det föreligger ett uttryckligt och informerat samtycke från den anställde eller om det finns stöd i lag. Uppgifter om någons ras, politiska uppfattning, religiösa tro eller övertygelse i övrigt, sexualliv eller brott får endast samlas in och lagras i särskilda fall inom ramen för den inhemska lagstiftningen och

i enlighet med ett tillfredsställande skydd som lagstiftningen föreskriver. Saknas sådant skydd får sådana uppgifter endast samlas in och lagras med uttryckligt och informerat samtycke från den anställde. En anställd eller arbetssökande får endast tillfrågas om sitt hälsotillstånd och läkarundersökas för att man skall kunna bedöma vederbörandes lämplighet för hans nuvarande eller framtida arbete, fullgöra kraven på en preventiv hälsovård eller bevilja sociala förmåner. Medicinska uppgifter får inte samlas från andra källor än från den anställde själv utan hans uttryckliga och informerade samtycke eller med stöd av lag. Medicinska uppgifter som är föremål för sekretess får endast lagras personal som är bunden av sekretessen. Informationen av får kommuniceras med andra medlemmar av den administrativa personalen endast det är absolut nödvändigt för beslutsfattande och om det sker i enlighet med lag. Medicinska uppgifter som är föremål om för sekretess skall förvaras åtskilda från andra kategorier av personuppgifter och säkerhetsâtgärder skall vidtas för att förhindra att utomstående får del av uppgifterna. De nu nämnda bestämmelserna fall där ett företag eller en organisation har egen medicinsk avser personal. Den enskildes rätt att få tillgång till sina egna hälsouppgifter får inte inskränkas såvida det inte skulle kunna leda till allvarlig skada för den enskilde. I det fallet kan uppgifterna lämnas ut genom en av den senare anställde utsedd läkare. Information om de personuppgifter som innehas av en arbetsgivare skall vara tillgänglig antingen för den enskilde direkt eller genom förmedling av hans företrädare eller på annat lämpligt sätt. Informatioskall specificera huvudändamålen för uppgiftslagringen, vilka slags nen uppgifter som lagras och till vilka kategorier av personer eller myndigheter som uppgifterna regelmässigt lämnas ut samt ändamålen och det lagliga stödet för ett sådant utlämnande. Informationen skall också hänvisa till de rättigheter som en anställd har i fråga om de uppgifter som rör honom och de olika möjligheter som finns att utöva rättigheterna. Varje anställd skall begäran få tillgång till alla personuppgifter arbetsgivaren innehar om honom och få uppgifter rättade eller som utplånade om de innehas i strid med innehållet i rekommendationen. När det gäller uppgifter som innehåller omdömen har varje anställd rätt att i enlighet med inhemsk lag bestrida dessa. Utom i fall när inhemsk lagstiftning innehåller bestämmelser om motsatsen skall en anställd ha rätt att utse en person för att biträda honom att utöva rätten att få tillgång till uppgifterna eller att utöva denna rätt på hans vägnar. Om den anställdes tillgång till uppgifter vägras eller om en begäran att få rättelse eller få uppgifterna strukna nekas, skall den inhemska lagstiftningen tillhandahålla en möjlighet att få rättelse. Arbetsgivaren eller av denne anlitade servieebyråer skall vidta tillräckliga tekniska och organisatoriska åtgärder för att säkerställa

skyddet och sekretessen av personuppgifter lagrade för anställningsändamål mot obehörig åtkomst, användning, utlämnande eller ändring. Den administrativa personalen liksom andra har med uppgifterna som att göra skall hållas informerade om sådana åtgärder och behovet om att respektera dem. Personuppgifterna skall inte bevaras längre arbetsgivaren än av som behövs för ändamålet med registret eller som krävs för att tillvarata den anställdes intressen. Personuppgifter som lämnas i samband med en anställningsansökan skall normalt förstöras så snart det står klart att ett erbjudande om arbete inte kommer att lämnas. Uppgifter som lagrats för att användas vid en eventuell ansökan skall förstöras ny om den arbetssökande begär det.

4.3.2 Rekommendationen skydd för personuppgifter om som används för forskning eller för statistik

Rekommendationen antogs av Europarådet år 1983. Sverige har utan reservation godtagit rekommendationen. Rekommendationen finns intagen i bilaga Syftet med rekommendationen är enligt uttalanden i dess inledning att tillgodose såväl forskningens behov som skyddet för den enskildes integritet. Rekommendationen är tillämplig användningen av personuppgifter för vetenskaplig forskning och statistik, såväl inom den allmänna som inom den enskilda sektorn och oberoende av om uppgifterna förs med hjälp av ADB eller manuellt. Medlemsstaterna har möjlighet att tillämpa rekommendationen på föreningar, bolag och andra sammanslutningar som direkt eller indirekt består av individer. Enligt rekommendationen skall respekten för den personliga integriteten garanteras i varje forskningsprojekt använder som personuppgifter. Så ofta det är möjligt skall undersökningarna utföras med anonyma uppgifter. Varje person som lämnar uppgifter som sig själv skall informeras om projektets natur, dess mål och namnet pá den eller den person organisation för vars räkning forskningen genomförs. Om den person från vilken uppgifter skall inhämtas inte är skyldig att lämna uppgifter, skall han informeras om att han har frihet att välja om han vill samarbeta. Skyldigheten att medverka kan följa lag eller avtal. Han av har också rätt att när som helst avbryta sin medverkan utan att ange något skäl. Om inte, på grund av syftet med forskningen, information om projektets natur m.m. kan avslöjas innan uppgifterna samlas skall personen informeras efter det att insamlingen är färdig och vara fri att fortsätta eller avbryta sin medverkan. Om han då vill avbryta sin medverkan skall han ha rätt att få uppgifterna strukna ur registret. Särskilda säkerhetsåtgärder skall vidtas i samband med insamling av

SOU 1993: 10 59

uppgifter från personer som inte har möjlighet att ta till vara sina egna intressen eller som inte har möjlighet att fritt lämna sitt samtycke. Personuppgifter som erhållits för forskning får inte användas för något annat ändamål än forskning. I synnerhet får de inte användas för beslutsfattande som direkt påverkar personen ifråga, såvida det inte ligger inom ramen för forskningen eller sker med den berörda personens uttryckliga samtycke. Personuppgifter som med den enskildes samtycke samlats in för ett särskilt forskningsprojekt får inte utan den enskildes samtycke användas i samband med något annat forskningsprojekt som till sin natur eller syfte på ett väsentligt sätt skiljer sig från det första projektet. I de fall det skulle vara ohanterligt att inhämta sådant samtycke på grund av tidsåtgången eller på grund av det stora antal personer som berörs kan emellertid de insamlade personuppgifterna få användas, under förutsättning att det sker i överensstämmelse med andra skyddsbestämmelser som uppställs i inhemsk lag. Både allmänna och privata organ skall ha rätt att för egen forskning använda personuppgifter som de innehar för administrativa ändamål. Om personuppgifter i samband med sådan forskning förs in i befintliga register hos det administrativa organet eller om befintliga register ändras, får dessa register inte göras tillgängliga för administrativ personal som sysslar med individuella fall, såvitt det inte sker med den enskildes samtycke. Personuppgifter får lämnas ut av allmänna eller privata organ för forskningsändamål om det sker med den enskildes samtycke eller om det sker i enlighet med andra i inhemsk lag angivna skyddsbestämmelser. Forskares tillgång till allmänna befolkningsregister skall underlättas, så att de kan få underlag för urvalsundersökningar. Om annat inte beslutas av inhemska myndigheter i enskilda fall, bör sådana uppgifter få innehålla namn, adress, födelsedatum, kön och yrke. l förarbetena till denna bestämmelse anförs bl.a. att forskningen i ökad utsträckning är beroende av uppgifter som redan finns hos olika statliga institutioner och att bestämmelsen tillkommit för att inte forskningen ensidigt skall vara beroende av dessa institutioners skönsmässiga bedömning i fråga om utlämnande av uppgifter. I anslutning härtill görs också hänvisning till den lagstiftning om tillgång till allmänna handlingar "laws of freedom of information" som finns i många länder. Det understryks att de personuppgifter som nämns är den minimi-information som under alla förhållanden måste göras tillgänglig och att det undantag som kan vara föreskrivet i inhemsk lag kan ta sikte på sådana grupper av uppgifter som t.ex. adress- och yrkesuppgifter, om det är av särskild vikt för den enskilde att dessa uppgifter inte lämnas ut. Den enskildes rätt att ta del av uppgifter om sig själv och få dessa rättade får lov att begränsas i de fall uppgifterna är insamlade och bevaras endast för statistik- eller forskningsändamâl och resultatet av

statistiken eller forskningen inte utan svårighet identifierar individen och det vidtagits tillfredsställande åtgärder för att säkerställa skyddet för den enskildes privatliv vid varje stadium av undersökningen, även beträffande uppgifter som bevaras för framtida användning. Bestämmelsen gäller emellertid inte i de fall den enskilde på grund av forskningens beskaffenhet kan visa sig ha ett särskilt intresse som förtjänar att skyddas. Personuppgifter som används för forskning får inte publiceras i identifierbar form, såvida inte de berörda lämnat sitt samtycke och det sker i enlighet med särskilda skyddsbestämmelser i inhemsk lag. I varje forskningsprojekt skall det anges, så långt det är möjligt, om personuppgifter skall förstöras, avidentifieras eller bevaras när projektet är avslutat och i det senare fallet under vilka villkor som uppgifterna skall bevaras. När den berördes samtycke att delta i ett forskningsprojekt behövs, skall samtycket också omfatta möjligheten av att uppgifterna bevaras efter projektets avslutande. Om det inte varit möjligt att infordra samtycke för att bevara uppgifterna, får dessa bevaras under det villkoret att lagringen görs i enlighet med skyddsbestämmelser som fastställts i lag. Innan beslut fattas om att förstöra personuppgifter som förs av offentliga myndigheter, skall den möjliga framtida användningen av sådan data undersökas i samråd med arkivmyndigheterna.

4.3.3 Rekommendationen om skydd för personuppgifter som används för direktreklamändamål

Rekommendationen antogs av Europarådet år 1985. Sverige har utan reservation ställt sig bakom rekommendationen. Rekommendationen finns intagen i bilaga Enligt uttalanden i inledningen till rekommendation finns det, med tanke på den ökande användningen av personuppgifter vid behandling för direktreklamändamål, ett behov av att skydda enskildas personliga integritet. Rekommendationen är tillämplig användningen av personuppgifter för direktreklamändamål om uppgifterna är föremål för automatisk databehandling. Direktreklam direct marketing definieras som alla aktiviteter som gör det möjligt att erbjuda varor eller tjänster eller att förmedla ett budskap till en del av befolkningen. Detta kan ske genom postbefordran, per telefon eller på andra direkta sätt som siktar till att informera eller försöka utverka ett svar från den enskilde. Den som sammanställer en lista med namn och adresser för direktreklamändamål är enligt rekommendationen oförhindrad att använda uppgifter som härrör från tidigare kontakter med en aktuell eller presumtiv kund eller bidragsgivare.

Under förutsättning att det i nationell lag inte finns något som begränsar detta, skall det vara möjligt för var och en att insamla uppgifter för direktreklamändamål från offentliga register och annat publicerat material. Däremot får insamling av personuppgifter från andra enskilda personer som sker i syfte att utvidga marknadsföringslistor företas endast om det görs i enlighet med sådana lämpliga säkerhetsåtgärder som syftar till att skydda den enskildes personliga integritet. Nationell lag får förbjuda eller uppställa särskilda villkor för sådan insamling. Insamling av uppgifter från enskilda som sker i annat sammanhang än normalt kund- eller bidragsgivareförhållande är tillåtet för direktreklamändamål endast under förutsättning att detta uttryckligen har meddelats vid tidpunkten för insamlandet av uppgifterna. Insamling av uppgifter från enskilda genom vilseledande åtgärder är inte tillåten. I de fall nationell lag tillåter detta, får det slag av känsliga uppgifter som anges i artikel 6 i Europarådets dataskyddskonvention jfr avsnitt 4.2 insamlas och användas för direktreklamändamål. En förutsättning är dock att det sker i enlighet med relevanta skyddsbestämmelser som finns i nationell lag och, där det är lämpligt, med den enskildes uttryckliga samtycke. Med de restriktioner som gäller vid behandling av vissa känsliga uppgifter får marknadsföringslistor göras tillgängliga för tredje man för direktreklamändamål. Den enskilde måste ha informerats om möjligheten att uppgifterna kan komma att lämnas ut. Sådan information kan ha lämnats antingen direkt eller på något annat lämpligt sätt vid tidpunkten för insamlandet av uppgifterna eller vid något senare tillfälle. Om den enskilde har motsatt sig ett utlämnande får uppgifterna inte lämnas ut. Uppgifter som kan skada den enskildes personliga integritet får inte lämnas ut om inte den enskilde har lämnat sitt samtycke till utlämnandet. När marknadsföringslistor lämnas ut till någon tredje man för direktreklamändamål skall ett avtal slutas som reglerar de villkor som skall gälla för den fortsatta behandlingen av uppgifterna. Den persondataansvarige som lämnar ut marknadsföringslistoma skall föra en förteckning över dem som använder listorna. Rekommendationen ger den enskilde rätt att vägra låta uppgifter som rör honom ingå i marknadsföringslistor, vägra att uppgifter som finns med på marknadsföringslistor lämnas ut till tredje man, ovillkorligen och på begäran få sådana uppgifter utplânade eller avlägsnade från flera eller alla de marknadsföringslistor som innehas av användarna, ta del av och få rättat uppgifter som hänför sig till honom. -

Lämpliga åtgärder skall vidtas för att göra det möjligt för den enskilde att utöva de nyss nämnda rättigheterna och kunna ta reda på vem som är persondataansvarig. De varor och tjänster som erbjuds och de meddelanden som vidarebefordras skall presenteras i sådan form att det inte skadar adressatens personliga integritet. Alla lämpliga tekniska och organisatoriska arrangemang skall vidtas för att garantera säkerheten vid behandlingen av uppgifterna. V i d implementeringen av rekommendationen skall, enligt den avslutande artikeln, utvecklandet av självregleringen inom marknadsföringssektorn uppmuntras. Lämpliga åtgärder skall vidtas för att tillse att försäljare av marknadsföringslistor och andra adresservice-organ följer villkoren i rekommendationen. Lämplig information om de skyddsregler som finns i rekommendationen skall också göras tillgänglig för de enskilda.

4.4 OECD:s rekommendation och riktlinjer

m.m.

Inom Organisationen för ekonomiskt samarbete och utveckling, OECD, har en expertgrupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna, Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data. Riktlinjerna antogs år 1980 av OECD:s råd tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland Sverige, har godtagit rekommendationen och därmed åtagit sig att följa denna. Ytterligare åtgärder som t.ex. ratifikation av medlemsländerna krävs inte varför riktlinjerna har trätt i kraft. Någon preciserad tidpunkt för när kraven enligt riktlinjerna skall vara genomförda finns inte. Riktlinjerna och rekommendationen finns intagna i bilaga Enligt rekommendationen skall medlemsländerna i sin nationella lagstiftning beakta de principer om personlig integritet och individens grundläggande rättigheter som har presenterats i de riktlinjer som fogats till rekommendationen. Medlemsländerna skall vidare försöka undanröja opåkallade hinder för internationell datakommunikation som gäller personuppgifter och undvika att nya sådana skapas under förevändning av behov av skydd för personlig integritet. Samarbete skall bedrivas vid verkställigheten av riktlinjerna och så snart som möjligt skall länderna avtala om särskilda procedurer för överläggningar och samarbete som gäller tillämpningen av riktlinjerna. Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas

SOU 1993: 10 63

natur eller på grund av det sammanhang i vilket de används. Riktlinjerna är tillämpliga på personuppgifter både inom den offentliga och den privata sektorn. De är tillämpliga både för uppgifter som lagras automatiskt och uppgifter som förs manuellt. Det finns inget hinder mot att man tillämpar olika skyddsåtgärder för olika slag persondaav ta, att man från riktlinjernas tillämpning undantar persondata som uppenbart inte innebär någon risk för personlig integritet eller att man tillämpar riktlinjerna endast på automatisk databehandling av personuppgifter. Undantagen från riktlinjernas grundläggande principer för nationell och internationell tillämpning skall vara så möjligt och som göras kända för allmänheten. Riktlinjerna skall betraktas minisom miregler, varför ingenting hindrar att integritetsskyddet görs mer omfattande. Riktlinjerna innehåller en särskild avdelning som behandlar åtta grundläggande principer rörande skyddet för personlig integritet på det nationella planet. Insamlingen av personuppgifter skall vara begränsad och uppgifter skall inhämtas på ett lagligt och korrekt sätt samt, när det är skäligt, med den registrerades kännedom eller samtycke "C0llection Limitation Principle. 2. Personuppgifter skall vara relevanta för de ändamål för vilka de skall användas och, i den utsträckning det behövs för dessa ändamål, vara riktiga och fullständiga samt hållas aktuella "Data Quality Principle". De ändamål för vilka personuppgifterna samlas in skall vara preciserade senast vid insamlingen. Den efterföljande användningen skall vara begränsad till att uppfylla dessa ändamål eller sådana ändamål som är förenliga med ursprungsändamålen och som preciseras vid varje förändring "Purpose Specification Principle". 4. Personuppgifter får inte röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, det inte sker om med den registrerades medgivande eller med stöd av författning "Use Limitation Principle". Personuppgifter skall genom rimliga säkerhetsåtgärder skyddas mot risker för förlust eller otillåten tillgång, förstörelse, användning, förändring eller otillåtet röjande "Security Safeguards Principle. 6. En öppenhet skall råda beträffande personuppgifter i fråga om utveckling, tillämpning och policy. Det skall möjligt att få veta vara existensen och beskaffenheten av personuppgifter samt huvudändamålen för vilka de används. Det skall också vara möjligt att få uppgift om vem som är registeransvarig och om var denne finns "Openness Principle". 7. Den enskilde skall ha rätt att av den registeransvarige eller av annan få reda på om denne har personuppgifter honom/henne, att om få sig tillsänt eventuella personuppgifter inom rimlig tid, utan alltför stor kostnad, rimligt sätt och i begriplig form. Vidare skall den

enskilde ha rätt att vid avslag på en begäran om uppgifter få veta skälen härför och ha möjlighet att överklaga. Den enskilde skall även ha rätt att ifrågasätta uppgifter som gäller honom eller henne och, om så är nödvändigt, få dessa utraderade, rättade eller kompletterade "Individual Participation Principle". Den registeransvarige skall ha ansvaret för att de lagstiftningsåtgärder eller andra åtgärder som vidtas för att genomföra de tidigare angivna principerna följs "Accountability Principle". En avdelning av riktlinjerna innehåller principer för internationell tillämpning. Hår föreskrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall medlemsländeravhålla sig från att göra inskränkningar i fråga om flödet av na personuppgifter från det egna landet till andra medlemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om personuppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integritetslagstiftning därigenom kringgás. Ett medlemsland får också göra inskränkningar i fråga om personuppgifter för vilka den inhemska integritetslagstiftningen innehåller särskilda skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlandet. Medlemsländerna skall undvika att under åberopande av skydd för personlig integritet och individens friheter i lag, tillämpning eller förfarande ställa upp hinder för flödet av personuppgifter över gränserna som går utöver vad som är nödvändigt för sådant skydd. Regler ömsesidigt bistånd mellan medlemsländerna m.m. finns om i en särskild avdelning av riktlinjerna. Medlemsländerna skall införa legala, administrativa eller andra förfaranden eller vidta andra åtgärder för att beträffande personuppgifter ge skydd för personlig integritet och individens friheter. Medlemsländerna skall särskilt sträva efter att anta lämplig inhemsk lagstiftning, att främja och understödja självreglering i form etiska regler eller på annat sätt, att införa lämpliga sanktioav och rättsmedel samt att se till att registrerade inte utsätts för ner orättvis särbehandling. På begäran skall medlemsländerna ge ett annat medlemsland upplysning om hur de principer iakttas som riktlinjerna innehåller. Medlemsländerna skall också se till att de förfaranden som tillämpas för flöden av personuppgifter över gränserna och för skyddet personlig integritet och individens friheter är enkla och jämförbara av andra medlemsländer tillämpar. Medlemsländerna skall med dem som vidare särskilda förfaranden underlätta utbyte av information genom rörande riktlinjerna och ömsesidigt bistånd i fråga om de förfaranden och utredningar som kan bli aktuella. Vidare skall medlemsländerna arbeta för att utveckla inhemska och internationella principer för vilket lands lag blir tillämplig i fråga om flöden av personuppgifter över som gränserna.

SOU 1993: 10 65

Internationella associationer och företag, som International Air Transport Association IATA, Center for Financial Industry Information Systems i Japan, Canadian Bankers Association, American Bank och IBM har antagit egna regler om dataskydd som bl.a. bygger på OECD:s riktlinjer.

4.5 EG-kommissionens förslag till direktiv

EG-kommissionen antog i september 1990 ett förslag till direktiv Proposal for a Council Directive, SYN 287 om skydd för enskilda vid behandling av personuppgifter och om det fria flödet av sådana uppgifter. Sedan förslaget behandlats i EG:s ministerråd och EGparlamentet har EG-kommissionen i oktober 1992 antagit ett nytt förslag till direktiv. Detta förslag har förelagts Ministerrådet och enligt tidsplanen kommer Ministerrådet att ta slutlig ställning till det nya förslaget under år 1993. Det nu aktuella förslaget till direktiv är liksom all övrig EG- reglering avfattat pâ samtliga medlemsstaters språk. Spräken är alla att officiella och har samma vitsord. Den engelska versionen anse som av direktivförslaget finns intagen i bilaga I det följande redovisas bakgrunden till förslaget och huvuddragen de föreslagna principerna för integritetsskyddet och de enskilda av artiklarna. Om bakgrunden till direktivförslaget sägs bl.a. följande. Olika omständigheter, bl.a. tillkomsten av den inre marknaden, förutsätter att personuppgifter fritt kan föras över från ett medlemsland till ett annat. Skillnader i integritetsskyddet mellan de olika länderna kan innebära hinder mot sådana fria flöden. Man måste därför komma fram till en enhetlig nivå på integritetsskyddet inom hela EG. För att uppnå detta krävs insatser av EG, inte bara av de enskilda medlemsländerna. Det eftersträvade integritetsskyddet bör ligga på en hög mva. I artikel 1 anges syftet med direktivet, nämligen att medlemsstateri överensstämmelse med direktivet, skall skydda enskildas na, rättigheter och friheter vid behandling av personuppgifter, särskilt deras rätt till personlig integritet. Medlemsstaterna får inte begränsa eller förhindra det fria flödet av personuppgifter mellan staterna med hänvisning till den enskildes integritetsskydd sådant det framgår av direktivet. Artikel 2 innehåller definitioner, bl.a. av personuppgift, behandling personuppgifter, persondataansvarig och samtycke från den av enskilde. Med behandling av personuppgifter avses varje åtgärd som vidtas med uppgifterna.

Direktivet är tillämpligt på automatisk behandling av personuppgifter och sådan manuell behandling av personuppgifter som innebär att uppgifterna är eller avses bli ordnade i ett register, dvs. så att sökning av personuppgifter underlättas. Undantag görs för bl.a. rent privat behandling art. 3. I artikel 5 åläggs medlemsstaterna att föreskriva att behandling av personuppgifter är laglig bara om den utförs i enlighet med bestämmelsema i kap. 2 art. 5 21. Reglerna i fråga får endast preciseras och alltså inte ändras. De principer som medlemsländerna skall ta in i sin lagstiftning och som det skall åligga de persondataansvariga att efterleva är enligt artikel 6 att personuppgifter skall

a behandlas ärligt och lagligt fairly and lawfully,

b samlas in för bestämda, uttryckliga och lagliga ändamål och användas på ett sätt som är förenligt med dessa ändamål,

c vara lämpliga, relevanta och inte överflödiga i förhållande till de

ändamål för vilka de behandlas, d vara riktiga och, om nödvändigt, aktuella. Oriktiga eller ofullständiga uppgifter skall utplånas eller rättas,

e bevaras i en form som inte gör det möjligt att identifiera de enskilda

under längre tid än som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Undantag gäller för personuppgifter som lagras för historisk, statistisk eller vetenskaplig användning. I sex fall är behandling av personuppgifter tillåten enligt artikel

a om den enskilde givit sitt samtycke,

b om behandlingen är nödvändig för att fullgöra ett avtal med den enskilde eller för att på den enskildes begäran vidta förberedande åtgärder inför ett avtal,

c om behandlingen är nödvändig för att uppfylla en författningsenlig

skyldighet, d om behandlingen är nödvändig för att skydda den enskildes vitala intressen, e om behandlingen är nödvändig för att utföra en uppgift i det allmännas intresse eller i myndighetsutövning av den persondataansvarige eller av tredje man till vilken personuppgifterna lämnas ut, f om behandlingen är nödvändig för att tillgodose ett allmänintresse eller de legitima intressena hos den persondataansvarige eller hos tredje man till vilken uppgifterna lämnas ut, utom då den enskildes intressen tar över. Punkt d avser enligt kommentaren fall då någon har stort intresse av att få sina uppgifter behandlade men inte är i stånd att sitt ge

samtycke t.ex. i allvarliga medicinska fall. Punkt e torde närmast

angå den allmänna sektorn och punkt f den privata. Sistnämnda punkt klargör bl.a. att det finns andra berättigade intressenter än den persondataansvarige och den enskilde. Denna intresseavvägningsbe-

SOU 1993: 10 67

stämmelse kan enligt kommentaren bli tillämplig i ett flertal olika fall, t.ex. i fråga om direktreklam. Som känsliga uppgifter räknas uppgift om ras eller etniskt ursprung inklusive uppgift om hudfärg, politisk uppfattning, religiös tro eller filosofisk eller etisk övertygelse inklusive det faktum att tro eller övertygelse saknas, facklig tillhörighet, hälsotillstånd och sexualliv. Enligt huvudregeln råder förbud mot behandling av känsliga uppgifter art. 8.1. Artikel 8.2 medger ett antal undantag från huvudregeln. a den enskilde har givit sitt samtycke till behandlingen, b en ideell förening av politisk, filosofisk, religiös eller facklig natur får behandla sådana personuppgifter om medlemmarna som utgör grunden för medlemskapet i föreningen, under förutsättning att uppgifterna inte lämnas ut utan den enskildes samtycke, c behandlingen utförs under sådana omständigheter att det är uppenbart att inga kränkningar av personlig integritet äger rum. Ytterligare undantag kan göras genom en reglering i lag eller annan författning eller genom beslut av datatillsynsmyndigheten, om viktiga allmänna intressen talar för detta art. 8.3. Villkoren för att använda personnummer skall anges art. 8.5. Den enskilde, vars uppgifter behandlas, har en omfattande rätt till information. Enligt artikel 10 har envar rätt att på begäran få kännedom om förekomsten av en behandling, dess ändamål, det slags uppgifter det gäller, vilka tredje män eller kategorier av tredje män till vilka uppgifter skall lämnas ut samt den persondataansvariges namn och adress. Insamlas uppgifter från den enskilde skall han enligt artikel 11 bli informerad åtminstone om a behandlingens ändamål, b om uppgiftslämnandet är obligatoriskt eller frivilligt, c konsekvenserna om han vägrar att lämna uppgifter, d mottagarna eller kategorier av mottagare av uppgifterna, e rätten till tillgång till och rättelse av personuppgifter samt f den persondataansvariges namn och adress. Någon informationsskyldighet föreligger dock inte om lämnande av information skulle försvåra eller hindra en myndighets verksamhet för kontroll eller annan tillsyn eller hota allmän ordning. Om den enskilde inte har samtyckt till behandlingen skall, om personuppgifter skall lämnas ut till tredje man, den enskilde senast vid det första utlämnandet bli underrättad härom. Vissa undantag finns från denna regel art. 12. Den enskilde, vars personuppgifter behandlas, har rätt till tillgång till uppgifterna enligt artikel 13. Denna rätt omfattar a att på begäran och med rimliga mellanrum och kostnader få bekräftat om egna personuppgifter behandlas, information om deras

innehåll i begriplig form, upplysning om deras ursprung samt allmän information om deras användning, b att vägra att uppfylla en begäran från tredje man att utnyttja informationsrätten för att lämna ut personuppgifter till någon tredje man, om inte tredje mans krav grundas på lag eller författning, annan

c att erhålla rättelse av oriktiga eller ofullständiga uppgifter eller

utplânande eller innehållande av sådana uppgifter om de behandlats i strid med direktivet, d att tredje man, till vilken personuppgifter lämnats ut, fâr kännedom om rättelsen, utplånandet eller innehållandet, e att få information om de skäl som ligger till grund för beslut som fattas genom automatisk behandling av personuppgifter och som medför någon nackdel för den enskilde. Möjligheten att hålla uppgifter inne blocking har sitt ursprung i den tyska federala dataskyddslagens bestämmelser om "Sperrung". Den persondataansvarige har rätt att fortsättningsvis lagra uppgifterna, men inte att använda dem på något annat sätt.

Bestämmelsen i punkt e är avsedd att ge den enskilde visst skydd

mot de allt vanligare automatiska beslutsprocesserna. Vissa undantag får göras från reglerna om den enskildes informationsrätt och reglerna om rätt till tillgång till personuppgifter. egna Dessa undantag motsvarar i princip de grunder i tryckfrihetsförordningen enligt vilka rätten att ta del av allmänna handlingar får begränsas. I de fall den enskilde inte får ta del av egna personuppgifter skall datatillsynsmyndigheten på hans begäran inspektera behandlingen i fråga art. 14. Bland den enskildes övriga rättigheter ingår att kunna motsätta sig på lagliga grunder att hans personuppgifter behandlas art. 15 och att inte behöva utsättas för ett menligt administrativt eller privat beslut, om beslutet fattas uteslutande genom sådan behandling av personuppgifter som innefattar en bedömning av hans person. Vissa undantag finns från den sist berörda regeln art. 16. Bestämmelsen förbjuder inte att ADB utnyttjas som beslutsstöd. Förbudet gäller fall då man genom enbart automatiska medel får fram en personlighetsbeskrivning som innehåller s.k. mjukdata och denna läggs till grund för ett för den enskilde negativt beslut. I syfte att få underlag för datatillsynsmyndighetens kontroll och tillsyn stipuleras i artikel 18 ett omfattande anmc‘ilmngsf0"rfarande. Enligt huvudregeln skall all helt eller delvis automatisk behandling av personuppgifter anmälas. Om behandlingen upphov till särskilda ger risker för den enskildes rättigheter och friheter förutsätts att anmälan granskas i särskild ordning eller att behandlingen har stöd i ett tillståndsbeslut av datatillsynsmyndigheten eller i lag eller annan författning.

SOU 1993: 10 69

I de fall behandlingen inte menligt påverkar den enskildes rättigheter eller friheten bör medlemsländerna enligt artikel 19 eftersträva att efter hand förenkla anmälningsförfarandet eller ge undantag från anmälningsplikten både inom den allmänna och den privata sektorn. Beslut om förenkling eller undantag förutsätter datatillsynsmyndighetens medverkan. Ett register över alla anmälda behandlingar inom både den allmänna och den privata sektorn skall föras av datatillsynsmyndigheten. Allmänheten skall i princip ha tillgång till registret art. 21. Varje enskild skall ha rätt till dømstolsprövning om hans rättigheter enligt direktivet blivit kränkta art. 22. Skadeståndsregler måste införas enligt artikel 23 och enligt artikel 25 skall även straffmttsliga sanktioner införas.

Överföring personuppgifter till tredje land är enligt huvudregeln

av tillåten om landet i fråga har en acceptabel integritetsskyddsnivå adequate level of protection. Vissa undantag tillåts art. 26. Varje medlemsland skall inrätta en datatillsynsmyndighet som skall övervaka skyddet av personuppgifter. Denna skall vara oberoende och skall bl.a. ha rätt att samla in all information som behövs för tillsyn. Den skall ges effektiva sanktionsmöjligheter t.ex. möjlighet att beordra utplånande av uppgifter eller att förbjuda viss behandling och möjlighet att föra en sak till domstol the power to bring an action before the courts om myndigheten finner att dataskyddsbestämmelser har överträtts, art. 30.

4.6 EG-rätten och EES-avtalet

Något om

Sverige har ansökt om medlemskap i EG. Sverige har också tillsammans med övriga sex EFTA-länder undertecknat ett omfattande avtal med EG och dess medlemsländer om Europeiska ekonomiska samarbetsområdet EES. I en proposition om EES prop 1991/92: 170 föreslås bl a att riksdagen godkänner EES-avtalet samt antar ett förslag till en lag om ett europeiskt ekonomiskt samarbetsområde EES-lagen med grundläggande bestämmelser om införlivande av avtalsåtagandena med svensk rätt. Riksdagen har den 18 november 1992 bl.a. godkänt EES-avtalet och antagit lagförslagen i propositionen. Eftersom EESavtalet syftar till en integrering av EFTA-ländernas resp. marknader med EG:s inre marknad innebär avtalet en anpassning till de regler och principer som gäller inom EG. I det följande lämnas en kort redogörelför huvuddragen av den rättsliga strukturen inom EG, EES-avtalet, se hur avtalet införlivas med svensk rätt samt hur beslut om nya EESregler skall fattas. Grunden för samarbetet inom EG, primärrätten, utgörs främst av de tre EG-fördragen om upprättandet av den Europeiska kol- och

stálgemenskapen, den Europeiska ekonomiska gemenskapen Romfördraget samt den Europeiska atomenergigemenskapen Euratom. Romfördraget är det mest övergripande av EG-fördragen. Det brukar beskrivas som ett rarnfördrag, målinriktade och allmänt vars hållna bestämmelser fylls ut och preciseras sekundärrättsliga genom regler av olika slag. Det är på fördragen som EG:s institutioner grundar sin kompetens. Deras åtgärder skall enligt legalitetsprincipen grundas pá befogenheter som fördragen ger dem. Inom denna ram har staterna förbundit sig att utöva sin statsmakt gemensamt under hänsynstagande till samfällda intressen. I betydande utsträckning skall EG-rätten tillämpas nationella av myndigheter på samma sätt som inhemsk rätt. Man brukar säga att reglerna är direkt tillämpliga, eftersom de används utan mellankommande nationell rättsbildning. Romfördragets artikel 189 anger tre typer av bindande rättsakter, som rådet och kommissionen kan utfärda. Det är fråga förom ordningar, direktiv och beslut. Förordningar är gällande inom hela EG och är direkt tillämpliga i medlemsländerna. Direktiv riktar sig till medlemsländerna och anger ett viss resultat som skall uppnås inom en bestämd tid men överlåter åt länderna att bestämma form och tillvägagângssätt för den nationella implementeringen. Beslut är bindande i alla delar för dem som de är riktade till. Bindande gemenskapsrättsliga bestämmelser kan grunda rättigheter och skyldigheter inte bara för medlemsländerna utan också för enskilda, om de är tillräckligt tydliga och inte lämnar länderna utrymme för val i samband med nationell implementering. Sådana rättigheter skall skyddas av domstolar och andra myndigheter. Man brukar dä säga att bestämmelserna har direkt effekt. Uttryckliga förbud, tex mot diskriminering, uppfyller de nämnda kraven och nyss har därför direkt effekt. Fördragets bestämmelser om fri rörlighet på marknaden och dess förbud mot könsdiskriminering kan sålunda grunda individuella rättigheter. Även bestämmelser i direktiv kan fâ denna verkan, om den nationella rätten inte anpassas till direktivets krav på ett korrekt sätt eller det inte har införlivats alls inom den föreskrivna tiden. Om en domstol i ett medlemsland skulle finna nationell att en bestämmelse strider mot en EG-bestämmelse som är direkt tillämplig, skall domstolen inte tillämpa den nationella bestämmelsen i det aktuella målet. Enligt EG-domstolens praxis har EG-regeln nämligen företräde framför nationella regler och skall tillämpas oavsett vad kan som vara föreskrivet i den nationella rättsordningen. Detta sammanhänger med EG-domstolens synsätt att EG-rätten är rättsordning är en egen som autonom i förhållande till traditionell folkrätt.

Det finns också rättsakter som inte är bindande, t.ex. rekommendationer och yttranden, vilka också nämns i artikel 189. Andra slag av icke bindande rättsakter än de i fördraget nämnda har tillkommit. EES-avtalet är väsentligen ett vanligt folkrättsligt avtal men har särdrag som sammanhänger med dess nära samband med det EGrättsliga systemet. Avtalet innehåller en huvuddel med de materiella bestämmelserna om fri rörlighet för varor, personer, tjänster och kapital de fyra friheterna samt s.k. angränsande politikområden. Denna del motsvarar den primära EG-rätten, i första hand Romfördragets regler. Dessutom finns bestämmelser om de olika institutioner etableras genom avtalet. Vidare ingår ett stort antal EG-rättsakter, som främst direktiv och förordningar, i EES-avtalet. Till avtalets huvuddel är fogade ett antal bilagor med hänvisningar till de EG-rättsakter som avtalet. Genom hänvisningarna i bilagorna till dessa EGomfattas av rättsakter blir bestämmelserna i rättsakterna till delar av EES-avtalet. EES-avtalets huvudbestämmelser införlivas i svensk rätt genom inkorporering, dvs. avtalets huvudbestämmelser förklaras gälla som lag här. Detta har skett genom antagande av den i propositionen föreslagna EES-lagen. I fråga om direktiv och förordningar innehåller EES-avtalet bestämmelser om hur de regler som motsvarar EG:s sekundärrätt införlivas. De delar som motsvarar EG-förordningar görs som sådana till en del av den nationella rättsordningen, medan beträffande de delar som motsvarar EG-direktiv det lämnas ât de avtalsslutande parterna själva att välja form och metod för införlivandet i den egna rättsordningen. Även det inte är utsagt i avtalet gäller detta också beslut, om dvs. det ankommer de avtalsslutande parterna att införliva dessa som det beñnns lämpligt. Detta innebär för Sveriges del att motsvarigheter till direktiv skall transformeras till svenska regler, medan motsvarigheter till EGförordningar införlivas genom inkorporering. I bägge fallen skall detta ske genom författningsreglering pä den konstitutionella nivå som de materiella reglernas innehåll kräver. Normgivningen skall ske genom författningar resp. sakomräde. Beslut regler fattas av avtalsparterna i en särskild kommitté, om nya EES-kommittén. Besluten har karaktär av internationella överenskommelser. Om beslutet avser ett ämne som skall godkännas av riksdagen, är beslutet givetvis inte bindande förrän sådant godkännande skett. Det är således inte fråga om överlåtelse av beslutsfunktioner till något internationellt organ. För svensk del innebär varje sådant beslut av EES-kommittén om ändring i EES-reglerna med andra ord en ny internationell överenskommelse som kan kräva införlivande i svensk rätt. EES-avtalet samma tillvägagångssätt för genomförande av anger nya EES-regler som när det gäller bestämmelser som övertas genom bilagorna till EES-avtalet.

SOU 1993: 1.0 73

5 Förhållandet mellan

förslaget till

EG-direktiv och

utredningens förslag till en ny datalag

Inledning

De direktivbestämmelser om skyddet för enskilda vid behandling av personuppgifter som har redovisats i avsnitt 4.5 finns än så länge bara

i ett förslag från EG-kommissionen. Åtskillig diskussion hur

om integritetsskyddet skall vara utformat har förekommit i anslutning till ett tidigare utkast till direktiv från Kommissionen, beslutat i september 1990, och EG-parlamentets behandling av detta utkast. Fortfarande förekommer inom EG, såvitt man kan bedöma, oenighet om hur ett framtida direktiv skall vara utformat. Detta har bl.a. lett till att tidsplanen för antagandet av direktivet har förskjutits. Enligt företrädare för Kommissionen kommer Ministerrådet troligen inte att kunna ta slutlig ställning till förslaget förrän sommaren 1994. I den debatt som förts efter det Kommissionen presenterade sitt reviderade förslag i oktober 1992, har vissa bl.a. pekat på den s.k. subsidiaritetsprincipen. Vidare kan nämnas att vid Europeiska Rådets möte i Edinburgh den 11 12 december 1992 Kommissionen förklarat att den avser att revidera ett antal förslag i avsikt att göra dem mindre detaljerade. Sett i ljuset av att samtliga medlemsländer snart kommer att ha nationella dataskyddslagar och anslutit sig till Europarådets dataskyddskonvention har det från vissa håll ifrågasatts om behovet av att anta direktivförslaget kommer att kvarstå. Det torde dock inte ankomma på utredningen att närmare spekulera i direktivförslagets fortsatta framtid. Skulle emellertid ett EG-direktiv på integritetsskyddsområdet bli verklighet med i huvudsak de bestämmelser som finns i det aktuella förslaget från Kommissionen är frågan hur utredningens förslag om en ny datalag bör förhålla sig till direktivförslaget. När ett direktiv kan antas bli beslutat kommer Sverige inte att vara medlem i EG och inte heller i övrigt torde det komma att finnas någon folkrättslig förpliktelse att införliva direktivet

i svensk rätt. Däremot torde så småningom ett framtida EG-direktiv komma att integreras i EES-avtalet. I en proposition om Sverige och den västeuropeiska integrationen prop. 1987/ 88:66 fann den dåvarande regeringen det angeläget att ge en samlad redovisning av Sveriges roll i det västeuropeiska integrationsarbetet. I propositionen uttalades att Sverige har ett starkt intresse av att medverka i ett brett västeuropeiskt samarbete. Som riktlinjer för detta fortsatta arbete angavs bl a att Sverige skall medverka i EFTA:s och EG:s arbete på att avskaffa fysiska, tekniska och fiskala hinder i syfte att så långt möjligt skapa ökad rörlighet för tjänster, varor, människor och kapital i Västeuropa. Riksdagen godtog riktlinjerna UU 24, rskr. 245. I anslutning till det nyss nämnda riksdagsbeslutet beslutade regeringen direktiv till kommittéer och särskilda utredare beom aktande av EG-aspekter i utredningsverksamheten Dir 1988:43. Enligt dessa kommittédirektiv skall kommittéer och särskilda utredare bl.a. undersöka vilken gemensam ordning i förekommande fall som råder inom EG inom det aktuella ämnesområdet och i sina förslag ta tillvara de möjligheter till harmonisering finns samt också som redovisa hur de förslag som läggs fram förhåller sig till EG:s motsvarande regler, direktiv eller förslag till direktiv från EG-kommissionen. Sverige har numera ansökt om medlemskap i EG och undertecknat EES-avtalet. Riksdagen har också godkänt avtalet. Som tidigare har nämnts torde ett framtida EG-direktiv komma att på sikt bli del en av EES-avtalet. Det intensifierade europeiska samarbetet talar starkt för att Sverige får i huvudsak samma regler på integritetsskyddsområdet de som som kan komma att gälla inom EG. Det behöver inte närmare utvecklas att ett fritt informationsutbyte över gränserna är en förutsättning för ett sådant samarbete. Det fria informationsflödet förutsätter i sin tur något som understryks i inledningen till förslaget till EG-direktiv att de enskilda ländernas dataskyddsnivå är någorlunda enhetlig. Förslaget till EG-direktiv innehåller också en bestämmelse innebär att som överföring av personuppgifter till ett icke-medlemsland i princip är tillåten enbart om det landet har en tillfredsställande nivå sitt integritetsskydd art. 26. I Justitiedepartementets anmälan till EESpropositionen Del s. 2 t nämns datalagsfrågorna sådant som lagstiftningsarbete som utan att ha direkt samband med EES-avtalet ändå kan sägas ha anknytning till detta eller till närmandet till EG i allmänhet. Vad som därvid är aktuellt, sägs det i propositionen, är en anpassning till ett eventuellt kommande EG-direktiv i ämnet. Slutligen talar rent sakliga skäl för en överensstämmelse med vad som kan komma att gälla inom EG. Den svenska datalagen den var första nationella lagstiftningen i sitt slag och väckte berättigad uppmärksamhet vid sin tillkomst. Sedan dess har 20 år gått, vilket i dessa sammanhang är en mycket lång tid, utan att lagens grund-

SOU 1993: 10 75

läggande struktur har ändrats. Den får såväl innehållsmässigt som till sin tekniska utformning anses vara ganska föråldrad. I förslaget till EG-direktiv har man däremot beaktat den utveckling på dataskyddsområdet som har skett och förslaget bygger alltså på de integritetsskyddslagar och den internationella reglering som har kommit fram under de senaste åren. I förhållande till den svenska datalagen innefattar direktivförslaget i en hel del hänseenden en önskvärd skärpning av reglerna för integritetsskyddet. Ett EG-direktiv kan ha karaktären av ett s.k. minimidirektiv. Med detta förstås att den nationella regleringen för de intressen som skall skyddas visserligen inte får vara oförmånligare än som följer av föreskrifterna i direktivet men att det inte är något som hindrar att den nationella ordningen innehåller strängare regler. Det nu aktuella direktivförslaget är dock inte något minimidirektiv. Kapitel II, som innehåller de grundläggande reglerna för behandlingen av personuppgifter, inleds med en artikel art. 5 som anger förhållandet mellan bestämmelserna i kapitlet och de nationella reglerna. Enligt första stycket i den artikeln är behandlingen av personuppgifter laglig bara om den sker i överensstämmelse med föreskrifterna i kapitlet. Vad medlemsstaterna får göra, inom ramen för bestämmelserna i kapitel i direktivförslaget, är att mera precist ange de omständigheter under vilka behandling av personuppgifter får ske art. 5 andra stycket. I kommentaren framhålls att sådana preciseringar alltid måste ske inom ramen för bestämmelserna i kapitel och att de inte får hindra det fria flödet av information inom EG-området. Datalagsutredningen har mot den nu angivna bakgrunden eftersträvat att få i huvudsak samma regler för integritetsskyddet som de som kan komma att gälla inom EG. I vissa hänseenden har dock avvikelser skett. Dessa avvikelser hänför sig i allt väsentligt till tre områden, nämligen frågan om datalagen bara skall avse användning av ADBteknik eller också omfatta manuell databehandling, kraven på information till den enskilde och på underrättelse till dataskyddsmyndigheten samt reglerna om utlämnande av personuppgifter till tredje man.

Dessa avvikelser behandlas i detta avsnitt. Övriga avvikelser behandlas

i berörda avsnitt i den allmänna motiveringen och i specialmotiveringen.

5.2 tillämpningsområde Lagens

Avgörande för frågan om datalagen över huvud taget är tillämplig på ett register är huruvida registret förs med hjälp av ADB eller inte. Register som förs med hjälp av annan teknik än ADB faller i dag utanför datalagens tillämpningsområde.

76 SOU 1993: 10

Datalagsutredningen har i sina tidigare ställningstaganden utgått från att datalagen även för framtiden bara skall avse ADB-teknik. Vid remissbehandlingen ansåg en majoritet av de remissinstanser som tagit ställning i denna del att det inte finns något behov av en generell personregisterlagstiftning. I de yttranden där en sådan ordning förordas, åberopas i allmänhet att det svenska regelsystemet bör utformas i enlighet med ett framtida EG-direktiv. Endast i några enstaka yttranden anses sakliga skäl tala för att datalagstiftningen bör omfatta även konventionella medier. Såvitt utredningen känner till är varken omfattningen av eller innehållet i den manuella registreringen av någon betydenhet och innebär inte några mera påtagliga integritetsrisker. Majoriteten av de remissinstanser som har berört frågan har heller inte sett något sakligt behov av en generell personregisterlagstiftning. Några sådana särskilda skäl, som enligt utredningens direktiv skall föranleda att frågan om en generell personregistrering tas upp, föreligger alltså inte. Visserligen omfattar förslaget till EGdirektiv även manuell behandling av personuppgifter. Direktivet är dock på denna punkt omstritt och vad man slutligen stannar för är en öppen fråga. Utredningen vill alltså inte i nuläget förorda att tillämpningsområdet vidgas till att omfatta även manuell databehandling. Samtidigt bör framhållas att utredningen inte har gjort någon närmare undersökning av förekomsten av manuell hantering av personuppgifter. Utredningens uppfattning om behovet av en generell personregisterlagstiftning bygger närmast information som har hämtats in från Datainspektionen. Det kan naturligtvis inte helt uteslutas att en fördjupad undersökning skulle kunna påvisa en tendens att i ökad utsträckning registrera känsliga uppgifter manuellt, detta för att komma undan de restriktioner som datalagstiftningen innebär. Man bör också ha i minnet att EG-kommissionen i den andra versionen av direktivförslaget har vidhållit sin uppfattning om en generell reglering av hanteringen av personuppgifter. Frågan torde få uppmärksammas under det fortsatta lagstiftningsarbetet.

5.3 Information till den enskilde och under-

rättelse till dataskyddsmyndigheten

m.m.

Förslaget till EG-direktiv innehåller mycket långtgående krav på information till den enskilde och på underrättelser till dataskyddsmyndigheten. De bestämmelser som nu tas upp till diskussion finns i artiklarna 10, 12, 13.1, 18 och 19. Enligt artikel 10 skall den enskilde på begäran ha rätt att bli informerad om förekomsten av en viss behandling, dess ändamål, det slag av personuppgifter det gäller, de tredje män eller slag av tredje

SOU 1993: 10 77

män till vilka uppgifterna skall lämnas ut eller på annat sätt röjas samt namn och adress på den persondataansvarige. Tanken bakom artikel 10 är enligt kommentaren att den enskilde genom denna information skall kunna få insyn och utnyttja sin rätt till rättelse och utplånande och utöva effektiv kontroll över behandlingen av sådana personuppgifter som hänför sig till honom. Samtidigt innehåller direktivförslaget i artikel 13.1 regler om rätt till insyn som i huvudsak motsvarar 10 § i den nuvarande datalagen. Bestämmelserna i artikel 10 avser alla datasamlingar, alltså även sådana som inte innehåller några känsliga uppgifter. Ett iakttagande av bestämmelserna skulle innebära en betungande informationsskyldighet för de persondataansvariga och en ganska betydande byråkratisering av kontrollsystemet. Regler som motsvarar artikel 10 i direktivförslaget bör därför inte tas in i den nya datalagen utan att starka skäl talar för det från integritetssynpunkt. En motsvarighet till 10 § i den nuvarande datalagen och artikel 13.1 i förslaget till EG-direktiv kommer givetvis att tas in i den nya datalagen. Den enskilde får därigenom möjlighet att kontrollera om uppgifter som hänför sig till honom finns i en viss datasamling och, om så är fallet, att kontrollera om uppgifterna är riktiga, fullständiga och aktuella. Däremot har den enskilde ingen möjlighet att på grundval av ett s.k. § 10-uttag enligt nuvarande terminologi bedöma om det t.ex. är berättigat att lämna ut uppgifter till tredje man eller om det överhuvud taget är tillåtet att behandla de aktuella personuppgifterna. Såvitt gäller de känsliga personuppgifterna finns dock hos Datainspektionen det underlag som behövs för att göra en sådan bedömning. Enligt 37 och 38 §§ i förslaget till ny datalag skall nämligen den persondataansvarige, innan han får börja att behandla sådana personuppgifter, göra en anmälan till Datainspektionen om behandlingen. I denna den persondataansvariges anmälan skall finnas i princip alla de uppgifter som krävs enligt artikel 10 i direktivförslaget. Den enskilde får visserligen vända sig till Datainspektionen i stället för till den persondataansvarige för att få ut uppgifterna, men detta torde inte ha så stor betydelse. Kvar står emellertid att direktivförslaget enligt artikel 10 ger den enskilde en ganska omfattande rätt till information även i fråga om harmlösa uppgifter. Utredningen har övervägt om denna skyldighet att informera skulle kunna tillgodoses genom en motsvarighet till de regler om förteckningsskyldighet som nu finns i 7 a § datalagen. Bestämmelserna i 7 a § datalagen innefattar en skyldighet för den registeransvarige att ha en aktuell förteckning över de personregister som han ansvarar för. Förteckningen skall innehålla uppgift om bl.a. registrets benämning, registrets ändamål, lokalen där den automatiska behandlingen huvudsakligen utförs, i vad mån personuppgifter lämnas ut för automatisk databehandling i utlandet och i vad mån personnummer registreras. Förteckningen skall hållas tillgänglig för Datainspektionen

78 SOU 1993: 10

och på begäran av denne ges in till inspektionen. Som har framgått av vad nu har sagts omfattar inte förteckningen alla de uppgifter som nämns i artikel 10 i direktivförslaget. Förteckningen skulle emellertid kunna byggas ut till att omfatta den berörda informationen. Bestämmelserna om förteckningsskyldighet har emellertid inte till syfte att ge den enskilde insyn i behandlingen av personuppgifter. Paragrafen innehåller ingen regel om rätt för den enskilde att ta del av förteckningen, må vara att den enskilde kan ha en sådan rätt på grund av offentlighetsprincipen såvitt gäller myndigheter. I stället är bestämmelserna om förteckningsskyldighet avsedda att vara ett stöd för Datainspektionen i dess tillsynsverksarrihet. Datainspektionen kan begära in en förteckning i ett särskilt tillsynsärende. Inspektionen har också möjlighet att begära in förteckningar stickprovsvis eller samtidigt från flera registeransvariga, t.ex. från alla registeransvariga i en viss bransch eller inom ett visst omrâde. Bestämmelserna om förteckningsskyldighet tillgodoser alltså inte den rätt till information som artikel 10 i direktivförslaget ger den enskilde. I själva verket kan man fråga sig om förteckningsskyldigheten fyller någon funktion. Den förhandsinformation som Datainspektionen kan behöva för sin tillsyn kan inspektionen lika gärna inhämta direkt från den persondataansvarige. Enligt 44 § i utredningens lagförslag skall den persondataansvarige lämna Datainspektionen de uppgifter om den automatiska databehandlingen som inspektionen begär för sin tillsyn. En sådan uppgiftsskyldighet har även den som för den persondataansvariges räkning behandlar personuppgifter, dvs. bl.a. servicebyråer. Mot den nu angivna bakgrunden har utredningen i sitt lagförslag inte tagit upp någon motsvarighet till bestämmelserna om förteckningsskyldighet i den nuvarande datalagen. Av större intresse i sammanhanget är de bestämmelser som finns i 15 kap. 11 § sekretesslagen. I den paragrafen finns särskilda regler om dokumentationsskyldighet beträffande ADB-register som en myndighet har tillgång till. Reglerna syftar till att tillgodose allmänhetens intresse av överblick över och orientering i det ADB-material som finns hos myndigheterna. Bestämmelserna gäller även för sådana myndigheter som behandlar personuppgifter utan att vara persondataansvariga. Beskrivningen av den behandling av personuppgifter som förekommer hos myndigheten skall innehålla bl.a. vad som krävs enligt artikel 10 i direktivförslaget så när som på uppgifter om vilka tredje män som kan få del av uppgifterna. En skyldighet i sistnämnda hänseende skulle vara av mindre intresse med hänsyn till offentlighetsprincipen. Sammanfattningsvis kan konstateras att den enskildes rätt till information enligt artikel 10 i direktivförslaget till stor del kan tillgodoses genom de anmälningar om behandling av känsliga uppgifter som skall finnas hos Datainspektionen och den beskrivning av ADBregister som myndigheterna är skyldiga att ha enligt sekretesslagen. Vad som dock inte täcks av dessa bestämmelser är den behandling av

SOU 1993: 10 79

i och för sig harmlösa uppgifter som förekommer hos andra än myndigheter. I fråga om dessa personuppgifter finns dock alltid möjligheten för den enskilde att genom ett s.k. § 10-utdrag enligt nuvarande terminologi få klarlagt om uppgifter hänför sig till som honom behandlas och, om så är fallet, kontrollera om uppgifterna är korrekta. Vidare har den enskilde möjlighet att fâ information beom handlingen genom en hänvändelse till Datainspektionen. Med hänsyn till den behandling det gäller får dessa möjligheter anses vara tillräckliga ur integritetssynpunkt. I utredningens lagförslag återfinns alltså inte någon motsvarighet till föreskrifterna i artikel 10 i förslaget till EG-direktiv. ‘ Föreskrifterna i artikel 12 utgör ett andra led i direktivförslagets ambition att göra den enskilde medveten om att personuppgifter som rör honom behandlas. När personuppgifter behandlas utan att den enskilde har samtyckt till behandlingen, skall den persondataansvarige förvissa sig om att vid lämplig tidpunkt, dock senast när uppgifterna första gången lämnas ut till en tredje man, den enskilde underrättas om utlänmandet. Den enskilde skall samtidigt underrättas om bl.a. behandlingens ändamål, vilka typer av uppgifter det gäller, mottagarna eller slag av mottagare samt rätten för den enskilde till insyn, rättelse och till att göra invändningar mot behandling som anses strida mot gällande dataskyddsbestämmelser. Syftet med dessa föreskrifter i direktivförslaget är, som redan har antytts, att den enskilde skall bli medveten om att uppgifter som rör honom behandlas och kunna utnyttja de rättigheter som dataskyddsbestämmelsema ger honom. Som framgått föreligger inte någon skyldighet att underrätta den enskilde om ett utlämnande när den enskilde har samtyckt till behandlingen. Ett samtycke måste emellertid avse viss behandling be specific enligt direktivförslaget art. g och kan alltså inte avse en rad utlämnandetillfällen i framtiden som inte närmare kan specificeras. Möjligheten att med samtycke som grund underlåta underrättelse blir därför inte så stor som man kanske skulle ha kunnat tro. I syfte att begränsa underrättelseskyldighetens omfattning görs en del undantag från huvudregeln. Tre av undantagen grundar sig direkt på föreskrifterna i direktivförslaget art. 12.2 medan ytterligare två undantag förutsätter beslut av dataskyddsmyndigheten art. 12.3. Enligt artikel 12.2 behövs till en början inte någon underrättelse om den enskilde redan har underrättats om att uppgifterna skall eller kan komma att lämnas ut till en tredje man. En sådan underrättelse kan ha lämnats i samband med att uppgifterna samlats in från den enskilde jfr art. ll. Underrättelse behöver heller inte lämnas om skyldighet att lämna ut uppgifter till en tredje man föreligger på grund av lag eller författning och den berörda bestämmelsen samtidigt anger att underrättelse inte behöver lämnas. Den del av uppgiftslämnandet mellan myndigheterna som föreskrivs i författning torde med stöd av denna regel kunna tas

undan från underrättelseskyldigheten, men åtskilligt av det omfattande informationsutbytet på den offentliga sidan torde förutsätta att de enskilda som berörs underrättas om att information utväxlas. Den skyldighet som på den privata sektorn föreligger för enskilda att lämna olika uppgifter till myndigheterna, t.ex. kontrolluppgifter till skattemyndigheterna, följer av lag och kan med stöd av den här berörda undantagsregeln i direktivförslaget tas undan från underrättelseskyldighet. Den tredje undantagsregeln tar sikte på utlämnande av information som sker för vissa ändamål. Dessa ändamål sammanfaller med de grunder enligt vilka rätten att ta del av allmänna handlingar får begränsas enligt tryckfrihetsförordningen. Ett utlämnande som har sin grund i t.ex. myndighets verksamhet för inspektion, kontroll eller annan tillsyn förutsätter alltså inte att de berörda enskilda underrättas om utlämnandet. Enligt direktivförslaget art. 12.3 kan vidare dataskyddsmyndigheten i tvâ fall fâ ge dispens från kravet underrättelse till den enskilde när personuppgifter lämnas ut till en tredje man. Det första fallet är att underrättelseskyldigheten visar sig omöjlig att fullgöra eller i vart fall kräver en oproportionerlig insats. Det andra fallet är att underrättelseskyldigheten strider mot övergripande intressen hos den persondataansvarige eller en tredje man. Enligt kommentaren bör dispensmöjligheten utnyttjas t.ex. i fråga om organisationer som ägnar sig humanitärt arbete eller bevakar mänskliga rättigheter, så att deras arbete inte hindras på ett otillbörligt sätt. Att döma av exemplet är tanken att dataskyddsmyndighetens dispensmöjlighet skall användas med stor försiktighet. Datalagsutredningen kan konstatera att en ordning enligt artikel 12 i direktivförslaget givetvis är ett effektivt sätt att göra en enskild medveten om att en behandling pågår som rör honom och som innefattar utlämnande av personuppgifter. Det kan också vitsordas att de integritetsrisker som är förknippade med ADB ofta ligger i att uppgifter lämnas ut till tredje man för användning i en annan miljö än den ursprungliga. Förfarandet enligt artikel 12 är emellertid inte förenligt med den rätt till anonymitet som enligt svensk rätt föreligger för den som begär att få en allmän handling utlänmad. Denna aspekt behandlas närmare i nästa avsnitt. Man kan vidare fråga sig om vinsterna från integritetssynpunkt verkligen uppväger den mycket betydande byråkrati som följer med en ordning enligt artikel 12 i direktivförslaget. I och för sig kan man ta bort en del av underrättelseskyldigheten genom ett flitigt utnyttjande av den undantagsregel som innebär att underrättelse inte behöver lämnas om skyldighet att lämna ut uppgifter till en tredje man föreligger pâ grund av lag eller författning och den berörda föreskriften samtidigt anger att underrättelse inte behöver lämnas. Detta kan emellertid knappast vara intentionen bakom den nu berörda undantagsregeln i direktivförslaget.

Men även om den möjligheten används så långt det går måste det, som redan har berörts, finnas kvar en lång rad fall där underrättelse måste ske, i synnerhet på den offentliga sidan. Enligt utredningens mening får de möjligheter att få kunskap om en viss behandling som redovisats i det föregående vid diskussionen om artikel 10 anses innefatta en rimlig avvägning mellan den enskildes intresse och de krav som kan ställas på de persondataansvariga. Denna slutsats skall då också ses mot bakgrund av utredningens övertygelse att det kanske viktigaste instrumentet för ett gott integritetsskydd ligger i en effektiv tillsyn. Det är bättre att satsa de resurser som skulle behövas för ett underrättelseförfarande på en sådan intensifierad tillsyn. Betydelsen av en effektiv tillsyn behandlas närmare i avsnitt 13. Med hänsyn till vad som nu har sagts tas inte i utredningens förslag upp någon motsvarighet till artikel 12 i direktivförslaget. En annan typ av information till den enskilde omfattas av artikel 13.5 i direktivförslaget. Enligt den föreskriften har den enskilde rätt att bli informerad om utgångspunktema för eller resonemangen bakom varje behandling av personuppgifter, vars resultat åberopas mot honom. Av kommentaren framgår att med bestämmelsen åsyftas de fall där beslut fattas genom automatisk databehandling och åstadkommer resultat som strider mot den enskildes intressen. Den nu berörda föreskriften i direktivförslaget är inte helt lätt att tolka. Som utredningen uppfattar den innebär den ett krav på att även beslut, som helt och hållet kommer till stånd genom automatisk databehandling, anger skälen för beslutet om detta har gått den enskilde emot. Artikel 13.5 skulle alltså vara en bestämmelse om beslutsmotivering. Föreskrifter om motivering av beslut finns redan i svensk rätt. Ett beslut varigenom en myndighet avgör ett ärende skall enligt 20§ förvaltningslagen 1986:223 innehålla de skäl som har bestämt utgången, om ärendet avser myndighetsutövning mot någon enskild. I vissa fall får dock skälen utelämnas helt eller delvis, bl.a. om beslutet inte går någon part emot eller om det av någon annan anledning är uppenbart obehövligt att upplysa om skälen. Har skälen utelämnats, bör myndigheten på begäran av den som är part om möjligt upplysa honom om dem i efterhand. Bestämmelser om motivering av beslut finns också i vissa specialförfattningar. För domstolarnas dömande verksamhet finns regler om beslutsmotivering i de olika processuella regelverken, om det nu någonsin kan bli aktuellt i domstolarna att fatta beslut enbart genom automatisk databehandling. För förvaltningsmyndigheternas och domstolarnas del torde man alltså inte behöva någon motsvarighet till föreskriften i artikel 13.5. En motsvarighet till artikel 13.5 kan däremot tänkas betydelse inom den privata sektorn. Någon möjlighet att överklaga beslut i vanlig mening finns emellertid inte inom den sektorn, även om ibland en fråga kan hänskjutas till prövning i särskild ordning, t.ex. en fråga om

82 SOU 1993: 10

försäkringsersättning till en särskilt inrättad nämnd på försåkringsområdet. Den enskilde får göra sina anspråk gällande på civilrättslig grund. I sista hand har han alltid möjlighet att vända sig till någon annan för att få den aktuella varan eller tjänsten levererad eller utförd. Det har inte heller, såvitt utredningen känner till, kommit fram några egentliga önskemål om en ordning som motsvarar den som anges i artikel 13.5. Inte heller den nu diskuterade artikeln bör alltså motsvaras av någon bestämmelse i den nya datalagen. Datalagsutredningen övergår nu till att behandla de krav på att en anmälan skall göras till dataskyddsmyndigheten som direktivförslaget ställer upp. Innan någon behandling av personuppgifter får ske, skall enligt huvudregeln i artikel 18.1 en anmälan göras till dataskyddsmyndigheten. Vad en sådan anmälan skall innehålla framgår av artikel 18.2. Den skall innehålla åtminstone den persondataansvariges namn och adress, behandlingens ändamål, de kategorier av enskilda som berörs, en beskrivning av de uppgifter eller slag av uppgifter som skall behandlas, de tredje män eller slag av tredje män till vilka uppgifterna kan komma att lämnas ut, tilltänkta överföringar till länder utanför EGområdet samt en beskrivning av vidtagna säkerhetsátgärder. Syftet med anmälningsskyldigheten är enligt kommentaren att anmälningarna skall ligga till grund för dataskyddsmyndighetens tillsyn behandling av av personuppgifter. Medlemsstaterna skall emellertid enligt artikel 19.1 sörja för att anmälningsskyldigheten förenklas eller helt faller bort i fråga om vissa slag av behandling. Det gäller sådan behandling som inte menligt påverkar de enskildas personliga integritet wich do not adversely affect the rights and freedoms of data Subjects. Erfarenheten visar, sägs det i kommentaren, att åtskillig behandling är nämnd av nyss beskaffenhet och sålunda inte kräver någon detaljerad eller allmän anmälan till dataskyddsmyndigheten. I direktivförslaget art. 19.1 ges vissa exempel sådan behandling som inte är ägnad att medföra några risker för den personliga integriteten. Hit hör framställande av brev eller olika handlingar genom ordbehandling eller sökning i sådana informationsdatabanker som står öppna för allmänheten. Vidare nämns behandling för att uppfylla skyldigheter som följer av lag eller annan författning eller skyldigheter på redovisnings-, beskattnings- eller socialförsäkringsområdet the satisfaction of legal, accounting, tax or social security duties. Utredningens förslag innebär, som utförligt utvecklas i avsnitt 13, att det nuvarande tillståndssystemet enligt datalagen avskaffas och ersätts med ett renodlat tillsynsförfarande. En av förutsättningarna för att detta skall kunna ske är emellertid att vissa datasamlingar genom anmälan kommer till Datainspektionens kännedom. Syftet med anmälningsförfarandet är att anmälningarna skall ligga till grund för

SOU 1993: 10 83

inspektionens tillsyn. Någon anmälningsskyldighet skall inte föreligga för sådan behandling av personuppgifter som inte kan sägas representera någon risk från integritetssynpunkt. Så långt har alltså utredningen inga invändningar mot de tankar som utvecklas i direktivförslaget. Vad som däremot kan diskuteras är den metod som används för att avgränsa anmälningsskyldigheten. Utgångspunkten i direktivförslaget är, som framgått, att all behandling skall anmälas. Vad som får tas undan är vissa slag av behandling som inte menligt påverkar de enskildas integritet. Tanken är enligt direktivförslaget att man genom särskilda regler skall ange de olika kategorier av behandling som kan tas undan från anrnälningsskyldigheten. Enligt uppgift finns det i Nederländerna och Frankrike 24 resp. knappt 40 särskilda författningar som för olika branscher och sektorer anger de slag av behandling som inte behöver anmälas. För att säkerställa att persondataansvariga är i stånd att med säkerhet bedöma huruvida en viss behandling av personuppgifter faller innanför eller utanför anrnälningsskyldigheten, skall ett beslut om undantag för varje slag av behandling som omfattas specificera ändamål, slag av personuppgifter, slag av enskilda som berörs, slag av tredje män som berörs samt den tid som uppgifterna skall lagras och, om det är lämpligt, de villkor under vilka behandlingen skall utföras. I den mån en behandling av personuppgifter inte faller in under de särskilt reglerade undantagen skall den anmälas till dataskyddsmyndigheten. Exemplen från Nederländerna och Frankrike visar att det krävs åtskilliga regler för att lägga fast undantag från anmälningsskyldigheten. Även med många sådana regler är risken betydande att ett mycket stort antal datasamlingar måste anmälas till dataskyddsmyndigheten. Av särskilt intresse i sammanhanget är att titta närmare på de försök som har gjorts att inskränka tillståndsprövningen enligt den nuvarande datalagen. Det förenklade förfarandet som infördes av Datainspektionen var ett led i inspektionens ansträngningar att begränsa arbetet med de mera harmlösa datasamlingama till förmån för de mera känsliga. Genom ändringarna i datalagen år 1982 begränsades uttryckligen tillståndskravet till de kategorier av personregister som ansågs vara särskilt känsliga. Syftet var att inskränka omfattningen av tillståndsprövningen och att i motsvarande mån öka tillsynsaktiviteterna. Dessa mål uppnåddes också, men bara för en tid. Det dröjde inte länge förrän situationen var densamma som före lagändringarna med så många tillståndsansökningar att knappast några inspektioner kunde äga rum. Detta hängde naturligtvis samman med den ökade datoriseringen och inget tyder på att datoriseringen i Sverige kommer att stanna upp. Det kan alltså komma att visa sig, att ett mycket stort antal behandlingar får anmälas till dataskyddsmyndigheten. Antalet kan bli så stort att den Överblick över den integritetskänsliga databehandlingen som dataskyddsmyndigheten bör ha helt går förlorad.

Ytterligare en olägenhet med det anmälningsförfarande som föreskrivs i direktivförslaget utgör den procedur som läggs fast för att förenklingar i eller undantag från anmälningsskyldigheten skall kunna göras. Enligt artikel 19.2 kräver en åtgärd för att förenkla eller göra undantag från anmälningsskyldigheten dataskyddsmyndighetens medverkan. Med tanke på de många undantag som måste göras blir belastningen på dataskyddsmyndigheten betydande. Handläggningen av dessa ärenden, som rör från integritetssynpunkt harmlös databehandling, kommer att ta i anspråk resurser som enligt utredningens förslag bör ägnas tillsyn. Som utredningen tidigare har nämnt och som utvecklas närmare i avsnitt 13 är tillsyn det kanske effektivaste instrumentet för ett gott integritetsskydd. Det sätt på vilket avgränsningen av anmälningsskyldigheten har gjorts och det förfarande för att göra undantag från anmälningsskyldigheten som anges i direktivförslaget är enligt utredningens mening förenade med så betydande olägenheter att någon harmonisering med förslaget till EG-direktiv inte bör ske i denna del. I stället kan det vara lämpligt att avgränsa anmälningsskyldigheten i den nya datalagen på samma sätt som tillståndsplikten enligt den gällande datalagen har bestämts, dvs. att det i lagen uttryckligen anges vilken databehandling som måste anmälas till Datainspektionen. Utredningen återkommer till frågan om anmälningsskyldigheten i avsnitt 14 i den allmänna motiveringen och i anslutning till 37 § i specialmotiveringen. Utredningen vill i det här sammanhanget också ta upp en annan bestämmelse i direktivförslaget, nämligen artikel 16. Enligt den artikeln får en myndighet eller annan inte meddela för den enskilde menliga beslut, om beslutet fattas uteslutande genom sådan behandling av personuppgifter som innefattar en bedömning av hans person. Ett sådant beslut får dock meddelas i vissa fall. Ett undantag är om det följer av lag eller annan författning. Det andra undantaget art. l6.2.a innebär att den enskilde kan få acceptera ett sådant beslut, om beslutet meddelas inom ramen för ett avtal mellan den enskilde och den persondataansvarige eller inför slutande av ett sådant avtal, under förutsättning att den enskildes önskemål tillgodoses eller att lämpliga åtgärder vidtas för att skydda den enskildes intresse. l kommentaren framhålls att helt automatiska beslut kan komma att bli ett större problem i framtiden i takt med att mer och mer sofistikerade program och även expertsystem utvecklas. Den typ av beslut som artikel 16 är avsedd att reglera torde f.n. bara förekomma i Sverige i form av s.k. credit scoring. Det är däremot sannolikt att tekniken utvecklas ett sådant sätt att det i en framtid blir möjligt att meddela sådana beslut även på andra områden. Artikel 16 är besvärlig att tolka och innehåller delvis bestämmelser som strider mot varandra. Huvudregeln om förbud mot helt automatiska beslut tar sikte på för den enskilde menliga beslut adversely affecting him samtidigt som ett av undantagen synes avse fall där den

SOU 1993: 10 85

enskildes synpunkter tillgodoses provided any request by the data subject has been satisfied. Enligt vad utredningen har inhämtat torde bestämmelserna i artikel 16 komma att överarbetas under den fortsatta beredningen inför Ministerrådets beslut. Med hänsyn till detta och till att behovet av en sådan föreskrift som nu diskuteras inte är överhängande, återfinns i utredningens förslag inte någon motsvarighet till bestämmelserna i artikel 16. Utredningen har därvid beaktat att användningen av credit scoring förutsätter tillstånd av Datainspektionen. Vidare kan nämnas att kreditupplysningslagen är föremål för översyn av kreditupplysningsutredningen Ju 1991 :06.

5.4 Utlänmande av personuppgifter

I detta avsnitt skall utredningen något belysa hur förslaget till EGdirektiv förhåller sig till offentlighetsprincipen och till bestämmelserna om utlämnande av personuppgifter mellan myndigheter.

Offentlighetsprincipen

Offentlighetsprincipen innebär att verksamheten hos staten och kommunerna i största möjliga utsträckning är öppen för insyn från allmänheten. Detta anses vara en förutsättning för att medborgarna skall kunna kontrollera hur myndigheterna fullgör sina uppgifter. Man brukar säga att syftet med offentlighetsprincipen är att den skall rättssäkerheten, effektiviteten i förvaltningen och effektivitegarantera ten i folkstyret. Offentlighetsprincipen har naturligtvis också betydelse för forskningen, kulturen och rent allmänt för det öppna samhälle som vi vill ha i Sverige. Offentlighetsprincipen kommer till uttryck på flera sätt. Störst betydelse har säkert principen att alla medborgare har rätt att ta del av myndigheternas handlingar. Denna princip infördes i vårt land redan år 1766, då vi fick vår första tryckfrihetsförordning. Principen att handlingar är offentliga finns numera fastslagen i tryckfrihetsförordningen TF. l TF anges vilka slags handlingar som är tillgängliga för allmänheten. Med handling avses enligt TF förutom framställningar i skrift eller bild av vanligt slag också s.k. tekniska upptagningar. ADB-upp- tagningar betraktas alltså som handlingar i detta sammanhang. Detta innebär bl.a. att en datasamling hos en myndighet är att anse som en handling. Alla handlingar hos en myndighet är emellertid inte tillgängliga för allmänheten. För att en handling skall omfattas av offentlighetsprincipen fordras också att den utgör en, som det heter i TF, allmän handling. En handling är allmän, om den förvaras hos en

myndighet och är att anse som inkommen till eller upprättad hos myndighet. Vad gäller ADB-upptagningar anses sådana förvarade hos en myndighet, om upptagningen är tillgänglig för myndigheten i sådan form att man kan läsa den där. Innebörden av uttrycket "tillgänglig" är att varje sammanställning av sakligt sammanhängande uppgifter som en myndighet kan göra med hjälp av tillgängliga program är att anse som en handling som förvaras hos myndigheten. Förutsättningen är endast att sammanställningen skall kunna göras med rutinbetonade åtgärder. Förvarsrekvisitet är således uppfyllt oberoende av om myndigheten själv har haft eller anser sig ha behov att söka efter av eller sammanställa informationen i fråga. Det räcker emellertid inte alltid med att en myndighet har sådan en faktisk tillgång till en ADB-upptagning som här har beskrivits för att upptagningen skall anses förvarad hos myndigheten. Är det fråga om en upptagning som ingår i ett personregister, krävs också att myndigheten har rättslig befogenhet att göra en överföring av upptagningen till läsbar form. Om myndigheten saknar befogenhet att överföra en ADB-upptagning till läsbar form för den egna verksamheten, har allmänheten nämligen inte heller rätt att ta del upptagningen. av En ADB-upptagning anses ha kommit in till en myndighet när någon utomstående har gjort den tillgänglig för myndigheten på så sätt att den där kan läsas. TF:s regler om när handlingar upprättade tar inte anses sikte särskilt på ADB-upptagningar. Reglerna innebär dock bl.a. att upptagningar, som ingår i ett ADB-register som förs fortlöpande, är upprättade när registren tas i bruk. Exempel på sådana register är myndigheternas skatteregister, polisregister, socialregister samt hälsooch sjukvårdsregister. Den omständigheten att en handling, varmed alltså avses även ADBupptagningar, är en allmän handling innebär inte nödvändigtvis att vem som helst kan få del av den. En del handlingar är nämligen hemliga därför att sekretess gäller för uppgifter i dem. Det betyder att allmänheten inte har rätt att läsa handlingarna och att myndigheterna är förbjudna att lämna ut dem. I TF finns de grundläggande bestämmelserna om vilka begränsningar som får göras i handlingsoffentligheten. Närmare bestämmelser härom finns i sekretesslagen. I vilken utsträckning sekretess gäller för uppgifter hos myndigheterna tas inte upp i detta sammanhang. Här kan dock erinras om att en utgångspunkt vid utformningen av sekretesslagen har varit att man inte skulle åstadkomma mera sekretess än vad är oundgängligen nödvändigt som för att skydda det intresse som sekretessen skall tillgodose. Offentlighet är alltså huvudprincipen. Till sist skall i fråga om offentlighetsprincipen sägas att den också innefattar en rätt för enskilda att ta del av allmänna handlingar utan att de i samband därmed behöver uppge sitt namn eller det ändamål för vilket handlingen önskas utlämnad. TF tillförsäkrar sökanden anonymi-

SOU 1993: 10 87

tet. Om utlämnandet avser en handling som faller under någon bestämmelse i sekretesslagen, kan det dock hända att myndigheten vill ha handlingen eller vad den skall användas behöver veta vem som till för att pröva huruvida någon skada eller något men kan uppstå om handlingen lämnas ut.

Förhållandet mellan offentlighetsprincipen och förslaget till EGdirektiv

I det följande skall pekas på några förslag i EG-direktivet som enligt utredningen berör offentlighetsprincipen. l artikel 7 i direktivförslaget anges under vilka förutsättningar personuppgifter över huvud taget får behandlas. Artikeln anger således när det är lagligt att behandla personuppgifter. Med behandling processing of personal data förstås varje åtgärd som vidtas med personuppgifter, oavsett om åtgärden utförs automatiskt eller inte. Exempel på sådana åtgärder är att personuppgifterna röjs genom överföring, spridning av uppgifterna eller utlämnande av dem. Att lämna ut uppgifter med stöd av TF ur exempelvis en myndighets ADBregister innebär en behandling enligt artikel 7. Av de fall då personuppgifter får behandlas enligt artikel 7 är det i princip endast ett fall som i detta sammanhang är av intresse. Det är det fall som regleras under punkten c. Enligt denna punkt får personuppgifter behandlas om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning. Inte något av de övriga i artikeln reglerade fallen då behandling av personuppgifter är laglig synes medge att personuppgifter lämnas ut med stöd av offentlighetsprincipen. Frågan är då om den redovisade punkten c tillåter ett utlämnande i enlighet med offentlighetsprincipen. Någon närmare vägledning hur punkten skall tolkas ges inte i kommentaren till den. Enligt utredningen måste det tveksamt om den aktuella punkten verkligen anses kan ta sikte på bl.a. utlämnande enligt offentlighetsprincipen. Vad som talar för denna tolkning är att offentlighetsprincipen i betydelsen rätten att ta del av allmänna handlingar sådan som den tillämpas i Sverige saknar närmare motsvarighet i EG:s medlemsländer. Av betydelse för tolkningen är också att syftet med direktivförslaget är att fastställa en hög skyddsnivå, ett syfte som nog inte kan anses uppnås om offentlighetsprincipen som den tillämpas i Sverige får gälla. De författningar som avses torde vidare få uppfylla vissa krav konkretion. Utredningen är därför närmast benägen att hävda den ståndpunkten att artikel 7 inte tillåter något utlämnande enligt offentlighetsprincipen, även om den ovan redovisade punkten enligt sin bokstav inte utesluter en sådan tolkning. Här skall tilläggas att artikel 8 i förslaget till EG-direktiv innehåller vissa speciella restriktioner när det gäller behandlingen av personupp-

88 SOU 1993: 10

gifter av särskilt känslig natur. Med känsliga uppgifter uppgifter avses om bl.a. ras, etniskt ursprung, politisk uppfattning, religiös eller filosofisk övertygelse, hälsotillstånd och sexualliv. Sådana uppgifter får i princip behandlas endast om den enskilde skriftligen har samtyckt till det. Vissa undantag från denna huvudregel finns dock. Bl.a. får undantag göras i lag eller annan författning det är påkallat om av ett viktigt allmänt intresse och det i författningen finns föreskrifter bl.a. om vilka typer av uppgifter som får behandlas och vilka personer som får ha tillgång till personuppgifterna. Enligt utredningens uppfattning är det till följd av artikel 8 inte möjligt att med stöd offentligav hetsprincipen lämna ut känsliga uppgifter utan den enskildes samtycke. Av intresse i detta sammanhang är vidare artikel l .b. Enligt denna artikel måste insamling av uppgifter ske för specificerade, uttryckliga och lagliga ändamål och de insamlade uppgifterna får användas endast på ett sätt som är förenligt med dessa ändamål. I kommentaren till direktivet på denna punkt framhålls att ändamålet måste definieras och anges så snävt som möjligt. När det gäller verksamheten hos myndigheterna, skall som tillämpa offentlighetsprincipen, regleras deras uppgifter i allmänhet relativt noggrant i lagar och förordningar. Särskilt myndigheternas av instruktioner brukar det framgå vilka arbetsuppgifter myndigsom en het har. Man kan säga att den verksamhet myndigheterna skall som ägna sig på sätt som den närmare preciseras i lagar och förordningar utgör den yttersta gräns för hur personuppgifter får behandlas. En myndighet får således samla in personuppgifter endast om uppgifterna skall behandlas i den verksamhet myndigheten är som ålagd att utföra. Ändamålet med behandlingen uppgifterna av skall definieras så klart som möjligt i enlighet härmed. Enligt utredningen kan man inte gärna hävda att myndighet samlar in uppgifter för en att tillgodose offentlighetsprincipen. Innebörden härav är att ändamålet med behandlingen av uppgifter inte kan bestämmas på det sättet att det skall tillgodose offentlighetsprincipen. Ett utlämnande av personuppgifter med stöd av offentlighetsprincipen kan därmed inte förenligt anses med den ändamålsangivning som artikel 6. l föreskriver. En annan fråga av intresse rör förhållandet mellan artikeln om ändamålsbestämningar och föreskriften i 2 kap. 3 § TF myndigom hetens rättsliga befogenhet att göra överföringar ADB-upptagningar. av Enligt 2 kap. 3 § TF anses, som har sagts ovan, en ADB-upptagning förvarad hos en myndighet, om upptagningen är tillgänglig för myndigheten med något tekniskt hjälpmedel myndigheten själv som utnyttjar för överföring i sådan form att den där kan läsas, avlyssnas eller på annat sätt uppfattas. Innebörden av uttrycket "tillgänglig" är att varje sammanställning av sakligt sammanhängande uppgifter som en myndighet kan göra med hjälp av tillgängliga program är att anse som en handling som förvaras hos myndigheten. Förutsättningen är endast att sammanställningen skall kunna göras med rutinbetonade

SOU 1993: 10 89

åtgärder. Förvarsrekvisitet år således uppfyllt oberoende av om myndigheten själv har haft eller anser sig ha behov av att söka efter eller sammanställa informationen i fråga. Det räcker emellertid inte alltid med att en myndighet har en sådan faktisk tillgång till en ADB-upptagning sotn här har beskrivits för att upptagningen skall förvarad hos myndigheten. Är det frågan anses om en upptagning som ingår i ett personrcgister, krävs också att myndigheten har rättslig befogenhet att göra en överföring av upptagningen till läsbar form. Om myndigheten saknar befogenhet att överföra en ADB-upptagning till läsbar form för den egna verksamheten. har allmänheten nämligen inte heller rätt att ta del av upptagningen. Kravet uttrycks på så sätt att någon överföring inte får göras. "om myndigheten enligt lag eller förordning eller särskilt beslut. som grundar sig lag. saknar befogenhet att göra överföringeti". Som exempel särskilda beslut. som grundas på lag. kan nämnas sådana beslut som Datainspektionen fattar med stöd av 6§ första stycket 7 datalagen angående vilka personuppgifter sotn får göras tillgängliga. Den fråga som här är av intresse är huruvida ett uppgivet registeräitdatnål kan anses utgöra en föreskrift eller ett beslut som begränsat myndighetens rättsliga befogenhet enligt 2 kap. 3 § TF och således också allmänhetens rätt att ta del av allmänna handlingar enligt TF. Gällande rätt innebär att ett register skall föras för ett bestämt ändamål. Vidare skall iakttas att inte andra uppgifter registreras än som står i överensstämmelse med registrets ändamål samt att uppgifter inte samlas. lämnas ut eller används annat än i överensstämmelse med registerändamålet 7 §. För tillståndspliktiga register bestäms registerändamålet av Datainspektionen 5 §. När det gäller statsmaktsregister torde dock regeringen eller riksdagen i regel bestämma ändamålet. Om så inte har skett, bestäms ändamålet av Datainspektionen under förutsättning att registret är tillståndspliktigt 6 a §. För övriga register, dvs. register som inte kräver tillstånd enligt 2§ andra stycket och som inte inrättas av statsmakterna, bestäms ändamålet av den registeransvarige myndigheten själv. För åtskilliga av de register sotn myndigheterna för i dag är ändamålet förhållandevis vagt angivet. Inte sällan uppges ändamålet vara planering, tillsyn. statistik etc. Enligt utredningens förslag skall ändamålet i fortsättningen bestämmas av den som ansvarar för personuppgifterna.

Ändamålsbeskrivningen avgörande betydelse både enligt

är av gällande rätt och utredningens förslag för vilka bearbetningar som en myndighet för göra. Principen är den att en myndighet för göra endast sådana bearbetningar som ligger inom ramen för ändamålet. En central utgångspunkt när det gäller förvaringskriteriet i TF är att allmänheten skall få ta del av en upptagning i samma utsträckning som den är tillgänglig för myndigheten likställighetsprincipen. Innebörden av

denna princip är enligt utredningen att ett på visst sätt bestämt ändamål normalt måste anses medföra också en sådan begränsning i en myndighets befogenhet att göra överföringar, vilka avviker från ändamålet, som avses i 2 kap. 3 § TF. Denna ståndpunkt skulle möjligen kunna ifrågasättas då det är myndigheten själv som har bestämt ändamålet. I förarbetena till 2 kap. 3 § TF synes man nämligen med "särskilt beslut" närmast ha åsyftat beslut meddelade av Datainspektionen jfr prop. 1975/762160, s. 87 ff. En så snäv tolkning vinner emellertid enligt utredningen inte stöd av lagtexten och skulle också innebära ett svårförståeligt undantag från likställighetsprincipen. Enligt utredningens mening bör därför en begränsning genom en ändamålsbestämning som en myndighet själv har beslutat om utgöra också en motsvarande begränsning för vad som utgör allmän handling enligt 2 kap. 3 § TF. I detta sammanhang kan tilläggas att utredningens förslag att ändamålsbeskrivningar i framtiden skall vara mer preciserade kommer att leda till att inte bara myndighetens möjligheter till bearbetningar begränsas utan också att allmänhetens insyn i motsvarande mån begränsas. Förslaget till EG-direktiv påverkar vidare principen i TF att en sökande som begär att få ut en handling har rätt att vara anonym. Det skydd som den som vill ta del av en handling på detta sätt åtnjuter anses utgöra ett viktigt inslag i offentlighetsprincipen. Anonymitetsskyddet har alltid setts som en del av offentlighetsprincipen, men det är först relativt nyligen som principen har lagfästs i TF 2214. En annan sak är att sekretesslagen många gånger låter gränsen mellan hemlig och offentlig handling bero på en prövning av risken för skada vid utlämnande. I sådana fall kan det vara nödvändigt att den som begär att få ut en handling talar om vem han är och vad han skall ha handlingen till. Inte sällan anses t.ex. en viss handling kunna lämnas ut till forskare men kanske inte till andra personer på grund av risken för skada. För att skydda den enskilde innehåller förslaget till EG-direktiv, som har redovisats i avsnitt 5.3, mycket långtgående krav på information till den enskilde. Av särskilt intresse i detta sammanhang är artikel 12. Den artikeln rör vad den persondataansvarige skall iaktta då personuppgifter lämnas ut. Enligt denna artikel skall den persondataansvarige förvissa sig om att den enskilde vid lämplig tidpunkt underrättas om när uppgifter lämnats ut. En sådan underrättelse skall bl.a. innehålla uppgift om vem som är mottagare av utlämnade uppgifter. Vissa undantag medges från denna huvudregel. Informationsplikten gäller bl.a. inte om den enskilde redan har informerats om att ett utlämnande av uppgifterna kommer att ske eller kan komma att ske. Den gäller inte heller om skyldigheten att lämna ut uppgifterna har angetts i en författning som gör undantag från informationsplikten. Det skulle i anslutning till dessa undantag i direktivförslaget kunna hävdas

att allmänheten i Sverige är väl medveten om offentlighetsprincipens existens. Vidare är såväl myndigheternas skyldighet att lämna ut allmänna handlingar som anonymitetsskyddet reglerade i grundlag. De nu berörda undantagen i direktivförslaget torde dock inte ge utrymme för att lämna ut personuppgifter enligt offentlighetsprincipen. lnformationsplikten för den persondataansvarige enligt direktivförslaget syftar till att ge den enskilde kunskap om den behandling som pågår i det särskilda fallet så att han i fråga om den enskilda datasamlingen kan utöva sina rättigheter enligt dataskyddsbestämmelserna. Vidare torde de författningar som åsyftas i direktivförslaget uppfylla vissa krav konkretion jfr vad som i det föregående sagts om art. 7.c. Ett annat undantag innebär att informationsplikten inte gäller när utlämnande sker till en tredje man för att tillgodose "an equivalent right of another person and the rights and freedoms of others" art. 12.2 och 14.1.g. Eventuellt skulle principen om anonymitetsskydd kunna upprätthållas med stöd av denna undantagsregel. I en motsvarande situation har nämligen enligt Europarådskonventionen tryckfriheten freedom of the press angetts som ett exempel på vad som innefattas

i uttrycket "the rights and freedoms of others" se art. 8.b, 9.b och

punkt 58 i kommentaren. Utredningen är emellertid inte övertygad om att denna tolkning är korrekt. Av intresse för offentlighetsprincipen är vidare artikel 6.e. Enligt denna artikel skall personuppgifter gallras när de inte längre behövs för de ändamål för vilka de behandlas. Artikeln medger dock att personuppgifter får lagras längre än vad som nu har sagts om de kan anses ha ett historiskt intresse eller om de lagras för att användas för forskning eller statistik. Offentlighetsprincipen bygger förutsättningen att en myndighets handlingar i rimlig utsträckning finns kvar även når de inte längre behövs i myndighetens verksamhet. Rätten till insyn i myndigheternas verksamhet är inte begränsad i tiden. I praktiken är det naturligtvis på det sättet att insynsintresset klingar av med tiden. Samtidigt förhåller det sig så att äldre allmänna handlingar i vissa fall kan ha ett särskilt stort intresse. Som exempel härpå kan nämnas att det nu, när sekretesstiden löpt ut, är möjligt att få fram vilka åtgärder som vidtogs av svenska myndigheter under andra världskriget. Direktivförslaget innehåller inte något undantag från huvudregeln om gallring som gör det möjligt att bevara personuppgifter med hänsyn till offentlighetsprincipen. Inte sällan lär ändamålet med behandlingen vara sådant att personuppgifterna måste bevaras under lång tid. I andra fall, t ex när det gäller personuppgifter som används i och för myndigheternas ärendehantering, lär det ofta vara så att uppgifterna inte behövs annat än under förhållandevis kort tid. En viss tid efter det att ärendet är avslutat lär myndigheten många gånger inte behöva uppgifterna längre.

92 SOU 1993: 10

Offentlighetsprincipen anses särskilt viktig just när det gäller myndigheternas myndighetsutövning, alltså i myndigheternas utövning av befogenheter att bestämma om förmåner, rättigheter, skyldigheter, disciplinär bestraffning och liknande. Det är givet att personuppgifter som används i nu nämnda sammanhang kan ha ett stort allmänt intresse även efter det att ett ärende är avslutat.

Inga begränsningar i offentlighetsprincipen

Offentlighetsprincipen brukar, som har sagts ovan, definieras som den grundsats enligt vilken samhällsorganens verksamhet skall ske under allmän insyn och kontroll. Den offentliga verksamheten måste ligga öppen för medborgarna och de nyhetsförmedlande organen på sådant sätt att dessa kan inhämta upplysningar i skilda angelägenheter efter eget val, oberoende av myndigheternas informationsgivning. Offentlighetsprincipen utgör, som har framhâllits, en garanti för rättssäkerheten, effektivitet i förvaltningen och effektivitet i folkstyret. Principen om allmänna handlingars offentlighet och yttrandefriheten är inslag i offentlighetsprincipen. Meddelarfriheten, dvs. rätten för var och en att utom i vissa undantagsfall lämna uppgifter i vilket ämne som helst för publicering, kan också ses som en del av det regelverk genom vilket offentlighetsprincipen förverkligas. Offentlighetsprincipen är omistlig för den svenska rättsordningen och för demokratin i Sverige. Genom rätten att få ut allmänna handlingar främjas ett fritt meningsutbyte och en allsidig upplysning. Handlingsoffentligheten utgör ett inslag i den medborgerliga yttrandeoch informationsfriheten och är därmed en av förutsättningarna för den fria demokratiska åsiktsbildningen. Också meddelarfriheten är av central betydelse för den fria åsiktsbildningen genom massmedia. Väsentliga och viktiga samhällsintressen får inte åsidosättas genom ökad sekretess, som hindrar en i grunden sund och för ett öppet demokratiskt samhälle nödvändig kontroll och insyn. En svensk harmonisering med EG:s regler måste enligt utredningen ske på ett sätt som är förenligt med offentlighetsprincipen. Det är viktigt att vi från svensk sida i det kommande integrationsarbetet hävdar vår tradition av betydande öppenhet i förvaltningen. Med hänsyn till det sagda har utredningen utgått från att inga inskränkningar skall göras i offentlighetsprincipen. Den fråga som utredningen därmed har haft att överväga är på vilka sätt förslaget till datalag måste avvika från det föreslagna EG-direktivet för att offentlighetsprincipen skall lämnas orörd. Utredningen har därvid kommit till följande slutsatser. När det gäller sådan behandling som innefattar utlämnande av personuppgifter med stöd av offentlighetsprincipen, har utredningen ovan redovisat den ståndpunkten att artikel 7 visserligen inte-tillåter något utlämnande. Vid en ren bokstavstolkning utesluter dock punkten

SOU 1993: 10 93

c i artikeln inte en sådan tolkning. Om i datalagen tas in en bestämmelse av i princip samma lydelse som punkten c, blir det formellt möjligt att lämna ut uppgifter enligt offentlighetsprincipen. Någon

formell avvikelse från direktivet behövs således inte här se ll § första

stycket 3 förslaget till datalag. Vad som nu har sagts om artikel 7.c och ll § första stycket 3 förslaget till datalag gäller också artikel 8.3 och 33 § 4 förslaget till datalag. Regleringen i 32 35 §§ om behandling av känsliga uppgifter för anställningsändamål innehåller dock inte några bestämmelser om vem som får ha tillgång till uppgifterna, vilket krävs enligt artikel 8.3 i direktivförslaget. Däremot måste den föreskrift i datalagen som motsvarar direktivförslagets artikel om ändamålsbestämning förses med ett undantag. Som utredningen ovan har hävdat kan inte ändamålet med en behandling vara att uppfylla offentlighetsprincipen, eftersom en myndighet inte kan anses samla in uppgifter i detta syfte. När det gäller kravet på ändamâlsbestämning vid behandling av personuppgifter fordras därför ett undantag av innebörd att en myndighet får lämna ut personuppgifter

enligt TF se 9 § andra stycket. Ett sådant undantag behövs också när

det gäller bestämmelsen om registerforskning i 30§ andra stycket förslaget till datalag. De förutsättningar som skall föreligga för att uppgifter skall kunna lämnas ut enligt den föreskriften innefattar inte ett utlämnande med stöd av offentlighetsprincipen. Det undantag som behövs återfinns i tredje stycket i den berörda paragrafen. För att den som vill ta del av en handling skall kunna garanteras det anonymitetsskydd som TF ger, kan vidare i datalagen inte tas in någon motsvarighet till artikel 12 om att enskilda som berörs skall underrättas om ett utlämnande. Någon sådan skyldighet föreskrivs således inte i förslaget till datalag. Att även andra skäl talar för att inte i datalagen ta in en motsvarighet till artikel 12 har berörts i avsnitt 5.3. Vad gäller förslaget i EG-direktivet till gallring innebär det som utredningen ovan har anfört att underlaget för offentlighetsprincipen starkt beskärs. Som utredningen har anfört bygger offentlighetsprincipen på förutsättningen att en myndighets handlingar finns kvar även när de inte längre behövs i myndighetens verksamhet. I arkivlagen 1990:782 kommer denna tanke till uttryck på det sättet att myndigheternas arkiv skall bevaras, hållas ordnade och vårdas så att de

tillgodoser bl.a. rätten att ta del av allmänna handlingar se 3 § tredje

stycket. För att denna princip skall kunna upprätthållas när det gäller

personuppgifter måste en erinran om den göras i datalagen se 19 §

förslaget till datalag. Dessa slutsatser bygger på direktivförslagets nuvarande lydelse. Som tidigare sagts råder dock en oenighet inom EG om hur ett framtida direktiv skall vara utformat. Inom Kommissionen har uttalats att avsikten med direktivet inte varit att omöjliggöra för de länder som har en offentlighetsprincip att ha denna kvar. Man har bl.a. pekat på

94 SOU 1993: 10

förslagets artikel 9 enligt vilken medlemsländerna i yttrandefrihetens intresse skall undanta pressens behandling av personuppgifter från direktivets tillämpningsområde. Vidare har framförts att förslaget lämnar vida marginaler för medlemsländerna vid införandet av direktivets bestämmelser i den nationella lagstiftningen. Den granskning som genomförs under det fortsatta arbetet pä direktivförslaget kan, som utredningen ser det, antas ske i ljuset av den utveckling mot ökad insyn och öppenhet som är pä gång inom EG. Det är också möjligt att det förhållande som tidigare nämnts, att samtliga medlemsländer inom EG snart kommer att ha antagit nationella dataskyddslagar och anslutit sig till Europarädets dataskyddskonvention, kan göra att behovet av att anta direktivförslaget minskar. Grundtanken i direktivförslaget är densamma som i dataskyddskonventionen, nämligen att det i alla konventionsstater skall gälla gemensamma regler till skydd för den personliga integriteten och att restriktionerna för överföring av uppgifter mellan länderna begränsas. En av de grundläggande principerna i dataskyddskonventionen är som nänmts i avsnitt 4.2. att överföring av personuppgifter som undergâr automatisk databehandling mellan konventionsstater i princip skall vara fri.

Utlämnande av personuppgifter mellan myndigheter

I EG-kommissionens direktivförslag ges en uttömmande uppräkning av vilka slag av behandling av personuppgifter som är tillåtna art. 7. All behandling inbegripet utlämnande som inte grundas pâ den - enskildes samtycke, skall vara nödvändig. Offentlighetsprincipen är tillämplig även myndigheter emellan jfr Justitiekanslems uttalande i beslut JK 1985 s. 104. Den svenska sekretesslagens huvudregel, att sekretess råder mellan myndigheter, torde inte stå i strid med direktivförslaget. Problemet är det omvända, nämligen om de svenska sekretessbrytande reglerna är förenliga med direktivet. Regler om begränsningar i sekretessen finns främst i l kap. 5 § och 14 kap. sekretesslagen 1980: 100. I l kap. 5 § finns bestämmelser om nödvändigt utlämnande av uppgifter medan 14 kap. l 3 §§ innehåller generella begränsningar i sekretessen mellan olika myndigheter. Enligt 1 kap. 5 § sekretesslagen hindrar sekretessen inte att en myndighet lämnar ut uppgift till en annan myndighet eller självständig Verksamhetsgren inom samma myndighet, om utlämnandet är nödvändigt för att den utlämnande myndigheten skall kunna fullgöra sin verksamhet. Den bestämmelse i artikel 7 i direktivförslaget, som kan ge stöd denna regel i sekretesslagen, är punkt c i den del bestämmelsen ásyftar verksamhet som är nödvändig för att fullgöra tjänsteáligganden. Även artikel 7 .e torde kunna åberopas.

SOU 1993: 10 95

Enligt 14 kap. l § första meningen sekretesslagen får en sekretessbelagd uppgift alltid lämnas till regeringen eller riksdagen. Detta kan vara nödvändigt i t.ex. vissa dispensärenden. Utan hinder av sekretess får enligt samma lagrum andra meningen en myndighet lämna ut uppgifter till en annan myndighet eller till självständig verksamhetsen gren inom samma myndighet, om uppgiftsskyldigheten följer lag av eller förordning. Exempel härpá är 3 kap. 17 § taxeringslagen 1990:324 angáende rätt för andra myndigheter att ta del av självdeklarationer eller läkares skyldighet att enligt 2 § kungörelsen 1957:632 om cancerregister anmäla upptäckta fall av sjukdomen till cancerregistret. Första meningen i 14 kap l § kan beroende på utlämnandets art - grundas pá antingen artikel 7.c eller 7.e i direktivförslaget. Andra meningen refererar till skyldigheter som följer av lag eller förordning och täcks därför av artikel 7.c. Genom 14 kap. 2 § sekretesslagen möjliggörs utlämnande av sekretessbelagda uppgifter till en annan myndighet, om uppgifterna behövs där för granskning av den verksamhet där uppgiften förekommer. Sådan granskning kan avse rättsligt förfarande mot tjänsteman, omprövning av myndighets beslut, tillsyn över eller revision hos myndighet. - Sekretessbelagda uppgifter kan även lämnas i yttranden av sakkunnig till domstol eller myndighet som bedriver förundersökning i brottmål. Sekretessen inom hälso- och sjukvården samt socialtjänsten hindrar dessutom inte att misstanke om brott anmäls till polis eller åklagare i vissa fall. Även beträffande 14 kap. 2 § kan alternativt direktivförslagets artikel 7.c eller 7.e åberopas. I 14 kap. 3 § sekretesslagen finns en generalklausul som tillåter utlämnande av sekretessbelagda uppgifter till en annan myndighet, om det är uppenbart att intresset av att uppgifterna lämnas har företräde framför det intresse som sekretessen skall skydda. Detta lagrum täcks inte av artikel 7.c i direktivförslaget eftersom lagrummets tillämpning innebär en intresseavvägning. Däremot är bestämmelsen sannolikt förenlig med artikel 7.e. Visserligen är det svenska uppenbarhetsrekvisitet och direktivförslagets nödvändighetsrekvisit till sitt innehåll olika, men innebörden av begreppen vid den praktiska rättstillämpningen kan antas överensstämma tämligen väl. Sammanfattningsvis förefaller ingen konflikt att föreligga mellan, á ena sidan, de sekretessbrytande reglerna avseende utlämnande av personuppgifter mellan myndigheter och, â andra sidan, direktivförslagets bestämmelser i artikel Förslaget till EG-direktiv innehåller en definition av "tredje man", vilken omfattar alla fysiska personer, juridiska personer och myndigheter utom den enskilde data subject, den persondataansvarige och

behandlar personuppgifter under dennes tillsyn eller på hans envar som uppdrag art. 2.0. Om ett utlämnande inte kan grundas på artikel innebär direktivförslaget att uppgifter inte får lämnas ut till tredje man. Enligt sekretesslagen gäller i princip att sekretessbelagda uppgifter inte får röjas för enskilda och för andra myndigheter. Bestämmelserna om sekretessen myndigheterna emellan gäller också i förhållandet mellan olika verksamhetsgrenar inom samma myndighet l kap. 2 och 3 §§. Direktivförslaget och sekretesslagen drar således upp gränsen för obehörigt uppgiftslämnande på något olika sätt. Från integritetssynpunkt torde emellertid denna skillnad inte ha någon nämnvärd betydelse. Med hänsyn härtill anser utredningen att direktivets definition av tredje man inte bör tas in i den svenska datalagen.

6 Lagens tillämpningsområde; per-

sonregister, persondatamängd eller

personuppgift

1 Gällande rätt

Med begreppet personregister förstås enligt 1 § datalagen "register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling ADB och som innehåller personuppgift som kan hänföras till den som avses med uppgiften." I specialmotiveringen till 1 § anförde departementschefen om registerbegreppet bl.a. följande prop. 1973:33 s 118 f:

Vad beträffar begreppet register bör därunder falla förutom register även förteckningar och andra anteckningar. Uppenbarligen avses i första hand förteckningar som omfattar ett flertal faktiska uppgifter av likartat slag. I undantagsfall bör det emellertid kunna fråga endast enda För att ett register skall

uppgift.

vara om en anses föreligga måste det emellertid irekt eller indirekt vara fråga om behandling från informationssynpunkt av faktiska uppgifter. Ett ADB-register kan sålunda inte anses upprättat bara genom att

löpande text lagras i ett datamedium, exem elvis för att sättning

skall kunna ske med hjälp av ADB-teknik. ppenbarligen faller pa grund härav åtskilli databehandling av olika slags litteratur, främst skönlitteratur, utan ör datalagens tillstândssystem. Först i den mån databehandlingen tar sikte på faktiska uppgifter i den litterära framställningen såsom för upprättande av mnehállsregister eller liknande föreligger ett register i datalagens mening. Vidare bör ett register anses föreligga, om de lagrade uppgifterna skall användas för att framställa exem elvis en telefonkatalog, ett adressregister eller en taxeringskalen er. Den närmare gränsdragningen när det gäller att bestämma innebörd får göras i praxis.

isterbegreplpets

re Aven frågan huruvi a ett er era register skall anses föreligga får avgöras närmare i praxis. Jag ansluter mig till SCBs uppfattning att det ofta torde vara lämpligt att betrakta hela system av datafiler och till dessa hörande härlednings- och bearbetningsprogram som ett enda personregister. En förutsättning bör dock vara att systemet tekniskt och administrativt fungerar så, att det är naturligt att uppfatta det som en enhet. Med hänsyn till vad jag nu har anfört anser jag att med personregister i datalagens mening bör avses register, förteckning eller

98 SOU 1993: 10

andra anteckningar som förs med hjälp av ADB och som innehåller personuppgifter som kan hänföras till den som avses med uppgiften.

Avgörande för frågan om datalagen över huvud taget är tillämplig på ett register är vidare huruvida registret förs med hjälp av ADB eller inte. Register som förs med hjälp av annan teknik än ADB faller i dag utanför datalagens tillämpningsområde. Med begreppet personuppgift avses upplysning som avser enskild person. Sådana personuppgifter kan vara av många olika slag. Upplysningar som avser en persons namn, personnummer, födelsedatum, nationalitet, utbildning och familje- och anställningsförhållanden är självklart sådana personuppgifter. Även upplysningar att anse som som är av mindre personlig natur kan emellertid anses utgöra personuppgift. Hit bör enligt lagmotiven höra exempelvis upplysningar om en persons bostadsförhållanden, banktillgodohavanden, fastighetseller bilinnehav samt upplysningar som i övrigt rör en persons ekonomiska ställning. En personuppgift kan hänföras till en viss person antingen direkt genom själva personuppgiften eller med hjälp av särskild identitetsuppgift som också ingår i registret. En identitetsuppgift behöver dock inte entydig och unik eller sådan att den är allmänt bekant. Även var mera register som inte innehåller andra identitetsuppgifter än sådana som gör det möjligt enbart för den invigde att förstå vilken person som en upplysning avser omfattas av datalagens bestämmelser. Om en person kan identifieras genom anställningsnummer, medlemsnummer, kundnummer eller liknande är registret att anse som ett personregister. Detsamma gäller statistiska uppgifter där beteckningar och dylikt som också återfinns på dokument gör det möjligt att återknyta uppgifterna till en viss person. Ur praxis kan hämtas följande fall. Ett fall som år 1975 prövades av regeringen gällde ett register som avsåg att kontrollera telefondebiteringen på ett företag genom att uppgift om samtal som fördes vissa telefonanknytningar registrerades. Eftersom uppgifterna inte med säkerhet kunde knytas till en viss anställd person, då varje telefonanknytning disponerades av flera personer, ansågs dock inte ett personregister föreligga. Ett spaningsregister som Generaltullstyrelsen förde skulle enbart innehålla olika uppgifter om transportmedel bilar, fartyg etc. såsom transportmedelskod, fartygshamn, registreringsnamn, fabrikat, färg, årsmodell och särskilda kännetecken. Registret ansågs likväl vara personregister, eftersom ändamålet med registreringen var att söka upplysning om enskild person och det dessutom till exempelvis varje motorfordon fanns en ägare anknuten. Av betydelse för personregisterbegreppet är också ändamålet med ett register. I ett tillståndsärende skall datainspektionen enligt 5 § datalagen meddela villkor om ändamålet med registret. Enligt de

SOU 1993: 10 99

allmänna bestämmelserna i 7 § datalagen skall vidare ett personregister

föras för ett bestämt ändamål se också 7 a§ innehållet i den

om förteckning som en registeransvarig skall ha över sina personregister.

Europarådets konvention

I Europarådskonventionen se avsnitt 4.2 definieras art. 2 perso-

nuppgift, automatiskt dataregister och automatisk behandling pá följande sätt: , Personuppgift personal data: varje information som är hänförlig till en identifierad eller identifierbar individ datasubjekt/datasubject. Automatiskt dataregister automated data file: varje mängd set uppgifter data som är föremål för automatisk behandling. Automatisk behandling omfattar följande operationer, de helt om eller delvis utförs på automatisk väg by automated means: lagring av data, utförandet av logiska och/eller aritmetiska operationer med dessa data samt ändring, strykning, återhämtning eller spridning dem av alteration, erasure, retrieval or dissemination.

Förslaget till EG-direktiv

I det första utkastet till EG-direktiv används följande definition art. 2 av personregister personal data file: varje mängd set av personuppgifter, oavsett om de är centraliserade eller geografiskt utspridda, som är föremål för automatisk behandling eller som, även om de inte är föremål för automatisk behandling, är strukturerade och tillgängliga i en organiserad samling i enlighet med vissa särskilda kriterier, på sådant sätt att användningen eller kombinationen av dem underlättas ...structured and accessible in an organized collection according to specific criteria in such a way as to facilitate their use or combination. Direktivförslaget i den andra versionen är tillämpligt automatisk behandling av personuppgifter och sådan manuell behandling av personuppgifter som innebär att uppgifterna är eller avses bli ordnade i ett register, dvs. så att sökning av personuppgifter underlättas art. l. Med personuppgift personal data avses varje information som är hänförlig till en identifierad eller identifierbar fysisk person datasubjekt/data subject; en identifierbar person är någon som kan identifieras, direkt eller indirekt, särskilt genom hänvisning till ett identifikationsnummer eller genom en eller flera faktorer är som utmärkande för hans fysiska, psykologiska, mentala, ekonomiska, kulturella eller sociala identitet art. 2.a första stycket.

Uppgifter som presenterats i statistisk form som är av sådan karaktär att de berörda personerna inte längre rimligen kan identifieras, räknas inte som personuppgifter art. 2.a andra stycket. Enligt kommentaren till direktivförslaget kan en person identifieras direkt eller indirekt genom ett telefonnummer, bilgenom namn registreringsnummer, socialförsäkringsnummer, passnummer eller kombination av utmärkande kriterier som medger att en genom en känns igen att den grupp han tillhör begränsas. Det kan person genom röra sig om exempelvis ålder, yrke eller bostadsort. Definitionen täcker också uppgifter som gäller utseende, röst, fingeravtryck eller genetiska kännetecken. Någon definition av begreppet avidentifierade uppgifter depers0nalized data finns inte i direktivförslaget. Detta innebär enligt kommentaren att frågan uppgifter är avidentifierade inte är avhängig av om kostnaden för att bestämma den enskildes identitet. Det har emellertid, angivits, ansetts nödvändigt att, i de speciella fall när som ovan uppgifter sammanställts i form av statistik, ange att uppgifterna inte kan betraktas personuppgifter om de enskilda inte längre rimligen som kan identifieras. Med behandling processing personal data, processing förstås varje åtgärd eller mängd set av åtgärder som vidtas med personuppgifter, oavsett om åtgärden utförs automatiskt eller inte. Sådana åtgärder är insamling, inmatning, strukturering, lagring, bearbetning eller ändring, återvinning retrieval, sökning Consultation, användning, röjande genom överföring, spridning eller på annat sätt göra tillgängligt, innehållande, radering eller förstörande art. 2.b. I kommentaren att vid definition valts för att individer skall anges en tillförsäkras ett skydd. Definitionen täcket därför allt från insamling till utradering av uppgifter.

6.4 Utredningens tidigare ställningstaganden

Allmänna utgångspunkter

Register, ADB, ändamål och personuppgift

Det nuvarande personregisterbegreppet innefattar tre rekvisit som var för sig är nödvändiga för avgränsning av begreppet, nämligen en register, automatisk databehandling och personuppgift. Härtill kommer att varje register skall föras för ett bestämt ändamål. Begreppet register innefattar ett krav på att de uppgifter som avses är ordnade i förteckning eller annat sätt strukturerade. Vissa av en de s.k. applikationsprogram förekommer vid datoranvändning som

SOU 1993: 10 101

avser just registerhantering, dvs. gör det möjligt för användaren att registrera, söka, sortera och skriva ut framtagen information. I fråga om begreppet automatisk databehandling ADB har utredningen i ett tidigare betänkande funnit att det med hänsyn till den tekniska utvecklingen är svårt att finna en klar och entydig definition av begreppet. Å andra sidan har utredningen funnit att de tekniska begreppsförhållandena inte i sig behöver leda till tillämpningssvårigheter, under förutsättning att personregisterbegreppet som sådant kan ges en tillfredsställande utformning. Möjligheterna att på automatisk väg lagra data uppgifter, liksom att utföra logiska och/eller aritmetiska operationer med dessa data samt ändra, stryka, återfinna eller sprida dem, ökar ständigt genom den informationsteknologiska utveckling som pågår. Varje försök att avgränsa ett rättsligt begrepp som personregister med hänsyn till förekomsten av tekniska rekvisit är dömt att misslyckas redan med hänsyn till den utvecklingstakt som informationsteknologin nu uppvisar. Ändamålet är centralt för personregisterbegreppet. Ändamålet med ett register, som gäller upplysning eller uppgift som avser enskild person personuppgzfi, anger på olika sätt dess tillåtna användnings-

område enligt nuvarande bestämmelser se bl.a. 7 och 7 a §§

datalagen. I sin tidigare behandling av personregisterbegreppet har utredningen framför allt berört två aspekter; dels att begreppet bör göras oberoende av förefintliga tekniska registerbegrepp, dels att ändamålet med informationshanteringen bör vara av avgörande betydelse. Utredningens hittillsvarande överväganden har kritiserats av flera remissinstanser. Kritiken har huvudsakligen avsett att utredningens resonemang varit otydligt eller motsägelsefullt och att analysen inte varit nog grundlig. Särskilt Juridiska fakultetsnänmden vid Stockholms universitet har i sitt yttrande uppehållit sig vid personregisterbegreppet. Enighet förefaller att råda i frågan om att det rent ADB-tekniska registerbegreppet att ett register, file, består av en mängd lagrade sammanhängande poster som behandlas som en enhet i datorn inte ensamt bör vara styrande. Som påpekas i bl.a. yttrandet från Juridiska fakultetsnämnden vid Stockholms universitet kan dock inte bortses från den betydelse som uppgiftssamlingars uppbyggnad och struktur i en logisk dataorganisation har. Datasamlingar som inte låter sig systematiskt utnyttjas och bearbetas för att återfinna eller på andra sätt ta fram personanknuten information bör således helt falla utanför begreppet personregister. På motsvarande sätt bör inte informationshantering omfattas som inte till någon del är föremål för automatisk, dvs. icke manuell, databehandling. Den automatiska databehandlingen innebär att en viss datamängd kan struktureras och sammanställas så att register eller förteckning i

egentlig mening uppstår. ADB-begreppet med sitt krav på att lagrade uppgifter pâ automatisk väg kan göras till föremål för vissa logiska och/eller aritmetiska operationer innefattar således i sig ett slags bestämning av begreppet register. Vad som skiljer hanteringen av en viss informationsmängd med ADB från en manuell sammanställning och strukturering av uppgifter i register eller andra förteckningar är givetvis de utvidgade möjligheterna till lagring, bearbetning, sammanställning och spridning av en datamängd som tekniken medger. Som Riksdagens ombudsmän påpekat är det genom ADB-tekniken som sådan som riskerna för integritetskränkningar dramatiskt ökar. Riskerna med en ADB-hantering av personuppgifter finns således, oberoende av huruvida ett register i traditionell betydelse föreligger. Den tekniska utvecklingen och ADB-begreppet, sådant det vanligen förstås, kan således sägas ha gjort begreppet register föråldrat. En fortsatt användning av begreppet när det gäller integritetsskydd på ADB-området kan snarare bidra till att oklarhet uppstår, bl.a. därigenom att det, som nämnts, kan förväxlas med ett rent ADBtekniskt registerbegrepp. Mot denna bakgrund föreslår utredningen att begreppet personregister helt utmönstras och ersätts med persondatamängd. Tennen persondatamängd, dvs. en samling personuppgifter, förutsätter inte att uppgifterna är ordnade som i ett register eller förteckning. Det kan

t.ex. fråga personuppgifter i löpande text. Återkopplingen

vara om en till en viss logisk uppbyggnad av och struktur på uppgifterna finns, som redan framgått, i kravet på att databehandlingen skall vara automatisk, dvs. ske med ADB-teknik. Resonemanget förutsätter givetvis att datalagen även för framtiden bara skall avse användning av sådan teknik. Den slutsats som i denna del redovisas i det första betänkandet har utredningen inte funnit skäl att revidera. Skyddsföremålet kan emellertid inte avse en obestämd mängd information som innefattar personuppgifter. Den nödvändiga avgränsningen bör göras med hänsyn till det ändamål som uppgifterna hänför sig till. Begreppet ändamål är grundläggande för integritetsskyddet enligt nuvarande ordning. I utredningens direktiv anges också att det kan behövas förtydliganden eller kompletteringar för att ge detta centrala begrepp en mera konkret betydelse. Det bör därför anges att de uppgifter som skyddas enligt datalagen är en datamängd bestående av en samling personuppgifter som hänförs till ett visst ändamål. Det innebär att om ett ändamål ändras kan en ny persondatamängd i datalagens mening föreligga, även om inforrnatio-

nen är densamma. Ãndamålsangivning bör ske med tillräcklig

precision. Det är inte tillräckligt att, som utredningen tidigare framhållit, enbart hänvisa till exempelvis "samhällsplanering" eller "forskning" för att ett tydligt angivet ändamål skall anses föreligga.

I fråga om begreppet personuppgzfi, som nu anges som upplysning som avser enskild person, bör slutligen den ändringen göras, att bestämningen bättre knyter an till den definition som ges i Europarådets dataskyddskonvention jfr även utkastet till EG-direktiv på denna punkt:

Personuppgift är varje upplysning som ensam eller tillsammans med andra upplysningar är hänförlig till en identifierad eller identiñerbar enskild person.

Härigenom anges uttryckligen att det skall vara frågan om en anknytning till en viss bestämd person. Liksom f.n. bör inte juridiska personer omfattas. Vad som har sagts i det föregående innebär att, förutom begreppet personuppgift, begreppen ADB och ändamål är väsentliga för att avgränsa personregisterbegreppet, dvs. begreppet persondatamängd med den föreslagna terminologin. Emellertid är det inte tillräckligt att bestämma dessa rekvisit. Den inforrnationstekniska utvecklingen leder till att ställning också måste tas till om redan en teknisk möjlighet att strukturera en viss datamängd skall vara nog för att en persondatamängd i nu angiven mening skall anses föreligga eller om begreppet skall kvalificeras genom att användarens syfte med en viss informationshantering också beaktas.

En avgränsning med hänsyn till syftet att utnyttja de tekniska möjligheterna

Av grundläggande betydelse för en avgränsning av begreppet personregister, eller med utredningens föreslagna terminologi "persondatamängd", är som nänmts huruvida begreppet skall omfatta alla de möjligheter till framtagning av personuppgifter som ett visst tekniskt system erbjuder eller om begränsningar skall föreskrivas i denna del. Utredningen har i sina tidigare överväganden hittills närmast utgått från att enbart den teoretiska och tekniska möjligheten inte bör vara tillräcklig för att ett personregister persondatamängd skall anses föreligga, utan att i linje med nuvarande praxis syftet med en informationshantering som kopplas till ADB-teknik och därmed användningen av visst system bör kvalificera begreppet. När utredningen betonat betydelsen av ändamålet med informationshanteringen har avsetts just syftet att utnyttja de tekniska möjligheterna, nämligen att ur en datasarnling systematiskt söka, ta ut eller sammanställa personuppgifter, dvs. uppgifter som kan hänföras till en enskild person, oberoende av på vilket tekniskt sätt dessa data är lagrade. De nuvarande termema "register, förteckningar och andra anteckningar" i lagtexten har därvid som tidigare berörts tolkats som begränsade till en viss användning av ADB-teknik.

Det särskilda ändamål som persondatamängden kan ha i en viss verksamhet, dvs. vilken närmare användning den registeransvarige âsyftar med personuppgifterna, får sedan som angetts i föregående avsnitt betydelse för avgränsningen i fråga om olika personregister, t.ex. om en ändring av ändamålet i ett hänseende är sådan att exempelvis ett nytt register skall anses ha uppkommit. Denna bedömning är således möjlig först sedan den grundläggande prövningen gjorts av huruvida en elektronisk eller annan automatisk behandling av information skall anses vara sådan, att persondatamängd över huvud taget kan anses föreligga. Med denna utgångspunkt skulle, som framgått, personuppgifter som kunde tas fram genom sökning i ett fritextsystem i de vanliga ordbehandlingsprogrammen i exempelvis persondatorer omfattas av persondatamängden, förutsatt att den registeransvarige avsåg att använda söksystemet för just detta ändamål. Vid bedömningen av huruvida ett sådant syfte föreligger måste flera faktorer beaktas, såsom vem som är registeransvarig, verksamhetens karaktär o.d. Blotta förekomsten av personuppgifter, även av känsligt slag, i ett automatiskt system bör således inte anses tillräckligt för att begreppet persondatamängd skall anses föreligga. Nackdelen med att föra in syftet med en viss informationshantering för att kvalificera begreppet är, förutom den sammanblandning som kan ske med ändamâlsbegreppet, framför allt att begränsningen blir beroende av en bedömning av användarens avsikter. Detta leder till att gränsdragnings- och bevisfrågor kan få alltför stor betydelse och försvåra den praktiska tillämpningen. Det är inte tillräckligt att konstatera att ett visst informationssystem som används medger strukturering av personuppgifter, utan den ansvariges uppgivna och faktiska användning måste närmare undersökas. Syftet har i praxis fått bl.a. den betydelsen att de personuppgifter som lagras vid exempelvis framställning av tryckt text inte anses vara personregister, så länge avsikten är att de inte skall kunna átersökas, oberoende av om återsökning är möjlig eller inte. De tekniska möjligheterna att ta fram och göra sammanställningar över personuppgifter är i det nuvarande utvecklingsperspektivet närmast obegränsade. Ett exempel kan illustrera detta. Ett företag har ett vanligt kontorsinformationssystem som i ett lokalt nätverk innehåller olika slag av funktioner såsom Ordbehandling, elektronisk post, registerprogram och system med s.k. fri textsökning. Det lokala nätverket är i sin tur uppkopplingsbart till andra systern inom den koncern som företaget tillhör, såväl inom som utom landets gränser. Tillgång finns också till ett antal inhemska och utländska databaser. För en användare av systemet är det möjligt att ta fram och skapa sammanställningar av olika personuppgifter. Kombinationsmöjligheterna är därvid nära nog oändliga.

Med hänsyn till den informationsmängd och därmed de integritets- risker som föreligger kan användarens eller användarnas lämnade avsiktsförklaring att informationen inte skall användas för att ta fram en viss persondatamängd te sig som ett bräckligt skydd mot integritetsintrång. Motsvarande synpunkter gör sig gällande i fråga om de tekniskt avancerade men lätthanterliga elektroniska "anteckningsböcker" som gör det möjligt för envar att lagra och sammanställa stora mängder personuppgifter.

En bestämning med hänsyn till enbart teknisk möjlighet

Ett alternativ till bestämning av personregisterbegreppet persondatamängd pâ det sätt som angetts i föregående avsnitt skulle vara att inte begränsa begreppet till fall, där personuppgifter genom ADB-teknik görs tillgängliga genom systematiska uttag, sökningar eller sammanställningar eller avses bli tillgängliga det sättet, utan låta enbart förekomsten av de nu nämnda tekniska möjligheterna vara tillräcklig. Fördelen med en sådan ordning skulle vara att behovet att undersöka användningen eller syftet med användningen av vissa informationssystem inte uppstår. Det skulle räcka att konstatera att ett informationstekniskt system fanns som i sig gjorde strukturering av personuppgifter möjlig, oberoende av om detta var åsyftat eller inte. mening med betydande styrka talar för Vad som enligt utredningens att låta den tekniska möjligheten enbart vara utgångspunkt för en begreppsbestämning är den tekniska utvecklingen i sig och antagandet att användning och teknisk möjlighet i många fall sammanfaller. Om det är möjligt att genom automatisk behandling göra personuppgifter tillgängliga i vissa informationssystem finns det, med hänsyn till de nuvarande och framtida informationssystemens utbredning, en beaktansvärd risk att systematiska uttag, sökningar eller sammanställningar av personuppgifter också verkligen sker, även om systemen är tänkta för andra ändamål. I exemplet med kontorsinformationssystemet i föregående avsnitt kan det antas att det i vart fall över tiden förekommer att sammanställningar av personuppgifter görs, utan att det från början varit avsett. Om möjligheten att göra personuppgifter till föremål för automatisk databehandling skall anses tillräcklig för att ett personregister persondatamängd skall föreligga, begränsas visserligen tillämpningsproblemen när det gäller att bestämma olika användares avsikter med informationshantering. Å andra sidan måste yttersta gräns också en anges för den tekniska möjligheten som sådan. Det mäste föreligga en reell möjlighet att ta fram personuppgifter pá automatisk väg, varvid ett givet informationssystem betraktas som en helhet. Även i ett kontorsinformationssystem används exempelvis för som personaladministrativa ändamål finns som regel funktioner som vida överstiger den vanliga användningen. I många fall finns dock kanske

inte kunskap hos dem som rutinmässigt använder systemet om var gränserna för datorprogrammen och systemets funktioner går. När de tekniska möjligheterna i nu angiven mening bedöms bör utgångspunkten emellertid vara vad man i ett visst system enligt tillgängliga manualer eller annan information kan utföra utan att för den skull utnyttja någon extraordinär expertis. Det innebär således en mera objektiv måttstock som inte enbart utgår från de resurser som kan finnas för tillfället hos en användare. Som regel bör det således vara så, att okunnighet i sig inte behöver påverka bedömningen av vad som skall anses omfatta den tekniska möjligheten och därmed avgränsningen av begreppet persondatamängd. Frågan om en användares kunskap och förutsättningar i ett visst fall får däremot en särskild betydelse vid en straffrättslig bedömning av uppsåt och vårdslöshet. Det innebär att okunnighet om de tekniska möjligheterna hos användaren kan medföra att straffrättsligt ansvar inte bör komma ifråga. Mot bakgrund av vad som nu sagts om hur teknisk möjlighet bör bedömas följer vidare att om ett datoriserat informationssystem, exempelvis ett enkelt ordbehandlingsprogram, saknar sökfunktion men kan tillföras sådan, föreligger den tekniska möjligheten att ta fram personuppgifter först sedan förutsättningarna att söka på personuppgift i praktiken föreligger. Huruvida det skulle vara tekniskt och ekonomiskt enkelt att tillföra funktionen bör i princip inte tillmätas betydelse. Motsvarande bör gälla möjligheten att ta fram information, t.ex. genom kommunikation med databaser eller bearbetning av optiskt lagrade media. Först sedan kommunikation eller bearbetning verkligen går att genomföra bör teknisk möjlighet i nu angivet hänseende anses föreligga. Förhållandena bör således vara möjliga att fysiskt och objektivt konstatera för exempelvis tillsynsmyndigheten. Omfattningen av bearbetningsmöjligheterna är emellertid utan betydelse. En viss persondatamängd består av alla de bearbetningar som är tekniskt möjliga att genomföra vid en given tidpunkt och som faller inom ramen för ett visst givet ändamål. Sammantaget föreslår utredningen att föremålet för reglering av ADB-information och begreppet persandatamängd i en framtida datalag ges följande definition. En persondatamängd är en samling personuppgifter som hänförs till ett visst ändamål och som kan bli tillgängliga genom systematiska uttag, sökningar eller sammanställningar vid en automatisk databehandling. Som persondatamängd anses inte personuppgifter som ingår i sådana uppgiftssamlingar som lagrade uppslagsverk, ordböcker eller liknande referensmaterial.

SOU 1993: 10 107

6.5 Remissutfallet

De remissinstanser som har tagit upp frågan har inte haft något att erinra mot utredningens förslag till ny definition av personuppgifi. De remissinstanser som har tagit ställning till spörsmålet om en legaldefinition av ADB-begreppet bedömer i allmänhet att en sådan definition knappast är möjlig på grund av den tekniska utvecklingen och anser att en definition av ADB i lagtext bör kunna undvaras. I ett antal yttranden, bl a från Riksdagens ombudsmän, Hovrätten över Skåne och Blekinge, Kammarrätten i Stockholm och Riksáklagaren godtas utredningens tanke att de tekniska möjligheterna och inte databehandlarens syfte med behandlingen skall vara avgörande för datalagens tillämpning. l dessa yttranden betonas dock nästan genomgående att detta kommer att leda till ett väsentligt utvidgat tillämpningsområde för en framtida datalagstiftning och att vissa typer av datasamlingar måste tas undan. Andra remissinstanser framhåller att olägenhetema med det kraftigt utvidgade tillämpningsområdet är sådana att man inte bör frångå det nuvarande synsättet att det avgörande är den faktiska användningen eller syftet med användningen av personuppgifterna. Bland dessa senare remissinstanser finns Svenska Kommunförbundet, Statskontoret, Rikspolisstyrelsen och Riksförsäkringsverket. Man pekar framför allt på att löpande text som lagras i en vanlig persondator och som innehåller personnamn skulle omfattas av lagstiftningen. I och med att sådan text inryms skulle reglerna om anmälningsplikt och avgiftsskyldighet, registrering, förtecknings- och rättelseskyldighet m.m. bli tilllämpliga. Hovrätten över Skåne och Blekinge anser att utredningens bestämning av begreppet persondatamängd skapar ett logiskt problem när det med utgångspunkt i ett visst ändamål gäller att dra gränser mellan olika datamängder, samtidigt som kravet att bearbetbarheten skall vara avsedd utmönstras. Hovrätten ställer frågan hur en icke avsedd sammanställning av personuppgifter kan hänföras till ett visst ändamål. Liknande synpunkter förs fram av Riksdagens ombudsmän och Riksáklagaren. Juridiska fakultetsstyrelsens forskningsnämnd vid Lunds universitet uttalar att utredningens bestämning av begreppet persondatamängd strider mot det etablerade mängdbegreppet. Termen persondatamängd har fått ett övervägande negativt mottagande. Den anses språkligt mindre tilltalande, otydlig och svårtolkad. Tre remissinstanser Datainspektionen, Juridiska fakultetsstyrelsens forskningsnämnd vid Lunds universitet och Juridiska fakultetsnämnden vid Stockholms universitet förordar en undersökning av om regleringen kan ske med utgångspunkt från begreppet personuppgift.

6.6 överväganden

Såväl det nuvarande personregisterbegreppet som den av utredningen föreslagna termen persondatamängd innefattar tre rekvisit, nämligen personuppgift, automatisk databehandling och anknytningen till ett ändamål. I begreppet register ligger dessutom ett krav på att uppgifterna är ordnade i en förteckning eller på annat sätt strukturerade. Termen persondatamängd förutsätter inte att uppgifterna är ordnade

i ett register eller förteckning. Återkopplingen till viss logisk

som en uppbyggnad av och struktur på uppgifterna finns i kravet på att databehandlingen skall vara automatisk. Utredningen har i sina tidigare ställningstaganden förordat att definitionen av begreppet personuppgifi bättre anpassas till den internationella regleringen. Remissinstanserna har inte haft några invändningar och utredningen vidhåller sitt förslag. När det sedan gäller rekvisitet automatisk databehandling har utredningen avsnitt 5.2 kommit fram till den slutsatsen att persondatalagstiftningen primärt bör inriktas på automatisk databehandling med hänsyn till de särskilda risker för den personliga integriteten som denna innebär. I viss omfattning bör emellertid, liksom fallet är i dag, manuella uppgifter omfattas av lagens skyddsbestämmelser. Utredningen har berört denna fråga i sina tidigare ställningstaganden. Diskussionen gällde då i vilken omfattning manuella uppgifter borde omfattas av begreppet persondatamängd. Utredningen anförde då bl.a. följande. En grundförutsättning för frågan i vilken utsträckning som manuella uppgifter bör ingå i begreppet persondatamängd bör vara att den registeransvarige har möjlighet att använda och kontrollera såväl de manuella uppgifterna som ADB-materialet. Vid bedömning av i vilken utsträckning manuella uppgifter bör omfattas av begreppet persondatamängd kan fyra särskilda fall urskiljas: I Manuellt insamlade uppgifter som skall göras till föremål för ADB. I Dokumentation, dvs. närmast upptagning för ADB i läsbar form. I Manuellt förda sökord eller index till ett ADB-lagrat material. I Manuella uppgifter till vilka ADB-förda sökord eller index finns. De två första fallen bör liksom f.n. omfattas. Tillämpningen av dessa fall reser som regel inte heller några svårigheter. De manuella uppgifterna i det tredje fallet, dvs. att orientering i och framtagning av ett ADB-lagrat material sker genom ett manuellt fört index, anses i praxis omfattas av det nuvarande personregisterbegreppet. Tyngdpunkten ligger i det fallet i ADB-materialet och sambandet med de manuella uppgifterna är så påtagligt, att uppgifterna också bör bedömas som en helhet. Till denna kategori hör naturligtvis bl.a. fall

där personuppgifterna blir tillgängliga först genom användning av en manuellt förd kod eller krypteringsnyckel. Det fjärde fallet slutligen innebär vissa gränsdragningssvårigheter. Huvuddelen av informationen är i det fallet manuellt förd och ADBuppgiften är närmast av index- eller sökordskaraktär. Sambandet mellan informationsdelarna är inte lika påtagligt och entydigt som i det föregående fallet, där den manuella informationen endast har till syfte att göra ADB-materialet tillgängligt med de vidare bearbetningsmöjligheter på automatisk väg som detta i sin tur innebär. En samling manuella uppgifter, till vilka är kopplat ett ADB-fört index eller ADB-förda sökord, innebär att bearbetningsmöjligheterna är färre och att den automatiska databehandlingen är mycket begränsad. Som framgått är det huvudsakligen ADB-teknikens möjligheter som motiverar integritetsskyddet på området. Visserligen kan de manuella uppgifterna vara sådana, att det ur strikt integritetssynvinkel finns skäl som talar för att de bör omfattas av persondatamängden. Det är emellertid då närmast fråga om samma skäl som talar för att även manuellt material skall omfattas av regleringen i datalagen. Med hänsyn till den svaga ADB-anknytningen bör alltså uppgifterna anses falla utanför begreppet persondatamängd. De remissinstanser som har haft synpunkter på avgränsningen mot manuell bearbetning har i allmänhet godtagit utredningens förslag. Utredningen har i sina fortsatta överväganden inte kommit fram till någon annan ståndpunkt än som tidigare har redovisats. Skyddsreglcrna i datalagen bör alltså omfatta de tre första fallen men inte det fjärde. Lagtekniskt kan detta ske på så sätt att manuell insamling av personuppgifter jämställs med automatisk databehandling, under förutsättning att de manuellt insamlade uppgifterna skall göras till föremål för ADB. I fråga om dokumentation av bearbetningar samt manuellt förda sökord eller index till ett ADB-lagrat material bör datalagen anges vara tillämplig även på sådana manuella uppgifter. Frågan om avgränsningen mot manuell bearbetning behandlar utredningen vidare i specialmotiveringen i anslutning till 3 och 4 §§. Som utredningen tidigare har konstaterat torde det inte vara meningsfullt att söka närmare definiera begreppet ADB. Detta bör dock inte föranleda några nämnvärda olägenheter. Enligt utredningens mening talar övervägande skäl för att datalagens tillämpningsområde bestäms med hänsyn till de tekniska möjligheterna att genom ADB-teknik göra personuppgifter tillgängliga. Vad som framför allt talar för en sådan lösning är, förutom den tekniska utvecklingen, att det blir möjligt att göra en mera objektiv bedömning och att rättssäkerheten därmed ökar. Utredningen har t.o.m. gått längre när i den föreslagna lagtexten och i överensstämmelse med motsvarande reglering i det andra utkastet till EG-direktiv anges att datalagen är tillämplig på varje åtgärd som vidtas med personuppgifter ADB. Skillnaden är dock närmast av teoretisk natur. I genom

praktiken torde varje informationssystem numera innefatta en möjlighet att göra personuppgifter tillgängliga. Samtidigt står det klart att den föreslagna ordningen får långtgående konsekvenser och att vissa typer av personuppgiftsbehandling måste tas undan. Vad utredningen då tänker på är sådan behandling som inte innebär någon nämnvärd risk från intregritetsskyddssynpunkt. Utredningen har i sina tidigare ställningstaganden föreslagit undantag från lagens tillämpningsområde i fråga om sådan behandling som sker uteslutande för personligt bruk eller som avser personuppgifter som ingår i sådana uppgiftssamlingar som lagrade uppslagsverk, ordböcker eller liknande referensmaterial. Därutöver bör undantag göras för behandling av personuppgifter som ingår i löpande text. De nu angivna undantagen, som bör kunna anges med erforderlig tydlighet i lagtext, behandlas närmare i specialmotiveringen i anslutning till 6 och 7 §§ förslaget till datalag. Avgränsningen av en persondatamängd har i utredningens tidigare ställningstaganden skett på det sättet att personuppgifter som hänförs till ett visst ändamål utgör en persondatamängd. Med hänsyn till den remisskritik som har kommit fram pâ denna punkt bör avgränsningen i stället göras på det sättet att personuppgifter får behandlas endast för ett bestämt och uttryckligt ändamål. Oavsett vilka sammanställningar som är tekniskt möjliga i ett visst fall får alltså de aktuella personuppgifterna bara behandlas för det eller de ändamål som i det enskilda fallet har bestämts av den som ansvarar för personuppgifterna. De tre rekvisit vars utformning nu har diskuterats innefattas enligt nuvarande datalag och utredningens tidigare förslag i ett särskilt begrepp, personregister resp. persondatamängd. Personregisterbegreppet framstår som föråldrat. Det är t.ex. främmande för vanligt språkbruk att använda registerbegreppet på text som har lagrats på ADB-medium i syfte att t.ex. kunna söka fram personuppgifter. Tekniken har utvecklats på ett sådant sätt att behandling av personuppgifter måste kunna regleras från integritetssynpunkt oberoende av om de finns lagrade i register eller inte. Med hänsyn till vad som nu har sagts framstår persondatamängd som ett bättre begrepp att arbeta med. Den nya begreppet har emellertid fått ett svalt mottagande av remissinstanserna och skall det användas måste under alla förhållanden ändamålsanknytningen få en annan utformning. Man kan dock fråga sig om det överhuvudtaget behövs ett samlingsbegrepp för en viss mängd personuppgifter. Några remissinstanser har pekat på möjligheten att direkt reglera användningen av personuppgifter. Denna möjlighet har också diskuterats under utredningens tidigare arbete men diskussionen fullföljdes inte med hänsyn till den utformning som den första versionen av förslaget till EG-direktiv har på denna punkt. Frågan är emellertid om denna invändning var hållbar. Direktiv som beslutas av behöriga EG-organ är bindande i fråga om det resultat som skall uppnås men det överlämnas medlemsländerna att välja

lll

form och metod för detta. Det torde alltså vara möjligt att i den svenska datalagen arbeta med en i viss mån avvikande terminologi i förhållande till EG-direktivet utan att för den skull den svenska regleringen skall anses strida mot direktivet. Det kan också konstateras att i den andra versionen av direktivförslaget direktivet anges vara tillämpligt på bl.a. automatisk behandling av personuppgifter. Dessutom framstår det som både enklare och naturligare att direkt gå på begreppet personuppgift när gränserna för behandling av personanknuten information skall dras upp. I enlighet med det anförda regleras i utredningens förslag till ny datalag vilken hantering av personuppgifter som får förekomma. Den grundläggande bestämmelsen finns i 9 § som säger att personuppgifter får behandlas endast för ett bestämt ändamål. Därutöver finns olika skyddsregler för behandlingen som alla anknyter till personuppgiftsbegreppet. Även sådana centrala inslag i datalagstiftningen som rätten till insyn, rätten att få felaktiga och missvisande uppgifter korrigerade m.m. har utan svårighet kunnat regleras med utgångspunkt från personuppgiftsbegreppet. I det föregående har berörts hur utredningens förslag förhåller sig till förslaget till EG-direktiv.

7 Förhållandet mellan datalagen samt tryckfrihetsförordningen

och yttrandefrihetsgrundlagen

7. l Gällande rätt

En fråga för utredningen har rört det problem som kan uppstå då personuppgifter behandlas områden där tryckfrihetsförordningen TF och yttrandefrihetsgrundlagen YGL är tillämpliga. Det är särskilt bestämmelserna i de båda grundlagarna om förbud mot censur och andra hindrande åtgärder samt rätten för bl.a. meddelare till anonymitet som har visat sig vara av intresse. Som kommer att framgå har utredningen funnit att konflikter kan uppstå vid tillämpningen av TF och YGL samt datalagstiftningen, dels genom att datalagstiftningen i viss utsträckning kan verka försvarande för framställningen av olika yttranden och dels till följd av grundlagarnas regler om anonymitetsskydd. Skyddet för tryckfriheten samt för yttrandefriheten i radio, television, filmer, videogram och ljudupptagningar m.m. har i Sverige fått en utförlig grundlagsreglering. Sedan länge har det tryckta ordet en särställning i Sverige. Den första tryckfrihetsförordningen utfärdades år 1766. Alltsedan år 1810 har ett detaljerat skydd för tryckfriheten upprätthällits genom regler i grundlag. Vår nuvarande tryckfrihetsförordning utfärdades är 1949. Genom YGL, som trädde i kraft âr 1992, har även friheten att yttra sig i andra framställningar fått ett grundlagsskydd. YGL bygger samma grundsatser som TF. Det innebär bl.a. att principerna om censurförbud och meddelarfrihet gäller för hela massmedieomrádet.

TF

En viktig princip i TF är den rättighet som följer av l kap. 1 § TF att utge skrifter utan några av myndighet eller annat allmänt organ i förväg lagda hinder. Detta förbud mot censur och andra hindrande åtgärder preciseras närmare i l kap. 2 § TF, som har följande lydelse.

Någon tryckningen föregående granskning av skrift eller något förbud mot tryckning därav må e förekomma. heller vare tillåtet för myndighet eller annat allmänt organ att på grund av skrifts innehåll, genom åtgärd som icke äger stöd i denna förordning, hindra tryckning eller utgivning av skriften eller dess spridning bland allmänheten.

Paragrafen riktar sig alltså till myndigheter eller andra allmänna organ. Härmed förstås även riksdagen och regeringen. Censur innebär att ett yttrande granskas av en myndighet innan det når en tilltänkt mottagare. Syftet med censur är att förhindra att vad som går fram till mottagaren har ett innehåll eller en utformning som från granskarens synpunkt inte kan godtas. Förhandsgranskning är inte det enda sättet att hindra medborgare från att yttra sig offentligt. Spärrar kan upprättas på flera olika punkter längs kommunikationsvägarna. Ett sätt att spärra är att inskränka rätten att använda ett visst uttrycksmedel. Inskränkningen kan också avse bara ett led i ett framställningsförfarande. Hindret behöver inte vara absolut. Även åtgärder, verkar väsentligt försvârande eller som

ekonomiskt förlustbringande, är otillåtna se t.ex. tryckfrihetssak-

kunniga /SOU 1947:60/ s. 210 och Petrén, Ragnemalm, Sveriges grundlagar, s. 380. Det är däremot tillåtet att av ordningsskäl reglera spridningen av tryckta skrifter. Det väsentliga är att sådana regler inte tar hänsyn till skrifternas innehåll. Om flera personer har medverkat till ett brott, kan enligt allmänna straffrättsliga regler ansvar drabba inte bara den som främst utfört den brottsliga gärningen utan också de övriga såsom anstiftare eller medverkande. TF:s principer om ansvar är emellertid annorlunda. Ansvarssystemet i TF bygger på två grundläggande principer. Den ena är att det alltid skall finnas någon som, även om han inte själv varit upphovsman, kan göras ansvarig för innehållet i en tryckt skrift. I regel är detta författaren eller, när det gäller periodiska skrifter, den ansvarige utgivaren. Den andra principen är att detta formaliserade ansvar skall utesluta ansvar för alla som pá annat sätt medverkat vid skriftens tillkomst. Tanken i TF är således att endast g person skall kunna göras ansvarig för tryckfrihetsbrott samt att dennes ansvar är exklusivt och utesluter ansvar för andras eventuella medverkan. Det sagda innebär att det i TF inte förekommer något medverkansansvar i brottsbalkens mening. Tvärtom skyddar TF genom olika bestämmelser sådana personer som har medverkat vid tillkomsten av en tryckt skrift men som inte har det speciella tryckfrihetsrättsliga ansvaret. Till denna kategori bestämmelser hör de som gäller meddelarfrihet och anonymitet. Den grundläggande bestämmelsen om meddelarfriheten finns i l kap. l § tredje stycket TF. Där stadgas att det skall stå envar fritt att,

i alla de fall dâ inte annat är föreskrivet i TF, meddela uppgifter och underrättelser i vad ämne som helst för offentliggörande i tryckt skrift till författare eller annan som är att anse som upphovsman till framställning i skriften, till skriftens utgivare eller, om det för skriften finns en särskild redaktion, till denna eller till företag för yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter. I 1 kap. 1 § fjärde stycket TF finns en regel som tar sikte på ett tidigare led i den kedja som löper från en meddelare via t.ex. en tidningsredaktion till publicering i tryckt skrift. Enligt den regeln skall var och en äga rätt att, om inte annat följer av TF, anskaffa uppgifter och underrättelser i vilket ämne som helst för att offentliggöra dem i tryckt skrift eller för att lämna ett meddelande av den typ som angivits i paragrafens tredje stycke. TF skyddar emellertid inte anskaffare från straff för det sätt varpå han skaffar uppgifterna se TF 1 kap. 9 §. Det är således inte tillåtet för en journalist att skaffa uppgifter till en artikel genom inbrott, olovlig avlyssning eller mutbrott. I syfte att skydda dem som medverkar vid tillkomsten av tryckta skrifter finns i 3 kap. TF regler om rätt till anonymitet. Den grundläggande bestämmelsen om rätt till anonymitet finns i 3 kap. 1 § TF. Där stadgas att författare till tryckt skrift inte är skyldig att låta sätta ut sitt namn eller sin pseudonym eller signatur pâ skriften. Vidare anges att motsvarande gäller beträffande den som lämnat meddelande enligt 1 kap. 1 § tredje stycket TF och beträffande utgivare av tryckt skrift som inte är periodisk. En meddelare eller författare kan alltså själv välja om han vill framträda eller om han vill vara anonym. Detsamma gäller utgivare av skrifter som inte är periodiska. Enligt 3 kap. 4 § TF får myndighet eller annat allmänt organ inte efterforska författaren till en framställning som införts eller varit avsedd att införas i tryckt skrift. Efterforskning fâr inte heller ske av den som utgivit eller avsett att ge ut framställning i tryckt skrift eller av den som uppträtt som meddelare. Efterforskningsförbudet gäller inte utan undantag. I de fall dâ ingripande mot t.ex. en meddelare är tillåtet enligt TF fâr myndigheter och andra allmänna organ vidta åtgärder för att utröna vem meddelaren är. I 3 kap. 3 § TF finns föreskrifter om tystnadsplikt för bl.a. personal vid en tidning eller en nyhetsbyrâ beträffande författares, meddelares och utgivares identitet. Paragrafen, som fick sin nuvarande lydelse den 1 januari 1978, föreskriver tystnadsplikt för den som har tagit befattning med tillkomsten eller utgivningen av en tryckt skrift eller med en framställning som var avsedd att införas i en tryckt skrift och den som har varit verksam inom ett företag för utgivning av tryckta skrifter eller inom ett företag för yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter. Tystnadsplikten innebär att han inte får röja vad han därvid erfarit om vem som är författare eller har lämnat meddelande enligt 1 kap. l § tredje stycket

eller är utgivare av skrift som inte är periodisk. Från denna tystnadsplikt görs dock fem undantag.

YGL

Som har sagts ovan gäller de tryckfrihetsrättsliga grundprinciperna även de medier som omfattas av YGL. Detta innebär att principen om censurförbud och andra hindrande åtgärder är fastslagna också i YGL 1 kap. 3 §. Det är dock möjligt att förhandsgranska offentligt visade filmer och videogram. I YGL finns vidare regler som skyddar meddelare och anskaffare vilka motsvarar TF:s regler i ämnet 1 kap. 2 §. Även bestämmelser om rätt till anonymitet som i sak svarar mot de regler som finns i TF har tagits upp i YGL 2 kap.

RF

Den grundläggande bestämmelsen om skyddet för den enskildes personliga integritet finns i 1 kap. 2 § tredje stycket regeringsformen RF. I denna sägs bl.a. att det allmänna skall värna den enskildes privatliv och familjeliv. Bestämmelsen har inte karaktären av en rättsligt bindande föreskrift utan anger ett mål för den samhälleliga verksamheten. Av förarbetena till bestämmelsen framgår att integritetsskyddet vid dataregistrering var i blickpunkten vid bestämmelsens tillkomst SOU 1975:75 s. 168 f., 459 ff.. Den av regeringen i maj 1984 tillsatta data- och offentlighetskommitten DOK föreslog i sitt tredje delbetänkande Ds Ju 1987:8 lntegritetsskyddeti informationssamhället 3 bl.a. en grundlagsändring. Förslaget innebar att det i den s.k. fri- och rättighetskatalogen i 2 kap. RF skulle skrivas in ett skydd för den enskildes personliga integritet i datasammanhang. Förslaget ledde till lagstiftning, som trädde i kraft den l januari 1989 prop. 1987/88:57, KU 19, rskr.l17, 1988/89: KU2, rskr. ll, SFS 1988:1439. Den nya föreskriften, som finns i 2 kap. 3 § andra stycket RF, innebär att varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av ADB. Regeln slår alltså fast att det skall finnas en datalagstiftning till skydd för den personliga integriteten men att den närmare omfattningen av skyddet får regleras i vanlig lag. Lagstiftaren åläggs genom bestämmelsen att vara aktiv genom att stifta och vidmakthålla en datalagstiftning. Av förarbetena följer att bestämmelsen givetvis bör uppfattas sä att lagstiftningen skall utgöra en verklig och allvarligt menad skyddslagstiftning prop. 1987/88:57, s. 11.

7.2 Internationella förhållanden

Dataskyddslagstiftningen i några med Sverige jämförbara europeiska stater uppvisar inte någon enhetlighet i sättet att behandla den personregistrering som sker inom massmedieområdet. Några staters dataskyddslagar gör, liksom den svenska datalagen, inget undantag för sådan personregistrering. Andra länder har intagit motsatt ståndpunkt och låter inte massmedierna omfattas av dataen skyddslagstiftningen. På andra håll har man visserligen i princip undantagit massmedierna från tillämpningen av dataskyddslagarna, men likväl gjort vissa regler i dessa lagar tillämpliga på dem. Bland de länder som i sina dataskyddslagar inte gör något undantag för massmedia kan nämnas Irland, Island, Luxemburg och Storbritannien Beträffande Storbritannien se bilaga 4. Personregisterlagen i Finland däremot stadgar uttryckligen att lagen

inte medför någon ändring i rätten att utge tryckta skrifter se bilaga

4. Av lagens förarbeten framgår dock att förandet av register som utgör bakgrundsmaterial för en tidskrift skall omfattas av personregisterlagens regler. Den i Norge gällande personregisterlagen omfattar även person-

registrering inom massmedieområdet se bilaga 4. Lagens bestämmel-

bl.a. insynsrätt och rättelseskyldighet omfattar alltså även sådan ser om registrering. Justitiedepartementet har dock från den gällande tillståndsplikten undantagit bl.a. dags- och veckopressens personregister, iden mån de används i journalistisk verksamhet, samt förlagsarkiv och förlagsregister som används vid utgivning av vissa slags lexika. En förutsättning för dessa undantag är att den registeransvarige följer de villkor och krav uppställts i justitiedepartementets föreskrifter. som Tillstånd behövs dock alltid om någon utomstående skall ha on-line tillgång till ett massmedieregister.

Nederländerna se bilaga 4 tillhör de länder vars dataskyddslagar

helt undantar massmedierna. Den nederländska dataskyddslagen omfattar således inte de personregister som enbart är avsedda för att användas av press, radio och television i den publicistiska verksamheten. I Belgien har antagits en proposition till en lag om skydd mot otillbörligt intrång vid registrering av personuppgifter vilken motsvai Nederländerna helt undantar massmediernas ADBrande sätt som registrering.

Den registerlag som gäller i Danmark se bilaga 4 för den privata

sektorn är enligt sin lydelse inte tillämplig på registrering som sker för användning i biografier eller för publicering i allmänna uppslagsverk. Lagens regler gäller inte register förs med elektronisk databehandsom ling EDB och som enbart innehåller upplysningar som har publicerats i en periodisk skrift "pressens informationsregistre". Sådana register

måste dock anmälas till dataskyddsmyndigheten, registertilsynet, som kan fastställa föreskrifter för dem. Utlämnande av personuppgifter från ett dylikt register fâr endast ske om den registrerade samtyckt, det följer av lag eller uppgifterna lämnas ut för att publiceras i en periodisk skrift. Den registrerade har även rätt till insyn i ett sådant register. I Frankrike se bilaga 4 undantar dataskyddslagen, La loi relative â Pinformatique, aux fichiers et aux libertés IFL, i viss utsträckning pressorgan, tryckta skrifter samt radio och television inom ramen för de lagar som gäller för dem och i de fall då en tillämpning av IFLs bestämmelser skulle leda till inskränkning av yttrandefriheten. Undantaget gäller bl.a. lagens stadgande om förbud mot registrering av vissa känsliga uppgifter och kravet på medgivande vad gäller dataflöde över gränserna. Sådana personuppgifter som bearbetas för uteslutande egna publicistiska ändamål av pressföretag, radioföretag och filmföretag omfattas i Tyskland se bilaga 4 endast av den tyska federala dataskyddslagens bestämmelser om datasäkerhet. Lagens övriga regler tillämpas dock sådana uppgifter, om dessa används för andra syften, t.ex. om de utlämnas till någon utanför det egna företaget. Även i Österrike se bilaga 4 är i princip massmedieområdet undantaget från dataskyddslagens tillämpning. Vissa av dess bestämmelser, främst stadgandena om datasäkerhet, gäller dock även för massmediernas register. Enligt art. 9.2.b i Europarådets konvention får avvikelser göras från vissa av bestämmelserna i konventionen, om det är nödvändigt för att skydda den registrerade personen eller andra personers fri- och rättigheter. Avvikelser från konventionen får ske endast om det medges i den nationella lagstiftningen. I kommentaren till konventionen anges att avsikten varit att i artikeln reglera viktiga intressen inom den privata sektorn. Som exempel nämns bl.a. pressfriheten. Om en konventionsstat väljer att inskränka konventionens tillämpningsområde måste en förklaring härom avges till Europarådets generalsekreterare art. 3 2 a. . . Förslaget till E G-direktiv álägger, för att förena integritetsintressena och yttrandefriheten, medlemsstaterna att se till att direktivet inte är tillämpligt när pressen, audiovisuella media och journalister behandlar personuppgifter för journalistiska ändamål art. 9. Av kommentaren till direktivet framgår att artikeln syftar till att undanröja den konflikt som kan uppstå mellan integritetsskyddsintressena och yttrandefriheten. Artikeln förutsätter att medlemsstaterna skall göra en avvägning mellan den enskildes personliga integritet och yttrandefrihet. Vid denna avvägning skall hänsyn tas till bl.a. den enskildes rätt till genmäle, förekomsten av en yrkesetik inom pressen, de gränser som dras upp i Europarådets konvention om mänskliga

rättigheter och de grundläggande regler som finns i lag. Med journalister förstås även fotografer photojournalists och sådana författare som skriver biografier.

7.3 Personregister hos tidningar m.m.

ADB-tekniken utnyttjas i dag i stor utsträckning hos i vart fall de större tidningarna. När det gäller framställningen av tidningar torde de flesta tidningar använda ADB som ett hjälpmedel. Det normala synes vara att varje journalist har tillgång till en persondator, med hjälp av vilken journalisten kan skriva och lagra sina artiklar. Det är i princip endast journalisten själv som har tillgång till denna information. När artiklarna är färdiga överförs de till tidningens stordator, där de normalt blir allmänt tillgängliga för redigering och sättning. Hos vissa tidningar överförs artikeltexten till ett särskilt datoriserat arkivregister. En tid efter sättningen rensas artikeln från stordatorn. Det är något oklart i vilken utsträckning som personregister förekommer i den nu beskrivna verksamheten hos tidningarna. Det kan dock antas att en del journalister utnyttjar tekniken till att upprätta enklare register över t.ex. personer som kan tänkas bidra med information till tidningen. Datortekniken utnyttjas även i övrigt för framställning av tidningar. Det förekommer således att det familjeredaktionerna förs s.k. jubilarregister från vilka uppgifter hämtas om olika bemärkelsedagar. Vidare förekommer det att telegram, som har kommit in under det senaste dygnet, samlas i en särskild registerfil. Telegrammen registreras under särskilda nyckelord vilka kan utgöras av personnamn. Telegrammen kan också innehålla personnamn. På ledarredaktionerna kan finnas register över personer som har deltagit med debattartiklar. Register kan också i princip bestå av bara namn, t.ex. vilka personer som har deltagit i en viss tävling eller som har den högsta årsinkomsten. Register finns också som förs för mer administrativa ändamål och som således inte används som ett direkt led i framställningen av tidningar. Exempel sådana register är register över anställda, leverantörer, abonnenter och andra kunder. Enligt vad utredningen har erfarit förekommer det att uppgifter om utbetalningar till meddelare återfinns i löneregister över anställda. En annan typ av register som förs med hjälp av ADB är direktreklamregister och register som används för annan marknadsföring. Till en del register av ovan redovisat slag har Datainspektionen givit sitt tillstånd. I två fall Pressens Bild Aktiebolag och Vestmanlands Läns Tidnings Aktiebolag gällde frågan tillstånd att inrätta och föra personregister vars ändamål skulle vara att i publicistisk verksamhet

för vissa tidningar ge upplysning om innehållet i tidigare publicerat material. I båda fallen överklagades Datainspektionens beslut till regeringen. Registren innehåller artiklar i fulltext och sökning kan i princip göras på alla 0rd i artiklarna, exempelvis på personnamn, titel, bostadsort, organisations- och företagsnamn, liksom på särskilda ämnes- och nyckelord.

Pressens Bild Aktiebolag

Datainspektionens tillstånd var förenat med ett antal föreskrifter för att förebygga risk för otillbörligt intrång i personlig integritet. Fyra av dessa föreskrifter blev aktuella hos regeringen. Den föreskrift som närmast nu är av intresse är nr som hade följande lydelse.

Personuppgifter som avses i 4 § första stycket datalagen får sedan fem år förflutit från publiceringen av uppgifterna inte vara sökbara annat satt ån genom datum för publiceringen.

Pressens Bild Aktiebolag överklagade Datainspektionens beslut och yrkade att föreskrift nr 5 skulle undanröjas eftersom den innebar en begränsning av tidningarnas möjligheter att tillgodose allmänhetens behov av bred och korrekt information, Regeringen biföll överklagandet såvitt det avsåg föreskriften nr 5 och undanröjde föreskriften.

Vestmanlands Läns Tidnings Aktiebolag

Även i detta ärende hade Datainspektionen meddelat en föreskrift som innebar att personuppgifter som avses i 4 § första stycket datalagen inte fick sedan fem år förflutit från publiceringen av uppgifterna vara sökbara för berörda tidningar annat sätt än genom datum för publiceringen. Efter överklagande undanröjde regeringen föreskriften. I detta ärende var även frågan huruvida allmänheten skulle ha åtkomst till registret uppe. Regeringen medgav att sådan tillgång skulle få finnas under en period av fem år efter publiceringen. I beslutet i denna del anfördes bl.a. följande.

Det får anses vara ett starkt samhälleligt intresse att arkiverat material som varit publicerat i en tidning får vara tillgängligt hos tidningen. Emellertid medför arkiveringen med hjälp av ADB särskilda risker för otillbörligt intrång i den personliga integriteten och att register av förevarande slag kommer att innehålla integritetskänsliga uppgifter. Hår bryts mot varandra två viktiga intressen. Den intresseavvägning som måste göras är av den generella natur att den bör ske i sammanhang med datalagsutredningens arbete. Resultatet av detta arbete bör nu inte föregripas genom ett sådant

ställningstagande i detta enskilda förvaltningsärende som skulle få principiell betydelse.

ADB-tekniken utnyttjas också i stor utsträckning inom public serviceföretagen Sveriges Radio AB, Sveriges Television AB, Sveriges Utbildningsradio AB och Radiotjänst i Kiruna AB. Datainspektionen har meddelat tillstånd till bl.a olika löne- och personalregister, abonnent- och kundregister samt leverantörsregister. Av andra register som förs inom koncernen är vissa särskilt intressanta i detta sammanhang. Här kan nämnas Sveriges Radios register " Internt sändningsarkiv, Ekoredaktionen utlandsprogram" och "Riksradions programdatabas" samt Sveriges Televisions register "Nyhetsdatorisering".

Internt Sändningsarkiv, Ekoredaktionen utlandsprogram

Datainspektionen lämnade genom ett beslut den l december 1986 tillstånd för Sveriges Riksradio AB att inrätta och föra rubricerade personregister. Ändamålet med registret är enligt beslutet det skall att användas för att få fram uppgifter om inslag i bolagets egna nyhetssändningar. I beslutet föreskrivs bl.a. att uppgifter som är äldre än två år skall gallras vid årliga genomgångar av registret. Av ansökningen i tillståndsärendet framgick att sådana utomstående skulle registreras som intervjuas eller medverkar i sändningar. De uppgifter som skulle registreras var namn samt i förekommande fall arbetsgivare, yrke eller organisationstillhörighet eller i vilken annan egenskap personen intervjuades eller medverkade. Ca 60.000 personuppgifter skulle registreras per år. Vidare skulle namnet den hos bolaget anställde reporter som svarade för inslaget registreras samt dennes arbetsort. I fråga om denna kategori skulle registret omfatta ca 100 personuppgifter per år. Materialet skulle bearbetas och sorteras för att få fram urval av inslag av visst slag. Datainspektionen konstaterade i skälen till sitt beslut att registret delvis skulle komma att omfatta personer, som saknade sådan anknytning till bolaget som avses i 3 a§ datalagen, nämligen andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som hade annan därmed jämställd anknytning till denne. Datainspektionen konstaterade vidare att registret kunde komma att innehålla sådana uppgifter som anges i 4 § datalagen, dvs. uppgifter om politisk eller religiös uppfattning, brottslig verksamhet m.m, vilka får registreras endast om särskilda eller synnerliga skäl föreligger. Datainspektionen fann dock med hänsyn till att registret närmast skulle vara att jämföra med ett litteratur- eller biblioteksregister att sådana skäl förelåg att tillstånd kunde meddelas för registret. Datainspektionen hade då beaktat att uppgifterna i registret även omfattades av annan skyddslagstiftning.

Justitiekanslern överklagade Datainspektionens beslut och yrkade att tillståndet skulle förenas med på lämpligt sätt utformade villkor om underrättelse till den om vilken en sådan uppgift som anges i 4 § datalagen skulle registreras samt om möjlighet för den som så önskade att få personuppgifter av detta slag förstörda. Regeringen överlämnade i beslut den 21 maj 1987 till Datainspektionen att meddela ett villkor om skyldighet för den registeransvarige att underrätta personer som registreras i personregistret. I skälen till beslutet anförde regeringen bl.a. att regeringen utgick från att registret skulle föras med beaktande av det tryckfrihets- och radiorättsliga anonymitetsskyddet. Datainspektionen förskrev i beslut den 30 november 1987 att den registeransvarige minst en gång årligen i anslutning till den sändning från Ekoredaktionen som under det valda dygnet beräknades ha flest lyssnare skulle redogöra för registrets innehåll och ändamål. Datainspektionen fann att den gallringsföreskrift som inspektionen redan meddelat i förening med de ändrade rättelsereglema i datalagen tillgodosåg det behov som regeringen avsett i sitt beslut. Sveriges Riksradio AB överklagade sistnämnda beslut och yrkade bl.a. att beslutet skulle upphävas i den del det avsåg skyldighet att informera om registret. Regeringen konstaterade i beslut den 1 juni 1988 att registret utgjorde ett personregister i datalagens mening. I beslutet anförde regeringen vidare bl.a. följande.

Av utredningen i ärendet framgår att sådana särskilt känsliga i 4 § datalagen i viss utsträckning

Eersonuppgifter

som anges ommer att finnas i registret. Till ståndet att föra registret bör därför, som regeringen redan uttalat i sitt beslut den 21 maj 1987, kompletteras med en föreskrift om informationsskyldighet. Föreskriften kan för att fylla sitt syfte ges en sådan mer generell utformning som datainspektionen har angett i sitt i det aktuella ärendet. Av informationen registret

gttrande

nu om ör framgå att sådana känsliga uppgifter som sägs i 4 § datalagen kan komma att registreras. Regeringen beslutar därför att föreskriften skall ha följande l delse.

yDen registeransvarige skall minst gång årligen i rikstäckande

en massmedium redogöra för re istrets innehåll och ändamål. Av denna information skall framg att sådana känsliga uppgifter som anges i 4 § datalagen kan ingå i registret.

Riksradions programdatabas

Datainspektionen beviljade genom ett beslut den 30 augusti 1990 tillstånd för Sveriges Radio AB att inrätta och föra rubricerade personregister. Registret används för att söka fram inspelade och lagrade radioprogram och innehåller bl.a. namn på upphovsmän, namn

SOU 1993: 10 123

på personer som omtalats i program och namn på personer som medverkar i program. Datainspektionen konstaterade i skälen till sitt beslut att registret skulle komma att innehålla uppgifter om politisk eller religiös uppfattning och även uppgifter om brottslig verksamhet dvs. m.m., uppgifter som enligt 4 § datalagen får registreras endast om särskilda respektive synnerliga skäl föreligger. Med hänsyn till att registret är ett sökregister för framtagning av inspelade radioprogram som sänts i riksradion fann Datainspektionen sådana särskilda och synnerliga skäl föreligga. Datainspektionen fäste även stor vikt vid att rundradioverksamheten regleras av skyddslagstiftning och av etiska normer för radio och TV. Datainspektionen anförde vidare i skälen att information till dem som kommer att vara registrerade allmänt sett är av stor betydelse för att förebygga otillbörligt intrång i personlig integritet. En föreskrift om information bedöms därför ofta vara behövlig för tillstånd att registrera personer som inte har anledning räkna med registreringen i fråga. För Sveriges Riksradio AB såsom registeransvarig bör gälla att bolaget inom sändningsomrâdet minst en gång årligen skall informera om registret och redogöra för registrets ändamål och innehåll. I tillståndsbeslutet meddelade Datainspektionen följande villkor.

Minst en gång årligen skall på lämpligt sätt information spridas om re istrets innehåll och ändamål. Av redogörelsen skall framgå att så ana känsliga uppgifter som anges i 4 § datalagen kan ingå i registret.

Vyhetsdatorisering

Datainspektionen beviljade genom ett beslut den 21 februari 1991 tillstånd för Sveriges Television AB att inrätta och föra personregistret "Nyhetsdatorisering". Registret används för att lagra dels externt inkommande nyhetsmaterial och dels eget nyhetsmaterial, som har sänts. De lagrade uppgifterna används för egen vidaresändning antingen i form av nyhetsprogram eller andra program. Av Datainspektionens beslut framgår att uppgifterna i registret inhämtas från bl.a. externa källor till bolaget såsom TT, AP, Reuters, CNN och andra nyhetsbyråer. Vidare står registret i direktkontakt med andra databaser av typ Affärsdata. De registrerade uppgifterna består av dels den text som kommer från de ovan angivna texterna och källorna, dels den text som har lästs upp av nyhetsuppläsaren och dels den ursprungliga manustexten. I registret finns bl.a. följande uppgifter.

I Företags, myndigheters och organisationers kontaktpersoner samt telefonnummer och adresser till dessa.

I De personer som omnämns eller intervjuas i inslaget såsom exempelvis idrottsmän, verkställande direktörer i företag. politiker eller som misstänks för brott, åtalats eller dömts för brott. personer

I Annan känslig information som kan röra religiös uppfattning. sjukdom och omdömen.

Bearbetning av de registrerade uppgifterna sker genom s.k. fritext sökning. Sökning och presentation av resultat sker via terminal. l tillståndsbeslutet meddelade Datainspektionen bl.a. följande villkor.

Den registeransvarige skall minst en gång årligen, ett framträdande sätt, i rikstäckande massmedium redogöra för registrets innehåll och ändamål. Av denna information skall framgå att sådana känsliga uppgifter som anges i 4 § datalagen och omdömen eller annan värderande upplysning enligt 6 § datalagen kan ingå i registret.

Av intresse i detta sammanhang är också ett beslut enligt vilket Sveriges Riksradio AB fick tillstånd att föra ett personregister benämnt "Externt telefonregister". Datainspektionen meddelade sitt tillstånd den l december 1986. Registret skulle användas i nyhetsverksamheten för att ta fram uppgifter lämpligast kunde sökas för en intervju eller om vem som bakgrundsinformation i ett visst ämne. I beslutet föreskrevs att bolaget skulle förstöra personuppgifter rörande en registrerad som begärde det. Justitiekanslern överklagade Datainspektionens beslut och yrkade att tillståndet skulle förenas med en föreskrift om att den som skulle registeras skulle underrättas själva registreringen och om möjligom heten att begära att personuppgifter i registret skulle förstöras. Ändamålet med registret att kunna ringa som bedöms var upp personer lämpliga för intervjuer eller bakgrundsinformation i olika ämnen. Det enligt Justitiekanslerns mening uppenbart att de aktuella personerna var kunde ha ett berättigat intresse av att inte vilja bli störda pä detta sätt. Regeringen biföll överklagandet. l skälen till beslutet anförde regeringen bl.a. följande.

Till detta kommer det tryckfrihets- och radiorättsliga att ---- -anonymitetsskyddet bör beaktas i sammanhanget. Det finns visserlianledning utgå från att personer, som har velat vara anonyma gen när de har medverkat vid tillkomsten av program, inte kommer att röjas på grund registerföringen. För eventuella framtida medav verkande kan emellertid registreringen vara känslig av hänsyn till anonymitetsskyddet. Det är därför angeläget att de ges en reell möjlighet att själva bestämma om de vill vara registrerade eller inte. En sådan möjlighet skapas, om en föreskrift om underrättelseskyldighet meddelas.

SOU 1993: 10 125

En föreskrift om skyldighet för bolaget att underrätta detn sotn registeras i personregistret Externt telefonregister bör därför meddelas. Vidare bör det i underrättelserna erinras om föreskriften i tillståndsbeslutet att den registeransvarige skall förstöra personuppgifter rörande en registrerad som begär det.

Det bör i först hand ankomma datainspektionen att närmare överväga hur den föreskrift bör vara utformad som nu skall meddelas.

Genom beslut den 21 december 1988 meddelade Datainspektionen följande villkor om underrättelseskyldighet.

Den registeransvarige skall underrätta de registrerade om registrets ändamål och innehåll genom att en gång per år sända utdrag ur registret samt även underrätta om de registrerades rätt att egen begäran bli strukna ur registret.

Sveriges Radio AB har avstått från att inrätta registret "Externt telefonregister" med hänvisning till de praktiska olägenheter som den meddelade föreskriften skulle komma att medföra.

7.4 Utredningens tidigare ställningstaganden

Den fråga som utredningen analyserade under sitt tidigare arbete huruvida de föreskrifter som Datainspektionen har att tillämpa i sin verksamhet och som har tillkommit för att skydda enskilds personliga integritet, dvs. främst föreskrifterna i datalagen men även andra författningar av samma. t.ex. särskilda registerlagar, eller lägre konstitutionell valör, kan komma i strid med vissa föreskrifter i TF och YGL. Praktiskt gäller frågan för att ta ett exempel huruvida villkor - som Datainspektionen meddelar för förandet av ett visst personregister eller inspektionens rätt att få insyn i personregister kan komma i konflikt med TFzs och YGL:s regler om förbud mot censur och andra hindrande åtgärder eller med rätten till anonymitetsskydd. Problemet torde ha störst betydelse hos tidningarna men kan också aktualiseras hos bl.a. radio- och TV-företagen och hos bokförlagen. Såvitt utredningen har funnit är det främst bestämmelserna om förbud mot censur och andra hindrande åtgärder och om anonymitetsskyddet i TF och YGL sotn är av intresse. Vad först gäller tidningarna framgår av redovisningen i avsnitt 7.3 att personregister av ganska skilda slag förs med hjälp av ADB hos tidningarna. En typ av register är sådana sotn används som ett direkt tekniskt hjälpmedel i själva framställningen av tidningarna. Exempel på detta är artiklar som utgör ett slags register över kända personers deklarerade inkomster, över framstående avlidna personer under ett år

och över medlemmar i förening. Även familjesidorna kan sägas en vara exempel på sådana register. Sådana register som tidningarna använder före eller vid tryckningen kan betecknas som produktionsregister. Andra register utnyttjas snarast som källor vid framställningen av en tidning. Ur dessa register, som här kallas för källregister, kan uppgifter hämtas för tillkomsten av en tidning. Ett exempel på källregister är register över personer som har lämnat uppgifter till en tidning och som därmed kan vara intressanta att kontakta i framtiden. Ytterligare exempel är klipparkiven och register över nyligen inkomna telegram. Det är alltså fråga om register som har direkt betydelse för publiceringsverksamheten. Andra register har närmast karaktären av administrativa register. Hit hör t.ex. löneregister över anställda, abonnent- och kundregister, leverantörsregister, register över tidningsutbärare. Det är vidare inte ovanligt att tidningar inrättar tillfälliga direktreklamregister och andra liknande marknadsföringsregister. Det finns kanske andra slags personregister hos tidningarna än de nu nämnda och ett register kan användas för olika ändamål. Särskilt intresse tilldrar sig klipparkivregistren, som utgör arkiv över artiklar som varit publicerade i vissa tidningar. Till den del klipparkiven används på tidningsredaktionema av journalisterna har klipparkiven närmast karaktären av källregister. I den utsträckning som allmänheten kan utnyttja dem är arkiven dock något annat än källregister. Vid en närmare granskning av de kollisioner som kan uppstå mellan TF, å ena sidan, och datalagstiftningen, å andra sidan, torde kunna hävdas att reglerna i den nuvarande datalagen om tillstånd och villkor för tillstånd ofta kan leda till konflikter med bestämmelserna i 1 kap. 2 § TF. Utredningen har emellertid föreslagit att tillståndsförfarandet skall utmönstras, varför just denna konflikt inte har berörts närmare av utredningen. Kvar står emellertid, såväl enligt den nu gällande som den kommande datalagen, att Datainspektionen kan uppställa olika mer eller mindre ingripande villkor för ett personregister och i undantagsfall förbjuda att registret förs. Vad först gäller produktionsregistren kan det inte råda någon tvekan om att exempelvis sådana villkor för ett registers förande av Datainspektionen som tar sikte på registrets innehåll ofta kan verka väsentligt försvarande för tryckningen och utgivningen av en tidning. Visserligen tar inspektionens villkor formellt sikte registret som sådant, men eftersom registret i princip skall utgöra en del av tidningen rör villkoren i praktiken tidningens innehåll. Sådana villkor kan alltså stå i strid med 1 kap. 2 § TF. Det får emellertid antas att vissa villkor av mindre ingripande slag beträffande ett produktionsregister inte behöver komma i konflikt med TF. Det är dock svårt att närmare ange var denna gräns går. En generös tolkning av TF leder emellertid till att det i tveksamma fall får anses uppstå en kränkning av l kap. 2 § TF. De bestämmelser i datalagen som mer allmänt rör den registeransvariges skyldigheter alltså de som avser att registret skall föras för -

ett bestämt ändamål, skyldigheten att föra förteckning över en förekommande personregister, skyldigheten att rätta oriktiga uppgifter, skyldigheten att lämna registerutdrag torde normalt när det gäller etc. produktionsregistren inte komma i strid med l kap. 2 § TF. Vad därefter gäller sådana källregister inte meddelare som avser torde den tillsyn som Datainspektionen utövar bl.a. beslut genom om olika villkor kunna verka väsentligt försvarande för framställningen av en tidning och därmed komma i konflikt med l kap. 2 § TF. Vid en ren bokstavstolkning av l kap. 2§ TF kan naturligtvis hävdas att villkor rörande ett källregister, som pâ ett annat sätt än produktionsregistren har betydelse för en tidnings innehåll, inte kan ge upphov till någon konflikt av nu nämnt slag. Ett sådant synsätt är emellertid enligt utredningen alltför formalistiskt. En lojal tolkning paragrafen av innebär att villkor rörande ett källregister bör ses som preventiva ingripanden i förhållande till tryckningen som kan komma i konflikt med grunderna för l kap. 2 § TF. En förutsättning för detta är dock att det är fråga om källregister som är direkt avsedda som ett stöd för den journalistiska verksamheten. Sådan karaktär har bl.a. klipparkivregistren och register över nyligen inkomna telegram. Vad som nu har sagts gäller däremot inte register som närmast kan betecknas som litteratur- eller biblioteksregister. Inte heller hör hit material som en journalist samlar in som underlag för en planerad artikel. Liksom har sagts om produktionsregistren torde dock beträffande källregistren vissa villkor av mindre ingripande karaktär och föreskrifterna rör som den registeransvariges allmänna skyldigheter kunna vara sådana att någon konflikt av nu aktuellt slag inte uppstår. En speciell typ av register som har hänförts till källregister är klipparkivregistren. Dessa register kan ha olika ändamål. Ett sådant, det viktigaste får man anta, är att arkiven används i tidningarnas publicistiska verksamhet. Journalisterna utnyttjar alltså i det sammanhanget klipparkiv-registren för att skriva nya artiklar. Registren blir därmed ett hjälpmedel och många gånger en nödvändig förutsättning för framställningen av en tidning. l den utsträckning som klipparkiven används för tidningarnas publicistiska verksamhet utgör de ett slags källregister. Sådana villkor av Datainspektionen som rör förandet av klipparkivregistren kan med den tolkningen av 1 kap. 2 § TF som utredningen förordat bli väsentligt försvarande för framställningen av en tidning och därmed komma att stå i strid med TF. Till källregistren har utredningen även hänfört register över personer som har lämnat meddelanden till en tidning. Sådana personer åtnjuter anonymitetsskydd enligt TF. Föreskrifterna i datalagen, som medger att Datainspektionen i sin tillsynsverksamhet tar del av alla personregister som förs med hjälp av ADB, synes sålunda kunna leda till att av TF skyddade uppgifter röjs för utomstående.

När det gäller andra register som förs hos tidningar, alltså främst olika administrativa register och marknadsföringsregister, torde datalagens regelsystem normalt inte behöva leda till några konflikter med TF. Det är alltså här fråga register som är av en mer allmän om karaktär och inte är direkt typiska för en tidning. Problem av som diskuterat slag kan dock inte helt uteslutas när det gäller nu ovan nämnda register. Sålunda kan ett löneadministrativt register avseende anställd personal vid tidning också innehålla uppgifter om utbeen talningar till meddelare. Teoretiskt kan vidare villkor eller bestämmel- Datainspektionen rörande ett abonnent- och kundregister ser av försvåra utgivningen tidning på sådant sätt att villkoren eller av en bestämmelserna kommer i konflikt med TF, om villkoren eller bestämmelserna har tillkommit med hänsyn till tidningens innehåll exempelvis g.a. kränkande och oanständiga artiklar. Av den hittills gjorda genomgången framgår att konflikter kan uppstå vid tillämpningen TF och datalagen på personregister hos av tidningarna. Dessa konflikter tar sig uttryck på så sätt att datalagens regelsystem kan verka väsentligt försvarande för tryckningen eller

utgivningen av en tidning. Vad det i praktiken handlar om är närmast ingripande villkor för förandet meddelas av Datainspektionen mer som rörande främst tidningarnas produktionsregister och källregister. Konflikten visar sig också på så sätt, att tidningarna kan ha personregister innehåller uppgifter som är skyddade av tystnadsplikt men som Datainspektionen likväl kan komma att få del av. som Kollisioner mellan TF och datalagen kan uppstå inte bara hos tidningarna. Även problemen torde vara något vanligare hos om tidningarna, kan de uppstå även hos andra medier som skyddas av TF

och YGL. Av redovisningen rörande förekomsten av personregister som ovan förs med ADB-stöd inom Sveriges Radio-koncernen framgår att Datainspektionen har uppställt olika mer eller mindre ingripande

villkor för dessa register. Det register Sveriges Television AB för, "Nyhetsdatorisering", som har delvis karaktären ett produktionsregister genom att det består av den text nyhetsuppläsaren läser upp. Men detta register, liksom av som de register beskrivits tidigare och som förs av Sveriges Riksradio som AB, används också för tillkomsten av program. De kan således betraktas vad utredningen har valt att kalla för sådana källregister som är direkt avsedda som ett stöd för programverksamheten. som Det utredningen har fört beträffande de konflikter resonemang som kan uppstå vid tillämpningen TF och datalagen personregissom av hos tidningarna gäller också enligt utredningen då YGL och datater lagen tillämpas på personregister hos Sveriges Radio-koncernen. l detta sammanhang kan särskilt framhållas att Sveriges Radio AB har avstått från inrätta registret "Externt telefonnummer" p. g.a de att

olägenheter som Datainspektionens villkor underrättelseskyldighet om beträffande registrets ändamål och innehåll innebar. Konflikter av det slag som nu har beskrivits kan vidare bara för att ta något exempel uppstå inom förläggarbranschen. Där före- kommer således produktionsregister, t.ex. vid tryckningen av matriklar samt kataloger och förteckningar olika slag innehåller av som personuppgifter. Andra exempel på produktionsregister är register som används för att framställa olika slags spärrlistor. Villkor rör dessa som register kan alltså stå i strid med l kap. 2 § TF. Material som en författare har samlat in och lagrat i dator kan emellertid inte en anses utgöra register som skyddas av TF. Detsamma gäller material som en forskare har registrerat med anledning av ett vetenskapligt projekt. De konflikter mellan 1 kap. 2 § TF och l kap. 3 § YGL samt datalagstiftningen som har beskrivits beror på att olika är normer oförenliga i vissa situationer. Frågan är då vilken skall norm som vinna företräde. Vad som är speciellt för de aktuella fallen är nu att det rör sig om normer av olika konstitutionell dignitet. Å sidan är ena det TF och YGL, är grundlagar, är tillämpliga. Å andra som som sidan gäller det tillämpningen av främst datalagen och föreskrifter som har meddelats med stöd av den lagen, alltså föreskrifter i vanlig lag och myndighetsföreskrifter. Det normala sättet för en myndighet att lösa normkonflikter mellan dels grundlagar och dels övriga av riksdagen beslutade lagar, regeringsförordningar samt föreskrifter utfärdade förvaltningsmyndigav heter är att använda vanliga lagtolkningsmetoder. Om den vägen inte är framkomlig, gäller den principen att en författning högre av rang äger företräde framför en av lägre konstitutionell dignitet. I de av utredningen beskrivna konfliktsituationerna skall således i princip TF och YGL, som grundlagar, ta över datalagstiftningen. Denna princip brukar kallas för lex superiorprincipen. En slutsats att normkonflikten mellan å ena sidan TF och YGL och å andra sidan datalagen skall lösas så att de tvâ förstnämnda lagarna skall äga företräde kan möjligen sättas i fråga med hänsyn till bestämmelsen i 2 kap. 3 § andra stycket RF. 1 denna bestämmelse föreskrivs nämligen att varje medborgare skall, iden utsträckning som anges i lag, skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av ADB. Bakgrunden till föreskriften i RF, som trädde i kraft den l januari 1989, var att ge integritetsskyddet dataområdet fastare förankring en i RF än det hade genom målsättningsstadgandet i l kap. 2 § RF, vari bl.a. sägs att det allmänna skall värna den enskildes privatliv och familjeliv. Genom den nya regeln i RF åläggs lagstiftaren aktiv att vara genom att stifta och vidmakthålla en datalagstiftning. Den nya grundlagsbestämmelsens rättsliga betydelse är, enligt förarbetena, att datalagstiftningen skall utgöra en verklig och allvarligt menad skyddslagstiftning. Däremot ligger det i sakens natur att bestämmelsen

inte kommer att kunna tillämpas direkt av myndigheterna prop. 1987/88:57 s. ll. En principiell skillnad föreligger således enligt utredningen mellan föreskrifterna om förbudet mot censur och andra hindrande åtgärder i TF och YGL samt den nya bestämmelsen i 2 kap. 3 § RF. De förstnämnda föreskrifterna riktar sig till myndigheter eller andra allmänna organ. Med det sistnämnda uttrycket avses även regeringen och riksdagen. TF och YGL förbjuder således Datainspektionen att vidta någon som helst åtgärd som kan verka hindrande sätt anges i TF och YGL. Det nya stadgandet i 2 kap. 3 § RF har emellertid lagstiftaren alltså riksdagen som adressat. Enligt utredningen måste - man mot bakgrund av det sagda utgå från att Datainspektionen, i såväl ett enskilt fall som vid normgivning, måste böja sig för TF och YGL, trots föreskriften i 2 kap. 3 § RF. Utredningen utgår således från att TF och YGL vad gäller censurförbud och andra hindrande åtgärder tar över datalagstiftningen vid en eventuell normkollision. Vad beträffar föreskrifterna i TF och YGL om anonymitetsskydd gäller visserligen att även de tar över andra föreskrifter av lägre konstitutionell valör. Någon direkt konflikt mellan TF och YGL, å ena sidan, och datalagens regler, å andra sidan, föreligger emellertid inte i detta fall. Datainspektionens tillsynsverksamhet går inte ut på att efterforska författares, utgivares eller meddelares identitet utan har helt andra syften. Likväl kan inspektionens verksamhet leda till problem i fråga anonymitetsskyddet. Detta sammanhänger med att det enligt om utredningen föreligger betydande risk för att skyddade uppgifter en oavsiktligt kan komma att röjas då Datainspektionen utövar sin tillsyn. Enligt utredningen är risken för att uppgifter som är skyddade av anonymitet genom TF och YGL skall röjas för obehöriga när Datainspektionen utövar tillsyn inte försumbar. Erfarenheterna från liknande situationer, nämligen då tvångsmedel används mot en tidning och vid taxeringsrevision av en tidning, visar att anonymitetsskyddet inte är tillfredsställande. Den slutsats utredningen drog av sina resonemang är följande. som Grundlagsbestämmelserna i TF och YGL skall tillämpas framför datalagstiftningen vid en konflikt dem emellan. Utredningen har också funnit att det vid den Vägning som bör göras av olika skyddsintressen är rimligt att de grundlagsskyddade bestämmelserna inom yttrandefrihetsområdet på det sättet tar över datalagen, även om skyddet mot otillbörligt intrång i den personliga integriteten i samband med personregistrering med hjälp av ADB numera också har viss grund-

lagsanknytning se 2 kap. 3 § RF.

Utredningen föreslog därför att någon saklig ändring inte görs i nuvarande ordning. Däremot bör vissa förtydliganden göras i datalagen för att vilka slag av personregister som bör tas undan från ange datalagens tillämpningsområde. Hit hör produktionsregister, dvs.

personregister som används som ett direkt tekniskt hjälpmedel före eller vid framställningen av ett grundlagsskyddat yttrande. Vidare bör källregister, dvs. de register som är direkt avsedda som ett stöd för den journalistiska verksamheten, för programverksamheten etc., undantas. Som exempel på sådana register kan nämnas register över meddelare och register, som är personrelaterade, över nyligen inkomna telegram. I den mån datoriserade klipparkiv används i tidningarnas publicistiska verksamhet bör dessa också anses som källregister i nu angiven mening. Utredningen övervägde även om datalagen i vissa delar skulle kunna göras tillämplig på de register som nu har nämnts, exempelvis i fråga om en registeransvarigs allmänna skyldigheter. Utredningen fann emellertid att olika skäl, framför allt det nödvändiga behovet av att inskränka Datainspektionens tillsynsrätt, talar emot en sådan lösning. Slutligen behandlade utredningen när det gäller personregistrering på massmediernas område frågan om datoriserade klipparkiv bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Enligt utredningen kommer klipparkiven utan tvekan att bli känsliga från integritetssynpunkt. De kommer med tiden att innehålla en stor mängd personuppgifter, varav inte så få av känslig natur. Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas med stor lätthet. Uppgifterna kommer vidare att bevaras under lång tid. Det nu sagda talade enligt utredningen med viss styrka för att klipparkivregistren inte bör undantas från datalagen då de används för andra ändamål än att tjäna tidningarnas publicistiska verksamhet, t.ex. att ge allmänheten tillgång till registren. Vid en samlad bedömning fann utredningen emellertid att den lämpligaste lösningen är att klipparkivregistren helt undantas från datalagens tillämpningsområde. Den nu angivna lösningen innebär att det blir tidningarna själva som får avgöra i vilken utsträckning som allmänheten får tillgång till klipparkiven. Det saknas enligt utredningen anledning att anta att tidningarna inte skulle kunna sköta denna uppgift med tillbörlig hänsyn till integritetsintressena. Med den lösning som utredningen funnit lämplig för personregistrering för massmediernas del skulle dock framgent personregister som förs för administrativa ändamål, t.ex. löne- och personalregister, alltjämt omfattas av datalagens bestämmelser. Det får ankomma på exempelvis tidningarna att ha sina register ordnade så, att de uppgifter som omfattas av grundlagsskyddet förs skilda från de administrativa registren för att undvika att konflikter uppstår i samband med tillsyn och kontroll. Några särskilda regler härom ansåg utredningen dock inte vara erforderliga.

7.5 Remissutfallet

Flera remissinstanser är positiva till utredningens förslag hur konflikten mellan grundlagarna och datalagstiftningen bör lösas. Justitiekanslern anser att utredningens slutsats att produktionsregistren helt bör undantas från datalagens föreskrifter om tillsyn är välmotiverad. Inte heller källregistren bör enligt Justitiekanslern omfattas av datalagen. Kammarrätten i Göteborg delar utredningens uppfattning att datalagens regelsystem kan stå i strid med TF. Kammarrätten menar dock att det är vanskligt att bedöma avvägningen mellan offentlighets- och integritetsskyddsintressena med hänsyn till bestämmelsen i 2 kap. 3 § RF. Enligt Universitets- och högskoleämbetet bör produktions- och källregister undantas från datalagen. Lunds universitets juridiska fakultetsstyrelses forskningsnämnd delar utredningens uppfattning att datainspektionen inte bör ha tillgång till register över anonymitetsskyddade personer. Enligt nämnden hindrar detta emellertid inte att man i t.ex. datalagen tar in särskilda bestämmelser till skydd för den registrerade som kompletterar det skydd som TF ger. Forskningsnämnden har samma uppfattning som utredningen när det gäller register som står i ett direkt tekniskt samband med sättnings- och tryckningsprocessen. I huvudsak positiva till utredningens förslag är vidare Kungliga Vetenskapsakademien, Humanistisk-Samhallsvetenskapliga forskningsrådet, Statskontoret, Svenska Bokförläggareföreningen och Annonsörföreningen, Dagligvaruleverantörers Förbund, Direkthandelsföretagens Förening, Swedish Direct Marketing Association, Svenska Postorderföreningen, Sveriges Marknadsförbund, Sveriges Reklamförbund, Sveriges Telemarketing Förening, Sveriges författarförbund, Sveriges Industnförbund, Svenska Arbetsgivareföreningen, Företagarnas Riksorganisation, Sveriges Akademikers Centralorganisation, Sveriges Psykologförbund och BIK-förbundet. Några remissinstanser är i princip positiva till utredningens förslag men har förordat längre gående undantag från datalagens tillämpningsområde. Juridiska fakultetsstyrelsen vid Uppsala universitet anser att begreppet källregister inte bör avgränsas så snävt att det inte inkluderar det underlag som en journalist samlar in för en planerad artikel. Liknande ställningstaganden intas av Sveriges Radio AB, Tjänstemännens Centralorganisation, Publicistklubben, Svenska journalistförbundet, Svenska tidningsutgivareföreningen, Pressens samarbetsnämnd och Föreningen Grävande Journalister. Om källregistren undantas frän datalagens tillämpningsområde, bör enligt Pressens opinionsnämnd undantaget även omfatta material som en journalist samlar in som underlag för en planerad artikel. Några remissinstanser framför kritiska synpunkter mot utredningens förslag. Riksdagens ombudsmän JO Hans Ragnemalm finner med

hänvisning till 2 kap. 3 § RF att utredningen inte tillfredsställande har motiverat sitt förslag att exkludera så många register hos massmedierna från den kommande datalagens tillämpningsområde. Datainspektionen menar att målsättningen även i fortsättningen bör vara att det finns åtminstone grundläggande normer om personregistrering för massmediemas register. Det bör enligt inspektionen vara möjligt att utan hinder av tryekfriheten tillgodose integritetsskyddsintressena i vart fall när det gäller den enskildes insynsrätt och ADB-säkerhet. Inspektionen framhåller också att begreppet källregister och andra begrepp som utredningen använder är svårtolkade. Enligt Lunds universitets juridiska fakultetsstyrelses forskningsnämnd är utredningens resonemang beträffande register som utgör innehållsliga källor alltför onyanserat. Det rör sig om en konflikt mellan olika intressen. Regeln i l kap. 2 § TF besvarar inte på något självklart sätt hur konflikten skall lösas. Enligt nämnden är det snarast så att vart och ett av intressena har grundlagsstöd. Juridiska fakultetsnämnden vid Stockholms universitet finner det rent begreppsmässigt och terminologiskt osäkert vilka undantag från datalagen som utredningen föreslår. Fakultetsnämnden kan vidare inte utan reservationer godta utredningens tolkning av gällande rätt, dvs. att TF och YGL som lex superior tar över datalagstiftningen, inklusive 2 kap. 3 § RF. Konflikter på grundlagsnivå bör enligt nämnden lösas mer nyanserat än vad utredningen förordar. Nämnden anser att både produktionsregister och källregister i princip bör kunna föras in under datalagens tillämpningsområde. Konflikterna med informationsfriheten får regleras på varje punkt där de föreligger eller uppkommer. Kritiska synpunkter framförs

också av Samhällsvetenskapliga fakulteten vid Umeå universitet.

Flera remissinstanser uttalar sig över utredningens förslag att klipparkivregister bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Justitiekanslern anser att utredningens slutsats att klipparkivregistren helt bör undantas från datalagen är väl underbyggd. Enligt Justitiekanslern kan det knappast uteslutas att villkor för allmänhetens tillgång får återverkningar beträffande registrens användning i den publicistiska verksamheten. Justitiekanslern betonar i sammanhanget att Pressens opinionsnämnd inte bör tas i anspråk för några uppgifter som skulle kunna föra in andra hänsyn än de pressetiska. Universitets- och högskoleämbetet delar utredningens förslag. Juridiska fakultetsstyrelsen vid Uppsala universitet framhåller att det är uppenbart att klipparkiv kan innehålla mycket känsligt material. Detta innebär emellertid inte att offentlig kontroll och lagstiftning måste sättas in. Först om det kommer fram belägg för oacceptabla integritetskränkningar bör lagstiftning övervägas. Positiva till utredningens förslag är också Statskontoret, Sveriges Radio AB, Svenska journalistförbundet och Svenska tidningsutgivareföreningen.

Kritiska synpunkter saknas dock inte till utredningens förslag i sistnämnda fråga. Riksdagens ombudsmän säger sig vara särskilt tveksam till att undanta de från integritetsskyddssynpunkt mycket känsliga klipparkiven. Datainspektionen framhåller att de pressetiska reglerna och pressens egen bevakning inte omfattar pressens registerhållning. Denna bevakning utgör därför enligt inspektionen inget värn mot integritetskränkningar, även om de nuvarande massmedieföretagen bedrivs under seriösa former. Lunds universitets juridiska fakultetsstyrelsens forskningsnämnd tar upp några frågor som ytterligare bör övervägas när det gäller klipparkiven. Följande frågor menar nämnden är relevanta. Är uppgifterna tidigare publicerade eller ej Avser uppgifterna offentliga personer eller privatpersoner Avser uppgifterna barn, ungdomar eller vuxna Av vilken art är uppgifterna enskilda levnadsöden, politiska handlingar, åsikter, brott, sjukdomar osv. För vilka syften är det illegitimt att använda uppgifterna Vilken roll bör i sammanhanget tilläggas Pressens opinionsnärnnd och Allmänhetens pressombudsman Kritiska synpunkter när det gäller förslaget att klipparkiven skall ställas utanför datalagen framförs också av Sveriges Industnförbund, Svenska Arbetsgivareföreningen, Företagens Riksorganisation. Tjänstemännens Centralorganisation menar att det inte finns någon anledning att begränsa allmänhetens möjligheter att aktivt inhämta samhällsinformation som har varit tryckt. När uppgifter ur klipparkiven används i kommersiellt syfte bör dock datalagen vara tillämplig. Enligt Landsorganisationen i Sverige bör datalagen innehålla grundläggande krav kring hanteringen av klipparkiven. Pressens opinionsnämnd avvisar tanken att nämnden eller Allmänhetens pressombudsman medverkar i Datainspektionens tillsyn av tidningar.

7.6 överväganden

Utredningen har således i sina tidigare ställningstaganden kommit fram till att konflikter kan uppstå vid tillämpningen av TF och YGL samt datalagstiftningen, dels genom att datalagens regelsystem i viss utsträckning kan verka försvarande för framställningen av olika yttranden och dels genom grundlagarnas regler om anonymitetsskydd. Enligt utredningen har man att utgå från att grundlagsbestämmelsema skall tillämpas framför datalagstiftningen vid en konflikt dem emellan. Utredningen har också funnit att det vid den Vägning som bör göras av olika skyddsintressen är rimligt att de grundlagsskyddade bestämmelserna inom yttrandefrihetsornrådet på det sättet tar över datalagen, även om skyddet mot otillbörligt intrång i den personliga integriteten i samband med personregistrering med hjälp av ADB numera också

har viss grundlagsanknytning se 2 kap. 3 § RF.

Utredningen har därför tidigare föreslagit att någon saklig ändring inte görs i nuvarande ordning. Däremot bör vissa förtydliganden göras i datalagen för att ange vilka slag av datasamlingar som bör tas undan från datalagens tillämpningsområde. Hit hör produktionsregister, dvs. personregister som används som ett direkt tekniskt hjälpmedel före eller vid framställningen av ett grundlagsskyddat yttrande. Vidare bör källregister, dvs. de register som är direkt avsedda som ett stöd för den journalistiska verksamheten, för programverksamheten etc., undantas. I den mån datoriserade klipparkiv används i tidningarnas publicistiska verksamhet bör dessa också anses som källregister i nu angiven mening. Utredningen har även övervägt om datalagen i vissa delar skulle kunna göras tillämplig på de datasamlingar som nu har nämnts, exempelvis i fråga om en persondataansvarigs allmänna skyldigheter. Utredningen har emellertid funnit att olika skäl, framför allt det nödvändiga behovet av att inskränka datainspektionens tillsynsrätt, talar emot en sådan lösning. Slutligen har utredningen i sina tidigare ställningstaganden när det gäller behandling av personuppgifter massmediernas område behandlat frågan om datoriserade klipparkiv bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Efter att ha gått igenom och utförligt redovisat de argument som talar för och emot en sådan lösning har utredningen slutligt stannat för att klipparkiven helt bör undantas från datalagens tillämpningsområde. Det innebär bl.a. att det blir massmcdieföretagen själva som får avgöra i vilken utsträckning allmänheten får tillgång till klipparkiven med deras många gånger som integritetskänsliga material. Enligt utredningens mening saknas det anledning att anta annat än att tidningarna m.fl. skulle kunna sköta denna uppgift med tillbörlig hänsyn till integritetsintressena. Utredningen tar i den följande framställningen först upp frågan om normkonflikten mellan grundlagarna och datalagstiftningen. Därefter kommer utredningen att behandla frågan om klipparkiven bör undantas från datalagen i den del de har andra ändamål än att tjäna som tidningarnas publicistiska verksamhet.

Normkonflikten mellan grundlagarna och datalagstiftningen

Flertalet remissinstanser synes i och för sig godta utredningens slutsats att datalagstiftningen i viss utsträckning kan verka försvarande för framställningen av olika yttranden. Remissinstanserna har inte heller ifrågasatt utredningens påstående att det finns risk för att konflikter kan uppstå till följd av grundlagarnas regler om anonymitetsskydd. Några remissinstanser har emellertid ändå inte godtagit utredningens slutsats att TF och YGL skall äga företräde framför datalagstiftningen. Dessa remissinstanser har som skäl härför åberopat bestämmelsen i 2

kap. 3 § RF. Tanken torde vara den att de konflikter som utredningen har pekat på rätteligen avser normkonflikter pá grundlagsnivá. Utredningen har svårt att ansluta sig till detta synsätt. Bestämmelsen i 2 kap. 3 § RF skall visserligen ses mot den bakgrunden att integritetsfrâgorna har en särskild vikt på ADB-omrâdet. Förmågan att skydda den personliga integriteten är nämligen avgörande betydelse av för utvecklingen pá ADB-området. En grundförutsättning för att ADBtekniken skall kunna utnyttjas är att människorna inte känner främlingskap och upplever tekniken som ett hot mot den personliga integriteten. Genom bestämmelsen i2 kap. 3 § RF fick integritetsskyddet på dataområdet en fastare förankring än genom mâlsättningsstadgandet i l kap. 2 § RF, som föreskriver att det allmänna skall värna den enskildes privatliv och familjeliv prop. 1987/88:57, 6 och 9. s. Även integritetsskyddet om genom 2 kap. 3 § RF således har fått grundlagsförankring, menar utredningen att det föreligger prinen cipiell skillnad mellan föreskrifterna förbud mot och andra om censur hindrande åtgärder i TF och YGL samt bestämmelsen i 2 kap. 3 § RF. Som utredningen har framhållit i sina tidigare ställningstaganden riktar sig bestämmelserna i TF och YGL till myndigheter eller andra allmänna organ. Med det sistnämnda uttrycket även regeringen avses och riksdagen. TF och YGL förbjuder således Datainspektionen att vidta någon som helst åtgärd som kan verka hindrande på sätt anges i TF och YGL. Det nya stadgandet i 2 kap. 3 § RF har emellertid lagstiftaren alltså riksdagen som adressat. Enligt utredningen måste - man mot bakgrund av det sagda utgå från att Datainspektionen, i såväl ett enskilt fall som vid normgivning, måste böja sig för TF och YGL, trots föreskriften i 2 kap. 3 § RF. Utredningen utgår därför alltjämt från att TF och YGL vad gäller censurförbud och andra hindrande åtgärder tar över datalagstiftningen vid en eventuell normkollision. Det kan naturligtvis sättas i fråga om det är rimligt att datalagen skall vika för TF och YGL med hänsyn till bestämmelsen i 2 kap. 3 § RF. Det finns dock enligt utredningen skäl talar för den som att nuvarande ordningen innebär en lämplig avvägning mellan de olika intressen som här står mot varandra. De flesta av de här aktuella datasamlingarna torde normalt vara ganska harmlösa. Man kan emellertid inte bortse från att det i del en fall kan röra sig om datasamlingar med känslig information. Av avgörande betydelse för principfrågan är emellertid enligt utredningen att den grundlagsskyddade friheten att yttra sig i skrifter och andra medier inte bör begränsas, om det inte är nödvändigt med hänsyn till motstående intresse. Något så uttalat intresse att en begränsning bör ske finns enligt utredningens mening inte. Man kan inte heller bortse från att de möjligheter som det här är fråga för om en myndighet att ingripa mot t.ex. tidningarna i förlängningen kan innebära ett hot mot den fria åsiktsbildningen. Det är mot denna

bakgrund som utredningen menar att den nuvarande ordningen att TF och YGL vid normkonflikt tar över datalagen är den mest lämpliga. Utredningen har således stannat för att nuvarande ordning enligt vilken TF och YGL i princip tar över datalagen vid konflikter är i huvudsak rimlig. Det är emellertid till undvikande av missförstånd angeläget att det i den blivande datalagen tas in en regel i som anger vilka fall lagen inte är tillämplig. I det följande kommer utredningen närmare att diskutera de fall då den blivande datalagen inte bör vara tillämplig. Av de hittills förda resonemangen följer att det i princip inte rör sig om några sakliga ändringar som utredningen föreslår. Vad det handlar är att om utredningen försöker precisera när sådana normkonflikter föreligger som innebär att datalagen måste vika. Först behandlar utredningen produktionsregistren och sådana källregister som utgör register över anonymitetsskyddade personer. Därefter tar utredningen upp andra källregister. Vad först gäller produktionsregistren, dvs. register som står i ett direkt tekniskt samband med sättnings- och tryckningsprocessen, föreslog utredningen under sitt tidigare arbete att de helt skulle undantas från datalagens tillämpningsområde. Dessa register används som ett direkt tekniskt hjälpmedel för att framställa tryckta skrifter och andra yttranden. Härav följer att de uppstår redan när de börjar att sättas upp och att de normalt är ganska kortvariga. Utredningen fann visserligen att det inte givet att all tillvar synsverksamhet av Datainspektionen skulle behöva leda till normkonflikter. Vidare menade utredningen att den persondataansvariges allmänna skyldigheter enligt datalagstiftningen inte heller skulle behöva få denna konsekvens. Utredningen fann det emellertid knappast praktiskt när det gäller tillsynsverksamheten att låta datalagen få ett så begränsat tillämpningsutrymme som det här skulle vara fråga om. Vad det i praktiken i så fall handlar om är att Datainspektionen skulle kunna besluta villkor om av mindre ingripande slag. Bortsett från den jämförelsevis ringa betydelse sådana villkor har för integritetsskyddet kan Datainspektionen inte om dessa mindre ingripande villkor inte efterlevs skärpa villkoren utan att 1 kap. 2 § TF eller l kap. 3 § YGL överträds. Mot bakgrund härav och även med hänsyn till de gränsdragningsproblem som här annars skulle uppstå ansåg utredningen att produktionsregistren helt bör undantas från datalagens regler om tillsynsverksamhet. Vad därefter gäller datalagens föreskrifter om den persondataansvariges allmänna skyldigheter kan det naturligtvis inte bestridas att det från integritetssynpunkt skulle ha ett visst värde om dessa föreskrifter gällde för produktionsregistren. Vad som ändå talar mot lösning en som innebär att reglerna om den persondataansvariges allmänna skyldigheter blir tillämpliga på produktionsregistren är att Datainspektionen knappast skulle ha några möjligheter att ingripa, om reglerna

inte efterlevs. ingripanden från Datainspektionens sida som i sista hand kan innebära ett förbud att behandla personuppgifterna skulle nämligen med all sannolikhet komma i konflikt med 1 kap. 2 § TF och l kap. 3 § YGL. Mot denna bakgrund förordade utredningen att datalagen inte heller i denna del skall kunna tillämpas på produktionsregistren. De allra flesta remissinstansema har varit positiva till utredningens förslag vad gäller produktionsregistren. Några remissinstanser menar emellertid att det skulle vara av värde från integritetsskyddsynpunkt om datalagen vore tillämplig åtminstone i sådan utsträckning som det inte innebär någon risk för normkonflikt, exempelvis i fråga om en persondataansvarigs allmänna skyldigheter. Som utredningen tidigare har kommit fram till är det tveksamt vilket värde en sådan begränsad tillämpning skulle ha. Här kan också tilläggas att det från integritetssynpunkt inte torde innebära några allvarligare betänkligheter om datalagen inte är tillämplig på produktionsregistren. De datasamlingar som det här är fråga om torde i allmänhet inte vara speciellt integritetskänsliga, detta särskilt med tanke på att de många gånger är ganska kortlivade, även om ett eller annat kan vara av integritetskänsligt slag. Även uppgifternas karaktär är mestadels ganska harmlösa, t.ex. om det är fråga om datasamlingar som inrättas för tidningarnas familjesidor. Härtill kommer att produktionsregistren, vars innehåll normalt flyter in i en tidning, blir föremål för pressens självsanering. Enligt utredningens mening kan man utgå från att pressens egen bevakning när det gäller tillämpningen av god publicistisk sed utgör en tillräcklig garanti för att integritetsintressena så vitt nu är i fråga inte kommer att trädas för när. Utredningens slutsats beträffande produktionsregistren är således alltjämt att de helt bör undantas från den blivande datalagens tillämpningsområde. Även när det gäller sådana källregister utgör register över som anonymitetsskyddade personer föreslog utredningen vid sina tidigare ställningstaganden att de skulle undantas från datalagens tillämpningsområde. Uppgifter om en meddelares identitet är visserligen skyddade enligt TF och YGL. Utredningens förslag i denna del grundade sig emellertid på att det finns en risk för att sådana uppgifter kan komma fram i andra situationer än då uppgifterna direkt efterforskas, t.ex. i samband med tillsyn av Datainspektionen. De allra flesta remissinstansema har godtagit utredningens förslag i denna del. De datasamlingar som det här rör sig om är knappast, såvitt utredningen har kunnat komma fram till, speciellt integritetskänsliga. Det rör sig inte några omfattande datasamlingar och uppgifterna om de om enskilda är normalt harmlösa. Det finns således enligt utredningen inget stöd för att anta att de datasamlingar som det här är frågan om medför någon nämnvärd risk för otillbörligt intrång i den personliga

SOU 1993: 10 139

integriteten, i varje fall inte om man gör en mer allmän integritetsbedömning. Från en synpunkt är dock de nu aktuella datasamlingama särskilt känsliga, nämligen vad gäller just identiteten på den som har lämnat meddelanden till en tidning. Det är just vikten av att den enskilde meddelarens namn inte röjs som gör det så viktigt att anonymitetsskyddet är effektivt. Saken kan också uttryckas så att anonymitetens betydelse ligger just däri att den stannar exklusivt mellan medieföretaget och meddelaren. Enligt utredningens mening kan det mot denna bakgrund hävdas att ett fullgott anonymitetsskydd är det i princip kanske viktigare sättet genom vilket integriteten skyddas. Slutsatsen av det nu förda resonemanget bör enligt utredningen bli att datalagen inte bör vara tillämplig på datasamlingar som innehåller uppgifter som är omfattade av anonymitetsskyddet i TF och YGL. Teoretiskt skulle man kunna tänka sig att låta datalagen vara tillämplig nu aktuella datasamlingar utom såvitt gäller möjligheten för Datainspektionen att utöva tillsyn. De argument som utredningen ovan har framfört beträffande produktionsregistren till stöd för att helt undanta dem från datalagen kan emellertid enligt utredningen i allt väsentligt åberopas även beträffande de nu aktuella datasamlingama. Utredningen har därför kommit till samma slutsats när det gäller de anonymitetsskyddade registren som beträffande produktionsregistren. Utredningen går nu över och behandlar andra källregister än sådana som innehåller uppgifter om anonymitetsskyddade personer. Utredningen föreslog under sitt tidigare arbete att även dessa källregister uttryckligen skulle undantas från datalagens tillämpningsområde. Med källregister avsåg utredningen sådana datasamlingar som är direkt avsedda som ett stöd för den journalistiska verksamheten, för programverksamheten etc. Däremot avsåg utredningen inte datasamlingar som närmast kan betecknas som litteratur- eller biblioteksregister. Till källregister hör inte heller material som en journalist samlar in som underlag för en planerad artikel. Tanken bakom utredningens förslag var att den tillsyn som Datainspektionen utövar kan verka väsentligt försvarande för framställningen av exempelvis en tidning och därmed komma i konflikt med l kap. 2 § TF eller l kap. 3 § YGL. Utredningens förslag i denna del har fått ett blandat mottagande. Några remissinstanser, däribland Justitiekanslern, har tillstyrkt utredningens förslag. Andra remissinstanser, företrädesvis sådana med massmedia anknytning, har framhållit att till källregister bör hänföras också material som en journalist samlar in som underlag för en planerad artikel. Vissa remissinstanser har framfört kritik mot begreppet som sådant. Det är enligt dessa remissinstanser oklart vilken räckvidd ett uttryckligt undantag för källregister skulle få. Några remissinstanser torde mena med hänvisning till bestämmelsen i 2 kap. 3 § RF att det inte är så givet att datalagstiftningen skall vika för TF

140 SOU 1993: 10

och YGL med tanke på den extensiva tolkning som utredningen har givit de aktuella bestämmelserna i TF och YGL. Det förbud mot censur och andra hindrande åtgärder för framställningen av olika yttranden som TF och YGL ställer upp är av fundamental betydelse för den som vill yttra sig. Man kan utan överdrift hävda att förbudet utgör en förutsättning för det fria samhällsskick som vi värnar om. Det är mot denna bakgrund som utredningen har valt att tolka de aktuella paragraferna i TF och YGL extensivt. Den av utredningen gjorda tolkningen kan naturligtvis diskuteras. Det skall inte förnekas att den slutsats som utredningen har kommit till med anledning av den gjorda tolkningen kanske kan leda för långt. De datasamlingar som utredningen avser med källregister har inte karaktären av en skrift eller annan framställning av ett yttrande. Vad som också komplicerar bilden med ett uttryckligt undantag för källregister är, som har framhållits av flera remissinstanser, det något oklara begreppet. Som remissinstanserna framhåller kan tolkningsproblem uppstå. Dessa problem kan leda till att Datainspektionen begränsas i sin verksamhet på ett sätt som inte är nödvändigt med hänsyn till TF och YGL. Vad utredningen nu har sagt innebär inte något ifrågasättande av ståndpunkten att TF:s och YGL:s regler om förbudet mot censur och andra hindrande åtgärder skall tillämpas framför datalagstiftningen vid en konflikt dem emellan. Det problem som har aktualiserats genom remisskritiken är däremot om det i datalagen uttryckligen bör anges något undantag för källregistren. De datasamlingar som utredningen närmast har åsyftat med begreppet källregister är exempelvis register över personer som har lämnat uppgifter till tidningar, alltså i praktiken register över meddelare. Andra exempel är datasamlingar, som är personrelaterade, över nyligen inkomna telegram. I den mån klipparkiven används för tidningarnas publicistiska verksamhet, eller annorlunda uttryckt journalisterna använder arkiven i sin journalistiska verksamhet, får klipparkiven anses utgöra källregister. Flera av de datasamlingar som förs hos Sveriges Radio-koncernen är också källregister i den ovan angivna meningen. En del av de datasamlingar som här har nämnts kommer redan pâ grund av utredningens tidigare förslag att vara undantagna från den nya datalagens tillämpningsområde, på grund av att de är register över meddelare eller grund av att de samtidigt har karaktär av produktionsregister. Det är med andra ord något tveksamt vilken självständig betydelse ett uttryckligt undantag för källregistren får. Med hänsyn till vad utredningen nu har anfört om tolkningen av 1 kap. 2 § TF och l kap. 3 § YGL samt om tolkningen av begreppet källregister som sådant vill utredningen numera närmast förorda att något uttryckligt undantag inte görs i den kommande datalagen för källregister. Det skall understrykas att utredningens förslag givetvis

inte innebär att Datainspektionen får utöva sin tillsynsverksamhet på sådant sätt att de aktuella bestämmelserna i TF och YGL överträds. Hittills har alltså utredningen föreslagit att produktionsregister och register över personer som åtnjuter anonymitetsskydd enligt TF och YGL uttryckligen skall undantas från datalagens tillämpningsområde. Förslaget till EG-direktiv innehåller, som har redovisats under avsnitt 7.2, en artikel enligt vilken medlemsstaterna i sin lagstiftning skall göra undantag för bl.a. pressen, radio och TV samt journalister så att yttrandefriheten inte kränks då personuppgifter behandlas i journalistiska syften art. 9. Utredningens förslag att undanta produktionsregister och register över anonymitetsskyddade personer är i huvudsak förenligt med direktivförslaget. I några avseenden går dock utredningens förslag längre. Utredningens undantag är således inte begränsat till pressen, radio och TV samt journalister. Även författare upprättar ett produktionsen som register för framställning av en bok, för att ta ett praktiskt exempel, omfattas av utredningens förslag till undantag. Något motsvarande undantag finns inte i förslaget till EG-direktiv. Inte heller är utredningens förslag begränsat till journalistisk verksamhet. Det som är avgörande enligt utredningens förslag är att det rör sig om framställningen av en tryckt skrift eller ett yttrande som avses i YGL.

Klipparkiven

Som utredningen tidigare har redovisat har tidningarna alltmer börjat utnyttja ADB-tekniken för att arkivera artiklar som har varit publicerade. Tanken med de datoriserade klipparkiven är bl.a. att de kan användas i tidningarnas publicistiska verksamhet. Genom datoriseringen kan man snabbt och effektivt få fram tidigare publicerat material. De datoriserade klipparkiven har emellertid, som utredningen tidigare har redogjort för, också fått betydelse för annat än tidningarnas publicistiska verksamhet. Klipparkiven kan ställas till allmänhetens förfogande. I ett av de ärenden som var aktuellt hos regeringen och som har redovisats ovan gällde just frågan i vilken utsträckning som allmänheten skulle ha åtkomst till ett datoriserat klipparkiv. Som tidigare har sagts är det inte bara tidningarna som använder ADB-tekniken som ett hjälpmedel vid arkivering. Både Sveriges Radio AB och Sveriges Television AB lagrar program med hjälp av ADB datasamlingarna "Riksradions pr0gramdatabas" och "Nyhetsdatorisering". I sina tidigare ställningstaganden hävdade utredningen att klipparkiven utgjorde källregister i den mån de används för tidningarnas publicistiska verksamhet. De skulle därmed enligt utredningens tidigare förslag vara undantagna från datalagens tillämpningsområde då de användes i den publicistiska verksamheten. Utredningen ansåg emellertid att klipparkiven borde undantas från datalagen även i den

del som de har andra ändamål. Utredningen framhöll bl.a. att klipparkiven visserligen är känsliga från integritetssynpunkt. Det rör sig emellertid, framhöll utredningen, bl.a. om register som innehåller endast ett återgivande av tryckta skrifter. Enligt utredningen borde allmänhetens frihet att aktivt inhämta samhällsinformation inte begränsas. Utredningen påpekade också att det saknas anledning att anta att tidningarna inte själva skulle kunna avgöra när allmänheten skall få tillgång till klipparkiven med tillbörlig hänsyn till integritetsintressena. Utredningens slutsats blev således att klipparkiven helt skulle undantas från datalagens tillämpningsområde. Vad utredningen anförde om klipparkiven var enligt utredningen i allt väsentligt tillämpligt också motsvarande datasamlingar inom Sveriges Radio-koncemen. Remissinstanserna synes i huvudsak ha godtagit utredningens förslag att klipparkiven och motsvarande datasamlingar hos radioföretagen skall vara undantagna från datalagens tillämpningsområde då de används av medierna uteslutande för framställning av yttranden. Remissinstansernas inställning till utredningens förslag att nu aktuella arkiv borde undantas från datalagen även i den del som de har andra ändamål var dock inte enbart positiv. Några remissinstanser har ställt sig tveksamma till eller avstyrkt förslaget. De negativa remissinstanserna har framför allt hänvisat till att arkiven kan vara mycket känsliga från integritetssynpunkt. I fortsättningen tar utredningen först upp frågan om klipparkiven bör undantas från datalagen i den del som de tjänar tidningarnas publicistiska verksamhet. Därefter redovisar utredningen sin uppfattning i frågan om klipparkiven bör undantas från datalagens tillämpningsområde även i den del som de har andra ändamål än att användas i tidningarnas publicistiska verksamhet. Vad utredningen i fortsättningen anför beträffande klipparkiven är tillämpligt också på motsvarande datasamlingar hos radioföretagen. Som sas ovan ansåg utredningen tidigare att klipparkiven till den del de används för den publicistiska verksamheten närmast hade karaktären av källregister. Mot bakgrund härav föreslog således utredningen att klipparkivregistren borde undantas från datalagens tillämpningsområde. Utredningen har numera, som har utvecklats ovan, kommit till slutsatsen att något uttryckligt undantag inte bör göras i den kommande datalagen för källregister. Skälet till att utredningen nu har denna uppfattningen är bl.a. att ett uttryckligt generellt undantag för alla slags källregister inte kan anses vara helt förenligt med 1 kap 2 § TF. När det gäller just klipparkiven och dess användning i tidningarnas publicistiska verksamhet är det enligt utredningen uppenbart att dessa många gånger är en nödvändig förutsättning för framställningen av en tidning. Då klipparkiven användes i den nu nämnda verksamheten utgör de således datasamlingar som har betydelse för utövandet av en grundläggande fri- och rättighet, nämligen tryckfriheten.

Villkor meddelade av Datainspektionen som rör förandet av klipparkiven kan, om de är tillräckligt ingripande, bli väsentligt försvarande för framställningen tidning. Även sådana villkor av en om formellt inte står i direkt strid med 1 kap 2 § TF, utgör villkoren restriktioner från det allmännas sida i fråga om tryckfriheten. Enligt utredningens uppfattning bör det inte vara möjligt för Datainspektionen att begränsa tidningars egen tillgång till material som redan har publicerats utan att det finns mycket starka skäl härför. Med tanke bl.a. på de pressetiska reglerna och den höga etiska standard som den svenska pressen i huvudsak har, kan det enligt utredningen inte anses motiverat att av integritetsskäl låta Datainspektionen utöva någon tillsyn över tidningarna. De datoriserade klipparkiven bör därför uttryckligen undantas från datalagens tillämpningsområde i den mån de används i tidningarnas publicistiska verksamhet. Utredningens förslag i denna del står också i överensstämmelse med förslaget till EG-direktiv. Förslaget innebär, som tidigare har sagts, att undantag från direktivet skall göras när pressen, audiovisuella media och journalister behandlar personuppgifter för journalistiska ändamål. Vid den närmare avvägningen hur undantaget skall bestämmas innebär direktivförslaget att hänsyn bl.a. skall tas till de pressetiska reglerna. sistnämnda regler som utredningen har pekat på, av stor betydelse när det gäller skyddet för den enskildes integritet. Frågan är dâ om klipparkiven som utredningen tidigare har föreslagit bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Som ovan har sagts har flera remissinstanser pekat på att klipparkiven kan bli mycket känsliga från integritetssynpunkt. Utredningen vill för sin del helt instämma i att klipparkiven kommer att innehålla känsliga uppgifter. De kommer med tiden att bestå av en stor mängd personuppgifter, varav inte så få av känslig natur. Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas med stor lätthet. Uppgifterna kommer vidare att bevaras under lång tid. Som ett exempel pâ en integritetskänslig bearbetning kan nämnas att alla artiklar som rör en persons brottsliga förehavanden inhämtas. En sådan sammanställning kan i praktiken jämställas med ett kriminalregisterutdrag. Sammanställningen är emellertid betydligt känsligare bl.a. därför att kriminalregistret gallras. Vad som nu har sagts talar onekligen med viss styrka för att klipparkiven inte bör undantas från datalagens tillämpning. En sådan ordning stämmer också väl med förslaget till EG-direktiv, som inte medger att något undantag görs från direktivet när det gäller behandling av nu aktuellt slag. Om datalagen görs tillämplig till den del klipparkiven har andra ändamål än att tjäna tidningarnas publicistiska verksamhet, kommer uppgifter ur klipparkiven i endast ganska begränsad utsträckning att kunna lämnas ut till enskilda. Enligt utredningens förslag, som i allt

väsentligt grundar sig på förslaget till EG-direktiv, kommer en tidning att kunna lämna ut uppgifter endast i de fall som följer av ll § förslaget till datalag. Utrymmet för utlämnande enligt den paragrafen är begränsat. Det torde i praktiken innebära att arkiven blir stängda för allmänheten. Ett alternativ är naturligtvis att, om datalagen är tilllämplig, göra ett undantag från bestämmelserna om utlämnande av uppgifter och medge att uppgifter från klipparkiven får lämnas ut. Det är emellertid enligt utredningen en tveksam ordning att avvika från förslaget till EG-direktiv genom att låta datalagen vara fullt ut tillämplig klipparkiven utom vad gäller just utlämnande av uppgifter. Ett annat problem med att låta datalagen vara tillämplig har med den tekniska utveckligen att göra. När det gäller utländska tidskrifter finns det redan i dag hela årgångar på CD-ROM-skivor. Kostnaderna för att föra över informationen på CD-ROM-skivor kan förväntas sjunka kraftigt i framtiden. Frågan är då hur man skall hantera det problemet att man utomlands låter överföra äldre årgångar av svenska tidningar på CD-ROM-skivor, som därefter saluförs i Sverige. Ytterligare problem med att låta datalagen vara tillämplig sammanhänger med hur reglerna om rättelseskyldighet etc. skall hanteras på datasamlingar som innehåller redan publicerade uppgifter. En viktig invändning mot att utesluta allmänheten från tillgång till artiklar m.m. som har varit publicerade i tryckta skrifter är att en sådan begränsning i informationsfriheten är svår att godta i ett land där tryckta skrifter alltjämt får anses ha en dominerande betydelse för upplysning och åsiktsbildning i samhällsfrågor. När det gäller integritetsriskerna skall också framhållas att de pressetiska reglerna innebär att tidningar skall avstå från publicitet som kan kränka privatlivets helgd, om inte ett oavvisligt allmänintresse kräver offentlig belysning. En ordning som innebär att datalagen inte är tillämplig på klipparkiven, då de används i andra syften än i tidningarnas publicistiska verksamhet, står emellertid inte i överensstämmelse med förslaget till EG-direktiv. I direktivet talas det endast om att undantag får göras när det är fråga om behandling i journalistiska syften. Ett alternativ till att låta tidningarna själva avgöra i vilken utsträckning som allmänheten skall få tillgång till klipparkiven är att i datalagen ta in föreskrifter som särskilt reglerar allmänhetens tillgång till klipparkiven. Detta alternativ skulle emellertid föranleda betydande gränsdragningsproblem. En fråga som inställer sig är vilka begränsningar som skulle kunna göras i allmänhetens tillgång till datasamlingarna. Ett sätt att åstadkomma en begränsning är att låta allmänheten få tillgång endast till artiklar som är publicerade under de senaste åren. Ett sådant villkor avser alltså en tidsbegränsning. Ett annat sätt är att begränsa allmänhetens möjligheter att söka i datasamlingarna. En sådan begränsning skulle kunna gå ut på att allmänheten bara fick "bläddra" i datasamlingarna och på så sätt fick del av alla artiklar som var införda i tidningen

under en viss dag. En begränsning i sökmöjligheterna kan också åstadkommas genom att endast vissa 0rd är sökbara för allmänheten. Ytterligare ett sätt att begränsa allmänhetens tillgång till klipparkiven är att göra endast sådana uppgifter tillgängliga som rör offentliga personer. Tanken bakom en sådan begränsning skulle vara att offentliga personer i större utsträckning än icke offentliga personer får finna sig i att bli granskade av allmänheten. Andra möjliga begränsningar kan vara att allmänheten får tillgång till datasamlingarna endast om ett medgivande finns från den enskilde, om avsikten med utlämnandet är att uppgifterna skall publiceras eller om uppgifterna behövs för forskning. Man kan emellertid också peka på praktiska problem med en ordning som innebär att allmänheten får begränsad tillgång till klipparkiven. Det är således förenat med betydande kostnader om allmänhetens sökmöjligheter begränsas i förhållande till tidningarnas egna möjligheter. Det förutsätter stora ingripanden i ADB-systemen. Vidare är det naturligtvis mycket svårt att dra gränsen mellan offentliga och icke offentliga personer. Det är också svårt för tidningarna att bedöma riktigheten av ett påstående om att begärda uppgifter skall publiceras eller användas för forskning. Hur skall vidare gränsen dras mellan forskning och annan utredningsverksamhet Ett villkor om tidsbegränsning torde däremot kunna hanteras praktiskt tidningarna. Å andra sidan kan tidsgräns inte bli annat än ett av en mycket trubbigt instrument. Man kan fråga sig varför allmänheten inte skulle kunna få tillgång till samhällsinformation som t.ex. är äldre än fem år. En lösning som innebär att man i datalagen tar in föreskrifter som särskilt reglerar allmänhetens tillgång till klipparkiven skulle inte heller förenlig med förslaget till EG-direktiv. Även vissa bevara om gränsningar i allmänhetens tillgång görs i enlighet med vad som har sagts ovan, skulle allmänheten få en större tillgång till klipparkiven än 11 § förslaget till datalag medger jfr art. 7 i direktivförslaget. Möjligheterna att lämna ut uppgifter skulle således bli större än vad som följer av direktivförslaget. Utredningen har sammanfattningsvis kommit till den slutsatsen att det inte är lämpligt att begränsa allmänhetens tillgång till klipparkiven genom att låta datalagen vara tillämplig. Det avgörande skälet är att datasamlingarna endast innehåller ett återgivande av tryckta skrifter, som allmänheten rimligen bör ha rätt att ta del av. Det är svårt att tänka sig en ordning som innebär att det ytterst skall vara Datainspektionen som genom villkor kan bestämma vilken tillgång allmänheten skall ha till tryckta skrifter. Utredningen förslår således att klipparkiven skall undantas från datalagens tillämpningsområde även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Utred-

ningens förslag i denna del innebär, som har sagts ovan, en avvikelse från förslaget till EG-direktiv.

Avslutande synpunkter

Sammanfattningsvis föreslår utredningen alltså i detta kapitel att produktionsregister och register över personer som åtnjuter anonymitetsskydd enligt TF och YGL uttryckligen skall undantas från datalagens tillämpningsområde. Inte heller bör enligt utredningen datalagen vara tillämplig på klipparkiven, vare sig dessa används för den publicistiska verksamheten eller för andra ändamål, eller på motsvarande datasamlingar hos radioföretagen. Det kan givetvis inte uteslutas att utredningens förslag leder till att persondataansvariga gör okynnesinvåndningar om att datalagen inte är tillämplig, då Datainspektionen avser att utföra tillsyn. Problemet är i sig inte nytt, eftersom det enligt utredningens uppfattning redan i dag förhåller sig det sättet att inspektionen är förhindrad att utöva tillsyn över produktionsregister och register över anonymitetsskyddade personer. Frågan torde normalt få lösas på det sättet att den som uppger att hans personuppgifter är undantagna från datalagens tillämpningsområde måste göra sitt påstående härom antagligt. Ett sådant påstående kan givetvis endast göras antagligt om den persondataansvarige gör gällande att han för ett produktionsregister eller ett register över personer som åtnjuter anonymitetsskydd och omständigheterna i övrigt är sådana att man kan anta att sådana personuppgifter behandlas. Så länge han inte kan göra detta är det rimligt att Datainspektionen får vidta de åtgärder som behövs för tillsynens utförande. Några remissinstanser har tagit upp en närliggande fråga, nämligen den att någon börjar att ge ut en tidskrift bara för att kunna behandla olika personuppgifter utan Datainspektionens insyn. Enligt utredningens mening är dessa farhågor överdrivna. Det finns såvitt utredningen känner till inte i dag anledning att befara sådana illojala förfaringssätt. Det är emellertid viktigt att Datainspektionen är uppmärksam på utvecklingen. Om det i framtiden skulle visa sig att problem av nu aktuellt slag uppstår, får frågan då tas upp till förnyad prövning. I sina tidigare ställningstaganden diskuterade utredningen möjligheten att låta allmänhetens pressombudsman något sätt delta i Datainspektionens verksamhet. Tanken med en sådan ordning var att de massmediala intressena skulle kunna tillgodoses ett lämpligt sätt. Några remissinstanser har framhållit att det är tveksamt om det är lämpligt att låta pressombudsmannen delta i Datainspektionens verksamhet. Utredningen, som har förståelse för dessa synpunkter, avstår därför från att föreslå någon sådan medverkan.

Utredningens förslag torde förutsätta en deklaration enligt art. 3

punkt 2 a i Europarådets dataskyddskonvention om att konventionen

inte tillämpas på vissa kategorier av personuppgifter.

8 Den materiella i

regleringen

datalagen; ett allmänt begrepp som

obehörigt intrång i personlig integritet eller särskilda regler för

de olika momenten i informations-

behandlingen

8.1 Gällande rätt

Den allmänna tillståndsregeln i datalagen har alltsedan lagens tillkomst varit utformad med utgångspunkt från begreppet otillbörligt intrång i personlig integritet. Enligt 3 § första stycket datalagen skall Datainspektionen meddela tillstånd att inrätta och föra personregister om det saknas anledning att anta att det uppkommer otillbörligt intrång i registrerads personliga integritet. Inspektionen skall vid bedömningen ta hänsyn till möjligheten att meddela villkor för registret. Vid bedömningen av om det föreligger risk för att otillbörligt intrång skall uppkomma skall inspektionen särskilt beakta arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall hämtas samt vilken inställning de som kan komma att registreras har eller kan antas ha till registret. Det måste dessutom särskilt beaktas att inte andra uppgifter eller andra personer registreras än som står i överensstämmelse med ändamålet med registret 3 § andra stycket. I förarbetena till datalagen prop 1973233 s 93 uttalades att viss ledning kunde hämtas i sekretesslagen när det gällde att bedöma vilken information som skulle anses som särskilt ömtålig för den enskilde. Som exempel information som den enskilde måste uppleva som ett påtagligt intrång nämndes uppgifter om begångna brott, ådömda och verkställda påföljder samt tvångsåtgärder inom barnavård, nykterhetsvård eller psykiatrisk vård. Även uppgifter genomgângna om sjukdomar, läkarbehandling och mottagen socialhjälp togs upp. Uppgifter om en persons familjeförhållanden eller ekonomiska ställning kunde också enligt departementschefen upplevas som mycket ömtåliga. En annan form av ömtåliga uppgifter som behandlades i förarbetena gällde enskildas åsikter, speciellt i politiska eller religiösa frågor. Även

när det gällde värdeomdömen som betyg och liknande kunde det diskuteras i vilken utsträckning registrering borde få ske. Av stor betydelse för bedömningen från den enskildes synpunkt är ofta, sades det vidare i förarbetena, frågan om vem som får tillgång till den registrerade informationen. Avgörande är också hur stor mängd information som samlas på ett ställe. De nu angivna omständigheterna skulle Datainspektionen beakta vid sin tillståndsprövning. De närmare principerna för tillståndsgivningen fick enligt motiven utbildas i praxis. En kortare redogörelse för Datainspektionens praxis finns under avsnitt 8.2.

8.2 Olika uttalanden

om begreppet otillbörligt intrång i personlig integritet

Offentlighets- och sekretesslagstiftningskommittén OSK m.m.

Ursprunget till den nuvarande datalagen var ett förslag från offentlighets- och sekretesslagstiftningskommittén OSK i betänkandet SOU 1972:47 Data och integritet. Utgångspunkten för förslaget var att den enskilde borde tillförsäkras en sfär, som skyddar mot otillbörligt intrång från myndigheter och andra som kan uppfattas som utomstående. När det gäller att mera konkret ange skyddsområdet konstaterade OSK att det förelåg betydande gränsdragningsproblem, eftersom rätten att bli lämnad i fred aldrig kan vara absolut i ett modernt samhälle. En konflikt föreligger mellan å ena sidan den enskildes uppfattning om att viss informationsanvändning är ett hot eller en kränkning, och å andra sidan de allmänna och enskilda intressen som i vissa fall talar för att information av skilda slag måste få samlas in och användas för olika ändamål. OSK ansåg att integritetsskyddet på ADB-ornrådet bäst tillgodosågs genom en tillståndsreglering som syftade till en avvägning mellan behovet av dataregister och riskerna för integritetsintrång. Tillståndsgivningen kunde enligt OSK, i då gällande läge, endast på ett fåtal punkter styras med lagbestämmelser. Tillståndsmyndigheten fick bygga upp en praxis med ledning av de allmänna synpunkter som framfördes i lagstiftningsärendet. OSK avvisade tanken på att den enskildes samtycke skulle vara ett självständigt kriterium för att registrering skulle få ske. En sådan ordning skulle tvinga registerförarna att ha specialrutiner. Om en större eller mindre del av de personer som berördes av ett visst system motsatte sig registrering, fick det i stället beaktas inom ramen för tillståndsprövningen.

Remissinstansema biträdde allmänt OSK:s uppfattning att den föreliggande intresseavvägningen för och emot upprättande av ADBregister inte kunde göras generellt utan bedömningen måste ske från fall till fall. Flera remissinstanser påpekade dock att det varken i den föreslagna lagtexten eller i motiven närmare angavs när "otillbörligt intrång i enskilds personliga integritet" skall anses föreligga utan att frågan överlämnats till praxis. Remissinstanserna hyste betänkligheter mot en sådan ordning och ansåg, att det bl.a. av rättssäkerhetsskäl krävdes att begreppet definierades i lagen. Även det inte om var möjligt att exakt definiera begreppet borde man ändå, ansågs det, ge en omfattande exemplifiering i motiven. Departementschefen prop 1973:33 anförde inledningsvis att problemet inte enbart kunde lösas genom generella föreskrifter om när personregister skall få inrättas och föras. l likhet med OSK ansåg departementschefen att frågan om otillbörligt integritetsintrång fick avgöras från fall till fall, dvs. beträffande varje särskilt register för sig. Till ledning för bedömningen borde arten och mängden av personuppgifter som skall ingå i registret beaktas, liksom den inställning till registret som föreligger eller kan antas föreligga hos dem som kan komma att registreras. Uppgifter av särskilt känslig natur, ex. uppgifter om brott, tvångsingripande och olika former av vård, borde bara få registreras av myndighet som enligt lag eller annan författning hade att föra förteckning över uppgifterna. Även uppgifter någons om politiska och religiösa uppfattning borde bara få registreras i undantagsfall. Konstitutionsutskottet KU 1973:19 angav att det primära syftet med datalagen måste vara att tillgodose den enskildes behov av skydd för den personliga integriteten. Samtidigt måste lagstiftningen enligt utskottet värna om offentlighetsprincipens tillämpning också på ADBområdet. Målet måste vara att ett riktigt sätt tillgodose och mot varandra väga dessa olika intressen. Innebörden av begreppet personlig integritet berördes inte närmare vid riksdagsbehandlingen.

Datalagstiftningskommittén DALK m.m.

Våren 1976 tillsattes datalagstiftningskommittén DALK som fick i uppgift att se över datalagen. I direktiven till DALK den 11 mars 1976 konstaterades att förutsättningarna för när tillstånd skulle ges var ganska obestämt angivna i lagen. Med tanke på att lagstiftningen avsåg ett helt nytt rättsområde stod, enligt departementschefen, någon annan lösning knappast till buds vid datalagens tillkomst. DALK borde pröva om inte de grunder efter vilka tillstånd skall meddelas kan anges med större utförlighet i lagen. Det rörde sig här om avvägningar som rätteligen borde

ankomma på lagstiftaren och inte de rättstillämpande myndigheterna. DALK redovisade sitt uppdrag i denna del i betänkandet SOU 1978:54 Personregister Datorer Integritet. - - DALK förutskickade att önskemålet att åstadkomma en mer exakt definition var, liksom vid datalagens tillkomst, svårt att uppfylla. Många försök till definitioner av begreppet personlig integritet har gjorts, men dessa definitioner har antingen inte kunnat anges i lagtext, så att de ger ett tillfredsställande intcgritetsskydd, eller också blir definitionerna så snäva att man inte vart fall i dagens samhälle med dess krav på kollektivt ansvar kan tillåta dem". Som exempel på svårigheterna nämnde DALK att en del anser att personlig integritet är detsamma som individens kontroll över kunskap om honom. Enligt en liknande definition är det grundläggande kännetecknet på en effektiv rätt till personlig integritet den enskildes förmåga att kontrollera spridningen av information som rör honom. Ett annat försök till definition innebär att rätten till personlig integritet utgörs av den enskildes rätt att själv bestämma hur mycket han vill dela med sig till andra av sina tankar, känslor samt fakta om sin personliga tillvaro. Det är en rättighet som är grundläggande för att tillförsäkra honom värde och rätt till självbestämmande. Enligt ytterligare en definition uppkommer intrång i personlig integritet när det krävs av den enskilde att han skall tillhandahålla personuppgifter utöver den omfattning som de styrandes lagligt grundade behov tillåter och de styrande, när de väl har fått tillgång till personuppgifter, använder dessa för andra ändamål som inte hör samman med det för vilket informationen ursprungligen samlats in samt när användningen innebär att löfte om förtrolighet bryts. DALK:s slutsats mot bakgrund av den då pågående debatten var att den enskilde medborgaren borde ha rätt och möjlighet att själv vara med och bestämma i vilka sammanhang uppgifter om honom borde få utnyttjas och hur det skulle ske, men att det måste beaktas att motstående intressen från samhällets sida eller från olika grupper ofta måste medföra inskränkningar i denna rätt. Enligt DALK fanns det inte underlag för att i datalagen föra in en generell regel om vad som avses med begreppet personlig integritet och man avstod från något förslag i den delen. I stället skulle övervägandena inriktas på att i lag utförligare ange grunderna för tillståndsprövningen. l det hänseendet ansåg DALK bl.a. att stor vikt borde fästas vid om en viss information användes för ett annat ändamål än den ursprungligen var avsedd för. Det fanns enligt DALK skäl för att bedöma en sådan ändring som otillbörlig, även om det rörde sig om uppgifter som i och för sig var av tämligen banal natur. Slutsatsen för DALK:s del blev mot denna bakgrund att myndigheter endast borde inrätta och föra sådana personregister som behövdes för att de skulle kunna utföra sina uppgifter enligt lag eller annan

författning. Företag och organisationer borde endast få inrätta sådana personregister som behövdes för deras verksamhet. Remissinstanserna delade överlag uppfattningen att det knappast gick att åstadkomma en legaldefinition. Flera ansåg dock att det var en brist att man inte kommit längre. Till dessa hörde Datainspektionen, som dock inte själv kunde bidra med en definition. Inspektionen ansåg dock inte att bristen var alltför besvärande, eftersom det i praktiken i det stora hela råder enighet om begreppets innebörd. Inspektionen ansåg det därför inte ändamålsenligt att försöka definiera begreppet personligt integritet. Många instanser ansåg dock att de nya självständiga kriterier för tillståndsprövningen som DALK föreslagit skulle ge begreppet en något mera preciserad innebörd än vid datalagens tillkomst. Bristen på precisering kunde emellertid medföra att Datainspektionen delvis får överta rollen som lagstiftare. Enighet syntes råda om att det bör vara en uppgift för lagstiftaren och inte en administrativ myndighet att bestämma principerna för integritetsskyddet. Regeringen prop 1978/79: 109 föreslog utifrån DALK:s betänkande vissa tillägg och förtydliganden till datalagen. Beträffande den närmare innebörden av begreppet personlig integritet uttalade departementschefen att det givetvis var viktigt att grunden för tillståndsprövningen enligt datalagen angavs så noga som möjligt i lagen. Det mötte emellertid enligt departementschefen stora svårigheter att i lag genom en generell regel ange vad som menas med personlig integritet. Han var inte heller övertygad om det ändamålsenliga i att låsa fast tillämpningen genom en legaldefinition. Det var i stället mera fruktbart att, som DALK föreslagit, undersöka huruvida ytterligare självständiga kriterier kunde införas i lagen i syfte att underlätta den avvägning mellan motstående intressen som tillståndsprövningen innebär. DALKS förslag godtogs således i huvudsak. Konstitutionsutskottet KU 1978/79: 37 uppehöll sig inte närmare vid begreppet personlig integritet. DALK fick genom tilläggsdirektiv i uppgift att föreslå rationaliseringar i tillståndsprövningen. I promemorian Ds Ju 1981:15 Tillstånd och tillsyn enligt datalagen redovisade DALK ett förslag att man i fortsättningen i datalagen borde definiera och avgränsa vilka person register som bör vara föremål för tillståndsprövning, i stället för att som dittills diskutera vilka personregister som skulle undantas från ett i princip heltäckande tillstândskrav. I det sammanhanget kunde man utgå från de faktorer som enligt lagen ansågs vara av särskild betydelse vid prövning av risken för otillbörligt intrång. Hit hör arten av uppgifter, dvs. om dessa är att anse som särskilt känsliga, vidare att det saknas naturlig anknytning mellan den registrerade och den registeransvarige såsom ett kund- eller medlemsförhållande, att uppgifterna används i andra sammanhang än som från början varit avsikten samt den registrerades inställning. När det gäller den

registrerades inställning delade DALK den tidigare uppfattningen att man inte kan ställa krav medgivande i varje enskilt fall. I stället får man utgå från att den enskilde är beredd att godta sådan registrering som sker i enlighet med beslut av regeringen eller riksdagen. Detsamma bör gälla registrering som på annat sätt följer av lag eller annan författning eller som utgör en naturlig del av den enskildes mellanhavanden med den registeransvarige, dvs. i sådana fall där registreringen är förutsebar och överblickbar för den enskilde. Remissinstansema lämnade i huvudsak DALK:s förslag utan erinran. Regeringen prop 1981/82: 189 anslöt sig i allt väsentligt till DALKs förslag. Konstitutionsutskottet KU 1981/82:33 uppehöll sig inte närmare vid själva begreppet personlig integritet.

Datainspektionens praxis m.m.

Datainspektionens praxis har redovisats i en tioårsskrift år 1983. I den finns uttalanden som kan ge viss ledning om inspektionens syn på begreppet personlig integritet. Dåvarande generaldirektören konstaterar i skriften att någon absolut integritet aldrig har förekommit i ett samhälle. Trots detta är det enligt denne möjligt att definiera en sådan absolut integritet. Man skulle kunna slå fast att ingen människa, grupp av människor eller samhället får samla in, lagra, bearbeta eller använda information om en enskild utan hans eller hennes samtycke i varje enskilt fall, oavsett om sådan informationsbehandling är till fördel, nackdel eller saknar betydelse för den enskilde. Detta skulle ge var och en kontroll över hans eller hennes information. Men samhället skulle inte fungera och den enskilde skulle inte få den service han eller hon begär. Definitionen är därför enligt Datainspektionens dåvarande chef egentligen bara intressant som utgångspunkt för de undantag från integriteten vi anser att vi bör tillåta. År 1983 presenterades också två vetenskapliga studier datainav spektionens verksamhet, dels en doktorsavhandling inom statsvetenskapliga institutionen vid Umeå universitet, betecknad "Datainspektionen och skyddet av den personliga integriteten i ADB-system", dels en licentiatavhandling vid institutet för rättsinformatik, Stockholms universitet, betecknad "God personregistersed En undersökning av datainspektionens styrelsebeslut" IRI-rapport 1983:4. I doktorsavhandlingen konstateras sammanfattningsvis att analysen av Datainspektionens praxis inletts i förhoppningen att avslöja myndighetens egen definition på personlig integritet och otillbörligt intrång, men att den ambitionsnivån måst överges. Intervjuer med ledning och handläggare erbjöd visserligen vissa hållpunkter för en fortsatt analys men lät sig inte reducera till någon enhetlig definition av otillbörligt intrång i den personliga integriteten.

Enlig licentiatavhandlingen är praxis i fråga om tolkningen av begreppet otillbörlig registrering vacklande. Någon stabilitet i de faktorer som påverkar avvägningen har inte kunnat iakttas. Intresset personlig integritet har inte heller preciserats. Begreppet "god personregistersed" formas av följande principer enligt denna undersökning. Beslut om kontroll av de enskilda medborgarna bör vara politiska och bygga på en så bred medborgaropinion som möjligt; bör man av hänsyn till det psykologiska klimatet i samhället värna om att kontrollen inte blir alltför effektiv. Man bör vara mån om god datakvalitet. - Möjligheten att använda data i sammanhang som de inte från början avsetts för aktualiserar en mängd hot mot den personliga integriteten; hoten förstärks om den registrerade inte är medveten om användningsändamâlen. Ju effektivare och mera komplext ett ADB-system utformas, desto större blir riskerna för otillbörligt intrång. Krav på rättsskydd måste uppställas vid beslutsfattande som baserar sig på ADB-registrerade uppgifter; personuppgifter skall vara relevanta för sitt ändamål, riktiga, aktuella och fullständiga. Krav på säkerhet och kontroll i form av insyn bör ställas. - Tillsammans utgör principerna enligt avhandlingen grunden för begreppet god personregistersed, vars innehåll formas genom en avvägning mellan den enskildes psykologiska behov av sekretess och rättsskydd samt intresset av en rationell informationshantering. Utslagsgivande för denna avvägning är enligt avhandlingen de politiska beslut som anger vilka allmänna intressen som får inskränka den enskildes rättsskydd. Man kan enligt avhandlingen anse att dessa intressen bör uppfylla ett visst mått av godtagbarhet för att det inte skall ske intrång i den personliga integriteten.

Konstitutionsutskottets granskningsbetänkande

Konstitutionsutskottet redovisade i ett betänkande KU 1983/84:30 regeringens handläggning av vissa datafrågor. Granskningen torde ha kommit till stånd bl.a. med hänsyn till påståenden om att regeringen ändrat på datainspektionens beslut i en stor omfattning. Undersökningen avsåg ett 70-tal ärenden under den tid lagen varit i kraft. Ungefär hälften av dessa hade inneburit att Datainspektionens beslut ändrats. Utskottet konstaterade att många ärenden under handläggningen i regeringen tillförts nytt material varför frågan ofta kommit i ett annat läge och att ansökningar om tillstånd troligen i flera fall skulle ha bifallits av Datainspektionen, om den haft tillgång till materialet. Utskottet konstaterade vidare att regeringen i några fall beslutat om inrättande av personregister utan att först inhämta i datalagen föreskrivet yttrande av Datainspektionen. Utskottet förutsatte att departe-

menten i fortsättningen beaktar datalagens föreskrifter i detta hänseende. Utskottet hade vidare vissa erinringar mot användningen av SPAR, dvs. det statliga person- och adressregistret, för direktreklamändamål. Utskottet uttalade sig också om Folksams register för administration av gruppsakförsäkringar och om frågan om tillstånd för försöksverksamhet med personregister. Utöver vad sålunda anförts föranledde granskningen inte något yttrande från utskottet. I en reservation m, c, fp ansågs att utskottet, såvitt gäller registret för administration av gruppsakförsäkringar, borde ha yttrat följande: beslutet angående registret för administration av gruppsakförsäkringar har regeringen framfört att särskilda skäl att tillåta registret har förelegat bl.a. på grund av att registret behövdes för en rationell försäkringsadministration. Utskottet kan inte dela regeringens bedömning på denna punkt. Regeringens tolkning innebär enligt utskottet en utvidgning av begreppet särskilda skäl som inte kan anses stå i överensstämmelse med stadgandets syfte."

Den datapolitiska propositionen

I prop. 1984/ 85:220 om datapolitik anfördes under rubriken Datateknik och den personliga integriteten bl.a. synpunkter frågan om risker för integritetskränkning som en följd av datateknikens användning inom den offentliga sektorn. Den kanske mest diskuterade integritetsfrågan rörde enligt propositionen samkörning och kontroll. Ekonomiska och rationella skäl talar i många fall för att myndigheterna bör använda datatekniken i sin kontrollverksamhet. Exempel på detta är sarnkömingar för kontroll av olika bidrag samt räntekontroller med hjälp av olika bankregister. Den debatt det här är fråga om rör i själva verket hur långt man skall acceptera myndigheternas kontroll av medborgare, alltså i stort sett samma debatt som man tidigare har fört. Det är emellertid också en fråga om de uppgifter som används för kontroll är riktiga i sak och därtill rättvisande för de uppgifter som skall kontrolleras. Det måste enligt propositionen anses vara ett berättigat samhällsintresse att försöka hindra att människor tillskansar sig fördelar andra människors bekostnad genom lögnaktiga uppgifter och skenförfaranden. Här kan datatekniken i många fall vara ett bra och acceptabelt hjälpmedel för kontroll. Samtidigt är det naturligtvis viktigt att se till att kontrollen inte utförs på ett sådant sätt att den otillbörligt kränker den enskildes integritet. Betydelsefullt är också att det finns praktiska rutiner för att korrigera när registeruppgifterna har lett till felaktiga åtgärder. Vad det handlar om är enligt propositionen först och främst att göra avvägning mellan samhällets och den enskildes intressen. Å en ena sidan är det viktigt att de rättigheter och skyldigheter som har lagts fast

genom statsmakternas beslut också skall tillkomma var och en i enlighet med dessa beslut. Å andra sidan har vi kravet på skydd för den personliga integriteten. Ett mål för regeringen måste vara att datateknikens användning för samkörning och kontroll utformas med full respekt för den enskildes integritet. Detta är enligt propositionen ofta en svår avvägning. Intressena kan förefalla motstridiga. Men i grunden borde det här inte vara någon egentlig motsättning mellan samhällets krav och den enskildes intressen. Från båda håll är det fråga om att tillgodose de enskilda medborgarnas berättigade anspråk; en rättvis fördelning av rättigheter och ett tillräckligt skydd för privatliv och familjeliv. Konstitutionsutskottet KU 1985/86:5 avgav yttrande över propositionen och konstaterade därvid bl.a. att diskussionen framför allt är koncentrerad till de olika risker för integritetskränkningar som kan uppkomma till följd av datateknikens användning inom den offentliga sektorn, där den mest inträngande och känsliga informationen om den enskilde finns. I en avvikande mening till konstitutionsutskottets yttrande uttalas att samhällsintressena inte får drivas så långt att den enskilda människans berättigade krav på personlig frihet och okränkbarhet sätts åsido.

Data- och offentlighetskommittén DOK m.m.

I maj 1984 tillsattes data- och offentlighetskommittén DOK. DOK har överlämnat fem delbetänkanden under den gemensamma huvudtiteln Integritetsskyddet i informationssamhället. l sitt tredje delbetänkande Ds Ju 1987:8 Grundlagsfrâgor konstaterade DOK att det varken i svensk lagstiftning eller i svensk doktrin finns någon enhetlig definition av vad som menas med personlig integritet. En allmän uppfattning om begreppet personlig integritet och integritetsskyddet, såväl i vårt land som utomlands, torde emellertid enligt kommittén vara att det innefattar en rätt för den enskilde att själv bestämma vilka uppgifter om sig själv och sina personliga förhållanden som han eller hon skall lämna ifrån sig och hur dessa uppgifter skall användas och spridas. Kommittén ansåg det mindre ändamålsenligt med en lagregel som definierar begreppet personlig integritet utan anser att frågan måste avgöras från fall till fall. De omständigheter som gör sig gällande för den personliga integritetens del är arten av de personuppgifter som inhämtas och registreras, hur dessa uppgifter används, hur de sprids samt mängden av uppgifter som samlas ett och samma ställe. Av stor betydelse är också om de insamlade uppgifterna är korrekta och aktuella. Trots den oklara definitionen av begreppet personlig integritet ansåg DOK fördelarna med ett grundlagsfäst skydd för den personliga integriteten överväga nackdelarna med ett sådant uttalande i grundlag. DOK lade därför i betänkandet fram ett förslag att i den s.k. fri- och

rättighetskatalogen i regeringsformens andra kapitel skulle skrivas in ett skydd för den enskildes personliga integritet i datasammanhang. Remissinstanserna tillstyrkte, med några få undantag, förslaget till grundlagsskydd eller lämnade detta utan erinran. Departementschefen prop. 1987/88:57 konstaterade i likhet med DOK att det inte går att ge den personliga integriteten en närmare definition som rättsligt begrepp. I propositionen sades vidare att begreppet dock inte bör uppfattas som något statiskt utan mycket väl kan ha olika innebörd vid skilda tidpunkter och förhållanden. Konstitutionsutskottet framhöll i sitt av riksdagen godkända betänkande KU 1987/88: 19 s. 3, att den personliga integriteten inte kunnat ges en närmare definition som ett rättsligt begrepp samt att den mycket väl kan ha olika innebörd vid skilda tidpunkter och förhållanden samt att detsamma gäller det otillbörlighetsrekvisit som används i datalagen. Sedan den l januari 1989 finns i den s.k. fri- och rättighetskatalogen i 2 kap. regeringsformen en grundregel om skydd för den enskildes personliga integritet vid dataregistrering 3 § andra stycket. Bestämmelsen har följande lydelse.

Varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling.

Grundlagsskyddet är inte absolut utan gränserna skall enligt grundlagsbestämmelserna närmare anges i lag. Därmed torde i första hand avses en särskild dataskyddslag.

Europarådets konvention

Konventionen innehåller grundläggande principer för dataskydd. Uppgifter som undergår automatisk databehandling skall ha erhållits och skall behandlas på ett korrekt och lagligt sätt. Uppgifterna skall också lagras för särskilt angivna och lagliga ändamål och de får inte användas på ett sätt som är oförenligt med dessa ändamål. Vidare föreskrivs att uppgifterna skall vara ändamålsenliga, relevanta och inte onödiga för de ändamål för vilka de lagras. De skall vara riktiga och, om nödvändigt, hållas aktuella. Beträffande gallring gäller att uppgifterna skall bevaras på ett sådant sätt att de registrerade personerna inte kan identifieras under längre tid än som är nödvändigt med hänsyn till ändamålet med lagringen. Art. 5. Bestämmelser om vissa känsliga typer av personuppgifter finns i art. 6 som innehåller en uppräkning av de slags uppgifter som inte får undergå automatisk databehandling, såvida inte nationell lag ger ett

ändamålsenligt skydd. Sådana uppgifter är personuppgifter som avslöjar ras och politiska åsikter, uppgifter om hälsa och sexualliv samt uppgifter som hänför sig till att någon dömts för brott. Undantag från art. 5 och 6 får göras i nationell lagstiftning endast om det är nödvändigt för att skydda statens säkerhet och liknande eller för att skydda den registrerade personen eller andra fri- och personers rättigheter. Lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgifter mot oavsiktlig eller otillåten förstörelse m.m. art. 7. Vissa ytterligare skyddsåtgärder för registrerade personer finns i art. Bl.a. gäller att alla som är registrerade i ett personregister skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade.

Förslaget till EG-direktiv

Förslaget till EG-direktiv innehåller i kapitel materiella bestämmelser som anger hur personuppgifter skall behandlas i olika hänseenden. Till en början finns i kapitlet bestämmelser om datakvalitet, bl.a. om ändamålsanknytning och om kravet på att personuppgifter som behandlas skall vara riktiga och fullständiga. Därefter under anges vilka förutsättningar som personuppgifter får behandlas, varvid särskilda bestämmelser finns om känsliga uppgifter. De materiella bestämmelserna i kapitel i direktivförslaget innehåller också regler om den enskildes rätt till information om behandling av personuppgifter, rätt till insyn och rätt till rättelse och komplettering av personuppgifter. Slutligen regleras i kapitlet frågor om bl.a. datasäkerhet och underrättelse till datskyddsmyndigheten.

Utredningens tidigare ställningstaganden

I datalagen anges att vid bedömningen av om otillbörligt intrång kan uppkomma skall särskilt beaktas arten och mängden de av personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall inhämtas samt den inställning till registret som föreligger eller kan antas föreligga hos dem som kan komma att registreras. Vidare skall särskilt beaktas att inte andra uppgifter eller andra personer registreras än som står i överensstämmelse med ändamålet med registret. En allmän uppfattning om begreppet personlig integritet och integritetsskyddet, såväl i vårt land som utomlands, torde vara att det innefattar en rätt för den enskilde att själv bestämma vilka uppgifter om sig själv och sina personliga förhållanden som han eller hon skall lämna ifrån sig och hur dessa uppgifter skall användas och spridas jfr redovisningen av DOK:s delbetänkande i avsnitt 8.2.

Den enskildes fredade sfär är emellertid inte helt okränkbar. Intrång i den personliga integriteten måste få tillåtas. om andra och viktigare intressen påkallar det. Den oenighet som kan finnas om integritetsskyddets omfattning rör närmast vilka dessa övergripande intressen kan Denna fråga kan i sin tur inte besvaras utan att hänsyn också tas vara. till exempelvis arten och mängden av de uppgifter om den enskilde skall registreras och i vilka sammanhang de är avsedda att föresom komma. I datalagen också vilka personuppgifter som får bedömas som anges integritetskänsliga än andra. exempelvis rörande brott, hälsotillmer stånd, sexualliv. ras, politisk uppfattning eller övertygelse i övrigt. Medan mängden och slaget av uppgifter om en person. dvs. närmast såväl kvantitativ som bedömning. kan ge viss ledning när det gäller en att avgöra omfattningen ett intrång i integriteten, krävs alltid en av kvalitativ avvägning för att slutligt svara på frågan huruvida intrånget "otillbörligt". dvs. gå vad den enskilde bör tåla. kan anses utöver Oftast innefattar denna Vägning huvudsakligen att ta ställning till huruvida det allmännas intresse eller något annat allmänt intresse tar över den enskildes rätt till en fredad sfär. Detta innebär att ett stort antal registrerade uppgifter om den enskilde inte behöver vara otillbörligt kränkande, om de kan motiveras godtagbart ändamål eller behov. Å andra sidan kan enstaka av ett en uppgift i sig vara av sådant slag att den inte bör få registreras, även om den behövs för ett uppgivet allmänt intresse. Uppfattningen hur avvägningen av den enskildes intressen på inom tegritetsområdet närmare skall göras i förhållande till det allmännas intresse kan växla från tid till och mellan olika länder. I vårt annan grundlagsreglerade handlingsoffentligheten, dvs. land reser också den principen allmänna handlingars offentlighet vissa särskilda frågor om området. En utgångspunkt i Sverige, liksom i jämförbara länder, för avvägningen mellan den enskildes och det allmännas intressen är emellertid att den enskildes intresse inte redan från början skall anses vara underordnat det allmännas intresse. l frågan hur den närmare avvägningen skall utfalla kan om emellertid meningarna gå isär. Tydligast kan skillnaderna framträda når det gäller att avgöra vilket intresse skall vika den enskildes sotn eller det allmännas det inte råder bred enighet om vad som väger - om tyngst. Ett annat sätt att uttrycka detta är att ange vem som skall anses ha "bevisbördan", den enskilde eller det allmänna, för utfallet av denna prövning. Dessa grundläggande frågor synes inte ha diskuterats i någon nämnvärd omfattning vid det reformarbete som hittills har gällt integritetsskyddet dataområdet. Enligt utredningens mening bör otillbörlighetsrekvisitet i datalagen ytterligare kunna preciseras. så att den nödvändiga avvägning måste göras mellan intrångets omfattning, som

å ena sidan, och ändamålet eller behovet av personregistreringen, å andra sidan, kommer till klarare uttryck i lagtexten.

8.6 Remissutfallet

Remissinstanserna har ansett det angeläget med en ytterligare precisering av begreppen personlig integritet och otillbörligt intrång. I flera yttranden betonas vikten av att det så långt möjligt klargörs hur avvägningen mellan den enskildes intresse och motstående intressen skall göras. Juridiska fakultetsnämnden vid Lunds universitet understryker att de grundläggande avvägningarna bör göras av lagstiftaren genom så långt möjligt preciserade regler i själva lagtexten.

8.7 överväganden

Den debatt som varit under de snart tjugo år som datalagen varit i kraft och de reformförsök som gjorts berättigar till slutsatsen att begreppet "otillbörligt intrång i den personliga integriteten" inte låter sig definiera. Det är beroende av en Vägning av motstående intressen. Endast om den enskilde ges en absolut rätt att freda sig mot varje intrång i integriteten, dvs. i sin privata sfär, eller om undantagen går att exakt avgränsa skulle en definition vara möjlig. Något allmänt stöd för uppfattningen att den enskilde skulle ha en absolut rätt till uppgifter om sin person föreligger inte. Fallen där intrång skall vara tillåtet och således inte "otillbörligt" växlar beroende vilka utgångspunkter som väljs. Utredningen har i sina hittillsvarande överväganden ansett att intrång i den personliga integriteten måste få tillåtas, om andra och viktigare intressen påkallar det och att den oenighet som kan finnas om integritetsskyddets omfattning rör närmast vilka dessa övergripande intressen kan vara. Denna fråga kan i sin tur inte besvaras utan att hänsyn också tas till exempelvis arten och mängden av de uppgifter om den enskilde som skall behandlas och i vilka sammanhang de är tänkta att förekomma. Enligt utredningens tidigare ställningstaganden borde otillbörlighetsrekvisitet i datalagen ytterligare kunna preciseras, så att den nödvändiga avvägning som måste göras mellan intrångets omfattning, å ena sidan, och ändamålet eller behovet av personregistreringen, å andra sidan, kommer till klarare uttryck i lagtexten. Den praxis som har redovisats från inspektionens sida under de år datalagen varit i kraft ger inte underlag för några säkra hållpunkter när det gäller att ange hur gränserna för den önskvärda vägningen bör vara utformade. Fallen är många gånger enbart av kasuistisk natur, dvs. har

en räckvidd som inte går utöver det enskilda fallet. Motsvarande gäller de fall där regeringen efter överklagande träffat det slutgiltiga avgörandet. De utländska bestämmelserna på området synes över huvud taget inte arbeta med begrepp motsvarande "otillbörligt intrång". I stället anges genom de materiella bestämmelserna var gränserna för integritetsintrång går, låt vara att intrång i den enskildes personliga integritet ytterst kan få förekomma genom uttryckligt stöd i lag eller motsvarande. Den utgångspunkt förslaget till EG-direktiv har i denna del är att laglig ADB-hantering av personuppgifter förutsätter att den enskilde samtyckt till behandlingen. Denna regel är emellertid inte undantagslös. Det innebär att någon absolut rätt för den enskilde inte är förutsatt. Direktivet anvisar, i de fall samtycke eller avtal inte föreligger, ytterst att en Vägning mellan den persondataansvariges legitima intresse och den enskildes intresse måste göras. För användning inom den offentliga sektorn finns ett krav på att behandlingen skall behövas för att utföra en uppgift i det allmännas intresse eller i myndighetsutövmng. Förslaget till EG-direktiv innehåller dock en rad materiella bestämmelser som i sig är gränssättande. Motsvarande uppbyggnad har

flera av de utländska dataskyddslagarna se bilaga 4.

Sammantaget ger således den hittillsvarande nationella och internationella utvecklingen närmast stöd för att de gränser för integritetsskyddet som bör framgå av en datalag inte bör utgå från ett så obestämbart och svårfångat begrepp som "otillbörligt intrång". Istället bör lagen mera direkt ange den Vägning mellan motstâende intressen som bör ske när integritetsintrång i strid med den enskildes mening skall vara tillåtet på ADB-området. I enlighet med vad som nu har anförts har i förslaget till ny datalag införts regler för de olika momenten i informationsbehandlingen. Lagen innehåller regler om bl.a. den nödvändiga anknytningen till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka personuppgifter som får behandlas, formen för samtycke från den enskilde och gallring av personuppgifter. I lagen finns också angivet vilken typ av uppgifter som skall anses som känsliga. Känsliga personuppgifter får enligt utredningens förslag behandlas endast om den enskilde samtycker till det på visst sätt eller om behandlingen sker med stöd av lag eller annan författning. Genom en fyllig reglering av villkoren för behandling av olika typer av personuppgifter har utredningen alltså försökt att i lagen ange hur avvägningen mellan skyddet för den enskildes integritet och andra motstâende intressen skall göras. De föreslagna bestämmelserna överensstämmer till stora delar i sak med den reglering som finns i förslaget till EG-direktiv. Vissa av de avvikelser som förekommer har behandlats i avsnitt 5 och

övriga avvikelser tas upp i berörda avsnitt i den allmänna motiveringen och i specialmotiveringen.

9 Specialreglering

s.k. stats-

genom

maktsregister

l Nuvarande ordning

Personregister om vars inrättande riksdagen eller regeringen beslutar är enligt 2 a § datalagen undantagna från kravet på tillstånd. Om ett sådant s.k. statsmaktsregister innehåller uppgifter som i annat fall skulle ha medfört tillståndsplikt, skall dock yttrande inhämtas från Datainspektionen innan beslut om att inrätta registret fattas 2 a § första stycket andra meningen. När Datainspektionen avger ett sådant yttrande skall en bedömning av registret ske enligt samma grunder som vid prövning av ett tillståndsärende 11 § dataförordningen. Datainspektionen kan även meddela beslut om villkor för dessa register, i den mån inte regeringen eller riksdagen har meddelat något villkor i samma hänseende 6 a och 18 §§ datalagen. Datalagens bestämmelser om den registeransvariges skyldigheter, om tillsyn samt om straff och skadestånd gäller även för statsmaktsregistren. Datainspektionen kan dock beträffande sådana register inte förbjuda fortsatt förande eller återkalla något tillstånd l8§ andra stycket. I de fall ett statsmaktsregister utvidgas, måste det prövas om utvidgningen är sådan att den kan jämställas med att ett nytt register inrättas. I sådant fall måste ett yttrande från Datainspektionen inhämtas. I förarbetena till datalagen prop 1973:33 s 97 anförde departementschefen att det av flera skäl var nödvändigt att särbehandla vissa statliga personregister. För det första borde riksdagen kunna besluta om inrättande av personregister för riksdagens egen verksamhet eller verksamheten hos organ som är underställda riksdagen. Vidare förekommer på den offentliga sektorn personregistrering av sådan vikt från allmän och enskild synpunkt att det är nödvändigt att frågan om registrens inrättande förbehålls statsmakterna själva. Det förutsattes att statsmakterna beslutar om inrättande av ADB-register endast i sådana fall då det är starkt motiverat med hänsyn till registrets betydelse eller med hänsyn till övriga omständigheter. Under remissbehandlingen av OSK:s förslag hade också påpekats att ett tillstånd av Datainspektionen i exempelvis de fall inrättandet av ett register beslutats av regeringen

och riksdagen eller av endera av statsmakterna skulle karaktären av en överprövning av statsmakternas beslut. Frågan om inrättandet av ett statsmaktsregister kan tas upp i en proposition. Det har ibland varit oklart om ett riksdagsbeslut som inneburit att medel anvisats för bl.a. ett register också inneburit att ett nytt register skulle inrättas. Konstitutionsutskottet KU 1984/ 85:25 har framhållit vikten av att inrättande av statsmaktsregister kommer till klart uttryck i propositioner och i andra sammanhang. Det finns ett stort antal personregister som regleras genom särskilda registerförfattningar. Registerlagamas innehåll varierar beroende på bl.a. vid vilken tidpunkt lagarna kommit till och den uppfattning om vad som borde regleras som då var rådande. En del registerlagar fanns redan när datalagen infördes. Dessa äldre registerlagars primära mål har inte varit att värna om integriteten utan de innehåller främst regler om vad som skall registreras och hur information får spridas. Nyare registerlagar kompletterar eller ersätter delvis datalagens integritetsskydd. De kan innehålla bestämmelser om registerändamål, registeransvar, registerinnehåll, sökbegrepp dvs. eventuella begränsningar i sökmöjligheterna, utlämnande av uppgifter och regler om gallring. Ibland kompletteras lagarna med förordningar. Datainspektionen kan också komplettera med föreskrifter eller villkor i den mån riksdagen eller regeringen inte utfärdat sådana. Det finns också ett antal registerförordningar med bestämmelser om register. Riksdagens revisorer har i en rapport om ADB och integritet rapport 1991/92:8 med utgångspunkt från dels Datainspektionens uppgifter om samtliga yttranden enligt 2 a § datalagen t.o.m. november 1991 dels SFS-registret upprättat en förteckning över registerförfattningar. Förteckningen har tagits in som bilaga Vid datalagens tillkomst ansågs det viktigt att Datainspektionens yttrande alltid inhämtades, innan statsmakterna beslutade om inrättande av ADB-register prop 1973:33 s 98. Vid en granskning av regeringens handläggning av ärenden enligt datalagen som KU gjorde 1984 KU 1983/84:30 uppmärksammades att det hade förekommit att regeringen grund av förbiseende hade inrättat personregister utan att först hämta in yttrande från Datainspektionen. Inspektionen uppgav också vid utfrågning inför utskottet att utvidgningar av register i några fall hade varit att anse som inrättande av nya sådana, varför inspektionen borde ha fått yttra sig. Vidare hade inspektionen ibland fått yttra sig på ett allt för sent stadium. Vid en förnyad granskning 1986 konstaterade KU att regeringen i ytterligare några fall hade underlåtit att hämta in yttrande från inspektionen KU 1985/86:25. KU framhöll i sitt granskningsyttrande på nytt betydelsen av att avsikten att inrätta ett statsmaktsregister kommer till klart uttryck i propositioner och andra sammanhang. Av de totalt 213 yttranden som Datainspektionen avgivit till riksdag och departement under perioden den 1 juli 1986 den 31 december -

1989 har inspektionen bedömt endast 32 utgöra verkliga yttranden enligt 2 a § datalagen. För tiden efter den 30 juni 1990 redovisas yttranden enligt 2 a § särskilt i inspektionens diarium. Enligt diariet avgavs fyra sådana yttranden under sista halvåret 1990. Under 1991 avgavs sammanlagt åtta yttranden och under första halvåret 1992 tre yttranden. Endast en mindre del av registren regleras genom särskild registerförfattning. l författningar av äldre datum föreskrivs endast att register skall hållas. Däremot anges inte särskilt slag av lagringsmedia.

9.2 Data- och offentlighetskommittén DOK

l sitt fjärde delbetänkande SOU 1987:31 Integritetsskyddet i informationssamhället Personregistrering och användning av personnummer föreslog DOK att ytterligare myndighetsregister med känsliga personuppgifter skulle regleras i särskilda registerlagar. Målsättningen bör, enligt kommittén, vara att alla register med ett stort antal registrerade och ett kvalificerat innehåll skall specialregleras om uppgifterna i registret är föremål för en inte obetydlig extern spridning. I första hand föreslogs att vissa register hos Socialstyrelsen, landstingen, kommunerna socialtjänst och Skolhälsovård samt Riksförsäkringsverket/försäkringskassorna skulle regleras i registerlagar. Något förslag om registerlagstiftning beträffande register inom den privata sektorn lades inte fram. Detta berodde bl.a. på att avvägningen mellan enskilda och allmänna intressen inom den privata sektorn ansågs vara lättare att göra och att spridningen från de privata registren kan begränsas i större omfattning. Dessutom menade man att det finns ett större inslag av frivillighet i samband med registrering i privata register. Den föreslagna registerlagstiftningen syftade till att åstadkomma en ingående prövning och debatt om innehållet i och utformningen av de från integritetssynpunkt mest känsliga registren. Registerlagstiftningen ansågs också kunna bidra till att avlasta Datainspektionen.

9.3 Uttalanden i tidigare lagstiftningsärenden

DOK:s förslag om en reglering av känsliga personuppgifter i vissa myndighetsregister genom särskilda registerlagar se avsnitt 9.2 tillstyrktes vid remissbehandlingen av i stort sett samtliga remissinstanser. I den proposition 1990/9l:60, Offentlighet, integritet och ADB som följde på DOK:s förslag anförde departementschefen att hennes bedömning av behovet av särskilda registerlagar överensstämmer med DOK:s förslag. En målsättning bör vara, att i de fall register med ett

stort antal registrerade och ett särskilt känsligt innehåll inrättas, bestämmelser skall meddelas i form av lag. Detta gäller särskilt i de fall uppgifterna i registret sprids externt i inte obetydlig omfattning. Om uppgifter används för strikt avgränsade ändamål i ett register där de primärt har registrerats, t.ex. inom försvaret eller arbetsmarknadsutbildningen och i många kommunala sammanhang behövs däremot i regel ingen specialreglering. I dessa register kan integritetsskyddet tillgodoses genom Datainspektionens tillståndsprövning. Om de uppgifter som ingår i registret i sådana fall inte är sekretesskyddade, kan det övervägas om en utvidgning av bestämmelserna i sekretesslagen är en väg att uppnå ett bättre integritetsskydd. Vad gäller den privata sektorn uttalades i propositionen att det för närvarande inte finns något uttalat behov av registerlagar inom den sektorn. Propositionen 1990/91:60 om offentlighet, integritet och ADB behandlades i konstitutionsutskottets betänkande 1990/91:KU1l. Beträffande frågan om behovet av särskilda registerlagar anförde utskottet att det allmänt sett är av stor betydelse att en författningsreglering av ADB-register kommer till stånd i syfte att stärka skyddet för de registrerade i samband med nödvändig registrering av känsliga uppgifter i myndighetsregister. Utskottet delade uppfattningen att register hos Socialstyrelsen, landstingskommunerna, kommunerna och Riksförsäkringsverket bör regleras i särskilda registerlagar. Likaså ansåg utskottet att det krävs ingående överväganden i fråga om vilka register inom dessa områden som bör lagregleras. Utskottet förutsatte att frågan om vilka övriga register som bör regleras kommer att ägnas en fortlöpande uppmärksamhet från regeringens sida och att åtgärder kommer att vidtas för att få till stånd sådana regleringar. Något särskilt uttalande från riksdagens sida var enligt utskottets mening därmed inte nödvändigt. Utskottets uttalande godtogs av riksdagen rskr. 160. Med anledning av en proposition om ändring i sekretesslagen prop. 1991/92:73 Sekretess inom rättsväsendets informationssystem har konstitutionsutskottet i sitt av riksdagen godkända betänkande 1991/92:KU 23, rskr. 119 framhållit bl.a. att det är av stor vikt att de ADB-register som innehåller integritetskänsliga uppgifter regleras genom särskilda registerlagar.

9.4 Europarådets konvention

Vissa särskilda slags uppgifter får inte undergå automatisk databehandling om inte nationell lag domestic law ger ett ändamålsenligt skydd art. 6. Det gäller personuppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa och sexualliv. Det gäller också

personuppgifter som hänför sig till att någon dömts för brott. Av kommentaren till bestämmelsen framgår att med uttrycket domestic law avses inte bara lagstiftning utan också annan författningsreglering, så länge den nödvändiga skyddsnivån säkerställs.

9.5 Förslaget till EG-direktiv

Direktivförslaget innehåller särskilda bestämmelser känsliga om uppgifter. Med känsliga uppgifter avses uppgifter om ras eller etniskt ursprung, politisk uppfattning, religiös eller filosofisk överannan tygelse, facklig tillhörighet eller uppgifter som rör hälsotillstånd eller sexualliv. Utgångspunkten är i förslaget till EG-direktiv att sådana uppgifter inte får behandlas art. l. Vissa undantag görs emellertid från den nämnda huvudregeln. nu Den enskildes samtycke konstituerar ett sådant undantag art. 8.2.a. Vidare får medlemsstaterna, om viktiga allmänna intressen talar för det, tillåta behandling av de aktuella känsliga personuppgifterna genom en särskild reglering i lag eller annan författning eller beslut genom av dataskyddsmyndigheten. En förutsättning är då att man anger vilken typ av uppgifter det gäller, till vem sådana uppgifter får lämnas ut och vem som får vara persondataansvarig. Lämpliga skyddsbestämmelser skall också ställas upp att. 8.3. I artikel 8.4 tas som känslig uppgift upp personuppgifter hänför som sig till att någon har dömts för brott och i artikel 8.5 föreskrifter ges om användningen av bl a personnummer. I artikel 18.4 och 5 ges olika alternativ för regleringen sådan av behandling som innefattar särskilda risker för enskildas rättigheter och friheter. Som exempel nämns i kommentarerna behandling speciella av slag av uppgifter. En möjlighet är att särskilt reglera sådan behandling i lag eller annan författning. Olika slags besked av dataskyddsmyndigheten i anslutning till sådan behandling godtas emellertid också. Det kan antingen vara fråga om ett regelrätt tillståndsbeslut art. 18.5 eller ett slags besked conclusions med anledning granskning från av en dataskyddsmyndighetens sida av den anmälan som den persondataansvarige har gett in till myndigheten art. 18.4. Beskedet skall lämnas inom 15 dagar från det anmälan gjordes.

Utredningens tidigare ställningstaganden

Utredningen har inte tidigare närmare diskuterat frågan om behovet av registerlagar och andra s.k. statsmaktsregister. Utredningen har dock vid sin behandling av register för forskning och statistik förordat att vissa av principerna för dessa registers förande tas in direkt i datala-

170 SOU 1993: 10

gen. Vad som därvid skulle kunna komma i fråga är de grundläggande reglerna om informerat samtycke och de fall då sådant samtycke kan undvaras, inklusive de fall som rör registerforskning. På motsvarande sätt har utredningen förordat att vissa grundläggande bestämmelser för personregistreringen i anställningsförhållanden tas in i datalagen. En regel om att uppgifterna i registren i princip skall samlas in direkt från den anställde och att de i princip inte får lämnas ut utan hans medgivande skulle kunna tas in liksom principiella bestämmelser om registreringen av uppgifter av medicinsk karaktär eller sådana som gäller omdömen såsom prestationsmätning o.d. I övrigt har utredningen i sina tidigare ställningstaganden uppehållit sig vid handläggningen av statsmaktsregister. I denna del har utredningen uttalat bl.a. följande. Ett stort antal av de personregister som innehåller integritetskänsliga uppgifter har tillkommit efter beslut om särskilda registerlagar och kompletterande förordningar. Den noggranna beredningen och beslutsprocessen i lagstiftningsärenden har ansetts ge en bättre garanti för ett gott integritetsskydd i fråga om särskilt känsliga register än vad som är möjligt att uppnå vid en tillständsprövning av Datainspektionen. Till detta synsätt kan också ha bidragit svårigheterna att precisera begreppet personlig integritet och otillbörligt intrång. Det nuvarande förfarandet, som i allt väsentligt har fungerat bra, bör kunna användas i ett nytt tillsynssystem. Om handläggningen av dessa register bör alltså gälla följande. I den mån inspektionen i en särskild författning fått bemyndigande härom, bör inspektionen kunna meddela kompletterande verkställighetsföreskrifter. Datainspektionen bör vidare liksom i dag kunna meddela villkor för det enskilda registret, om inte riksdagen eller regeringen har meddelat villkor i samma hänseende. Likaså bör inspektionen ha rätt och skyldighet att yttra sig i samma omfattning som f.n., innan riksdag eller regering fattar beslut om personregistrering. Det kan därvid enligt utredningens mening inte gärna komma i fråga att ge inspektionens yttrande en annan tyngd än det har i dag, när det

gäller beslut av statsmakterna om inrättande av ett visst register. .Det

innebär att inspektionens yttrande inte är något annat än en del mä vara en viktig del av riksdagens eller regeringens beslutsunderlag. - Det gäller så mycket mer som såväl regering som riksdag i stor utsträckning redan beaktar de synpunkter som inspektionen för fram nu i sina yttranden över statsmaktsregister. Mot bakgrund av att osäkerhet i del fall i dag kan råda om när i beredningen av ärendet inen spektionens yttrande skall inhämtas och att inspektionen enligt egen uppgift i några fall kommit in i ett sent skede och därför inte fått erforderlig tid för sin granskning, bör emellertid reglerna härom förtydligas jfr. KU 1985/86:25.

9.7 Remissutfallet

Endast några fä remissinstanser har i sina yttranden berört frågan om handläggning av statsmaktsregister. De att den nuvarande anser ordningen bör behållas.

8 överväganden

Redovisningen i det föregående visar att det under årens lopp har tillkommit en lång rad s.k. statsmaktsregister. Uttalanden prinom ciperna för den fortsatta specialregleringen har gjorts av riksdagen. Av särskilt intresse för den fortsatta utvecklingen området är bestämmelserna i förslaget till EG-direktiv. Enligt artikel 8 får vissa känsliga uppgifter inte bli föremål för automatisk databehandling utan att den enskilde har samtyckt till detta, uttryckligen och skriftligen. Undantag från den nu angivna regeln medges bara om det är påkallat av väsentligt allmänt intresse. Det förutsätts dock att det finns en särskild författningsreglering eller ett tillståndsförfarande. Därvid skall anges vilka uppgifter som får behandlas, vem som fâr ha tillgång till uppgifterna och vilka som får vara persondataansvariga. Lämpliga skyddsbestämmelser skall också ställas upp. Detta skall jämföras med regleringen i den nuvarande datalagen av känsliga uppgifter. Bestämmelserna, som finns i 4 tillåter registrering men bara om det finns synnerliga eller särskilda skäl. Det förutsätts alltså att en intresseavvägning sker mellan integritetsintresset och andra utomstående intressen. Som utredningen utförligt utvecklar i avsnitt 13 bör det nuvarande tillståndsförfarandet i datalagen avskaffas och ersättas med ett renodlat tillsynsförfarande. Skall man följa direktivförslaget återstår därför bara en ordning med författningsreglering såvitt gäller de känsliga uppgifter som tas upp i artikel 8 i förslaget till EG-direktiv. Vad som talar emot en lösning med författningsreglering är framför allt det betydande behov som den för med sig av en ytterligare framtida reglering genom statsmaktsregister. Särskilt inom den offentliga sektorn behandlas känsliga uppgifter i många olika sammanhang och en konsekvens av den nu diskuterade ordningen skulle bli att dessa uppgifter inte skulle få behandlas i fortsättningen om inte det fanns en reglering i författning av behandlingen av uppgifterna, om man nu bortser från de säkerligen fâ fall inom den offentliga sektorn där det kan bli aktuellt med samtycke. På den privata sektorn skulle man väl i flertalet fall kunna páräkna samtycke från den enskilde men även här torde det i en del fall komma att krävas författningsstöd. Enligt utredningens mening talar emellertid övervägande skäl för en reglering i enlighet med det alternativ i förslaget till EG-direktiv som

innebär författningsstöd. Därigenom kan de mot den enskildes integritet stående intressena, t.ex. statens eller kommunernas kontrollbehov på skilda områden, prövas med den noggrannhet som föregår antagandet av en författning. Någon tveksamhet behöver inte heller uppstå hos den enskilde persondataansvarige om en behandling av känsliga uppgifter är tillåten eller inte. För såväl denne som den vars personuppgifter det gäller ökar förutsebarheten, vilket i sin tur leder till en högre grad av rättssäkerhet. Till detta kommer att Datainspektionens tillsyn underlättas, eftersom ett bedömningsmoment som kan innebära svåra avvägningar av skönsmässig karaktär faller bort. En sådan reglering är också i linje med riksdagens uttalanden att det är av stor vikt att de ADB-register som innehåller integritetskänsliga uppgifter regleras genom särskilda registerlagar. Slutligen bör erinras om att kravet på författningsreglering tar sikte enbart pâ några aspekter av informationsbehandlingen. Några fullständiga registerförfattningar är det alltså inte tal om. De känsliga uppgifter som nämns i artikel 8 i direktivförslaget har med något undantag sin motsvarighet i bestämmelserna i 4 § och 7 § andra stycket datalagen. l 4 § datalagen tas emellertid upp en rad andra känsliga uppgifter och i 6 § andra stycket nämns som känsliga uppgifter sådana som utgör omdömen eller andra värderande upplysningar den enskilde. Även i datalag bör dessa ytterligare om en ny uppgifter bli föremål för särskilda restriktioner. En sådan ordning torde vara helt förenlig med bestämmelserna i artikel 18.4 och 5 i direktivförslaget. Enligt dessa bestämmelser får medlemsstater i lag eller annan författning särskilt reglera viss behandling som utgör särskilda risker för enskildas rättigheter och friheter. Som exempel nämns i kommentaren behandling av speciella slag av uppgifter. Ett alternativ till lag eller annan författning är beslut av dataskyddsmyndighet. Enligt bestämmelserna i artikel 18.4 har dataskyddsmyndigheten inom femton dagar från en anmälan om en behandling som innebär särskilda risker för enskildas rättigheter och friheter att undersöka behandlingen. Som närmare framgår av avsnitt 13 har utredningen valt att inte ge Datainspektionen möjlighet att meddela beslut om tillstånd till behandling av känsliga uppgifter med hänsyn till de betydande fördelar som är förenade med ett renodlat system med tillsyn. Under avsnitt 13 har utredningen vidare avfärdat en ordning med en tidsfrist för Datainspektionens granskning av anmälningar. Skälet härför är att ett system med en tidsfrist i praktiken torde innebära att man via bestämmelserna om anmälningsskyldighet behåller det partiella tillståndsförfarandet till förfâng för ett renodlat system med tillsyn. Kvar står således att även för de ytterligare typer av känsliga uppgifter som nu har diskuterats en ordning med författningsreglering bör väljas. I enlighet med vad som nu har sagts har utredningen tagit upp en bestämmelse om behandling av känsliga uppgifter i 20 § i lagförslaget.

Utredningen har också, med stöd av 20 föreslagit vissa särskilda bestämmelser om behandling av känsliga uppgifter för forsknings- eller statistikändamål och för anställningsändamål i 30 35 §§ i förslaget till ny datalag. De angivna bestämmelserna behandlas närmare i avsnitt 10 och ll samt i specialmotiveringen. I den utsträckning registerlagarna bara reglerar vissa moment av informationsbehandlingen, blir i övrigt de allmänna bestämmelserna i datalagen att tillämpa. I sammanhanget bör framhållas att i förhållande till ett framtida EGdirektiv, som Sverige blir bundet av genom EES-avtalet eller genom ett medlemskap i EG, de olika speciallagarna givetvis får behandlas på samma sätt som den allmänna datalagen. Det blir alltså inte möjligt att genom särskilda registerlagar införa lösningar står i strid med de som principer som följer av EG-direktivet. Utredningen har i sina tidigare ställningstaganden utgått från att det nuvarande förfarandet för handläggning av s.k. statsmaktsregister skall användas även i det nya tillsynssystemet. En del förändringar bör dock genomföras. En förändring sammanhänger med hur Datainspektionens tillsyn avses ske i det nya systemet. Som närmare utvecklas i avsnitt l4 kommer tillsynen att gå ut på att se till att behandlingen av personuppgifter sker i enlighet med vad som gäller för den ifrågavarande behandlingen. Skulle personuppgifter behandlas i strid med gällande bestämmelser får Datainspektionen meddela villkor. Syftet med villkoret är att åstadkomma rättelse. Några villkor av den typ som enligt nuvarande datalag kan meddelas för ett s k statsmaktsregister blir däremot inte möjliga i det nya systemet. De materiella bestämmelser som kommer att gälla för behandlingen av personuppgifter blir i första hand datalagen och de särskilda registerlagarna. De allmänna bestämmelserna i datalagen blir, som tidigare har nämnts, att tillämpa i den mån registerlagarna bara reglerar vissa moment i inforrnationsbehandlingen. Till detta kommer de särskilda föreskrifter som regeringen eller Datainspektionen kan meddela med stöd av 36 § i förslaget till datalag eller motsvarande bemyndigande i de särskilda registerlagarna. Dessutom kan regeringen, eller efter bemyndigande Datainspektionen, med stöd 8 kap 13 § av första stycket 2 regeringsformen meddela föreskrifter om behandlingen av personuppgifter inom den statliga förvaltningsorganisationen. Enligt nuvarande ordning för handläggning av s.k. statsmaktsregister skall yttrande inhämtas från Datainspektionen innan beslut att inrätta registret fattas, om registret avses innehålla uppgifter som i annat fall skulle ha medfört tillståndsplikt. Antalet sådana yttranden har under de senaste åren legat på en ganska jämn nivå. Under det sista halvåret 1990 avgavs fyra yttranden. Antalet yttranden under 1991 uppgick till åtta och under det första halvåret 1992 har tre yttranden avgivits. Med utredningens förslag till datalag skulle det bli aktuellt att besluta om ett stort antal nya registerförfattningar. Enligt Datainspektionens mening

174 SOU 1993: 10

är i en del fall det knappast nödvändigt med ett särskilt yttrande från myndigheten för den fortsatta handläggningen i regeringskansliet. Utredningens förslag till ny datalag innehåller en förhållandevis fyllig reglering av de förutsättningar som skall gälla för behandlingen av personuppgifter. Genomförs förslaget torde det i ytterligare ett antal fall bli onödigt att inhämta yttrande från Datainspektionen. Utredningen föreslår att det i det nya systemet inte skall vara obligatoriskt att höra inspektionen. I stället bör man kunna falla tillbaka på den allmärma bestämmelsen i 7 kap 2 § regeringsfonnen som innebär att regeringen vid beredning regeringsärenden skall inhämta behövliga av upplysningar och yttranden från berörda myndigheter. Detta innebär att remiss till Datainspektionen bara bör ske när Datainspektionens yttrande behövs underlag för statsmakternas beslut om behandling som av personuppgifter. Den nu förordade ordningen innebär att det inte finns någon anledning att i det nya systemet skilja yttranden inför blivande s k statsmaktsregister och andra remisser från regeringskansliet. Huruvida inom den offentliga sektorn själva beslutet att behandla personuppgifter fattas av riksdagen, regeringen eller en myndighet fâr egentligen betydelse bara i ett hänseende. Datainspektionen kan nämligen, enligt 41 § i förslaget till datalag, inte förbjuda fortsatt behandling av personuppgifter, om riksdagen eller regeringen har beslutat att uppgifterna skall behandlas. Hur utredningens förslag förhåller sig till förslaget till EG-direktiv diskuterade delar har berörts i det föregående. i nu

10 Behandling av känsliga personuppgifter för forsknings- eller statistik-

ändamål

10. 1 Gällande rätt

Personregistrering för forskning och statistikändamål är inte särreglerad i datalagen. I den mån registren inte är hänförliga till s.k. statsmaktsregister, dvs. har tillkommit efter beslut riksdagen eller av regeringen, krävs tillstånd av inspektionen för att få inrätta och föra personregister för angivna ändamål. På grundval av uttalanden i förarbetena har dessa register i praxis kommit att få en privilegierad ställning när det gäller möjligheterna att få registrera personer utan naturlig anknytning till den registeransvarige. Enligt en fast praxis ifrågasätter Datainspektionen vid sin prövning som regel inte det behov som anges för inrättande av ett forskningsregister. Denna uppfattning grundar inspektionen i att forskningsområde och forskningsmetod är frågor som faller utanför inspektionens behörighet. Däremot kräver inspektionen naturligtvis för tillstånd att det är möjligt att inskränka intrånget i den personliga integriteten genom villkor i det enskilda fallet. I många fall rör registreringen personuppgifter känsligt slag, där av tillstånd enligt datalagen får beviljas, endast särskilda eller om synnerliga skäl föreligger 4 §. I Datainspektionens praxis det anses förhållandet att uppgifterna skall användas för ett vetenskapligt ändamål i sig vara tillräckligt för att uppfylla kravet på särskilda eller synnerliga skäl. Stöd för denna tolkning finns i uttalanden i samband med datalagens tillkomst år 1973. I propositionen prop. 1973:33 122 med s. anges hänvisning till ett uttalande av offentlighets- och sekretesslagstiftningskommittén, att undantag från kravet på synnerliga skäl borde kunna medges för statistiska bearbetningar och vetenskapliga undersökningar, under förutsättning att enskilda inte offentliggörs. I personers namn direkt anslutning härtill framhålls att även i vissa andra sammanhang undantag bör kunna medges, om det föreligger ett starkt samhälleligt eller annat allmänt intresse att registreringen får ske och det finns säkra garantier för att uppgifterna inte används eller sprids, så att otillbörligt integritetsintráng uppkommer.

Vidare görs i praxis åtskillnad mellan sådana register som avses bygga informerat samtycke från de berörda och register där sådant samtycke inte skall inhämtas. För vissa personregister för såväl forsknings- som statistikändamål har Datainspektionen meddelat föreskrifter om ett förenklat ansökningsförfarande se DIFS 1989:2 och 1990:1. För båda ändamålen föreskrivs bl.a. att informerat samtycke i en del fall skall föreligga, dvs. att den som skall registreras i förväg får upplysningar om bl.a. registrets ändamål och innehåll och därefter frivilligt lämnar begärda uppgifter eller medger att dessa inhämtas från någon annan källa. En förutsättning för det förenklade förfarandet páforskningsområdet är vidare att de som hanterar registren är väl insatta i de regler som gäller. Det gäller både forskare och andra som handhar registren för den registeransvariga myndigheten. Möjligheten att använda det förenklade förfarandet har därför gjorts beroende av Datainspektionens medgivande. De statliga myndigheter som får använda det förenklade förfarandet är universitet, högskolor och andra forskningsinrättningar som efter ansökan fått medgivande att göra det. Ändamålet med sådana register som omfattas av förfarandet skall att framställa statistik i forskningssyfte. Från registret får man envara bart skapa statistiska tabeller eller annan anonym information, där enskild inte avslöjas. Vidare får man framställa arbetsmaterial i person form listor för att kontrollera och rätta personuppgifter i samband av med statistikproduktionen. För att kunna skicka ut förfrågan om deltagande i undersökningen och för att samla in uppgifterna får man också framställa adressetiketter och listor där de registrerade prickas I ändamålet ingår att statistiken skall framställas i forskningssyfte, av. dvs. syfta till att belysa okända faktorer eller bekräfta hypoteser, t.ex. enligt följande.

Framställning av statistik över mödrar i syfte att studera samband mellan rökning och barns födelsevikt.

Det förenklade ansökningsförfarandet får inte användas för rena registerundersökningar, s.k. registerforskning. Det krävs därför att uppgifterna i registret åtminstone till viss del inhämtas direkt från den registrerade själv genom en enkät eller vid en intervju. Det förenklade ansökningsförfarandet beträffande vissa personregister för statistikändamål gäller enbart ansökningar från statistiska centralbyrån SCB och får avse endast framställning av statistik. Statistik används vanligen för att beteckna siffermässiga eller annars kvantitativa mått över tillstånd eller samband, inkl. mått framställda med hjälp diagram, kurvor m.m. Termen betecknar också den av vetenskap eller de metoder som används för att framställa statistik. Bestämmelser i det förenklade ansökningsförfarandet för statistikändamål finns också om inrättande av tillfälliga personregister genom

sambearbetning av två eller flera register, liksom om ändring i registerinnehåll och om tillfälligt förande av personregister som avlämnats till Riksarkivet för förvaring. I en promemoria om personregister för vetenskapliga undersökningar och i en särskild informationsskrift har inspektionen redovisat sin praxis i frågan om tillstånd för forsknings- och statistikregister utöver det förenklade förfarandet. Praxis är dock inte entydig. Av redovisningen framgår beträffande informationskravet att inspektionen anser, att metoder för informationens lämnande i vissa fall kan diskuteras och att kravet på informerat samtycke undantagsvis helt kan efterges. Dessa undantag avser i så gott samtliga fall som uppgiftsinhämtande som sker på annat sätt än genom enkäter eller intervjuer, dvs. närmast i form av s.k. registerforskning. Om information lämnas på annat sätt än vid enkät eller intervju, skall dock rätten att avböja medverkan framgå. De fall som aktualiserar undantag från informerat samtycke är enligt praxis när

I hälsotillståndet hos dem som skall registreras gör det svårt att informera på vanligt sätt,

I det kan anses oetiskt att ta kontakt med dem som skall registreras, eller

I när informationen skulle förrycka undersökningens resultat.

Vidare anser inspektionen i en del fall, när det inte är fråga om direkt kontakt med dem som skall registreras, att information kan lämnas i annan än individuell form exempelvis genom anslag eller annonser i pressen, om det står klart att de som avses bli registrerade kan förväntas vara positiva till registreringen och om det gäller mycket stora populationer. Så har t.ex. skett i fråga om det s.k. utbildningsregistret hos SCB, vari uppgifter om de svenska medborgarnas utbildning m.m. finns samlad. Ett exempel på fall där inspektionen ansett det oetiskt att informera, gällde ett personregister som skulle belysa om intag av läkemedel påverkade sannolikheten för att få vissa cancersjukdomar. I det fallet hade de flesta personer som skulle ingå i registret uppnått hög ålder och det antogs att de skulle ha oroats, om de informerats om undersökningens syfte. Någon generell bestämmelse som i år, månader och dagar anger hur länge personuppgifter i ett forskningsregister får bevaras i identifierbart skick finns inte. I 12 § datalagen sägs allmänt att personuppgifterna skall utgå ur registret när de inte längre behövs för registrets ändamål eller när den registeransvarige upphör att föra registret. Enligt samma lagrum kan dock uppgifter komma att bevaras även därefter,

om det följer av bestämmelser i lag eller annan författning eller av myndighets beslut som har meddelats med stöd av författning. Att uppgifterna skall utgå innebär, enligt den information som inspektionen lämnar till forskare, i första hand att namn, personnummer och andra rena identitetsuppgifter avlägsnas. Det får emellertid inte heller därefter finnas någon möjlighet att på ett enkelt sätt identifiera en enskild person. Detta kan t.ex. vara fallet om namnet visserligen inte nämns men det förekommer sådana bestämningar av vem vissa uppgifter avser att man lätt kan ta reda på namnet i en matrikel e.d. När information har lämnats, bl.a. om att registret skall bevaras, i enlighet med Datainspektionens ovan berörda föreskrift 1990: 1 om vissa personregister för forskningsändamål, godtar inspektionen att registret bevaras datamedium utan att avidentifieras, om Riksarkivet anser att det bör ske och tillika är berett att ta hand om registret. Om de registrerade däremot är ovetande om registrets existens, blir inspektionens beslut i allmänhet att avidentifiering skall ske. Undantag görs enligt praxis i princip bara om det finns grundad anledning tro att de registrerade inte skulle motsätta sig ett bevarande. Ett beslut om avidentifiering behöver enligt vissa uppfattningar inte utesluta att en utskrift av registret görs papper som bevaras för framtiden. Riksdagen antog våren 1992 en lag om den officiella statistiken prop. 1991/92: l 18, FiU 23, SFS 1992:889. Lagen bygger pâ förslag av statistikregelutredningen i dess betänkande SOU 1990:43 Förenklad statistikreglering. I lagen, som trädde i kraft den 1 januari 1993, regleras skyldigheten att lämna uppgifter för statlig statistikframställning, liksom frågor om bl.a. uppgiftsskydd, framställningsmetoder och offentliggörande. Lagen är tillämplig på den statistik som behövs för samhällsplanering, forskning, allmän information och internationell rapportering. I 9§ erinras om att det finns särskilda regler till skydd för den enskildes personliga integritet när fråga är om sådant personregister som anges i datalagen 1973:289.

10.2 rekommendation

Europarådets

Europarådet har antagit en rekommendation år 1983 Recommendation No. R, 83, 10 rörande skydd för personuppgift som används vid forskning eller för statistik. Sverige har godtagit rekommendationen utan reservation. Innehållet i rekommendationen har redovisats i avsnitt 4.3.2.

10.3 till EG-direktiv

Förslaget

Förslaget till EG-direktiv om skyddet för enskilda vid behandling av personuppgifter finns redovisat i avsnitt 4.5. Direktivets bestämmelser är generellt tillämpliga även behandlingen av personuppgifter för forsknings- eller statistikändamål. Det innebär att de allmänna reglerna i direktivet om lagligheten av behandling av personuppgifter gäller, bl.a. reglerna i artikel 6 om principer hänförliga till datakvalitet, artikel 7 om principer hänförliga till grunderna för att fâ behandla personuppgifter och artikel 8 om behandlingen av känsliga uppgifter. Några bestämmelser i förslaget till EG-direktiv har dock direkt anknytning till forsknings- och statistikområdet. Det är bestämmelserna i artiklarna 2.a andra stycket, l.e och 14.3. I artikel 2.a andra stycket stadgas att uppgifter som presenteras i statistisk form som är av sådan karaktär att de berörda personerna inte längre rimligen kan identifieras inte räknas som personuppgifter. Bestämmelsen behandlas närmare i specialmotiveringen till 2 § förslaget till datalag. Artikel 1 .e föreskriver att personuppgifter inte skall behållas i en form som medger identifikation av enskilda under längre tid än vad som är nödvändigt för de ändamål som föreligger. Medlemsstaterna får dock enligt bestämmelserna i artikeln uppställa lämpliga skyddsregler för personuppgifter som lagras för historisk, statistisk eller vetenskaplig användning. Bestämmelserna behandlas närmare i specialmotiveringen till 8 och 19 §§ förslaget till datalag. Enligt artikel 14.3 får medlemsstaterna begränsa den enskildes rätt till insyn beträffande uppgifter som bevaras under kort tid i individuell form och som är ämnade att tjäna statistiska syften av sådant slag att de berörda personerna inte längre rimligen kan bli identifierade. Bestämmelsen berörs i specialmotiveringen till 25 § i förslaget till datalagen.

Utredningens tidigare ställningstaganden

Allmänna utgångspunkter

Datalagen innehåller, som framgått, inte några särbestämmelser vad avser personregister för forskningsändamål. Med forskningsregister brukar i allmänhet avses personregister som inrättas och förs för vetenskapliga ändamål och där syftet inte är att de personuppgifter som ingår i registret skall utgöra underlag för beslut eller administrativa åtgärder. Resultatet av den forskning vari personregistreringen ingår redovisas som regel utan att uppgifterna om den enskilda individen blir kända.

Inom ramen för nuvarande ordning krävs alltid tillstånd av Datainspektionen för att ett personregister för forskningsändamâl skall inrättas. I sin tillståndsprövning går inte inspektionen närmare in på det vetenskapliga ändamålet i sig. Att pröva behovet av ett visst forsk ningsprojekt eller användning av en viss metod anser inspektionen faller utanför inspektionens behörighet. Däremot fäster naturligtvis inspektionen stor vikt vid möjligheten att i det enskilda fallet genom villkor begränsa integritetsintrånget. Som framgått av redovisningen ovan spelar därvid förekomsten av informerat samtycke en stor roll. Datainspektionen har nyligen antagit ett förenklat ansökningsförfarande för tillstândsprövning i de fall sökanden är en statlig forskningsinrättning eller rektorsämbetet vid ett universitet eller en högskola. Förfarandet bygger bl.a. på att uppgifterna inhämtas från den registrerade genom enkät eller intervju först sedan denne informerats om vissa förhållanden och därefter frivilligt lämnat uppgifterna eller medgett att dessa inhämtas från någon annan källa. Enligt förfarandet skall information lämnas om följande: registrets ändamål och innehåll, vilka uppgifter som skall bearbetas med hjälp av ADB, vilka uppgifter som skall inhämtas från andra källor än den registrerade och vilka dessa källor är, hur länge myndigheten planerar att föra registret, innebörd och omfattning av sekretesskyddet, den registrerades rätt till utdrag enligt 10 § datalagen och vad Riksarkivet kan ha beslutat i fråga om registrets bevarande hos Riksarkivet samt att registreringen är frivillig. När det gäller statistikregister har inspektionen, som nämnts, likaledes föreskrivit ett förenklat förfarande som bygger informerat samtycke. Behörig sökande i de fallen är Statistiska centralbyrån SCB. Den information som skall lämnas innan uppgifter inhämtas från den registrerade är i stort sett likadan som den som krävs vid forskningsregistrering. I vilken form samtycket skall lämnas finns inte närmare reglerat i nuvarande bestämmelser. I många fall torde samtycket följa av s.k. konkludent handlande, dvs. att den enskilde medverkar exempelvis genom att lämna de begärda uppgifterna. Skillnaden mellan de båda slagen av personregister är i de förenklade förfarandena beskriven så, att ändamålet med personregistrering för vetenskapliga undersökningar angetts vara framställning av statistik i forskningssyfte, medan ändamålet för statistikregistreringen angivits till enbart framställning av statistik. I båda fallen ingår således framställning av statistik som en väsentlig faktor. När forskningsregister i det följande behandlas avses också, om inte annat sägs, statistikregister. Kravet att personregistrering för vetenskapliga ändamål eller för enbart statistiska syften, när den enskilde lämnar uppgifterna, får ske endast efter informerat samtycke är i full överensstämmelse med den

rekommendation på området som antagits av Europarådet och som Sverige har ställt sig bakom. Enligt rekommendationen ges endast ett undantag från kravet på informerat samtycke. Det gäller i det fall samtycke har lämnats för inhämtande av uppgifter för ett visst forskningsändamål och uppgifterna därefter önskas användas för ett forskningsändamål som påtagligt skiljer sig från det ursprungliga projektets syfte eller natur. Enligt rekommendationen får den ursprungligen gjorda registreringen användas också i det senare fallet utan att nytt samtycke inhämtas, om det skulle te sig opraktiskt med hänsyn till tidsåtgång eller det stora antalet personer som berörs att informerat samtycke inhämtas och om skyddsbestämmelser för dessa fall anges i lag. I de kommentarer som gjorts i anslutning till rekommendationen från Europarådets sida anges, att de villkor eller föreskrifter som i lag bör anges för de fall som nu har nämnts bör säkerställa en likvärdig grad av skydd för den enskildes integritet. Som exempel anges det tillstånd som lämnas av en datatillsynsmyndighet eller den prövning som kan göras av särskilda organ som inom forskarsamhället skapats för ändamålet. Härtill kommer att rekommendationen innehåller en del bestämmelser som bl.a. tar sikte på fall då uppgifter inhämtas från annan än den registrerade själv. Den möjlighet som enligt rekommendationen finns att i vissa fall genom inhemsk lag föreskriva undantag från olika villkor i bestämmelserna reser frågan vilken författningsform ett sådant undantag bör ha. Användningen av uttrycket lag "law" i rekommendationen torde inte innebära att ett undantag kan föreskrivas endast direkt genom "lag" i den svenska regeringsformens mening. Den inhemska konstitutionella nivån bör nämligen enligt vad som är brukligt vid tolkningen av internationella åtaganden inte vara avgörande. Det innebär att förskrifter som meddelas av regeringen i en förordning eller av exempelvis Datainspektionen efter bemyndigande i lag också torde uppfylla rekommendationens krav pâ att vara meddelade i lag "law". Vad som däremot skulle falla utanför "lagkravet" torde vara enskilda beslut, exempelvis villkor i ett enskilt ärende, som meddelas av en myndighet. För att tillgodose kravet på "lag" bör nämligen ett undantag meddelas som en generell norm, varigenom bl.a. vedertagna rättssäkerhetskrav som exempelvis förutsebarhet och likformighet blir tillgodosedda. En väsentlig utgångspunkt vid personregistrering inom forskningsoch statistikomrâdet är att integritetsskyddet utformas med beaktande av de behov som forskningen och statistikframställningen kan ha. En sådan avvägning avspeglas i den rekommendation som på området antagits av Europarådet, där den enskilde enligt huvudregeln själv avgör i vilken utsträckning uppgifter om honom eller henne skall lämnas. Endast i fråga om fall där uppgifterna skall användas för ett annat forskningssyfte än det ursprungliga bör avkall på kravet på

informerat samtycke kunna göras. Enligt rekommendationen bör dessa undantagssituationer, som framgått, kunna prövas av en tillståndsgivande myndighet eller ett särskilt forskningsorgan efter riktlinjer som närmare anges i lag. Enligt utredningens mening bör kravet på informerat samtycke även framdeles utgöra utgångspunkten för omfattningen av personregistrering på forsknings- och statistikornrådet. Den närmare regleringen av de villkor som bör uppställas för att informerat samtycke skall anses föreligga bör kunna utformas med utgångspunkt i Europarådets rekommendation och i huvudsak i enlighet med de verkställighetsföreskrifter som Datainspektionen har antagit på området inom ramen för det nuvarande förenklade ansökningsförfarandet. De överväganden som datalagsutredningen redovisar för forskningsregister i allmänhet har, som framgått, relevans också för personregister som enbart syftar till framställning av statistik.

Bestämningen av begreppet forskningsregister

Med forskningsregister bör i förevarande sammanhang förstås personregister som innehåller personuppgifter vilka används för vetenskapligt ändamål. Utanför begreppet forskningsregister faller därför den personregistrering som kan förekomma på forskningsinstitutioner eller i andra forskningssammanhang, men där syftet med registreringen primärt är ett annat än att uppgifterna skall användas för ett vetenskapligt arbete. Hit hör exempelvis de administrativa register som används i arbetet för att handlägga löne- och personalfrâgor. De administrativa register som finns hos myndigheter eller institutioner inom social-, hälso- eller sjukvården och som utgör underlag för beslut eller åtgärder som rör enskilda individer faller också utanför bestämningen forskningsregister, eftersom ändamålet också här är ett annat än forskning. Skulle emellertid i ett vetenskapligt syfte uppgifter hämtas ur sådana administrativa register för vidare elektronisk eller annars automatisk bearbetning, uppstår naturligtvis ett forskningsregister. Den övergripande frågan huruvida ett register överhuvudtaget har en vetenskaplig koppling får avgöras främst med hänsyn till vem som är registeransvarig, men även andra kriterier kan komma i fråga. Den verksamhet som bedrivs vid etablerade institutioner såsom de statliga högskoleenheterna och statliga forskningsinstituten hör självfallet hit, liksom den forskning som kan bedrivas inom hälso- och sjukvården i den kommunala sektorn. Å andra sidan bör såsom "forskning" inte anses varje verksamhet som betecknas som sådan av exempelvis samhällsplanerande allmänna organ. Även privata forskningsinstitutioner bör räknas till dem som anses kvalificerade som forskningsorgan, om det saknas anledning att betvivla den vetenskapliga inriktningen av verksamheten. I tveksamma

fall kan frågor om finansiering och den vetenskapliga bakgrunden hos den projektansvarige eller annars uppgivne forskaren ha betydelse för en bedömning hårvidlag. Det bör dock understrykas att det inte i första hand är en fråga för Datainspektionen att göra bedömningar av vad som kan räknas till forskning. I ett framtida tillsynssystem är det dock ofrånkomligt att i samband med en granskning av en anmälan eller vid exempelvis en institutions- eller företagskontroll frågan kan komma upp huruvida ett visst register skall anses vara forskningsregister eller inte. Detta får då bedömas med ledning av bl.a. de anknytningsfaktorer som nyss nämnts, dvs. främst institutionstillhörighet, finansiering och den projektaitsvariges eller enskilde angivne forskarens vetenskapliga meriter. Datainspektionen bör i tveksamma fall samråda med de etablerade forskningsorgan som finns området. Förutom fakultets- eller institutitionsstyrelser kan härvid de statliga forskningsråden komma i fråga. dvs. medicinska forskningsrådet, humanistisk-samhällsvetenskapliga forskningsrådet, naturvetenskapliga forskningsrådet, skogsoch jordbrukets forskningsråd samt det nyligen inrättade socialvetenskapliga forskningsrådet. Lika lite som f.n. bör det i princip ankomma Datainspektionen att granska den vetenskapliga inriktningen.

Undantag från kravet på informerat samtycke

Som nämnts bör en utgångspunkt vara att forskningsregister inte får inrättas utan att den registrerades samtycke först har inhämtats. Reglerna för hur information bör ges bör kunna utformas i överensstämmelse med vad som nu finns intaget i inspektionens föreskrifter. Möjligheten att helt ge avkall informerat samtycke bör enligt Europarådsrekommendationen, som nämnts, finnas i de fall uppgifter som inhämtas för ett forskningsändamål avses användas för ett annat vetenskapligt syfte än det ursprungliga under närmare angivna förhållanden. Dessa förhållanden bör enligt utredningen preciseras närmare. Datainspektionen upprätthåller i sin nuvarande praxis i tillståndsärenden så gott som undantagslöst kravet på att informerat samtycke skall föreligga när det inte gäller registerforskning. Även i de fall den enskilde själv lämnar uppgifterna bör vid användning av personupp- gifterna för ett nytt forskningsändamål samtycke enligt utredningens mening kunna avvaras i viss, mycket begränsad omfattning. Utredningen avser följande två fall och under villkor som i viss mån knyter an till inspektionens praxis, när undantag har gjorts från huvudregeln om informerat samtycke. Om det skulle vara kostsamt eller tidsödande att inhämta förnyat samtycke för ett nytt forskningsändamål från dem som lämnat

samtycke för en viss registrering, bör samtycke kunna undvaras, under förutsättning att det nya syftet är sådant att man kan anta att de registrerade, om de tillfrågades, inte hade någon invändning mot inrättandet av det nya forskningsregistret. Det andra fallet där informerat samtycke kan undvaras bör vara, där den registrerades hälsotillstånd eller forskningssyftet är sådant att förnyad information skulle kunna riskera att skada den som informerades. Ett undantag i detta hänseende bör dock gälla endast, om inte samtycke kan inhämtas från någon som kan anses företräda denne i saken, exempelvis en förvaltare eller god man. Det åligger den som önskar utnyttja uppgifterna för ett nytt forskningsändamål att se till att villkoren för samtycke är uppfyllda, om denne varit ansvarig för inhämtandet av de ursprungliga uppgifterna. Genom den anmälningsskyldighet som utredningen har föreslagit skall finnas för uppgifter av mera känsligt slag kommer Datainspektionen att kunna uppmärksammas på förhållandena och ges tillfälle att ingripa. För att undvika att undantagsfallen aktualiseras bör givetvis de som avses bli registrerade redan vid första tillfället tillfrågas om sin inställning till de forskningssyften som kan förutses komma i fråga.

Registerforskning

Vid såväl forskning som insamling av uppgifter för enbart statistiska ändamål förekommer det att information om den enskilde hämtas ur redan befintliga register eller uppgiftssammanställningar. I vårt land och i de övriga nordiska länderna är sådan s.k. registerforskning vanlig. En förklaring till detta är den jämförelsevis goda tillgången sådan information hos myndigheter och andra i dessa länder. I Sverige underlättas forskningen också av bestämmelserna om handlingsoffentlighet för uppgifter hos myndigheter. Vidare bidrar den utbredda användningen av personnummer till att göra personuppgifter mera lätt tillgängliga här. Registerforskningen som metod har lett till goda resultat, bl.a. inom cancerforskningen, och har även rönt internationell uppmärksamhet. Som redan har nämnts bör utgångspunkten vid en reglering av personregistrering på forsknings- och statistikområdet vara att forskningens och statistikframställningens behov tillgodoses, men att detta bör ske inom ramen för den rekommendation området som Europarådet antagit och Sverige ställt sig bakom. Bestämmelserna bör dock inte utformas så, att registerforskningen onödigtvis försvåras. Skulle kravet på informerat samtycke, som diskuterats i föregående avsnitt, undantagslöst upprätthållas, fick de nuvarande rutinerna i stor utsträckning ändras, eftersom det mera sällan förekommer att den som lämnat uppgifter till någon myndighet, ur vars register information för forsknings- eller statistikändamål

sedermera hämtas, har lämnat sitt samtycke till uppgiftens vidare användning för angivet ändamål. I Datainspektionens praxis finns vissa normer utvecklade kan som

sägas särskilt ta sikte på registerforskning.I den information, som

enligt datainspektionens nuvarande föreskrifter pá området skall föregå ett beslut av den enskilde att lämna personuppgifter för forsknings- och statistikregistrering, skall regelmässigt lämnas upplysning om vilka uppgifter som skall inhämtas från andra källor än den registrerade och vilka dessa källor är. Även inspektionen intar den principiella om ståndpunkten att information alltid skall ges till dem som registreras och att praktiska olägenheter och kostnader normalt inte bör föranleda att informationskravet efterges ens när uppgifter inhämtas på annat sätt än genom enkät eller intervjuer, anser inspektionen dock att vissa avsteg härifrån i just de fallen kan behöva göras. Inspektionen medger mot denna bakgrund att samtycke kan undvaras vid registerforskning i följande fall, nämligen när

I hälsotillståndet hos den som skall registreras gör det svårt att informera pä vanligt sätt,

I det kan anses oetiskt att ta kontakt med den som skall registreras eller

I när informationen skulle förrycka undersökningens resultat.

I fråga om stora populationer och om det är klart att de som avses bli registrerade kan förväntas vara positiva, anser inspektionen vidare att individuellt samtycke kan ersättas med anslag eller annonser. I de fall informationskravet har eftergetts beslutar inspektionen, som nämnts, dock regelmässigt om en begränsning i tiden för registrets förande och att avidentifiering eller förstörelse därefter skall ske. Europarådsrekommendationen innehåller en del bestämmelser som har viss anknytning till de särskilda frågor som registerforskningen ger upphov till, utöver de allmänna villkor i rekommendationen som tidigare har redovisats. För det första föreskrivs till förmån för forskning ett undantag från den grundläggande principen om förbud mot utlämnande till tredje man av personuppgifter. Personuppgifter får lämnas ut av allmänna eller privata organ för forskningsändamål antingen med den enskildes samtycke eller i enlighet med skyddsbestämmelser som närmare har bestämts i inhemsk lag. Om utlämnade sker, gäller dock det allmänna kravet att personuppgifterna inte får publiceras i identifierbar form, såvida inte de berörda har lämnat sitt samtycke härtill och det skett i enlighet med andra i lag angivna skyddsbestämmelser. Som anvisningar till när utlämnande kan ske utan samtycke av personliga uppgifter nämns i förarbetena till rekommendationen graden av

säkerhet i handläggningen, forskningsprojektets betydelse, behovet av identifierbara uppgifter och risken för den berörde, om uppgifterna används för forskningsändamål. För det andra finns i rekommendationen en föreskrift om att forskares tillgång till allmänna befolkningsregister skall underlättas, så att de kan få underlag för urvalsundersökningar. Om annat inte beslutas av inhemska myndigheter i enskilda fall, bör enligt föreskriften sådana uppgifter få innehålla uppgift om namn, adress, födelsedag, kön och yrke. I förarbetena till denna föreskrift anförs bl.a., att forskningen i ökad utsträckning är beroende av uppgifter som redan finns hos olika statliga institutioner och att föreskriften tillkommit för att inte forskningen ensidigt skall vara beroende av dessa institutioners skönsmässiga bedömning i fråga om utlämnande av uppgifter. I anslutning härtill görs också hänvisning till den lagstiftning om tillgång till allmänna handlingar "laws on freedom of inforrnation" som finns i många länder. Det understryks att de personuppgifter som nämns i föreskriften är den minimi-information som under alla förhållanden måste göras tillgänglig och att det undantag som kan vara föreskrivet i inhemsk lag kan ta sikte på sådana grupper av uppgifter som t.ex. adress- och yrkesuppgifter, om det är av särskild vikt för den enskilde att dessa uppgifter inte lämnas ut. I det föregående har utredningen ansett att kravet på informerat samtycke bör upprätthållas när det gäller inrättande av personregister för forsknings- eller statistikändamål och att undantag från detta krav bör förekomma endast i de fall det gäller byte av ändamål, dvs. når forskningssyftet är ett annat än det ursprungligen angivna och till vilket samtycket har lämnats. Undantagsfallen bör preciseras i enlighet med Europarådsrekommendationens anvisningar och tas in i föreskrifter. De uppgifter som hämtas från myndigheter och andra inom ramen för en registerforskning skulle således i de allra flesta fall inte komma att omfattas av denna reglering, eftersom samtycke torde saknas. Endast möjligheten att inrätta registret genom beslut av regeringen eller riksdagen, dvs. som ett statsmaktsregister, skulle då stå till buds. En sådan ordning skulle, å andra sidan, mot bakgrund av vad som redan anförts om registerforskningens betydelse innebära en klart otillfredsställande förändring i förhållande till nuläget. Frågan är då för registerforskningens del om och i så fall i vilken omfattning rekommendationens bestämmelser medger undantag från kravet på informerat samtycke och därigenom en lösning inom ramen för en allmän reglering av forskningsregister i ett framtida tillsynssystem. Även rekommendationens utgångspunkter, vid sidan av att om en av betona värdet av forskning, är att personregistrering för forskningsoch statistikändamål enligt huvudregeln förutsätter informerat samtycke, framgår det att kravet på sådant samtycke är avsett endast för de fall då den enskilde själv lämnar informationen. De situationer

då uppgifterna såsom vid registerforskning hämtas från annat håll är inte direkt reglerade i rekommendationens bestämmelser. Den möjlighet till undantag som rekommendationen uttryckligen medger vid utlämnande av personuppgifter för forskningssyfte utsäger i och för sig ingenting om inrättande av personregister för samma ändamål. En rimlig tolkning av rekommendationens bestämmelser i denna del synes dock vara att även den efterföljande användningen i form av exempelvis ett inrättande av personregister omfattas. En sådan tolkning förefaller ha stöd i förarbetena till den aktuella bestämmelsen även men i den ovan nämnda föreskriften i rekommendationen om en tillåten användning utan föregående samtycke av personuppgifter befolkningsur register för urvalsundersökningar. Tolkningen ligger också väl i linje med rekommendationens syfte att också beakta forskningens behov. I den mån samtycke inte föreligger till utlämnande av personuppgifter för forskningssyfte krävs, som nämnts, enligt uttalanden i förarbetena till rekommendationen i denna del dock att det i inhemsk lag finns intagna bestämmelser, där hänsyn till datasäkerhet och risken för integritetsintrång finns beaktade jämte hänsyn till vikten av forskningsprojektet och behovet av identifierbara data. Den praxis som inspektionen för närvarande tillämpar vid registerforskning, där information inte lämnas i förväg och samtycke således saknas, bör bl.a. med hänsyn till de strängare kraven på tidsbegränsning och förstörelse som i de fallen föreskrivs kunna tjäna som underlag för utarbetande av sådana bestämmelser. Det innebär att samtycke kan undvaras där hälsotillståndet hos dem som skall registreras gör det svårt att informera på vanligt sätt eller det kan anses oetiskt att ta kontakt med dessa. Vidare bör information kunna underlâtas om det skulle förrycka undersökningens resultat, i samband med att den enskilde utnyttjade sin strykningsrätt. Slutligen bör man kunna avvara samtycke, om samtycke redan har lämnats och registreringen gäller ett nytt forskningsändamål, allt under förutsättning att det skulle vara kostsamt eller tidsödande att inhämta ett nytt samtycke och kan man anta att de registrerade, om de tillfrågades, inte skulle ha någon invändning mot det nya forskningsregistret. Med "lag" torde, som redan framgått, också förstås av regeringen meddelade förordningar och de föreskrifter som Datainspektionen efter delegation har rätt att meddela. Rekommendationens krav lagform torde nämligen vara uppfyllt, om det är fråga om i förväg meddelade normer av generell karaktär, till skillnad från myndighetsbeslut i enskilda fall. Den inhemska rättsordningens val av normnivå torde således inte vara avgörande. Det avsteg från kravet på informerat samtycke som ett bibehållande av registerforskningen i huvudsak i nuvarande omfattning innebär bör därför kunna rymmas inom ramen för en allmän reglering genom förskrifter av forskningsfrágoma i ett framtida tillsynssystem utan att

komma i konflikt med Europarådsrekommendationen på området. Föreskrifterna bör dock innehålla de konkreta materiella skyddsbestämmelser som är nödvändiga. Frågan om ett forskningsprojekts vikt vilket vid en registerforskning som görs utan samtycke bör tillmätas särskild betydelse enligt rekommendationens förarbeten får bedömas mot bakgrund av det allmänna kravet på att syftet med registreringen skall vara personregistrering för forskningsändamål dvs. att registret är ett forskningsregister, oavsett om det gäller registerforskning eller en verksamhet där uppgifterna inhämtas direkt från den som skall registreras. Vilka krav som bör uppställas i det sammanhanget har utredningen diskuterat ovan.

10.5 Remissutfallet

Det stora flertalet remissinstanser ställer sig i huvudsak bakom utredningens överväganden om avvägningen mellan integritets- och forskningsintressena här och i fortsättningen inbegrips i forskning även statistikframställning. Stor samstämmighet råder om att forskningsverksamhet har stor samhällelig betydelse och att det bör ligga i enskildas intresse att förutsättningar finns för en framgångsrik forskning. Liksom utredningen pekar därför många remissinstanser på att integritetsskyddet på forskningsområdet bör utformas med beaktande av de behov som forskningen har och att Europarâdsrekommendationen på området bör utgöra en utgångspunkt för regleringen i en ny datalag. Ingen remissinstans ifrågasätter behovet av att i en ny datalag ta in särskilda bestämmelser om behandlingen av personuppgifter för forsknings- eller statistikändamål. Några remissinstanser påpekar dock särskilt att de, även om särskilda bestämmelser förs in iden nya datalagen, förutsätter att vissa forskningsregister blir föremål för särskild lagstiftning genom separata detaljerade registerlagar. De remissinstanser som uttryckligen delar utredningens uppfattning att s.k. informerat samtycke skall utgöra huvudregel för att få behandla personuppgifter för forsknings- eller statistikändamål är bl.a. Justitiekanslern, Kammarrätten i Göteborg, Datainspektionen, Socialstyrelsen, Lunds universitets juridiska fakultetsstyrelses forskningsnämnd, Juridiska fakultetsstyrelsen vid Uppsala universitet, Samhällsvetenskapliga fakultetsnämnden vid Umeå universitet, Högskolan i Karlstad, Svenska kommunförbundet, Landstingsförbundet, Socialvetenskapliga forskningsrådet, Universitets- och högskoleämbetet, Humanistisk samhällsvetenskapliga forskningsrådet, Arbetsmiljöinstitutet, Sveriges Industriförbund, Svenska Arbetsgivareföreningen, Företagarnas Riksorganisation, Sveriges Psykologförbund, Sveriges Universitetslaratförbund, Landsorganisationen i Sverige och Sveriges Akademikers Centralorganisation.

Datainspektionen påpekar särskilt att i principen om informerat samtycke inbegrips krav på både information och samtycke. Det är därför enligt Datainspektionens mening viktigt att vid utformningen av föreskrifter i en ny datalag hålla i sär dessa begrepp. Information kan, uttalar Datainspektionen, lämnas olika sätt. Bland annat kan dess utformning enligt Datainspektionen påverkas av i vad mån en viss registrering skall förutsätta de enskildas samtycke. Flertalet remissinstanser ställer sig i huvudsak bakom utredningens förslag till undantag från kravet på samtycke och många remissinstanser pekar på att undantagen ligger i linje med Europarådets rekommendation inom området och Datainspektionens hittillsvarande praxis. Datainspektionen framhåller särskilt att inspektionen inte har några invändningar emot de överväganden som utredningen gjort i fråga om tolkningen av rekommendationen eller emot innehållet i redogörelsen för inspektionens nuvarande praxis på området. Datainspektionen har dock påpekat att praxis f.n. inte är entydig. Vissa remissinstanser såsom Riksdagens ombudsmän JO Hans Ragnemalm, Sveriges Psykologförbund och Sveriges Universitetslärarförbund ifrågasätter dock om inte undantagen är för långtgående. Psykologförbundet anser att man bör bortse från kostnads- eller tidsaspekter och att ett nytt samtycke bör inhämtas från den registrerade om tidigare registrerade uppgifter skall användas i ett nytt forskningsprojekt. Enligt Sveriges Psykologförbunds och Sveriges Universitetslärarförbunds mening bör vidare synnerliga skäl föreligga om informerat samtycke skall kunna undvaras. Andra remissinstanser anser att utredningens förslag till undantag är för snäva. Kungliga Vetenskapsakademien och Medicinska forskningsrådet hävdar att de motiv som utredningen redovisat för att göra undantag för pressens källregister i allt väsentligt också bör gälla för forskningen. Medicinska forskningsrådet pekar på den framgångsrika medicinska behandling som står till buds i Sverige och att människor som utnyttjar dessa resurser måste förväntas vara positiva till att uppgifter om deras egen sjukvård används. Socialvetenskapliga forskningsrådet hävdar att man i de allra flesta fall har anledning tro att den som en gång samtyckt till att lämna uppgifter för ett visst forskningsändamål inte skulle ha någon erinran mot användning av uppgifterna för ett nytt forskningssyfte. Rådet anser därför att det är onödigt snävt att kombinera kravet på att underlåta ett nytt samtycke med dels att det skulle vara kostsamt eller tidsödande att inhämta förnyat samtycke, dels att man kan anta att de registrerade, om de tillfrågades, inte skulle ha någon invändning mot registrets användning för det nya vetenskapliga syftet. När det gäller registerforskning anser Medicinska forskningsrådet, Humanistisk samhällsvetenskapliga forskningsrådet och Arbetar- skyddsverket i princip att individuellt informerat samtycke inte bör krävas vid utnyttjandet av uppgifter från befintliga register. Socialsty-

relsen intar en liknande ståndpunkt när det gäller stora forskningsdatabaser. Statistiska centralbyrån och Samhällsvetenskapliga fakultetsnämnden vid Stockholms universitet ger uttryck för samma inställning när det gäller statistikframställning. Datainspektionen framhåller emellertid att inspektionen för sin del inte kan se någon principiell skillnad mellan det fall att uppgifter samlas in från enskilda och det fall uppgifter hämtas från befintliga register när det gäller att från integritetsskyddssynpunkt bestämma i vad män samtycke skall få undvaras. Skillnaden ligger snarare enligt Datainspektionen i de olika möjligheterna att inhämta samtycke. Det är ju, uttalar Datainspektionen, enklare att begära samtycke om ändå uppgifter måste inhämtas från de enskilda medan begäran om samtycke för registerforskning medför en särskild omgång. Några remissinstanser framhåller vikten av att precisera begreppet forskningsregister. Justitiekanslern pekar härvid på möjligheten att i författningstext göra den avgränsning av begreppet som följer av utredningens överväganden. Enligt Datainspektionens mening bör det klaras ut om de särskilda reglerna i en ny datalag bör omfatta all slags forskning eller endast sådan som bedrivs av vissa offentliga eller privata institutioner. En annan fråga som enligt Datainspektionen bör klaras ut är huruvida samhällsplanerade verksamheter som liknar forskningsverksamhet i någon mån bör omfattas av reglerna. Samhällsvetenskapliga fakultetsnämnden vid Stockholms universitet anser att begreppet forskningsregister i enlighet med den forskningsetiska utredningens förslag bör definieras som personrelaterade register och databaser för sådan forskning där resultaten redovisas utan att enskilda individers identitet röjs. Några remissinstanser framhåller vikten av att så långt möjligt införa preciserade bestämmelser i den nya datalagen om principerna för forskningsrcgisters inrättande, inklusive regler om informerat samtycke och de undantagsfall när samtycke eller information får undvaras. Universitets- och högskoleämbetet påpekar särskilt att grundregleringen i datalagen först måste få tillräcklig precision innan en delegation av föreskriftsmakten till Datainspektionen kan godtas.

10.6 Överväganden

Inledning

Utredningen vill till en början något beröra vissa skillnader som finns mellan Europarâdsrekommendationen och förslaget till EG-direktiv när det gäller behandling av personuppgifter för forsknings- eller statistikändamål.

Europarådsrekommendationen tar sikte på alla personuppgifter som används för forskning eller statistik utan att någon skillnad görs mellan känsliga och mera harmlösa uppgifter. En sådan skillnad görs däremot i direktivförslaget. Enligt artikel 8.3 är behandling känsliga av uppgifter tillåten, förutom vid samtycke, om viktiga allmänna intressen talar härför genom en reglering i lag eller författning. För icke annan känsliga uppgifter som används för forskning eller statistik gäller de allmänna reglerna i direktivförslaget. De innebär bl.a. att behandling av personuppgifter är tillåten, förutom om den enskilde har gett sitt samtycke, om behandlingen är nödvändig för att utföra uppgift i det en allmännas intresse eller i myndighetsutövning av den persondataansvarige eller någon till vilken uppgifterna lämnas ut art. 7.e. Vidare är behandling tillåten om behandlingen är nödvändig för att tillgodose ett allmänintresse eller ett intresse hos den persondataansvarige eller någon till vilken uppgifterna lämnas ut, utom då den enskildes intresse tar över art. 7.1. Utredningen har valt att följa regleringen i direktivförslaget. Diskussionen i det följande gäller alltså bara möjligheterna att för forskning eller statistik behandla känsliga personuppgifter. Behandlingen av icke känsliga uppgifter följer de allmänna reglerna för personuppgiftsbehandling i 11 § förslaget till datalag, som bygger på artikel 7 i direktivförslaget. Skillnaderna blir emellertid inte så stora. I allmänhet torde väl någon eller några typer av känsliga uppgifter ingå i underlaget för ett forskningsprojekt och då blir de särskilda bestämmelserna i lagförslaget tillämpliga, vilka bestämmelser ligger inom för ramen Europarâdsrekommendationen. Skulle forskningen endast avse harmlösa uppgifter torde de allmänna reglerna om personuppgiftshantering i lagförslaget ge ett fullt tillräckligt skydd.

Informerat samtycke

Värdet av att det här i landet kan bedrivas forskning hög kvalitet av kan inte nog understrykas. Verksamheten utgör ett väsentligt bidrag till kunskapsutvecklingen inom olika områden i samhället. Det är därför ett viktigt samhällsintresse att forskning stimuleras på olika sätt och att inte onödiga regler hindrar eller försvårar en fri forskning. Men samtidigt står det klart att man i fråga om forskningen måste beakta även andra etiska värderingar som ligger till grund för lagstiftningen olika områden i samhället. Detta innebär en begränsning av den fria forskningen. Men enligt utredningens mening är denna begränsning både nödvändig och önskvärd i ett demokratiskt samhälle. När det gäller forskning som berör människor innebär detta att det måste finnas regler som är till för att värna rättssäkerheten och om skydda privatlivets helgd, som t.ex. reglerna i 2 kap. tryckfrihetsförordningen om allmänna handlingars offentlighet, sekretesslagen,

datalagen och olika internationella konventioner och rekommendationer. På forskning som berör människor måste ställas kravet att den i största möjliga utsträckning baserar sig på frivilligt deltagande samt att den bedrivs öppet och under former som medger insyn för både deltagare och andra. Härigenom skapar man förtroende för forskarnas verksamhet. När forskning inte kan grunda sig på frivillighet är det enligt utredningens mening nödvändigt att riksdagen i lag tagit ställning till frågan i vilken utsträckning människors integritet måste stå tillbaka för angelägen forskning och under vilka villkor sådan forskning skall få bedrivas. Ingen remissinstans har heller ifrågasatt behovet av att i en ny datalag ta in särskilda bestämmelser om behandlingen av personuppgifter för forsknings- eller statistikändamål, innefattande bestämmelser om informerat samtycke och undantag från kravet ett sådant samtycke. Utredningen har i sina tidigare ställningstaganden slagit fast att utgångspunkten för att få behandla personuppgifter för forsknings- eller statistikändamål skall vara att de enskilda som är berörda har lämnat ett informerat samtycke till behandlingen. Utgångspunkten är densamma i Europarâdets rekommendation inom samma område. Med informerat samtycke förstås som framgått ovan att den enskilde i förväg fått del av tillgänglig information om bl.a. behandlingens ändamål och vilka personuppgifter eller slag av personuppgifter det gäller och därefter frivilligt lämnar begärda uppgifter eller medger att de inhämtas från någon annan källa. Nästan alla remissinstanser delar utredningens uppfattning att informerat samtycke skall utgöra huvudregel för att få behandla personuppgifter inom forsknings- och statistikområdena. Datainspektionen har i sitt remissyttrande särskilt påpekat att i principen om informerat samtycke inbegrips krav både information och samtycke och att det därför är viktigt vid utformningen av föreskrifter i en ny datalag att hålla i sär dessa begrepp. Utredningen delar Datainspektionens uppfattning som också ligger i linje med vad som gäller enligt förslaget till EG-direktiv. Enligt artikel ll skall medlemsstaterna nämligen föreskriva att en persondataansvarig skall informera en enskild från vilken uppgifter samlas in om åtminstone behandlingens ändamål, om uppgiftslämnandet är obligatoriskt eller frivilligt, konsekvenserna om den enskilde vägrar att lämna uppgifter, mottagare eller kategorier av mottagare av uppgifter, rätten till tillgång till och rättelse av personuppgifter samt den persondataansvariges och adress. Utredningen föreslår att en motsvarande särskild namn bestämmelse förs in i den nya datalagen 16 § förslaget till datalag. En av regeringen tillsatt utredning, Forskningsetiska utredningen, har diskuterat om samtycke skall kunna lämnas genom en företrädare för en organisation som den berörda personen är ansluten till, dvs. närmast en facklig organisation. Denna form av samtycke är svår att

förena med kraven i Europarådets rekommendation och förslaget till EG-direktiv, för såvitt inte ombudets behörighet framgår av lag eller avtal. Några sådana lagbestämmelser finns för närvarande inte förutom de allmänna familjerättsliga bestämmelserna om ställföreträdare förmyndare, god man och förvaltare. Enligt utredningens mening är det däremot inte lämpligt att generellt lagfästa en rätt för en organisation att i fråga om personligt integritetsskydd företräda den enskilde. Det är dock denne obetaget att genom avtal, exempelvis i en särskild klausul i ett annat anställningsavtal än kollektivavtal, överlåta rätten till samtycke till annan. När det gäller inhämtande av samtycke från underåriga bör Datainspektionens praxis kunna vara vägledande. Denna praxis innebär att vårdnadshavaren skall lämna samtycke om barn under tolv år ingår i en undersökning. Om en behandling av personuppgifterna fortfarande äger rum när barnet har fyllt tolv år, bör barnet informeras om behandlingen. För barn mellan tolv och sexton år skall samtycket enligt Datainspektionens praxis inhämtas från både barnet och vårdnadshavaren. Barn som fyllt sexton år får själv lämna sitt samtycke. Enligt utredningens mening bör det ankomma på Datainspektionen att genom särskilda föreskrifter närmare utforma de regler som bör gälla när underåriga skall delta i forskningsprojekt.

Undantag från kravet på informerat samtycke

Det stora flertalet remissinstanser ställer sig i huvudsak bakom utredningens tidigare ställningstaganden om undantag från kravet på samtycke. Vissa remissinstanser ifrågasätter dock om inte undantagen är för långtgående medan andra anser att utredningens förslag till undantag är för snäva. Enligt Europarådets rekommendationen ges endast ett undantag från kravet på informerat samtycke. Det gäller i det fall samtycke har lämnats för inhämtande av uppgifter för ett visst forskningsändamål och uppgifterna därefter önskas användas för ett forskningsändamål som påtagligt skiljer sig från det ursprungliga projektets syfte eller natur. Enligt rekommendationen får den ursprungligen gjorda registreringen användas också i det senare fallet utan att nytt samtycke inhämtas, om det skulle te sig opraktiskt med hänsyn till tidsåtgång eller det stora antalet personer som berörs att informerat samtycke inhämtas och om skyddsbestämmelser för dessa fall anges i lag. Användningen av uttrycket lag "law" innebär att föreskrifter som meddelas av regeringen i en förordning eller av exempelvis Datainspektionen efter bemyndigande i lag också uppfyller rekommendationens krav på att vara meddelade i lag. I den kommentar som gjorts i anslutning till rekommendationen från Europarådets sida anges, att de villkor eller föreskrifter som bör ställas upp för de fall som nu

nämnts bör säkerställa en likvärdig grad av skydd för den enskildes integritet. I likhet med vad utredningen har kommit fram till i sina tidigare ställningstaganden borde samtycke kunna undvaras inom den ram Europarådsrekommendationen anger vid användning av personuppgifter för ett nytt forskningsändamål. Förslaget till EG-direktiv innehåller emellertid också en föreskrift som begränsar möjligheten att byta ändamål. Av artikel 6.l.b följer att ett ändamål skall anges innan uppgifter samlas in och att ett byte av ändamål är lagligt endast i den utsträckning det är förenligt med det ursprungligen bestämda ändamålet. Vilka användningsområden som faller inom ramen för ett visst ändamål är en tolkningsfråga. Artikel 6. l.b motsvaras av 9 § i förslaget till datalag. I specialmotiveringen till bestämmelsen i 9 § anges exempel på fall då ett nytt ändamål får anses vara förenligt med det ursprungliga. De förutsättningar som ställs upp i Europarådsrekommendationen för byte av ändamål gäller den situationen att personuppgifterna skall användas för ett nytt forskningsändamål som påtagligt skiljer sig från det ursprungliga projektets syfte eller natur substantially different in its nature or objects. De begränsningar som rekommendationen vill åstadkomma kan man lika väl uppnå genom en reglering som motsvarar artikel l.b i direktivförslaget. Byte av ändamål är enligt den artikeln tillåtet bara om det nya ändamålet är förenligt med det ursprunliga. Enligt utredningens mening bör därför de allmänna bestämmelserna i förslaget till datalag om byte av ändamål 9 § gälla även på forskningsområdet. Det åligger den som önskar utnyttja uppgifterna för ett nytt forskningsändamål att se till att villkoren för samtycke är uppfyllda, om denne varit ansvarig för inhämtandet av de ursprungliga uppgifterna. För att undvika att undantagsfallet aktualiseras bör givetvis de enskilda som berörs redan vid första tillfället tillfrågas om sin inställning till de forskningssyften som kan förutses komma i fråga. Vid såväl forskning som insamling av uppgifter för enbart statistiska ändamål förekommer det att information om den enskilde hämtas ur redan befintliga datasamlingar s.k. registerforskning. Som många remissinstanser påpekat har de framsteg som skett inte minst inom sjukvård och förebyggande folkhälsoarbete till inte oväsentlig del baserats på uppgifter från olika typer av datasamlingar och arkiv. Behovet av sådana uppgifter ökar också kraftigt, beroende både nya frågeställningar t.ex. gällande hälso- och sjukvårdens effektivitet och allt bättre vetenskapliga instrument t.ex. beträffande epidemiologisk metodik. Kunskapsuppbyggnaden har ägt rum under lång tid i många länder. Den nordiska och kanske särskilt den svenska forskningen har haft en internationellt framträdande position, baserad på en lång tradition av befolkningsregister och åtföljande kompetensuppbyggnad. I Sverige underlättas forskningen också av bestämmelserna om hand-

lingsoffentlighet för uppgifter hos myndigheter. Vidare bidrar den utbredda användningen av personnummer till att göra personuppgifter mera lätt tillgängliga här. Några remissinstanser har ansett att individuellt informerat samtycke i princip inte bör krävas vid utnyttjandet av uppgifter från befintliga datasamlingar. Utredningen delar inte denna uppfattning utan anser att informerat samtycke bör gälla som huvudregel också vid registerforskning. I likhet med Datainspektionen kan utredningen inte se någon principiell skillnad mellan det fall att uppgifter samlas in från enskilda och det fall uppgifter hämtas från befintliga datasamlingar när det gäller att från integritetsskyddssynpunkt bestämma i vad mån samtycke skall få undvaras. Även informerat samtycke således bör gälla om som huvudregel bör vissa undantag kunna göras. Även rekommendationens utgångspunkter, vid sidan om en av av att betona värdet av forskning, är att behandling av personuppgifter för forsknings- och statistikändamål enligt huvudregeln förutsätter informerat samtycke, framgår det att kravet på sådant samtycke är avsett endast för de fall då den enskilde själv lämnar informationen. De situationer då uppgifterna såsom vid registerforskning hämtas från annat håll är inte direkt reglerade i rekommendationens bestämmelser. Den möjlighet till undantag som rekommendationen uttryckligen medger vid utlämnande av personuppgifter för forskningssyfte utsäger i och för sig ingenting om en efterföljande behandling för samma ändamål. I enlighet med sina tidigare ställningstaganden anser dock utredningen att en rimlig tolkning av rekommendationens bestämmelser i denna del synes vara att även den efterföljande användningen i form av en ny behandling av personuppgifterna för forsknings- eller statistikändamâl omfattas. En sådan tolkning förfaller ha stöd i förarbetena till den aktuella bestämmelsen men även i en föreskrift i rekommendationen om en tillåten användning utan föregående samtycke av personuppgifter ur befolkningsregister för urvalsundersökningar. Ingen remissinstans har heller ifrågasatt denna tolkning, som också ligger väl i linje med rekommendationens syfte att också beakta forskningens behov. Datainspektionen har uttryckligen anfört att inspektionen inte har någon invändning emot de överväganden som utredningen gjort i fråga om tolkningen av rekommendationen. I den mån samtycke inte föreligger till utlämnande av personuppgifter för forskningssyfte krävs enligt uttalanden i förarbetena till rekommendationen i denna del dock att det i inhemsk lag finns intagna bestämmelser, där hänsyn till datasäkerhet och risken för integritetsintrång finns beaktade jämte hänsyn till vikten av forskningsprojektet och behovet av identifierbara data. Med lag torde, som redan framgått, också förstås av regeringen meddelade förordningar och de föreskrifter som Datainspektionen efter delegation har rätt att meddela. Rekommendationens krav på lagform torde nämligen vara uppfyllt, om det är fråga om i förväg meddelade

normer av generell karaktär, till skillnad från myndighetsbeslut i enskilda fall. Det avsteg från kravet på informerat samtycke som ett bibehållande av registerforskningen i nuvarande omfattning innebär bör således kunna rymmas inom ramen för en allmän reglering genom föreskrifter av forskningsfrágorna i ett framtida tillsynssystem, utan att komma i konflikt med Europarådsrekommendationen på området. Den bestämmelse som bör tas in i förslaget till datalag bör knyta an direkt till Europarådets rekommendation och innebära att känsliga personuppgifter får behandlas för forsknings- eller statistikändamâl även utan den enskildes medgivande, om särskilda skäl föreligger med hänsyn till forsknings- eller statistikprojektets vikt, behovet av personuppgifter, säkerheten vid användningen av uppgifterna och den tid som uppgifterna skall bevaras. Utöver de förutsättningar för att få behandla personuppgifter utan den enskildes medgivande som följer av Europarådets rekommendation bör, i enlighet med utredningens tidigare ställningstaganden som flertalet remissinstanser ställt sig bakom, bestämmelsen innefatta de begränsningar som i huvudsak följer av Datainspektionens nuvarande praxis. Det innebär att någon av följande situationer måste föreligga, nämligen att det skulle vara synnerligen kostsamt eller tidsödande att inhämta samtycke, den enskildes hälsotillstånd eller forsknings- eller statistikändamålet är sådant att en begäran om samtycke kan antas skada den enskilde, eller en kontakt med den enskilde skulle förrycka undersökningens resultat. Utredningen har berört Datainspektionens praxis ovan under avsnitt 10.1. Frågan om ett forskningsprojekts vikt får bedömas mot bakgrund av det allmänna kravet att syftet med behandlingen skall vara behandling för forskningsändamál, oavsett om det gäller registerforskning eller en verksamhet där uppgifterna inhämtas direkt från den som skall registreras. Vid en bedömning av frågan om ett forskningsprojekts vikt måste krävas att projektets vetenskapliga inriktning har ett samhälleligt eller allmänt intresse. Genom detta krav kan alltså inte forskning av perifert slag komma i fråga. Det ankommer i första hand på den som avser att behandla personuppgifter för forsknings- eller statistikändamâl att bedöma om projektet har ett samhälleligt eller allmänt intresse. I detta sammanhang torde viss vägledning kunna stå att finna i hur projektet finansieras. Av betydelse är också om projektet har godkänts av en forskningsetisk kommitté. I tveksamma fall bör samråd äga rum med t.ex. företrädare för forskningsråden.

Som framgått ifrågasätter Datainspektionen inte enligt gällande praxis vid sin prövning det behov som anges för inrättande ett av forskningsregister. l ett framtida tillsynssystem är det emellertid ofrånkomligt att Datainspektionen i samband med en granskning av en anmälan eller vid en inspektion kan komma att få bedöma ett forskningsprojekts vikt. Detta innebär alltså en förändring i förhållande till vad som gäller i dag. Datainspektionen har att söka motsvarande vägledning vid en bedömning av ett forskningsprojekts vikt den som som avser att behandla personuppgifter för forsknings- eller statistikändamål. När det gäller frågan om ett forskningsprojekts vikt hänvisas i övrigt till följande avsnitt om behandling av personuppgifter för forskningsändamål. I de fall som undantag kan göras från kravet på samtycke grund av att det skulle vara synnerligen kostsamt eller tidsödande att inhämta samtycke, eller att den enskildes hälsotillstånd eller forsknings- eller statistikändamålet är sådant att en begäran om samtycke kan antas skada den enskilde, bör enligt utredningens mening krävas att uppgifterna inte får behandlas förrän information om forsknings- eller statistikprojektet lämnats i en tidning med ett spridningsområde som omfattar dem som berörs av projektet eller på annat liknande sätt, t.ex. genom anslag. När insamling av personuppgifter sker utan samtycke i de fall en kontakt med den enskilde skulle förrycka undersökningens resultat bör, innan fortsatt behandling får ske, den enskilde erhålla i princip samma information som den vars samtycke efterfrågas, Av informationen bör också i alla de här nämnda fallen framgå att den enskilde har rätt att anmäla att han inte vill delta i projektet. Görs en sådan anmälan bör de berörda personuppgifterna utplånas. Den för det tredje fallet förordade informations- och strykningsrätten stämmer överens med vad som sägs i Europarådsrekommendationen. Bestämmelser om information och strykningsrätt i enlighet med vad som nu har sagts bör tas in i förslaget till datalag. Enligt utredningens mening är det inte utifrån etiska principer acceptabelt att forskning bedrivs under former som ger intryck av hemlighetsmakeri. Genom informationen ges de berörda möjlighet att vetskap om behandlingen och kan därigenom utnyttja sin rätt till insyn 25 § förslaget till datalag och i förekommande fall sin rätt att vägra medverkan i forsknings- eller statistikprojektet.

Behandling av personuppgifter för forskningsändamål

Enligt utredningens mening bör med behandling av personuppgifter för forskningsändamål förstås all behandling där personuppgifter används för vetenskapligt ändamål. Utanför begreppet forskningsändamål faller den behandling som kan förekomma på forskningsinstitutioner eller i andra forskningssammanhang, men där ändamålet med behandlingen primärt är ett annat än att uppgifterna skall användas för ett vetenska-

pligt arbete. Hit hör t.ex. den behandling för administrativa ändamål som görs hos myndigheter eller institutioner inom social-, hälso- eller sjukvården och som utgör underlag för beslut eller åtgärder som rör enskilda individer, eftersom ändamålet här är ett annat än forskning. Som utredningen också framfört i sina tidigare ställningstaganden får den övergripande frågan huruvida en behandling överhuvudtaget har en vetenskaplig koppling avgöras främst med hänsyn till vem som är persondataansvarig, men även andra kriterier kan komma i fråga. Den verksamhet som bedrivs vid etablerade institutioner såsom de statliga högskoleenheterna och statliga forskningsinstitut hör självfallet hit, liksom den forskning som kan bedrivas inom hälso- och sjukvården i den kommunala sektorn, t.ex. av landsting vid sjukhus, kliniker och andra inrättningar. Även privata forskningsinstitutioner bör räknas till dem som anses kvalificerade som forskningsorgan, om det saknas anledning att betvivla den vetenskapliga inriktningen av verksamheten. I tveksamma fall kan frågor om finansiering och den vetenskapliga bakgrunden hos den projektansvarige eller annars uppgivne forskaren ha betydelse för en bedömning härvidlag. Datainspektionen bör i tveksamma fall, t.ex. i samband med granskning av en anmälan eller vid en inspektion, också samråda med de etablerade forskningsorgan som finns området. Några remissinstanser har påtalat vikten av att precisera och avgränsa begreppet forskningsregister. Givetvis skulle det också enligt utredningens mening ha klara fördelar om man en gång för alla kunde definiera vad som avses med behandling för forskningsändamål. Utredningen ser emellertid inte detta som möjligt utan persondataansvariga och Datainspektionen får i det enskilda fallet göra den avgränsning som följer av utredningens överväganden. I sitt remissyttrande har Datainspektionen framfört att det bör klaras ut huruvida samhällsplanerade verksamheter som liknar forskningsverksamhet i någon mån bör omfattas av särreglerna i en ny datalag om forskning. Utredningen anser emellertid inte att sådana verksamheter bör omfattas av särreglerna i den nya datalagen om forskning och statistikframställning.

Utlämnande av personuppgifter som används för forsknings- eller statistikändamål

Utlämnande av personuppgifter regleras generellt i en allmän bestämmelse i förslaget till datalag ll §. Detta följer av att den föreslagna definitionen av begreppet behandling 3 § förslaget till datalag även innefattar utlämnande. När det gäller utlämnande av personuppgifter som används för forsknings- eller statistikändamål utgör de bestämmelser som följer av övervägandena i förevarande avsnitt specialbestämmelser i förhållande till den allmänna bestämmelsen. Det innebär att personuppgifter får lämnas ut, såvida inte

sekretess föreligger, om den enskilde samtycker eller om särskilda skäl föreligger med hänsyn bl.a. till ett forskningprojekts vikt och behovet av personuppgifter. En forskningsmyndighet skall givetvis också kunna lämna ut personuppgifter om myndigheten är skyldig att lämna ut uppgifterna till en enskild på grund av bestämmelserna i tryckfrihetsförordningen om allmänna handlingars offentlighet. Bestämmelsen i 30 § tredje stycket förslaget till datalag avser sådant utlämnande. När det gäller forskningsverksamhet har Forskningsetiska utredningen uttalat att sådan verksamhet har påtagliga likheter med ärende under behandling eller med pågående utredningsarbete. Forskningsetiska utredningen ansåg därför att tryckfrihetsförordningens bestämmelser borde kunna tolkas analogivis så att det förelåg överensstämmelse. Enligt Datalagsutredningens mening är det inte möjligt att utan vidare göra en sådan analogitolkning. Forskningsverksamhet skiljer sig i flera hänseenden från traditionell ärendehandläggning. I många fall läggs t.ex. olika typer av delrapporter fram i forskningsprojekt. Givetvis är delrapporterna att anse som upprättade i tryckfrihetsförordningens mening och är därmed allmänna handlingar. Dessutom förefaller det orimligt om inte behandlingar i longitudinella forskningsprojekt skulle räknas som upprättade och bli allmänna handlingar förrän projektet har avslutats efter kanske flera decennier.

Förslaget till EG-direktiv

Som framgått ovan föreslår utredningen att vissa undantag från kravet på informerat samtycke skall tas in i den nya datalagen när det gäller behandling av känsliga personuppgifter för forsknings- eller statistikändamál. Undantagen ligger inom den ram som Europarädsrekommendationen anger. Undantagen avser fall där det föreligger särskilda skäl med hänsyn till forsknings- eller statistikprojektets vikt, behovet av personuppgifter, säkerheten vid användningen av uppgifterna och den tid som uppgifterna skall användas. En fråga som uppkommer är hur dessa undantagsbestämmelser förhåller sig till förslaget till EG-direktiv. Som framgått är en behandling av personuppgifter laglig bara om den sker i överensstämmelse med de grundläggande reglerna för behandling av personuppgifter som finns i kapitel art. 5 första stycket. Vad medlemsstaterna får göra, inom ramen för bestämmelserna i kapitel II, är att mera precist ange de omständigheter under vilka behandling av personuppgifter fär ske art. 5 andra stycket. I kommentaren framhålls att sådana preciseringar alltid måste ske inom ramen för bestämmelserna i kapitel och att de inte får hindra det fria flödet av information inom EG-området. Enligt huvudregeln i artikel 8 skall medlemsstaterna förbjuda behandling av känsliga uppgifter. Medlemsstaterna får dock tillåta sådan

behandling, förutom vid samtycke, om viktiga allmänna intressen talar härför genom en reglering i lag eller annan författning art. 8.3.. En sådan reglering skall ange vilka slag av uppgifter som får behandlas, till vem sådana uppgifter fâr lämnas ut och vem som får vara persondataansvarig samt lämpligt säkerhetsskydd. Som utredningen utvecklat ovan utgör forsknings- och statistikverksamheterna väsentliga bidrag till kunskapsutvecklingen inom olika områden i samhället och är därför av stort allmänt intresse. Detta framhålls också av det stora flertalet remissinstanser. Behandlingen av personuppgifter för forsknings- eller statistikändamäl torde därför vara ett sådant viktigt allmänt intresse det talas i artikel 8.3. Även som om i övrigt torde förutsättningarna enligt den berörda artikeln vara uppfyllda. Pâ grund av offentlighetsprincipen är det dock inte möjligt att närmare ange till vem uppgifter får lämnas ut. Kravet på lämpliga skyddsbestämmelser får anses tillgodosett genom de allmänna bestämmelser om säkerhet som finns i 17 och 18 §§ förslaget till datalag. I det föregående har berörts hur utredningens förslag förhåller sig till artikel l.b i direktivförslaget som bl.a. reglerar byte av ändamål. Av det sagda framgår att utredningens förslag till lagreglerade undantag frân kravet på informerat samtycke, när det gäller behandling av känsliga personuppgifter för forsknings- eller statistikändamål, ligger inom ramen för förslaget till EG-direktiv. Myndigheters skyldigheter att lämna ut personuppgifter enligt tryckfrihetsförordningen gär dock längre än som följer av direktivförslaget och bestämmelsen i 30 § andra stycket förslaget till datalag. Som tidigare nämnts har därför ett särskilt undantag för utlämnande enligt tryckfrihetsförordningen gjorts i 30 § tredje stycket förslaget till datalag.

11 Behandling av känsliga personuppgifter för anställningsändamål

11.1 Gällande rätt

11.1.1 Datalagen

Personregistrering i anställningsförhållande är inte särreglerad i datalagen 1973:289. Merparten av de personregister arbetsgivare som för närvarande för med hjälp av ADB och som innehåller uppgifter om de anställda torde vara sådana som enligt 2 § datalagen får föras utan tillstånd. I vissa fall kan dock registren innehålla sådana uppgifter av känsligt slag, t.ex. värderande omdömen eller uppgifter om en anställds hälsa eller sjukdom som medför att, förutom licens, även tillstånd av Datainspektionen krävs. Tillstånd kan också behövas om personuppgifter skall inhämtas från något annat personregister, s.k. sambearbetning . Beviljas tillstånd meddelar Datainspektionen enligt 5 § datalagen beslut om ändamålet med registret. I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet kan även meddelas ett eller flera villkor enligt 6 § datalagen. Föreligger särskilda skäl får tillståndet begränsas till viss tid. Vid bedömningen av om villkor behövs för att förebygga risk för otillbörligt integritetsintrång skall Datainspektionen enligt 6 § andra stycket datalagen särskilt beakta om registret innehåller uppgift som utgör omdöme eller annan värderande upplysning den registrerade. om För att underlätta hanteringen av tillståndsärenden har Datainspektionen före den l juli 1982 tillämpat ett förenklat ansöknings- och tillstândsförfarande i fråga om mindre integritetskänsliga register. Motsvarande register får därefter inrättas utan tillstånd. Datalagen innehåller inte någon bestämmelse utöver 10§ om rätten till insyn som direkt tar sikte på information till den registrera- de. Datainspektionen kan dock med stöd av 6 § datalagen besluta om en sådan skyldighet för en arbetsgivare i egenskap av registeransvarig. Genom en lagändring, som trädde i kraft den l juli 1992, behövs det inte längre tillstånd för arbetsgivare att inrätta och föra personregister för löne- och personaladministrativa ändamål, som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrån-

2 § datalagen, 1991/92: 126, KU 22. Ändringen är

varo a prop föranledd av de nya bestämmelser om arbetsgivares rehabiliteringsansvar i lagen 1962:381 om allmän försäkring, som gäller sedan den l januari 1992.

1l.1.2 Vissa arbetsrättsliga bestämmelser

Vissa bestämmelser i arbetsmiljölagen 1977: 1160 och i lagen 1976 :580 om medbestämmande i arbetslivet har också betydelse för arbetstagarnas möjligheter till inflytande över införande och användning av datasystem pâ arbetsplatserna. Enligt 2 kap. 1 § arbetsmiljölagen skall arbetsmiljön vara tillfredsställande med hänsyn till arbetets natur och den sociala och tekniska utvecklingen i samhället. Vidare sägs att arbetsförhållandena skall anpassas till människans förutsättningar i fysiskt och psykiskt avseende samt att det skall eftersträvas att arbetet anordnas så, att arbetstagare själva kan påverka sin arbetssituation. l förarbetena till arbetsmiljölagen prop. 1976/77:149 s. 227 ff pekade departementschefen särskilt pá de nackdelar som införandet av och användningen i arbetslivet av styrsystem baserade på ADB kunde innebära och framhöll vikten av att representanter för arbetstagarna var med redan från början vid förberedelse av sådana system. Enligt 6 kap. 4 § arbetsmiljölagen skall skyddsombud delta bl.a. vid planering av nya eller ändrade lokaler, anordningar, arbetsprocesser och arbetsmetoder. Arbetsgivare har även skyldighet att underrätta skyddsombud om förändringar av betydelse för skyddsförhâllandena inom ombudets omrâde. Sådana frågor skall enligt 6 kap. 9 § arbetsmiljölagen behandlas i en skyddskommitté, när sådan har inrättats. Skyddskommitténs inflytande inbegriper frågor om införande av ny teknik, förändringar av styr- och kontrollsystem eller andra förändringar av arbetsorganisationen. Arbetarskyddsstyrelsen har meddelat vissa föreskrifter och allmänna råd som rör frågor om införande av ny teknik i arbetet, vilka publicerats i arbetarskyddsstyrelsens författningssamling AFS. Sålunda finns allmänna råd om psykiska och sociala aspekter arbetsmiljön AFS 1980: 14 och om datorstöd i arbetet AFS 1986:27, föreskrifter och allmänna råd om arbete i utgångskassa AFS 1986: 1 samt föreskrifter om arbete vid bildskärm AFS 1985:12. Enligt 11 § medbestämmandelagen skall arbetsgivare på eget initiativ förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal, innan han beslutar om viktigare förändring av sin verksamhet. Detsamma skall iakttas innan arbetsgivare beslutar om viktigare förändring av arbets- och anställningsförhållandena för arbetstagare som tillhör organisationen. Om synnerliga skäl föranleder det får arbetsgivaren fatta och verkställa beslut innan han fullgjort sin förhandlingsskyldighet.

SOU 1993: 10 203

Finns lokal arbetstagarorganisation skall förhandlingsskyldigheten enligt 14 § medbestämmandelagen fullgöras i första hand genom förhandling med denna. Uppnås inte enighet vid förhandlingen skall arbetsgivaren på begäran förhandla även med central arbetstagarorganisation. Enligt 19§ medbestämmandelagen skall arbetsgivare fortlöpande hålla arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal underrättad om hur hans verksamhet utvecklas produktionsmässigt och ekonomiskt liksom om riktlinjerna för personalpolitiken. Arbetsgivaren skall dessutom bereda arbetstagarorganisationen tillfälle att granska böcker, räkenskaper och andra handlingar som rör arbetsgivarens verksamhet, i den omfattning som organisationen behöver för att tillvarata medlemmarnas gemensamma intressen i förhållande till arbetsgivaren. Informationsskyldigheten gäller enligt 20 § medbestämmandelagen i första hand lokal arbetstagarorganisation samt i förekommande fall även central arbetstagarorganisation. Mellan parter som träffar kollektivavtal om löner och allmänna anställningsvillkor bör enligt 32 § medbestämmandelagen, om arbetstagarparten begär det, även träffas kollektivavtal om medbestämmanderätt för arbetstagarna i frågor som avser ingående och upphörande av anställningsavtal, ledningen och fördelningen av arbetet och verksamhetens bedrivande i övrigt. I anslutning till medbestämmandelagen har träffats olika medbestämmande- och utvecklingsavtal som kan få betydelse i samband med införandet av ny teknik. Endast ett fåtal avtal synes emellertid ha slutits som direkt omfattar den datoriserade hanteringen av personuppgifter på arbetsplatsen. Genom en ändring i lagen 1962:381 om allmän försäkring AFL, som trädde i kraft den 1 januari 1992, infördes regler om ansvar för arbetslivsinriktad rehabilitering och om ekonomisk ersättning vid sådan rehabilitering prop. 1990/9l:141 och 181, SfU 16 och 18, rskr. 303

och 372, SFS 1991:1040. Ändringarna innebär att arbetsgivaren fått

ett ökat ansvar för de anställdas rehabilitering. Arbetsgivaren svarar för att behovet av rehabiliteringsâtgärder utreds när den anställde på grund av sjukdom har varit borta från arbetet längre än fyra veckor i följd, när den enskilde haft upprepade korta sjukfall eller när den anställde själv begär det. En sådan rehabiliteringsutredning skall ske i samråd med den anställde och utgå från dennes individuella förutsättningar och behov. Utredningen skall genomföras och tillställas försäkringskassan inom viss bestämd tid. Arbetsgivaren svarar vidare för att sådana arbetslivsinriktade rehabiliteringsätgärder vidtas som kan genomföras inom eller i anslutning till den egna verksamheten. Inriktningen skall därvid vara att den anställde skall beredas fortsatt arbete hos arbetsgivaren och att andra alternativ prövas först när dennes möjligheter är uttömda.

Den anställde skall lämna de upplysningar som behövs för att klarlägga hans behov av rehabilitering och efter bästa förmåga aktivt medverka i rehabiliteringen. Under rehabiliteringen kan den anställde få rehabiliteringsersättning från försäkringskassan. För att sådan ersättning skall kunna utgå förutsätts att rehabiliteringen ingår i en av försäkringskassan upprättad rehabiliteringsplan, som anger bl.a. vilka åtgärder som aktualiseras, vem som ansvarar för dem och när de skall genomföras. Försäkringskassan skall fortlöpande se till att planen följs och vid behov anpassas efter ändrade förhållanden. Som underlag för bedömning och fortsatt rehabiliteringsarbete är den anställde på försäkringskassans begäran skyldig att lämna ett mer ingående läkarutlátande när en sjukperiod har varat i fyra veckor. Ett sådant utlåtande skall innehålla uppgift om behovet av rehabilitering, pågående och planerad behandling eller rehabiliteringsâtgärd samt, om möjligt, beräknad återstående sjukdomstid med nedsatt arbetsförmåga. Försäkringskassan ges ett övergripande samordningsansvar för rehabiliteringsverksamheten, innefattande ansvar för regionalt och lokalt samarbete mellan olika myndigheter och organ med uppgifter rehabiliteringsområdet. Försäkringskassan skall samordna och ha tillsyn över de utredande och andra insatser som enligt lagen om allmän försäkring krävs för rehabilitering av enskilda försäkrade. Den skall också när det behövs ta initiativ till sådana insatser. I ansvaret ingår att ge stöd den enskilde i kontakter med andra rehabiliteringsansvariga. Gentemot den försäkrades arbetsgivare får försäkringskassan ett tillsynsansvar för att denne fullgör sina rehabiliteringsuppgifter. I speciella fall skall försäkringskassan överta ansvaret för att rehabiliteringsutredning kommer till stånd. Enligt ändringar i arbetsmiljölagen 1977:1160, som trädde i kraft den 1 juli 1991, har arbetsgivaren en skyldighet att systematiskt planera, leda och kontrollera arbetsmiljön, att utreda arbetsskador och vidta de åtgärder som behövs för att följa upp dessa och att upprätta handlingsplaner för de åtgärder som inte kan vidtas genast prop. l990/9l:140, AU22, rskr. 302, SFS 1991:677. Vidare infördes en skyldighet för arbetsgivaren att se till att en på lämpligt sätt organiserad arbetsanpassnings- och rehabiliteringsverksamhet finns på arbetsstället. I förarbetena till ändringarna i arbetsmiljölagen och AFL understryks vikten av att arbetsgivaren har en ändamålsenlig organisation för rehabiliteringsarbetet och ett system för att tidigt fånga upp behovet av

rehabilitering se prop. 1990/91: 140 s. 49 ff, s. 62 och s. 135 samt

prop. 1990/9l:l4l s. 42 och s. 89. I prop. 1990/9l:l4O s. 50 uttalas följande.

Hur en å lämpligt sätt organiserad anpassnings- och rehabiliteringsver samhet i detalj bör utformas varierar beroende på

SOU 1993: 10 205

förutsättningarna inom olika verksamheter. Det kan t.ex. innebära att arbetsgivaren ser till att det finns: kompetens och kontaktpersoner ekonomiska resurser avdelade för ändamålet policy och mål för frågorna or anisation av arbetet lig ansvarsfördelning rutiner för tidiga kontakter med sjukskrivna rutiner för undersökning av rehabiliteringsbehov m.m. rutiner för kontakter med myndigheter, företagshälsovård m.fl. rutiner för kontroll, uppföljning och utvärdering samverkan med arbetstagarna - Organisation och rutiner skall vara sådana att tidiga varnings- signaler uppmärksammas och att åtgärder mot ohälsa planeras och genomförs.

l prop. 1990/911141 om rehabilitering och rehabiliteringsersättning m.m. påtalas att arbetsgivarens utredningsansvar inte begränsas till att omfatta åtgärder på arbetsplatsen. Det bör enligt departementschefen också ingå i arbetsgivarens ansvar att göra en bedömning av orsakerna till arbetsoförmågan och utreda behovet av åtgärder även om dessa står att finna utanför arbetsplatsen. Mer omfattande utredningar av förhållanden utanför arbetsplatsen bör dock inte vara en uppgift för arbetsgivaren s. 45. Beträffande genomförandet av rehabiliteringsutredningen anförs bl.a. följande s. 46 ff.

Rehabiliteringsutredningen bör göras i nära samråd med den anställde. Det är en genomgående erfarenhet att individens intresse och medverkan behövs för att en rehabilitering skall l ckas. Den som är föremål för en rehabiliteringsutredning måste ärför själv ett aktivt sätt få medverka vid planeringen av rehabiliteringen. Genom att utredningen genomförs i nära samarbete med den anställde bör också ett smidigt sätt den information som behövs för utrednin en kunna bli tillgänglig. Information om orsaken till sjuk rånvaron, t.ex. sjukdomsdiagnos, bör arbetsgivaren således kunna få tillgång till enbart med den försäkrades samtycke. Jag utgår från att ett sådant samtycke i normala fall kommer att lämnas av den försäkrade. Jag är inte beredd att föreslå en rätt för arbetsgivaren att få tillgång till de uppgifter om den anställdes sukdom som finns i det läkarintyg den försäkrade skall lämna försäkringskassan. Jag vill emellertid framhålla möjligheten att genom avtal låta arbetsgivaren få tillgång till läkarintyg i vissa situationer. Denna har utnyttjats det statliga området och i vissa fall när

möjlighet

de okala parterna har träffat överenskommelse om hur rehabiliteringsarbetet arbetsplatsen skall bedrivas. Några närmare krav utöver dem jag redan nämnt på en rehabiliteringsutrednings innehåll och utformning vill jag inte föreslå i detta sammanhang. I rehabiliteringsberedningens förslag anges att utredning skall göras om det inte framstår som obehövligt. Jag anser det naturligt att utredningens omfattning och karaktär får avgöras med ut ångspunkt i omständigheterna i de

särskilda fallen. En rehabi kan i vissa fall

komma att vara av mycket enkel beskaffenhet medan den i andra

206 SOU 1993: 10

fall behöver göras betydligt mer omfattande. Det bör ankomma riksförsäkrin sverket att utfärda de allmänna råd i ämnet som an komma att ehövas.

Lagen 1991:1047 om sjuklön, som trädde i kraft den 1 januari 1992, skall utgöra grunden för sjukersättning framför allt vid korta sjukdomsfall prop. 1990/912181, SfU 18, rskr. 372. Enligt lagen ges arbetstagare en lagstadgad rätt att under de första 14 dagarna av varje sjukdomsfall sjuklöneperioden behålla viss del av den lön och andra anställningsförmâner, som han skulle ha fått, om han fullgjort sina arbetsuppgifter. Andelen skall vara 75 procent under de första tre dagarna med sjuklön och 90 procent under återstående dagar av sjuklöneperioden. Arbetstagarens rätt till sjuklön bygger pâ att anmälan om sjukdomsfallet görs hos arbetsgivaren. Arbetstagaren skall lämna arbetsgivaren en skriftlig försäkran om att han har varit sjuk och i vilken omfattning som hans arbetsförmåga varit nedsatt pä grund av sjukdomen. Försäkran behöver inte innehålla närmare uppgift om sjukdomen. Fr.o.m. den sjunde kalenderdagen efter sjukanmälningsdagen skall arbetstagaren styrka nedsättningen av arbetsförmågan genom intyg av läkare resp. tandläkare. Avvikelser från lagens bestämmelser om försäkran och intyg får göras genom kollektivavtal. Enligt 18 § lagen om sjuklön gäller tystnadsplikt i arbetsgivarens personaladministrativa verksamhet med avseende pä uppgifter om arbetstagarens hälsotillstånd eller personliga förhållanden i övrigt som har lämnats i intyg av läkare eller tandläkare eller genom arbetstagarens skriftliga försäkran om sjukfall. Tystnadspliktsbestämmelsen i lagen om sjuklön gäller endast i enskild verksamhet. Föreskrifter om sekretess i det allmännas verksamhet finns i sekretesslagen, t.ex. i 7 kap. 11 § tredje och fjärde styckena. Arbetsgivaren skall till försäkringskassan anmäla sjukdomsfall som har gett arbetstagare hos honom rätt till sjuklön, om sjukperioden och anställningen fortsätter efter sjuklöneperiodens utgång. Vidare skall arbetsgivaren lämna uppgift om sjukdomsfall som har gett arbetstagare hos honom rätt till sjuklön. En sådan uppgift skall lämnas skriftligen till Riksförsäkringsverket. Enligt lagen om sjuklön får regeringen eller, efter regeringens bemyndigande, Riksförsäkringsverket, föreskriva att dessa uppgifter i stället skall lämnas till försäkringskassan samt att uppgifterna fär lämnas med hjälp av automatisk databehandling. Regeringen har i förordning 1991:1396 lämnat Riksförsäkringsverket sådant bemyndigande. I regeringens prop. l990/91:l8l om lagen om sjuklön m.m. sägs bl.a. följande om de läkarintyg som arbetstagaren skall ge in till arbetsgivaren s. 47 ff.

SOU 1993: 10 207

Som huvudregel bör gälla att de läkarintyg in till som ges arbets ivaren inte skall innehålla uppgift om diagnos. Närmare uppgi t om sjukdomen bör enligt huvudregeln endast till uppges försäkringskassan. Jag anser därför att det int g som lämnas till arbetsgivaren för att styrka arbetsoförmåga följd sjukdom av fr.o.m. sjunde dagen efter anmälningsdagen inte behöver innehålla sådan uppgift. Först när sjuklöneperioden avslutats och den enskilde gör anspråk på ersättning från AFL med anledning av sjukdomsfallet skall ett intyg om arbetsförmägans nedsättning närmare uppgift sjukdomen överlämnas till försäkrings-

lmed

om assan. En kom likation kan uppstå i detta sammanhang å rehabiliteringsområ et. Ett ökat arbetsgivaransvar för anställdas e rehabilitering och arbetsmiljö, i enlighet med vad har som föreslagits i prop. 1990/91: 141 om rehabilitering och rehabiliteringsersättning m.m., kan naturli tvis ge bättre resultat om

arbetsgivaren känner till orsaken tilfden anställdes sjukfrånvaro.

En sådan kunskap kan ibland vara en förutsättning för att adekvata åtgärder skall kunna vidtas för att förbättra arbetsmiljön och för att hjälpa den anställde tillbaka i arbete. På vissa avtalsomrâden medger kollektivavtal redan att arbetsgivaren nu får del av den anställdes diagnos vid sjukfrånvaro. Det bör mot denna bakgrund även i fortsättningen vara möjligt att via kollektivavtal som träffats eller godkänts på förbundsnivå göra avsteg från lagregleringen och låta arbetsgivaren få rätt att ta del av dia nosuppgifter angående sina anställda när detta bedöms som be övligt som ett inslag i arbetet med arbetsmiljöförbättringar och rehabilitering inom företaget. En sådan rätt måste givetvis förenas med regler om tystnadsplikt för arbetsgivaren angående uppgifter han får del av på detta sätt.

I propositionen uttalas bl.a. följande om arbetsgivarens uppgiftslämnande s. 49 fi.

Uppgiftslämnandet om sjukfall inom sjuklöneperioden bör inte få leda till en betungande administration för den enskilde arbetsgivaren. Detta har understrukits av sjuklönekommittén, som också framhållit det angelägna i att uppgifterna begränsas till att avse endast det absolut nödvändiga för att tillgodose behovet av information. Jag instämmer i sjuklönekommitténs synpunkter i denna fråga. Mitt förslag, som överensstämmer med kommitténs, innebär att arbetsgivaren skall fullgöra denna uppgiftsskyldighet till riksförsäkringsverket senast vid utgån en av den kalendermånad som följer närmast efter den då sju öneperioden löpte ut. Det är emellertid samtidigt min förhoppning att up gifterna skall kunna lämnas tidigare än vad som krävs enligt en föreslagna Så torde också kunna ske därför

lagregleringen.

att det för ar etsgivaren lär vara lämpligt att rapporteringen görs i samband med löneutbetalningen till de anställda å arbetsstället i fråga. Därmed kan onödig administration un vikas. Uppgiftsskyldigheten bör omfatta arbetstagarnas personnummer, arbetsgivarens organisationsnummer samt arbetsställenummer, sjuklöneperiodens längd och dagar med ersättning för hel eller partiell nedsättning av arbetsförmågan inom nämnda period. Inom försäkringsadministrationen avses uppgifter av detta slag bearbetas genom s.k. optisk läsning eller med hjälp av ADB.

208 SOU 1993: 10

Som huvudregel bör därför gälla att arbetsgivaren skall lämna uppgifterna i skriftlig form. Möjlighet bör emellertid på sätt sjuklönekommittén förordat finnas att lämna uppgifterna också med hjälp av ADB eller annan motsvarande metod. Regerin en eller, efter regeringens bemyndigande, riksförsäkringsverket ör därför få meddela föreskrifter härom. Regleringen bör omfatta också möjlighet att föreskriva att uppgifterna skall lämnas, istället för till riksförsäkringsverket, till försäkringskassan. I motsats till sjuklönekommittén anser jag att uppgifterna inte skall kunna lämnas direkt till en privat uridisk person servicebyrâ e. dyl.. Detta hindrar inte att en så an juridisk person anlitas av myndighet för t.ex. optisk läsning.

Vid sin behandling av lagförslaget ansåg socialförsäkringsutskottet 1990/91:SfU 18 s. 23 att rapporteringsskyldigheten enligt propositionen var sä administrativt enkel som för närvarande kan begäras. De nya bestämmelserna om rehabiliteringsansvar föranledde, som tidigare nämnts, en lagändring i datalagen innebärande att det inte längre behövs tillstånd för arbetsgivare att inrätta och föra personregister för löne- och personaladministrativa ändamål, som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro.

11.1.3 Datainspektionens föreskrifter m.m.

Datainspektionen införde är 1979 ett förenklat förfarande för vissa slag av löne- och personalregister föreskrifter för vissa löne- och personalregister, DIFS 1979:2. Föreskrifterna, som trädde i kraft den 1 februari 1980, angav vad Datainspektionen generellt sett ansåg kunna godtas från integritetssynpunkt beträffande dessa personregister. I och med att den generella tillstándsplikten upphörde den 1 juli 1982 för löne- och personalregister som inte innehåller känsliga uppgifter har föreskrifterna efter detta datum tillämpats som riktlinjer i Datainspektionens verksamhet och som allmänna råd. De gäller dock fortfarande som föreskrifter för de register som inrättades före den l juli 1982. Som registerändamål anges i föreskrifterna att ett löne- och personalregister endast får användas för administration av löner m.m., personaladministration, framställning av vissa meddelanden som den registeransvarige är skyldig att lämna enligt författning, kollektivavtal eller andra avtal med de registrerade samt för budgetering o.dyl. I föreskrifterna anges närmare vad som inbegrips i dessa registerändamål. Enligt föreskrifterna fâr inte individuella prestationsmätningar företas av andra skäl än för löneuträkning. I föreskrifterna anges i detalj vilka slag av personuppgifter registret får innehålla. Registret får inte innehålla personuppgift som utgör omdöme eller annan värderande upplysning.

SOU 1993: 10 209

Protokoll från förhandling med berörda fackliga organisationer enligt lagen 1976:580 om medbestämmande i arbetslivet ansågs i förekommande fall enligt föreskrifterna böra bifogas ansökan om tillstånd som gjordes före den 1 juli 1982. Datainspektionen har i ett projekt, det s.k. företagshälsovårdsprojektet, särskilt undersökt personregistreringen inom företagshälsovården. Som ett resultat av detta arbete utgavs år 1989 en informationsskrift om personregister inom företagshälsovården. Datainspektionens syn på löne- och personalregister har även kommit till uttryck i de allmänna råd om ADB-säkerhet för personregister som inspektionen gav ut âr 1989. För vanliga löne- och personalregister anser inspektionen skyddsåtgärder pâ grundnivån, den lägsta av tre nivåer, vara tillfredsställande. För det fall ett personalregister innehåller t.ex. omdömen eller annan värderande upplysning bör skyddsåtgärderna ligga en högre nivå. I råden framhålls vidare att alla som har tillgång till registret bör få tillräcklig utbildning om ADB-säkerhet och om datalagens innebörd. Det skall även finnas en dokumentation av systemen, och genom en behandlingshistorik logg bör det kunna visas vem som utfört eller beordrat en bearbetning eller vem som utnyttjat viss utrustning. I ett projekt "Projekt arbetslivet" har Datainspektionen tagit fram allmänna råd till skydd för arbetstagares personliga integritet vid inrättande och förande av sådana personregister i arbetslivet, vilka inte kräver Datainspektionens tillstånd. Inom ramen för projektet har också Datainspektionen utarbetat en skrift med information om vilka regler som gäller för integritetsskyddet i arbetslivet.

11.1.4 Datainspektionens praxis

Datainspektionen har handlagt ett antal ärenden under de senaste åren som gällt tillstånd för ADB-register över anställda. Dessa ärenden har avsett olika slag av registrering, inom såväl offentlig som privat verksamhet. En del har avsett registrering av uppgifter inför en anställning, omplacering eller rekrytering samt personregistrering i tids- och debiteringssystem. Vissa arbetsgivare har för intern rekrytering velat registrera uppgifter om anställdas utbildning, kompetens och arbetsförmåga. Vissa fall har avsett registrering av uppgifter om de anställdas hälsotillstånd, bl.a. uppgifter om sjukfrånvaro. Flera av ärendena har avsett tillstånd till sambearbetning och utlämnande av registeruppgifter. Endast ett fåtal klagomål hos Datainspektionen har rört löne- och personalregister. En utgångspunkt vid inspektionens bedömning har varit att inga andra uppgifter skall finnas i register om anställda än sådana som är relevanta i det sammanhanget. Som tidigare nämnts har Datainspektionen som riktlinjer vid sin bedömning använt sina föreskrifter för vissa löne- och personalregister samt sedan år 1989 även de principer som

anges i Europarådets rekommendation om skydd för personuppgifter som används för anställningsändamâl se avsnitt 11.2 nedan.

11.2 Europarådets rekommendation

Europarådet har år 1989 antagit en rekommendation, Recommendation No. R 89 om skydd för personuppgifter som används för anställningsändamâl. Sverige har utan reservation ställt sig bakom rekommendationen. Innehållet i rekommendationen har redovisats i avsnitt 4.3.

1 1.3 Tidigare utredningsarbete

Bakgrund

De riktlinjer för den framtida datapolitiken som har godkänts av riksdagen prop. l984/85z220, FiU l985/86:4, rskr. 89 innebär bl.a. att datateknikens användning skall utformas med full respekt för den enskildes personliga integritet och att användningen av datateknik arbetsplatserna inte skall tillåtas bli ett hot mot den personliga integriteten. I den nämnda propositionen framhölls att kontrollen av de anställda och deras prestationer med datateknikens hjälp kunde utgöra ett hot mot den personliga integriteten. Föredraganden anförde i denna del bl.a. följande s. 26 ff.

Sådan kontroll kan exempelvis utföras med hjälp av stäm elklockor. Om arbetet är uppdelat i klart avgränsade moment, an kontroll ske med hjälp av olika tidmätnin smetoder. Det är viktigt att det görs en rimlig avvägning me lan verksamhetens berätti ade krav på planerings- och styrningsunderlag och den enskil e arbetstagarens berättigade krav på skydd för sin integritet. För att planera produktion och leveranstider bygger industrin upp datoriserade planeringssystem till vilka den anställde tvingas rapportera varje störning som får denne att göra ett kort uppehåll i arbetet. Den som arbetar vid en maskin får inte ut nästa arbete förrän han har rapporterat av det han eller hon just avslutat. Utrymmet för den anställdes möjligheter att själv lägga upp sitt arbete blir mindre friheten för arbetaren minskar. - Pâ arbetsplatser förekommer det också att man kopplar ihop de anställdas möjligheter att med ett datakort som nyckel passera lästa dörrar med en identitetskontroll. Därigenom får ledningen möjligheter att i detalj kartlägga de anställdas rörelser pâ arbetsplatsen. Den här typen av planering och rapporteringssystem sprider sig nu också utanför den tunga industrin. Till och med yrkesgrupper

som förflyttar sig i arbetet, som servicemän, montörer, transportarbetare, får bärbara terminaler som registrerar deras uppehållsort, arbetsuppdrag, tidsåtgång, avbrott, avbrottsorsak etc. Aven om denna användning av tekniken kan medföra ökad effektivitet, är det viktigt att inte blunda för de hot och problem

denna användning kan innebära när det gäller den enskildes

integritet.

För att kunna göra de avvägningar som var lämpliga förordades ett forsknings- och utvecklingsarbete om hur den personliga integriteten hotades och kunde skyddas vid användning av datateknik på arbetsplatser. Regeringens statsrådsgrupp för datafrågor inrättades år 1986 C 1986:D. Denna förordade att regeringen bl.a. skulle få ett bättre underlag för sina ställningstaganden genom att en kartläggning gjordes av dataanvändningen på arbetsmarknaden. Frågan om de anställdas personliga integritet togs också upp i en proposition om datapolitik för statsförvaltningen prop. 1987/88:95, FiU 25, rskr. 293. Departementschefen påtalade där s. 14 att en ökad dataanvändning kunde leda till ökade möjligheter att kontrollera och övervaka de anställda och att kunskaperna om detta förhållande därför borde förbättras. Med anledning av ett av Landsorganisationen i Sverige i mars 1988 anordnat seminarium om de anställdas personliga integritet i arbetet, inkom organisationen senare samma månad med en skrivelse till bl.a. Arbetsmarknadsdepartementet. l skrivelsen framfördes bl.a. att det förelåg ett behov av ett s.k. basskydd enligt följande:

Tillgång till dokumentation på arbetsplatsen om dataanvändning av uppgifter som är knutna till enskilda anställda. Av dokumentationen skall framgå vilka uppgifter som samlas in och i vilka situationer som uppgifterna används.

2. Lokal förhandling skall genomföras och protokollföras innan uppgifter får samlas in eller ändringar ske i hur uppgifterna skall användas.

Förbud mot att använda individuella prestationsmätningar för annat än beräkning av lön.

Skrivelsen låg till grund för den kartläggning som senare följde och som nu redovisas.

Rapporten Ds 1989:24 Datatekniken och den personliga integriteten i arbetet en kartläggning, m.m. -

Chefen för Arbetsmarknadsdepartementet tillsatte i oktober 1988 en arbetsgrupp inom Arbetsmarknadsdepartementet, med uppgift att göra en översiktlig kartläggning av arbetsgivarnas användning av datatek-

niken för ledning, övervakning och kontroll av arbetet och de enskilda arbetstagarna, för att framför allt ge underlag för att bedöma behovet av en mer ingående översyn av lagstiftning m.m. inom ramen för en särskild utredning. Arbetsgruppen överlämnade i maj 1989 rapporten Ds 1989:24 Datatekniken och den personliga integriteten i arbetet en kartläggning. Av rapporten framgår att arbetsgruppens kartläggning skedde genom studier av rapporter, utredningar och annat skriftligt material, skriftlig förfrågan till arbetsmarknadens parter och studiebesök samt erfarenhetsutbyte med forskare och experter. Tyngdpunkten i kartläggningen låg studiebesök, och arbetsgruppen besökte ett detaljhandelsföretag, ett postorderföretag, tre verkstadsföretag, en enhet inom vardera posten och televerket, en kommun samt ett landsting. Vidare knöt arbetsgruppen till sig en referensgrupp bestående av företrädare för de centrala arbetsgivar- och arbetstagarorganisationerna genom vilken samråd skedde med arbetsmarknadens parter. I sin rapport konstaterade arbetsgruppen att kartläggningen hade visat att det i regel endast var i de sedvanliga personaladministrativa datasystemen som en registrering av uppgifter om de enskilda arbetstagarna skedde. Arbetsgruppen hade inte kunnat finna annat än att registreringen i de fall som hade studerats i princip var sådan som följde av anställningsförhållandet, dvs. anställningsavtalet och lagstadgade skyldigheter för arbetsgivaren. Vidare hade kartläggningen visat att personregistrering sällan tycktes vara aktuell i planerings- och produktionsstyrningssystemen. Man konstaterade dock att upphandling av utrustning och program för t.ex. planering och produktionsstyrning många gånger skedde utan att man hade klart för sig att tekniken även kunde användas för kontroll av den enskilde arbetstagaren. Arbetsgruppens erfarenheter var att arbetsgivaren trots allt inte utnyttjade dessa möjligheter till integritetskränkande kontroll. Arbetsgruppen konstaterade att datasystemen i sig nödvändiggjorde viss form av kontroll av den som använde utrustningen behörighetskontroll, men att denna kontroll genom s.k. loggning inte normalt syftade till att kontrollera den anställdes arbetsprestation utan var till för att skydda datautrustning, program och data från t.ex. obehörigt utnyttjande. Arbetsgruppen, som inte hade erfarit att logginformationen använts för otillbörlig granskning av ett systems användare, ville dock varna för de möjligheter som fanns att relativt enkelt utföra en sådan granskning. I arbetsgruppens kartläggning hade formerna för och utövandet av arbetstagarnas inflytande i frågor om data och integritet studerats. Enligt rapporten var arbetsgruppens genomgående intryck att den tradition och de krav samverkan mellan arbetsgivarna och arbetstagarna som gäller på svenska arbetsplatser hade varit avgörande för situationen i Sverige. Man konstaterade också att det fanns en medvetenhet hos många arbetsgivare om att en effektiv användning av datatekniket: förutsatte att den omfattades med förtroende av dem som

berördes. Vidare påtalades att det synbarligen fanns en stor medvetenhet hos arbetsgivare och arbetstagare när det gällde integritetsriskerna i samband med personregistrering, medan däremot insikten om hur datatekniken kan påverka den enskilde arbetstagarens inflytande över arbetet, dvs. integritetsfrågorna i en vidare bemärkelse, varierade. Enligt arbetsgruppens mening innebar reglerna för det arbetsrättsliga inflytandet en ändamålsenlig ordning när det gällde att bevaka de registrerades intresse av integritetsskydd i arbetslivet. Gruppen ansåg dock att det kunde vara fördelaktigt att frågan om projektorganisation och former för deltagandet i planeringsarbetet för nya datasystem uppmärksammades av arbetsmarknadens parter centralt även om lokal anpassning kunde medföra fördelar. Man pekade i rapporten bl.a. på möjligheten att ta fram etiska riktlinjer för personrelaterade datasystem. Arbetsgruppen ansåg också att det borde övervägas om det vore möjligt att ta fram generella riktlinjer för personregistrering som var särskilt anpassade till olika arbetsområden, verksamheter och branscher. Sådana riktlinjer ansåg man lämpligen kunna utarbetas av datainspektionen i samråd med arbetsmarknadens parter. Man föreslog vidare att det i datalagen infördes en rätt för den anställde till insyn i vilka datasystem och personregister som arbetsgivaren har. Arbetsgruppens överväganden och slutsatser ledde fram till bedömningen att någon särskild utredning inom området data och integritet i arbetslivet inte för närvarande behövdes. Under remissbehandlingen av arbetsgruppens rapport framkom att flertalet arbetsgivarorganisationer samt SACO/SR, Datainspektionen, Arbetarskyddsstyrelsen och Arbetsmiljöinstitutet i stort delade de synpunkter som arbetsgruppen hade lagt fram. SACO/SR ansåg dock att arbetsgruppen intagit en alltför passiv hållning till frågorna om de anställdas inflytande och lyfte särskilt fram tandläkarnas situation som ett exempel där arbetstagarnas inflytande och deltagande vid utbyggandet av datatekniken inte var tillräcklig och därför kommit att bli ett hot mot integriteten. Landsorganisationen i Sverige var inte odelat positiv till rapporten utan ansåg att en grundlig översyn av hela frågan om integriteten i arbetslivet borde ske. En sådan översyn borde syfta till att stärka den enskildes rättigheter enligt datalagen och ge de fackliga organisationerna arbetsrättsligt grundat inflytande utformning och användande av olika integritetskänsliga system. Landsorganisationen i Sverige ansåg att de största riskerna för kränkt integritet fanns vid datoriserade tidsuppföljningssystem där resultatuppföljning sammankopplades med lönesystemet. Tjänstemännens Centralorganisation ansåg att arbetsgruppens kartläggning var för begränsad för att dra de generella slutsatser som arbetsgruppen gjort. Organisationen ansåg att de anställda skulle ha rätt att när som helst fá omedelbar tillgång till samtliga uppgifter om sig själva utan kostnad.

I sitt yttrande tog Datainspektionen upp frågan om att genomföra en översyn av personregistreringen inom arbetslivet inom ramen för inspektionens tillsynsverksamhet. Datainspektionen har därefter, som tidigare redovisats, i ett särskilt projekt "Projekt arbetslivet" tagit fram allmänna råd till skydd för arbetstagares personliga integritet vid inrättande och förande av sådana personregister i arbetslivet, vilka inte kräver Datainspektionens tillstånd. Inom ramen för projektet har också Datainspektionen utarbetat en särskild skrift med information om vilka regler som gäller för integritetsskyddet i samhället.

Utredningens tidigare ställningstaganden

Allmänna utgångspunkter

Utvecklingen av datatekniken har, som framgått av avsnitt 3.10, gjort det möjligt för arbetsgivare att på ett allt mer sofistikerat sätt samla in, lagra och bearbeta uppgifter om de anställda och deras agerande på arbetsplatsen. Användningen av sådana avancerade datorsystem har ökat kraftigt i Sverige under de senaste åren och har därigenom kommit att medföra ökade risker för otillbörligt intrång i de anställdas integritet. Utvecklingen utomlands, framför allt i USA och Japan, tyder att dessa risker framgent kommer att bli än mer påtagliga. Behovet att uppmärksamma och överväga skydd och olika säkerhetsåtgärder mot integritetsintrâng i anställningsförhållanden måste därför anses vara stort. Samtidigt står det klart att den nya teknologin innebär stora fördelar för verksamheten inom ett företag eller, pâ den offentliga sektorn, en myndighet, t.ex. i form av en bättre arbetsorganisation eller en möjlighet att bli av med monotona och trista arbetsuppgifter. Den avgörande frågan blir därför, som också betonas i kommentaren till Europarådsrekommendationen, hur man skall få till stånd en rimlig avvägning mellan fördelarna med ADB-tekniken och den anställdes befogade anspråk på att inte utsättas för otillbörliga intrång i sin personliga integritet. Vid bedömningen av hur en sådan avvägning skall göras måste särskilt beaktas det nära samband som finns mellan datalagens regler om skydd mot otillbörligt intrång i personlig integritet vid personregistrering och medbestämmande- och arbetarskyddslagstiftningen. Parterna arbetsmarknaden kan dessutom, inom ramen för gällande arbetsrättsliga bestämmelser, genom kollektivavtal till stånd en ordning som tillgodoser både arbetsgivarens och de anställdas intressen i samband med att ny teknik införs på arbetsplatserna. I kommentaren till Europarådsrekommendationen anges i olika sammanhang att

kollektivavtal kan vara ett lämpligt sätt att reglera de olika frågor som kan bli aktuella när ADB används på arbetsplatserna. En annan utgångspunkt är att de särskilda materiella regler som kan behövas för personregistrering i anställningsförhållanden bör kunna anpassas till en förändring av systemet för kontroll av integritetsskyddet, där huvudvikten lagts vid tillsyn. Till grund för utformningen av de materiella bestämmelserna bör främst ligga Europarådets rekommendation på området. Sverige har ställt sig bakom rekommendationen och dess principer har beaktats när Datainspektionen har utformat sin praxis på området. Datainspektionens föreskrifter från år 1979 angående vissa löne- och personalregister DIFS 1979:2 torde också i viss omfattning kunna tjäna som en utgångspunkt vid bestämmandet av innehållet i de materiella reglerna.

Inrättande av register

Då det gäller personregistrering i ett anställningsförhållande måste man till en början beakta de möjligheter som arbetstagarna och deras organisationer har att inom ramen för lagstiftningen om medbestämmande och arbetarskydd få information om och påverka en datorisering av arbetsplatsen och arbetsgivarnas utnyttjande av olika ADB-system, dvs. också påverka frågan om inrättande av personregister. En stor del av den datorutrustning och de program som numera köps in av företag och förvaltningar har i många fall större kapacitet och ett större användningsområde än det omedelbara behov man vill täcka. Det innebär att tekniken ofta har inbyggda möjligheter till individuell uppföljning som inte alltid utnyttjas. Register som har inrättats för visst godtagbart ändamål kan också komma att utvecklas och användas så, att otillbörligt intrång i personlig integritet uppkommer. Datoriserad in- och utpasseringskontroll kan t.ex. användas för registrering och uppföljning av hur de anställda rör sig inom arbetsplatsen i helt annat syfte än vad som ursprungligen avsetts. Vid bedömningen av ett planerat datasystems effekter är det därför väsentligt att såväl företagsledning som berörd personal och dess företrädare fâr verkliga möjligheter att förstå och värdera de effekter ur integritetsskyddsvinkel som kan förväntas. Europarådets rekommendation anger också ett särskilt informationsoch konsultationsförfarande när ADB-system skall introduceras eller förändras på en arbetsplats. De anställda bör känna till följderna av att införa ny teknik. De bör vara helt medvetna om tänkbara hot mot deras personliga integritet eller mänskliga värdighet their privacy or human dignity. Om konsultationsförfarandet leder till slutsatsen att den personliga integriteten och mänskliga värdigheten kan påverkas, skall arbetsgivaren eftersträva och om möjligt vinna de anställdas - -

samtycke till åtgärderna. I kommentaren framhålls att kollektivavtal kan vara ett lämpligt sätt att ge uttryck för principen om information och konsultation. Enligt l1 § medbestämmandelagen skall arbetsgivare på eget initiativ förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal, innan han beslutar viktigare om förändring av sin verksamhet. I 6 kap. 4 § arbetsmiljölagen stadgas att skyddsombud skall delta bl.a. vid planering av nya eller ändrade lokaler, anordningar, arbetsprocesser och arbetsmetoder. Arbetsmarknadens parter har också möjlighet att träffa olika medbestämmande- och utvecklingsavtal som kan få betydelse i samband med införandet av ny datorteknik på arbetsplatserna. Som nämnts anses i Europarådsrekommendationen kollektivavtal vara ett lämpligt sätt att reglera hithörande frågor på. Bestämmelser som ger de anställda goda möjligheter till inflytande över införande och användning av datasystem på arbetsplatserna finns alltså redan i den nuvarande svenska ordningen, som därigenom uppfyller de krav som uppställs i Europarådets rekommendation. Någon anledning att, från de utgångspunkter som gäller för utredningens arbete, överväga att i den svenska arbetsrättsliga lagstiftningen införa ytterligare bestämmelser som rör inrättandet av datorstyrda systern som sådana finns därför inte enligt utredningens mening. Utredningen övergår därefter till att överväga frågan om behovet av särskilda materiella bestämmelser vid personregistrering arbetslivsområdet. De flesta arbetsgivare för i dag något slags personaladministrativt register med vissa uppgifter om sina anställda. Ett stort antal av dessa register, om inte flertalet, förs med hjälp av ADB. Merparten av dessa personaladministrativa register innehåller inte sådana uppgifter om de anställda att registren enligt nuvarande ordning blir tillståndspliktiga, dvs. de är av mindre integritetskänsligt slag och bygger bl.a. en naturlig anknytning mellan den registeransvarige och den registrerade. I vissa fall kan dock register som arbetsgivare inrättar innehålla sådana uppgifter av känsligt slag, t.ex. omdömen eller uppgifter om en anställds hälsa eller sjukdom, som medför att i dag även tillstånd av Datainspektionen krävs. De känsliga uppgifter som oftast förekommer i register över anställda avser uppgifter om anställdas hälsotillstånd och omdömen om anställda, de sistnämnda även i form av s.k. prestationsmätningar. I Europarådsrekommendationen finns ett flertal principer som särskilt behandlar uppgifter om hälsotillstånd. Sådana uppgifter får bl.a. inte samlas in från andra källor än från den anställde själv utan hans uttryckliga och informerade samtycke eller med stöd av lag. Enligt utredningens mening bör man överväga att införa uttryckliga bestämmelser om registreringen av sådana ytterst känsliga uppgifter

direkt i datalagen, i första hand då en bestämmelse om uttryckligt och informerat samtycke. Uppgifter om hälsotillstånd skall emellertid som nämnts kunna samlas in från annan än den anställde också i andra fall med stöd av lag. I den avslutande etappen av sitt arbete kommer utredningen att diskutera den avvägning mellan olika intressen som är nödvändig för att avgöra vilka känsliga uppgifter som kan tillåtas att registreras, utan att det sker ett otillbörligt intrång i den enskilde arbetstagarens integritet. I fråga om uppgifter om hälsotillstånd gör sig ett allmänt, mera övergripande intresse gällande, nämligen kravet på en bättre arbetsmiljö och mindre arbetsskador. Vad därefter gäller registrering av omdömen om anställda, prestationsmätningar m.m. finns i rekommendationen ett uttalande om att uppgifter om anställdas prestationer och potentiella möjligheter skall grundas på en rättvis och hederlig bedömning och får inte formuleras ett förolämpande sätt. Här som andra områden ställs olika intressen mot varandra, bl.a. arbetsgivarens krav på en effektiv verksamhet, å den ena sidan, och det angelägna i att skydda den enskildes integritet, å den andra sidan. Även denna avvägning kommer utredningen att ta upp i den sista etappen av sitt arbete.

Insamling och lagring av uppgifter

Vid bedömningen av vilka uppgifter som får samlas in och lagras i ett register över anställda har man att utgå från det grundläggande ändamålet med registret, dvs. att det skall avse olika delar av ett anställningsförhâllande. Insamlingen och lagringen fâr därför enbart avse sådana uppgifter som faller inom ramen för det ändamål för vilket registret inrättats. Huvudregeln bör vara att personuppgifterna endast får inhämtas direkt från den enskilde arbetstagaren. Skall uppgifter inhämtas på annat sätt, bör arbetstagaren ha samtyckt till detta eller åtminstone informerats i förväg. Ett uppgiftsinhämtande från tredje får vidare man endast ske om det framstår som lämpligt eller nödvändigt. 1 fråga om s.k. rekryteringsregister, dvs. register med uppgifter om en arbetssökande, bör insamlingen av information endast omfatta uppgifter som kan anses nödvändig för bedömningen av den sökandes lämplighet för arbetet. De utgångspunkter som nu har nämnts överensstämmer med de principer som Europarâdsrekommendationen innehåller.

Utlämnande av uppgifter

Ett utlämnande av uppgifter från ett av en arbetsgivare fört register till någon som står utanför företaget eller myndigheten etc. aktualiserar

särskilt integritetsaspekten. Möjligheterna till utlämnande till tredje man bör därför begränsas så långt som möjligt. Enligt Europarådsrekommendationen får personuppgifter lämnas ut till myndigheter för att de skall kunna fullgöra sin myndighetsutövning endast inom ramen för arbetsgivares skyldigheter enligt lag. Vissa myndigheter, t.ex. skattemyndigheter och försäkringskassor, måste för att kunna fullgöra sina åligganden erhålla uppgifter om arbetstagarna, även om det skulle innebära ett integritetsintrång. Det bör emellertid krävas författningsstöd för att arbetsgivaren skall få lämna ut dessa uppgifter till myndigheten utan den anställdes samtycke. Även i övrigt kan enligt Europarådsrekommendationen ett utlämnande ske om det finns stöd i lag. I detta sammanhang bör beaktas att reglerna i 2 kap. tryckfrihetsförordningen om allmänna handlingars offentlighet även är tillämpliga på ADB-upptagningar. Detta medför att myndigheters personregister är tillgängliga för allmänheten i samma utsträckning som handlingar av traditionell typ och att uppgifter om den anställdes personliga förhållanden som myndigheten förfogar över inte rutinmässigt kan hemlighållas. Enligt 7 kap. 11 § tredje stycket sekretesslagen 1980:100 gäller dock sekretess för uppgifter i myndighets personaladministrativa verksamhet för uppgift om enskilds hälsotillstånd och för sådan uppgift om enskilds personliga förhållanden som hänför sig till ärende om omplacering eller pensionering av anställd, om det kan antas att den enskilde eller någon honom närstående lider men om uppgiften röjs. Andra uppgifter om offentliga funktionärers personliga förhållanden, t.ex. adresser och telefonnummer till deras bostäder som myndigheterna har tillgång till i den personaladministrativa verksamheten kan i vissa fall skyddas av sekretess. Om det kan antas att den enskilde eller hans närstående riskerar att utsättas för våld eller annat allvarligt men om en sådan uppgift röjs, skall denna enligt 7 kap. 11 § fjärde stycket sekretesslagen hållas hemlig. En särskild fråga är om en fackförening bör ges möjlighet att få del av vissa uppgifter om sina medlemmar. Enligt Datainspektionens nuvarande föreskrifter om vissa löne- och personalregister DIFS 1979:2 får uppgifter lämnas ut enligt skyldighet på grund av kollektivavtal t.ex. till semesterkassa, mätningskontor, försäkrings-, arbetsgivar- eller arbetstagarorganisation. Europarådsrekommendationen ger även visst utrymme för de anställdas företrädare att inom ramen för villkoren i ett kollektivavtal få vissa uppgifter om de anställda utlämnade till sig. Enligt utredningens mening bör det mot denna bakgrund vara möjligt att i kollektivavtalsform reglera utlämnandet av vissa sådana uppgifter. Det bör emellertid endast vara fråga om sådana uppgifter som är nödvändiga för att den fackliga organisationen skall kunna ta tillvara de anställdas intressen in so far as such data are necessary to allow them to

represent the interests of the employees. I kommentaren framhålls att utlämnandet av uppgifter om andra anställda än sådana som är medlemmar i den fackliga organisationen endast får ske om de lämnat sitt samtycke till detta. I andra fall än de nu nämnda och ytterligare ett fall som avser utlämnande för anställningsändamål jfr art. 8.2.a i Europarâdsrekommendationen bör krävas att ett utlämnande inte får ske om inte det föreligger ett uttryckligt och informerat samtycke från den enskilde anställde. Med informerat samtycke avses att den anställde får information om det tilltänkta utlämnandet och därefter lämnar sitt samtycke till åtgärden, något som också skall ske uttryckligen. Huvudregeln vid utlämnande blir alltså, liksom vid insamling av uppgifter, att det i princip är den enskilde som disponerar över de personuppgifter som rör honom. Det kan finnas anledning att ta in denna princip i datalagen.

Insynsrätt

När en arbetsplats datoriseras är det viktigt att den anställde får insyn i de personregister som arbetsgivaren för med hjälp av ADB och som innehåller uppgifter om honom eller henne. När det gäller möjligheten att påverka inrättandet av olika registersystem har det behandlats ovan. En central bestämmelse i datalagen är stadgandet om rätten till insyn i personregister. Enligt 10 § datalagen skall den registeransvarige pä skriftlig begäran av den enskilde underrätta denne om innehållet i registret, såvitt det gäller honom eller henne. Ett sådant utdrag, s.k. 10 §-utdrag, har den enskilde rätt att kostnadsfritt få en gång per år. Rätten till denna insyn förutsätter emellertid, för att den skall kunna utnyttjas på rätt sätt, att det är möjligt för den anställde att skaffa sig kunskap om vilka personregister och datasystem som arbetsgivaren har. För att förbättra den anställdes möjligheter härtill bör därför i datalagen eller i datainspektionens föreskrifter tas in en bestämmelse som ger arbetstagaren rätt att erhålla upplysning om vilka datasystem och personregister som arbetsgivaren har. En sådan insynsrätt för den anställde har också föreslagits i rapporten Ds 1989:24 och står väl i överensstämmelse med Europarådets rekommendation om skydd för personuppgifter som används för anställningsändamål.

11.5 Remissutfallet

Ingen remissinstans är kritisk mot utredningens allmänna överväganden beträffande behandling av personuppgifter i anställningsförhållande. De remissinstanser som uttryckligen ansluter sig till utredningens överväganden är Kammarrätten i Göteborg, Universitets- och hög-

220 SOU 1993: 10

skoleämbetet, Landstingsförbundet, Sveriges Akademikers Centralorganisation och Sveriges Universitetslärarförbund. Landsorganisationen i Sverige och Datainspektionen framhåller att behovet är stort att uppmärksamma och överväga vilka skyddsregler som bör gälla mot integritetsintráng på området. Liksom utredningen bedömer Datainspektionen och Arbetsmiljofonden att anledning inte finns att föreslå några ändringar i den arbetsrättsliga lagstiftningen eller lagstiftningen på arbetsmiljöområdet. Arbetarskyddsverket pekar att det med anledning av den nya lagstiftningen om arbetsgivares rehabiliteringsansvar kan bli nödvändigt för arbetsgivare med många arbetstagare att föra egna register med integritetskänsligt innehåll och att det beträffande denna typ av personregister kan föreligga problem med informerat samtycke. Arbetsmiljofonden framhåller att behovet av att kontinuerligt kunna följa upp hälsotillståndet hos olika kategorier anställda och spegla detta i offentlig statistik utgör ett oavvisligt krav i folkhälsoarbetet och att långtgående registreringsmöjligheter kan visa sig angelägna oberoende av de anställdas inställning. I likhet med utredningen anser Sveriges Industriförbund och Svenska Arbetsgivareföreningen med instämmande av Företagarnas Riksorganisation att utgångspunkten för de materiella bestämmelserna på området måste tas i Europarådsrekommendationen. Dessa remissinstanser pekar i sammanhanget också på Datainspektionens föreskrifter rörande löne- och personalregister DIFS 1979:2. Tjänstemännens Centralorganisation anser att stor försiktighet måste iakttas vid användning av ADB-teknik för att planera, kontrollera och följa upp arbetsprocessen. Enligt organisationens uppfattning kan det t.o.m. ifrågasättas om personregistrering i normalfallet bör användas för detta syfte. Organisationen framhåller att den också utgår ifrån att alla register som kan komma att inrättas för ren prestationsmätning av anställda eller för registrering av omdöme om anställda kommer att omfattas av den föreslagna anmälningsplikten. När det gäller inrättande av personregister i arbetslivet uttalar Riksdagens ombudsmän justitieombudmannen Hans Ragnemalm att han i enlighet med sin grundläggande inställning är tveksam till utredningens förslag att arbetsgivare skall få inrätta även personalregister med från integritetsskyddssynpunkt mycket känsliga uppgifter t.ex. värderande omdömen och uppgifter om hälsa och sjukdom - utan krav på tillstånd. Datainspektionen instämmer i utredningens bedömning att uttryckliga bestämmelser i datalagen om förutsättningarna för registrering av uppgifter om hälsotillstånd bör övervägas och att sådana bestämmelser bör utformas i harmoni med Europarådsrekommendationen och förslaget till EG-direktiv. Det torde enligt Datainspektionen komma att innebära att ett krav på samtycke från den enskilde blir en utgångspunkt och att det för annan registrering av hälsouppgifter krävs

lagstöd. Svenska kommunförbundet förklarar också uttryckligen att förbundet inte har någon erinran mot utredningens förslag att registreringen av anställdas hälsa eller sjukdom bör regleras direkt i datalagen. Sveriges Industriförbund och Svenska Arbetsgivarföreningen med instämmande av Företagarnas Riksorganisation erinrar om att de stora problem som förekommer inom arbetslivet till stor del föranleds av statsmakternas beslut och myndigheternas ADB-användning och att de krav dessa ställer på arbetsgivarna ibland leder till integritetsintrång. Lunds universitets juridiska fakultetsstyrelses forskningsnämnd uppger att nämnden delar utredningens uppfattning att utgångspunkten för regleringen bör vara att informerat samtycke krävs vid registrering. Sveriges psykolog/förbund anser att vid registrering av uppgifter om en anställds hälsa eller sjukdom ett samtycke alltid skall inhämtas från den anställde och att registrering inte får ske utan sådant samtycke. Förbundet anser även att registrering av subjektiva omdömen eller prestationsmätningar inte i något fall bör komma i fråga. När det gäller utlämnande av uppgifter från ett personregister delar Svenska kommunförbundet uppfattningen att utlämnande som rör organisationsmedlemmarna bör kunna ske till facklig organisation under förutsättning att uppgifterna är nödvändiga för att organisationerna skall kunna tillvarata medlemmarnas intressen och att medgivande från medlemmen givits. Denna fråga är enligt förbundet av den karaktären att den inte kan regleras i kollektivavtal utan kräver lagstöd. Sveriges Industriförbund och Svenska Arbetsgivareföreningen med instämmande av Företagarnas Riksorganisation delar utredningens mening att i fråga om utlämnande av uppgifter liksom vid insam- lingen av uppgifter huvudregeln bör vara " att det i princip är den enskilde som disponerar över de personuppgifter som rör honom eller henne". Sveriges Psykologförbund anser att utlämnande av uppgifter till facklig organisation som rör organisationens medlemmar skall kunna ske utan medlemmarnas medgivande vad gäller uppgifter lön, som anställning, placering och tjänstgöringsgrad. Däremot skall enligt förbundet inte känsliga uppgifter, t.ex. uppgifter om medlemmarnas hälsa eller sjukdom, kunna lämnas ut utan den berörda medlemmens godkännande. Flera remissinstanser uttalar att de inte har någon erinran mot att regler införs i datalagen i fråga om arbetstagares rätt att erhålla upplysning om arbetsgivarens register. Några remissinstanser ifrågasätter dock om inte en sådan upplysningsrätt bör åläggas registeransvariga generellt även utanför arbetslivet. Uänstemännens Centralorganisation föreslår att en regel införs i datalagen som ger den lokala fackliga organisationen rätt att på begäran få information om vilka ADB-register som arbetsgivaren har samt ändamålen med dessa.

222 SOU 1993: 10

Några remissinstanser betonar vikten av att de grundläggande reglerna arbetslivsomrädet får en godtagbar precision och att de tas in i datalagen.

11.6 överväganden

Inledning

Utredningen vill till en början något beröra vissa skillnader som finns mellan Europarådsrekommendationen och förslaget till EG-direktiv när det gäller behandlingen av personuppgifter för anställningsändamål. Enligt rekommendationen artikel 4.1 bör personuppgifter i princip hämtas in från den enskilde själv. Undantag kan göras från huvudregeln men den enskilde skall informeras när det kan vara lämpligt att konsultera källor utanför anställningsförhållnandet. Enligt direktivförslaget får personuppgifter behandlas bl.a om den enskilde samtycker till behandlingen eller om behandlingen är nödvändig för att fullgöra ett avtal med den enskilde art. 7 a och b. Ett anställningsförhâllande innefattar givetvis ett avtal mellan arbetsgivare och arbetstagare. Såvitt gäller behandling av känsliga personuppgifter är regleringen i princip densamma i rekommendationen och i direktivförslaget. Utgångspunkten är att känsliga uppgifter fâr behandlas bara om de berörda enskilda har lämnat ett informerat samtycke till behandlingen. Undantag får göras men bara genom en reglering i lag eller annan författning. Det nu sagda innebär att det i fråga om behandling av andra än känsliga uppgifter synes finnas en viss skillnad mellan Europarâdsrekommendationen och förslaget till EG-direktiv. Skillnaderna skall emellertid inte överdrivas. Även enligt rekommendationen är det ju, som har framgått, möjligt att gå utanför anställningsförhállandet för att hämta in information. Utredningen har valt att följa systematiken i direktivförslaget. Diskussionen i det följande gäller alltså bara arbetsgivarens möjligheter att för anställningsändamål behandla känsliga personuppgifter. Behandlingen av icke känsliga uppgifter följer de allmänna reglerna för personuppgiftsbehandling i ll § förslaget till datalag.

Informerat samtycke m.m.

I sina tidigare ställningstaganden har utredningen slagit fast att det inte finns anledning att, från de utgångspunkter som gäller för utredningens arbete, överväga att i den arbetsrättsliga lagstiftningen införa ytterligare bestämmelser som rör behandling av personuppgifter. Under remissbehandlingen har inte heller framförts krav ändringar i denna

lagstiftning. Tvärtom har uttalats av bl.a. Arbetsmiljöfonden att det inte finns anledning till några ändringar. Den arbetsgrupp som tillsattes inom Arbetsmarknadsdepartementet med uppgift att göra översiktlig en kartläggning av arbetsgivarnas användning har för övrigt i sin rapport Ds 1989:24 också uttalat att reglerna för det arbetsrättsliga inflytandet innebär en ändamålsenlig ordning när det gäller att bevaka de enskildas intresse av integritetsskydd i datalagens mening. Mot bakgrund härav vidhåller utredningen sin tidigare ståndpunkt. Den samverkan mellan arbetsgivare och arbetstagare som bör ske vid ett införande av ny datorteknik får ske inom för bl.a. bestämmelramen serna i medbestämmandelagen och arbetsmiljölagen. Kollektivavtal kan därvid vara ett lämpligt sätt att närmare reglera förhållandena. I enlighet med sitt tidigare ställningstagande, bakom vilket en entydig remissopinion står, anser utredningen att given huvudregel en i en ny datalag skall vara att en arbetsgivare endast får behandla personuppgifter för anställningsändamål om berörda arbetstagare har lämnat ett informerat samtycke till behandlingen. Begreppet anställningsändamál avser förhållandet mellan arbetsgivare och arbetstagare eller arbetssökande. Med informerat samtycke förstås att arbetstagaren i förväg fått del tillgänglig information bl.a. av om behandlingens ändamål och vilka personuppgifter eller slag av personuppgifter det gäller och därefter frivilligt lämnar begärda uppgifter eller medger att de inhämtas från någon annan källa. l principen om informerat samtycke inbegrips krav på både information och samtycke. Det är därför viktigt vid utformningen av en ny datalag att hålla i sär dessa begrepp. I 16 § förslaget till datalag finns därför en särskild bestämmelse vilken information skall om som ges innan samtycke lämnas. En fråga som uppkommer är samtycke skall kunna lämnas om genom en företrädare för en facklig organisation arbetstagare som en är ansluten till. Denna form av samtycke är svår att förena med kraven i förslaget till EG-direktiv, för såvitt inte ombudets behörighet framgår av lag eller avtal. Några sådana lagbestâmmelser finns för närvarande inte förutom de allmänna familjerättsliga bestämmelserna om ställföreträdare förmyndare, god man och förvaltare. Som utredningen också funnit vid sina överväganden angående behandling uppgifter för av forsknings- eller statistikändamål är det däremot inte lämpligt att generellt lagfästa en rätt för en organisation att i fråga personligt om integritetsskydd företräda enskilda. Det år dock arbetstagare obetaget att genom avtal, exempelvis i en särskild klausul i ett annat anställningsavtal än kollektivavtal, överlåta rätten till samtycke till annan. Även huvudregeln skall arbetsgivare om vara att en endast får behandla personuppgifter för anställningsändamål med stöd av informerat samtycke från berörda arbetstagare bör emellertid mot bakgrund av bl.a. de skyldigheter statsmakterna ålagt arbetsgivare och det samhällsintresse som ligger i ett väl fungerande arbetsliv vissa -

undantag göras från huvudregeln. Till grund för utformningen av de materiella bestämmelserna om undantag från kravet på samtycke bör enligt utredningens tidigare ställningstagande ligga Europarádets rekommendation på området. Ingen remissinstans har heller ifrågasatt denna ståndpunkt. Den typ av känsliga personuppgifter enligt 20 § förslaget till datalag som undantagen från informerat samtycke bör gälla är uppgifter om sjukdom eller hälsotillstånd samt uppgifter som utgör omdöme eller annan värderande upplysning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Det är i princip samma typ av uppgifter som behandlas särskilt i Europarådets rekommendation. Några andra känsliga personuppgifter torde knappast bli aktuella för behandling av en arbetsgivare för anställningsändamâl. Under följande fyra rubriker tas undantag upp som bör göras från principen om informerat samtycke vid behandling för anställningsändamål av den typ av känsliga uppgifter som nyss nämnts. Undantagen ansluter sig till Europarådets rekommendation och bör föras in i förslaget till datalag. Det bör understrykas att avsikten inte är att i datalagen reglera i vilka fall arbetsgivare skall ha rätt att få ut information om arbetstagare. Vad saken gäller är således om arbetsgivaren utan att ha fått den enskildes samtycke skall få behandla personuppgifter som han andra grunder än som anges i datalagen har fått tillgång till.

Undantag från kravet pá samtycke om uppgifterna rör lämplighet för arbetet och behandlingen av uppgifterna behövs i förfarande för anställning och normalt förekommer i sådant förfarande.

Även i princip alla personuppgifter bör inhämtas från den anställde om eller arbetssökanden själv kan en arbetsgivare utan samtycke behöva behandla uppgifter som rör lämplighet för ett visst arbete samt behövs i förfarande för anställning och normalt förekommer i sådant förfarande. En sådan bestämmelse bör därför tas in i förslaget till datalag. Uppgifterna skall till en början röra lämpligheten för ett visst arbete. Den typ av uppgifter som kan komma att beröras av förevarande undantag är sådana som rör t.ex. kompetens och utbildning. Oftast är det fråga om behandling av omdömen från olika referenter, t.ex. tidigare chefer. Men också behandling av hälsouppgifter som har betydelse för lämpligheten för visst arbete kan komma i fråga. Vidare bör i anställningsförfarandet endast fâ behandlas sådana uppgifter är nödvändiga för att bedöma den arbetssökandes som lämplighet. Detta stämmer överens med den allmänna principen att endast sådana personuppgifter som behövs för ett visst ändamål fâr

behandlas se 13 § i förslaget till datalag. Anställningens art måste

givetvis beaktas. Ett betydligt bredare underlag för bedömningen kan

SOU 1993: 10 225

behövas om det rör sig anställning för specialistbefattning om en än om det gäller ett mera traditionellt arbete. Ytterligare en förutsättning bör vara att behandling personuppgifav terna normalt förekommer i ett sådant anställningsförfarande det som är frågan om. Denna behandling tar sikte på användningen bl.a. av olika slags test. Endast sådana test kan godtagbara på som anses arbetsmarknaden för och normalt förekommer vid den aktuella typen av anställning får utan den enskildes samtycke företas genom automatisk databehandling. Den föreslagna regleringen gäller bara anställningsförhållanden. Ärenden befordran inom om ett företag eller en myndighet omfattas alltså inte. För offentliga arbetsgivare finns inte någon grund än reglerna annan i 2 kap. tryckfrihetsförordningen allmänna handlingars offentlighet om för att lämna ut uppgifter kan komma behandlas med stöd som att av förevarande undantag. Sekretesslagen innehåller emellertid bestämmelser som starkt begränsar även offentliga arbetsgivares möjligheter att lämna ut uppgifter från sådana datasamlingar är i fråga. För som nu privata arbetsgivare torde tystnadsplikten enligt 46 § bli tillämplig. Eftersom personuppgifter som rör arbetssökande inte behövs för sitt ändamål sedan en ansökan anställning har avslagits, bör om en uttrycklig bestämmelse om gallring föras in i förslaget till datalag för denna situation. Kan den arbetssökande komma i fråga för annan anställning hos arbetsgivaren bör emellertid framgå att gallring får ske vid senare tidpunkt, om den arbetssökande lämnar sitt samtycke på visst sätt.

Undantag från kravet på samtycke om uppgifterna rör den anställdes sjukdom eller hälsotillstånd och behandlingen uppgifterna behövs av inom företagshälsovården eller i övrigt för sådan rehabiliteringsverksamhet som föreskrivs i lag.

Som framgått ovan styrdes företagshälsovårdens verksamhet främst genom de avtal som träffats mellan arbetsmarknadens parter. I avtalen angavs riktlinjer för företagshälsovårdens organisation och arbetsuppgifter. Huvudavtalet har numera upphört att gälla. I större företag, landsting och kommuner finns i regel "inbyggd" företagshälsovård. Små och medelstora företag har slutit sig samman och bildat företagshälsovårdscentraler. Oftast bildar intressenterna en ekonomisk förening eller stiftelse direkt eller via aktiebolag som ett driver centralen. I 3 kap. 2 § arbetsmiljölagen att arbetsgivare skall föranstalta anges om företagshälsovård i den omfattning verksamheten kräver, om arbetsförhållandena påkallar detta. Med stöd bestämmelsen kan av vidare yrkesinspektionen i enskilda fall förelägga arbetsgivare en att ansluta sina anställda till företagshälsovård. Bidragssystemet för

226 SOU 1993: 10

företagshälsovården hade till syfte att stimulera till förebyggande arbetsmiljöarbete och förbättra anslutningen av små och medelstora företag till företagshälsovården. l propositionen 1990/9l:l40 om arbetsmiljö och rehabilitering betonades företagshälsovårdens avgörande betydelse för ett framgångsrikt rehabiliteringsarbete. Vid riksdagsbehandlingen betonades också det viktiga i att utbyggnaden av företagshälsovården fortsätter. Av det sagda framgår att företagshälsovården har ett stort allmänt intresse. Mot bakgrund härav bör, även om företagshälsovården skall ske frivillig grund, finnas en möjlighet för arbetsgivare att utan samtycke från anställda behandla personuppgifter om uppgifterna rör den anställdes sjukdom eller hälsotillstånd och behandlingen av uppgifterna behövs inom företagshälsovården. Den yttre ramen för behandlingen är alltså vad som krävs för att arbetsgivaren skall kunna föranstalta den företagshälsovård som verksamheten kräver. I om sammanhanget bör framhållas att bestämmelsen inte reglerar arbetsgivarens möjlighet att få tillgång till hälsouppgifter från den anställde eller från annat håll utan enbart möjligheten att databehandla de uppgifter som han på den ena eller andra grunden har fått tillgång till. I det föregående har redovisats att från den l januari 1992 arbetsgivarnas skyldigheter i samband med arbetstagares sjukdom har utvidgats. Genom ändring i lagen om allmän försäkring har införts regler en för arbetslivsinriktad rehabilitering och om ekonomisk om ansvar ersättning vid sådan rehabilitering. Enligt de nya bestämmelserna skall arbetsgivaren för att behovet rehabiliteringsâtgärder utreds när svara av den anställde på grund av sjukdom har varit borta från arbetet längre än fyra veckor i följd, när den anställde haft upprepade korta sjukfall eller när den anställde själv begär det. En sådan rehabiliteringsutredning skall ske i samråd med den anställde. Utredningen skall genomföras och tillställas försäkringskassan inom viss bestämd tid. Arbetsgivaren vidare för att sådana arbetsinriktade rehabilitesvarar ringsåtgärder vidtas som kan genomföras inom eller i anslutning till den egna verksamheten. I förarbetena till ändringen i lagen om allmän försäkring uttalade departementschefen bl.a. att information om orsaken till sjukfrånvaron, t.ex. sjukdomsdiagnos, borde arbetsgivaren kunna få tillgång till enbart med den försäkrades samtycke och att hon utgick från att ett sådant samtycke i normala fall kommer att lämnas av den försäkrade. Departementschefen var inte beredd att föreslå en rätt för arbetsgivaren att tillgång till de uppgifter om den anställdes sjukdom som finns i det läkarintyg den försäkrade skall lämna till försäkringskassan. som Enligt ändringar i arbetsmiljölagen har arbetsgivaren vidare en skyldighet att systematiskt planera, leda och kontrollera arbetsmiljön, att utreda arbetsskador och vidta de åtgärder som behövs för att följa

SOU 1993: 10 227

upp dessa och att upprätta handlingsplaner för de åtgärder som inte kan vidtas genast. Av det sagda framgår att arbetsgivares lagstadgade rehabiliteringsansvar på motsvarande sätt som när det gäller företagshälsovården har ett stort allmänt intresse. I förslaget till datalag bör därför föras in ett motsvarande undantag från kravet på samtycke som det som föreslås beträffande företagshälsovården. Även arbetsgivare om en som framgått enbart bör kunna få tillgång till information om orsaken till sjukfrånvaro, t.ex. sjukdomsdiagnos, med den anställdes samtycke, bör han inte vara beroende av den anställdes medverkan för att kunna databehandla dessa uppgifter om behandlingen behövs för att han skall kunna leva upp till sitt rehabiliteringsansvar. Vidare torde det omfattande rehabiliteringsansvar som ålagts arbetsgivare innebära att arbetsgivare även utan den anställdes samtycke har behov av att behandla andra uppgifter som rör den anställdes hälsotillstånd än uppgift om orsaken till sjukfrånvaro. För att bedöma behovet av rehabiliteringsinsatser torde t.ex. uppgifter om sjukskrivningsmönster behöva behandlas. Förekomsten av psykosomatiska reaktioner av olika slag som har koppling till sjukfrånvaro kan det också finnas anledning att notera. Det bör framhållas att det nu föreslagna undantaget från kravet på samtycke är tänkt att behöva tillämpas i mycket ringa omfattning. Som framhålls i förarbetena till de lagändringar som rör arbetsgivares rehabiliteringsansvar bör rehabiliteringsverksamheten bedrivas i mycket nära samråd med den anställde, eftersom det är en genomgående erfarenhet att individens intresse och medverkan behövs för att en rehabilitering skall lyckas. Det finns knappast någon anledning tro att de anställda skulle motsätta sig att arbetsgivaren använder ADB för att på ett ekonomiskt och rationellt sätt sköta administrationen av rehabiliteringsverksamheten. Avslutningsvis bör pekas på att de föreslagna undantagen under förevarande rubrik ligger i linje med Europarådets rekommendation på området. Av rekommendationen framgår nämligen att medicinska uppgifter med stöd av lag eller annan författning får behandlas även utan den anställdes uttryckliga och informerade samtycke.

Undantag från kravet på samtycke om uppgifterna rör den anställdes arbetsinsatser och behandlingen av uppgifterna oundgängligen och uteslutande behövs för beräkning av lön eller annan ersättning eller för kontroll, uppföljning eller utveckling av arbetsgivarens produkter eller tjänster.

För beräkning av lön har som framgått av avsnitt 3.10 arbetsgivare olika system såsom personaladministrativa systern innefattande datasamlingar för bl.a. löneberäkningar och flextidssystem. Både tillverkningsindustrin och tjänsteproduktionen har också i ökad

utsträckning börjat att införa system för materialhantering, planering och produktionskontroll. Det finns i dag tekniska förutsättningar att behandla stora mängder information om de olika delarna arbetsproav cessen och därmed också uppgifter om de enskilda arbetstagarna. Datasamlingar kan Lex. användas på ett sådant sätt att sammanställningar avseende individuell utdebiteringsgrad eller beläggningsgrad avspeglar individuella arbetsprestationer. Datainspektionen har i föreskrifter förbjudit att sammanställningar beträffande individuell utdebiteringsgrad eller beläggningsfördelning, dvs. fördelningen mellan debiterbar respektive inte debiterbar arbetstid, utnyttjas för individuella prestationsmätningar. Datainspektionen har vidare inte ansett det godtagbart att uppgifter som har samlats in för tidsplanering av produktionen eller för kvalitetbedömning av telefonintervjuer används vid löneförhandlingar. Samma synsätt gäller när uppgifter som har samlats in för kontroll av in- och utpassering och behörighetskontroll används i annat sammanhang än där de naturligen hör hemma. Enligt Datainspektionens praxis beträffande tillstándsfria register är det således inte godtagbart att mäta individuella prestationer annat än för att räkna ut lön t.ex. ackordslön. Order-, lager- eller faktureringsregister, där varje order eller åtgärd noteras med en signatur, får därför inte användas för att kontrollera arbetstagarnas effektivitet eller prestation. För att kunna åstadkomma en effektiv produktion krävs emellertid ofta behandling uppgifter en av om hur många arbetsmoment en arbetstagare utför tidsenhet. per Ändamålet är alltså effektivisera produktionen, behandlingen att men gör det också möjligt att mäta arbetstagarnas prestation. En sådan utvidgning kräver enligt gällande praxis Datainspektionens tillstånd. Uppgifterna om Datainspektionens praxis har hämtats från inspektionens skrift Personregister i arbetslivet. Enligt Europarådsrekommendationen skall behandling av personuppgifter som avser omdömen om anställdas prestationer och potentiella möjligheter arbetsplatsen grundas rättvis och hederlig en bedömning och får inte vara formulerade på ett förolämpande sätt. I enlighet med de möjligheter som Datainspektionens praxis medger i dag bör enligt utredningens mening ett undantag från kravet samtycke föras i datalagen som innebär att arbetsgivare får behandla uppgifter om uppgifterna rör den anställdes arbetsinsatser och behandlingen av uppgifterna oundgängligen och uteslutande behövs för beräkning av lön eller annan ersättning eller för kontroll, uppföljning eller utveckling av arbetsgivarens produkter eller tjänster. I kravet på "oundgängligen behövs" ligger att arbetsgivaren inte får behandla uppgifter på individnivå om det är tillräckligt med en behandling på arbetslagsnivå. Även i övrigt skall arbetsgivaren i första hand söka tillgodose de angivna syftena med andra lösningar än behandling av uppgifter om individuella prestationer. Av formuleringen framgår också uttryckligen att syftet med behandlingen skall hänföra sig till

SOU 1993: 10 229

löneberäkning m.m. Behandlingen får alltså inte Lex. syfta till en kontroll av de enskilda arbetstagarna. I detta sammanhang skall påpekas att personuppgifter skall gallras då uppgifterna inte längre behövs med hänsyn till de ändamål för vilka de behandlas l9§ första stycket förslaget till datalag. Ändamålet utgör således utgångspunkten för bedömningen av när uppgifter skall bevaras eller gallras. lntegritetsintressen talar generellt för att uppgifter bör gallras så snart som möjligt. Vissa typer av personuppgifter blir snabbt inaktuella och den anställde har alltid rätt att bli bedömd utifrån så fullständiga och aktuella uppgifter som möjligt. Vad sagts gäller nu i hög grad uppgifter som behandlas med stöd av förevarande förslag till undantagsbestämmelse.

Undantag från kravet på samtycke om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning.

Arbetsgivare, inom såväl offentlig som privat sektor, är enligt ett flertal författningar skyldiga att lämna ut uppgifter om sina anställda till olika myndigheter m.m. Arbetsgivare inom den offentliga sektorn kan vidare vara skyldiga att lämna ut uppgifter enligt 2 kap. tryckfrihetsförordningen om allmänna handlingars offentlighet. Enligt Europarâdsrekommendationen får personuppgifter lämnas ut till myndigheter för att de skall kunna fullgöra sin myndighetsutövning endast inom ramen för arbetsgivares skyldigheter enligt lag eller annan författning. Även i övrigt kan enligt rekommendationen utlämnande ett ske om det finns stöd i lag eller annan författning. I förslaget till datalag bör föras in en uttrycklig bestämmelse om att arbetsgivare även utan samtycke får behandla de nu berörda känsliga uppgifterna, om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning. En motsvarande bestämmelse för andra, icke känsliga uppgifter finns i ll § första stycket 3 förslaget till datalag.

Information till de anställda m.m.

I de fall som undantag kan göras från kravet på samtycke bör enligt utredningens mening krävas att uppgifterna inte får behandlas förrän den anställde eller arbetssökande informerats. En bestämmelse av förevarande slag bör därför tas in i förslaget till datalag. Bestämmelsen bör dock inte omfatta sådana fall då behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning. Genom informationen ges de berörda möjlighet att få vetskap om behandlingen och kan därigenom utnyttja sin rätt till insyn 25§ förslaget till datalag. Den nu föreslagna ordningen stämmer överens med vad som gäller enligt Europarådsrekommendationen.

En motsvarande informationsskyldighet bör i princip föreligga i förhållande till den enskildes fackliga företrädare. En sådan underrättelseskyldighet får anses ligga inom ramen för vad som är vedertaget på den svenska arbetsmarknaden. I olika sammanhang har också uttalanden gjorts av innebörd att kollektivavtal skall kunna användas för att uppfylla EES-krav som gäller arbetsmarknaden. EES-utskottet underströk i sitt betänkande 1992/93:EU1, Europeiska ekonomiska samarbetsområdet att Sveriges strävan måste vara att vinna gehör för principen att svenska kollektivavtal skall, när så är lämpligt och i linje med vår arbetsrättsliga tradition, kunna användas för att uppfylla kraven i EES-regler som berör arbetsmarknaden. I denna strävan ingår enligt utskottet att säkerställa enskildas rättsställning på samma sätt som skett i den svenska arbetsrätten. l tilläggsdirektiv Dir. 1992: 109 till 1992 års arbetsrättskommitté A 1991 :05 beslutade regeringen att kommittén i sitt arbete skulle utgå från att kollektivavtal även i framtiden kommer att spela en betydelsefull roll för att reglera förhållandet mellan arbetstagare och arbetsgivare. Mot denna bakgrund borde kommittén, enligt tilläggsdirektiven, också utgå från att de kollektivavtalsbärande parterna även fortsättningsvis måste tillerkännas särskilda rättigheter och skyldigheter. I sina tidigare ställningstaganden har utredningen ansett att en bestämmelse borde föras in i datalagen som gav arbetstagaren rätt att erhålla upplysning om vilka datasystem och datasamlingar som arbetsgivaren har. Genom den bestämmelse som nu föreslås finns enligt utredning inget behov av en sådan bestämmelse.

Förslaget till EG-direktiv

I det föregående har utredningen föreslagit att vissa undantag från kravet på samtycke skall tas in i den nya datalagen när det gäller behandling av känsliga personuppgifter för anställningsändamål. Undantagen ligger inom den ram som Europarådsrekommendationen anger. En fråga som uppkommer är hur dessa undantagsbestämmelser förhåller sig till förslaget till EG-direktiv. Enligt direktivförslaget är en behandling av personuppgifter laglig bara om den sker i överensstämmelse med de grundläggande reglerna för behandling av personuppgifter som finns i kapitel art. 5 första stycket. Vad medlemsstaterna får göra, inom ramen för bestämmelserna i kapitel Il, är att mera precist ange de omständigheter under vilka behandling av personuppgifter får ske art. 5 andra stycket. l kommentaren framhålls att sådana preciseringar alltid måste ske inom ramen för bestämmelserna i kapitel och att de inte får hindra det fria flödet av information inom EG-området. Enligt huvudregeln i artikel 8 skall medlemsstaterna förbjuda behandling av känsliga uppgifter. Medlemsstaterna får dock tillåta sådan

behandling om, förutom när samtycke lämnas, viktiga allmänna intressen talar härför genom en reglering i lag eller annan författning art. 8 3.. En sådan reglering skall ange vilka slag av uppgifter som får behandlas, till vem sådana uppgifter fâr lämnas ut och vem som får vara persondataansvarig samt innehålla lämpliga säkerhetsbestämmelser. Enligt utredningens mening är ett väl fungerande arbetsliv i sig ett viktigt allmänt intresse. Uppfyllandet av de av statsmakterna âlagda skyldigheterna för arbetsgivare har givetvis ett direkt allmänt intresse. Av det sagda framgår att utredningens förslag till lagreglerade undantag från kravet på informerat samtycke, när det gäller behandling av känsliga personuppgifter för anställningsändamål, torde ligga inom för förslaget till EG-direktiv. I fråga om utlämnande av ramen uppgifter med stöd av offentlighetsprincipen torde dock bestämmelsen i 33 § 4 bara i formell mening falla inom ramen för direktivförslaget. I denna del kan hänvisas till avsnitt 5.4 och vad som där sägs om artikel 7.c i direktivförslaget och ll § första stycket 3 förslaget till datalag. Regleringen i 32 35 §§ om behandling av känsliga uppgifter för anställningsändamål innehåller vidare inte några bestämmelser om får ha tillgång till uppgifterna, vilket krävs enligt artikel 8.3 vem som i direktivförslaget.

SOU 1993: 10 233

12 Vem är

ansvarig för behandlingen

av personuppgifter

12. l Gällande rätt

Registeransvarig är enligt 1 § datalagen "den för verksamhet vars personregister förs, om han förfogar över registret". Såväl fysiska som juridiska personer och myndigheter kan registeransvariga. Med vara att förfoga över ett register avses närmast en befogenhet att överföra

registrets innehåll till läsbar form. En registeransvarig måste också

kunna påverka innehållet i registret genom att tillföra uppgifter eller

ändra de uppgifter som ingår i registret för att förfoga över det.

Departementschefen anförde i specialmotiveringen till l § i denna

del bl.a. följande prop. 1973:33 s. 119

Definitionen av uttrycket registeransvarig bör utformas så, att man utesluter dels servicebyråer och andra helt osjälvsom ständigt handhar bearbetningen av ett register, dels sådana som använder sig av registret utan att kunna bestämma dess om innehåll. Med hänsyn härtill anser jag att med registeransvarig bör avses den för vars verksamhet personregister förs, han om förfogar över registret. Begreppet förfogande bör därvid ges samma innebörd som i de föreslagna bestämmelserna i 2 kap. 2 § tredje stycket och 9 § första stycket TF. Den nu berörda regeln bör tillämpas sådant sätt att alltid någon kan konstateras vara registeransvarig. Givetvis bör såväl fysiska juridiska som kunna registeransvariga. Aven myndigheter bör

Efirsoner

vara nna falla under begreppet registeransvarig, fastän de inte är att anse som självständiga juridiska personer. Som har påpekats under remissbehandlingen förekommer det inte sällan att ett visst datasystem inrättas och förs för flera myndigheters eller organisationers räkning. I sådant fall blir varje myndighet eller organisation att anse som registeransvarig, under förutsättning att myndigheten eller organisationen kan bestämma över registerinnehållet eller någon del detta. I sådan av en situation åligger det var och en av myndigheterna eller organisationerna att ansöka om tillstånd beträffande registret. Uppenbarligen föreligger emellertid inte något hinder att ge in en gemensam ansökan eller att låta ett särskilt organ ansöka om tillstånd för de registeranvarigas räkning.

De omnämnda förslagen till 2 kap. 2 § tredje stycket och 9 § första

stycket TF avsåg närmast ändringar varigenom TF i vissa delar gjordes

tillämplig också på ADB-upptagningar. I denna del anfördes i lagstift-

ningsärendet bl.a. prop. 1973:33 s. 77.

Emellertid kan man, när det gäller upptagningar, inte helt och hållet nöja sig med den nu berörda huvudregeln, dvs. att en upptagning är allmän när den förvaras hos myndighet. Som har åpekats förekommer det att databehandling utförs för igheters räkning vid privata företag eller andra organisatiomyn inte är att som myndigheter i TF:s mening. En ner som anse upptagning har kommit in till eller upprättats hos ett sådant som företag e.d. och som används i en myndighets verksamhet bör givetvis inte vara undandragen offentligheten. Huvudregeln om när upptagningar skall anses allmänna bör därför kompletteras med regel att upptagning skall anses förvarad hos myndigen om het och därmed betraktas som allmän även i fall då den har kommit in till eller upprättats hos annan än myndighet, under förutsättning myndighet förfogar över Den

ptagningen.

att u nu

F

förordade regeln bör föras in i 2 kap. 2 § . Frågan i vad mån myndighet förfogar över up tagning som en finns hos ett privat företag e.d. får avgöras med ning av bl.a. de avtal har träffats mellan myndigheten och företaget. För som myndighet skall förfoga över en ADB-uppta ning bör att en anses det normalt förutsättas att myndigheten ha rätt att öra över upptagningen till visuellt läsbar form. En sådan överföring kan ske att myndi heten har terminal e.d. som är kopplad en

dgenom dataa äggningen. På sätt bör när det

till en privata samma man, gäller upptagningar kräver tekniskt hjälpmedel för att kunna som avlyssnas, förutsätta att myndigheten kan föra över upptagningen till avläsningsbar form.

Myndighetsbegreppet spelar central roll för bedömning av begreppet en registeransvarig inom den offentliga sektorn. Regeringsformen skiljer mellan tvâ slag av offentliga organ, dels

beslutande församlingar såsom riksdagen, kyrkomötet, kommun-

fullmäktige, landsting och kyrkofullmäktige, dels myndigheter. De

regeringen, domstolarna och förvaltningsmyndighetersenare utgörs av Regeringsformens myndighetsbegrepp används även vid tillna. ämpning tryckfrihetsförordningen och sekretesslagen. Även vid av tolkning datalagen avgränsning av begreppet myndigav anses samma het kunna göras. En utförlig redovisning av myndighetsbegreppet

finns i Hellners-Malmqvist, Nya förvaltningslagen med kommentarer,

1989, s. 38 ff. I praxis har vissa svårigheter uppstått när det gällt att bestämma

huruvida kommunal eller statlig organisatorisk enhet utgör en egen en myndighet eller ingår i en annan myndighet. Staten och kommunen är juridiska personer och som sådana bärare

civilrättsliga rättigheter och skyldigheter, medan de statliga eller av kommunala myndigheterna regel inte anses vara juridiska som

personer. I praxis har det inte förekommit att staten som sådan ansetts

registeransvarig. För kommunernas del har det förekommit att

SOU 1993: 10 235

inspektionen ansett en kommun eller en landstingskommun vara registeransvarig. I tvâ fall har regeringen dock ansett att ansvaret åvilat en berörd nämnd i stället dnr 325-83 och 360-83. Numera föreskrivs i de av Datainspektionen fastställda verkställighetsföreskrifterna på omrâdet att de kommunala nämnderna är ansvariga se DIFS 1990:2.

I fråga om statens löneuträkningssystem det s.k. SLÖR-registret

har en del myndigheter hävdat att de inte förfogar över det i datalagens mening. Enligt regeringens uppfattning anses dock myndigheterna förfoga över registret och vara registeransvariga, då de själva eller genom annan kan gâ in i registret och förse det med uppgifter och därmed påverka innehållet i det till någon del. Liknande problem som finns när det gäller avgränsningen inom den offentliga sektorn finns även inom den privata. Inom koncern- och andra bolagsbildningar kan det ibland vara svårt att fixera registeransvaret.

12.2 Europarådets konvention

Enligt Europarâdskonventionen art. 2.d är en registeransvarig controller of the file den fysiska eller juridiska person, offentlig myndighet eller företrädare eller något annat organ som i enlighet med inhemsk lag är behörig att besluta vad ändamålet med det automatiska dataregistret skall vara, vilka slags uppgifter som skall lagras i det och vilka operationer som skall utföras med dem.

12.3 till EG-direktiv

Förslaget

I förslaget till EG-direktiv art. 2.d definieras den ansvarige "controller" som fysisk eller juridisk person, offentlig myndighet eller annat organ som behandlar eller låter behandla personuppgifter och som bestämmer ändamålet med och målet för behandlingen, vilka personuppgifter som skall behandlas, vilka behandlingar som skall utföras med uppgifterna och vilka utomstående som skall få tillgång till uppgifterna. Direktivet laborerar i detta sammanhang med ytterligare en definition. Den fysiska eller juridiska person som för den ansvariges

räkning on behalf of the controller behandlar personuppgifter

benämns "processor" art. 2.e. Den ansvarige åläggs i artikel 24.1 att, när annan utför behandling för den ansvariges räkning, tillse att nödvändiga säkerhetsarrangemang och organisatoriska åtgärder vidtas. Vid valet av medhjälpare vid behandlingen processor skall den ansvarige försäkra sig om att tillfredsställande garantier lämnas med avseende på säkerhet och

organisation. Medhjälparen the processor får endast utföra sådan behandling av personuppgifter som finns angivet i hans avtal med den ansvarige och han får inte ta emot instruktioner från någon annan än den ansvarige. Medhjälparen är skyldig att följa de nationella bestämmelser som antagits i enlighet med direktivet art. 24.2. Det kontrakt som upprättas mellan den ansvarige the controller och medhjälparen the processor skall vara skriftligt. Kontraktet skall särskilt ange att personuppgifter endast med den ansvariges medgivande får lämnas ut till tredje man av medhjälparen eller dennes anställda art. 24.3.

12.4 Utredningens

tidigare ställningstaganden

Begreppet registeransvarig är av grundläggande betydelse, eftersom de rättigheter och skyldigheter som anges i integritetsskyddshänseende knyts till, förutom den registrerade enskilde, den registeransvarige. Utredningen har föreslagit att begreppet personregister ersätts med "persondatamängd". I konsekvens härmed bör fortsättningsvis "registeransvarig" kallas "persondataansvarig Det förefaller som om den nuvarande avgränsningen, med krav på "förfogande" se avsnitt 11.1, närmast vållar tillämpningssvårigheter inom den offentliga sektorn. På den privata sidan är det naturligare att koppla ansvaret till den juridiska eller fysiska på ett eller person som annat sätt har beslutanderätten och den operativa kontrollen över persondatamängden. Men även där finns avgränsningsproblem inom exempelvis koncernbildningar. Pâ den offentliga sidan, där staten och kommunerna som juridiska personer har ett övergripande civilrättsligt ansvar men verksamheten bedrivs av mer eller mindre självständiga myndigheter, är bilden dock mera komplicerad. Myndighetsbegreppets tolkning vad avser rätten till offentliga handlingar har i praxis till synes kommit att styra avgränsningen. Ett krav på möjlighet att påverka innehållet förfoga i det finns emellertid som framgått. Det är närmast fråga om att i rättslig mening förfoga över innehållet. Ett faktiskt förfogande är således regel inte som tillräckligt. Det innebär att exempelvis servicebyrâer och andra som osjälvständigt handhar bearbetning av ett register inte är att anse som registeransvariga. Genom att persondataansvarighets- och myndighetsbegreppen numera har likställts i praxis har vissa fördelar uppnåtts. Det innebär att den persondatamängd som förekommer och används inom en myndighets område också är myndighetens sådan, ansvar som oberoende av hur den operativa kontrollen i myndigheten är ordnad. En annan möjlighet, om inte nuvarande definition bibehålls, är att knyta persondataansvaret hårdare till den har den yttersta som bestämmanderätten över och kontroll av ett informationssystem. I

SOU 1993: 10 237

direktiven pekas på möjligheten att utse en ansvarig för som ensam ett informationssystem, trots att andra användare har tillgång till systemet och förfogar över detta helt eller delvis. Valet skulle således närmast stå mellan något följande av tre alternativ: nuvarande ordning, dvs. med ett visst krav på förfogande över en persondatamängd och möjlighet till delat ansvar, ett exklusivt persondataansvar för en "huvudanvändare" i fleranvändarsystem, en uttunning av kravet på förfogande, så att redan användningen konstituerade ansvar, vilket också skulle innebära flera ansvariga för olika delar av ett och samma system. Vilket av alternativen som väljs bör i ljuset de konsekvenser ses av det medför för såväl den vars personuppgifter det gäller den som persondataansvarige. Särskilt tre omständigheter kommer därvid i förgrunden. Det gäller dels rätten att insyn i och underrättelse förekomsten om av personuppgifter jfr 10 § nuvarande datalag, dels den därmed sammanhängande rätten till rättelse av oriktiga och missvisande uppgifter. Till dessa två för den enskilde väsentliga faktorer kommer den persondataansvariges skyldighet att ersätta den skada den som enskilde kan ha tillfogats genom att en persondatamängd innehåller oriktig eller missvisande uppgift. Nuvarande ordning tillmötesgår i så måtto den persondataansvarige, att dennes ansvar för felaktiga eller missvisande uppgifter kan sägas svara mot kravet på förfogande, samtidigt som den enskilde i de flesta fall inte behöver missta sig i fråga om mot vem anspråk pâ underrättelse om innehållet i en persondatamängd skall riktas. l de fall exempelvis en myndighet, med vilken den enskilde har kontakt, i sin verksamhet använder persondatamängd, utan att en myndigheten kan sägas förfoga över uppgifterna däri, föreligger dock inte någon rätt till insyn, underrättelse eller rättelse enligt datalagen. Rätt till insyn kan dock givetvis föreligga enligt reglerna handom lingsoffentlighet i tryckfrihetsförordningen och sekretesslagen. Den enskilde är hänvisad att vända sig till den som kan utpekas som ansvarig. Det kan naturligtvis inträffa att felaktig hänvisning görs eller att oklarhet råder mellan flera myndigheter om vem som är persondataansvarig till förfång för den enskilde. Om ansvaret i stället lades den myndighet i vars verksamhet uppgifterna användes, oberoende av var kontrollen eller förfogandet i övrigt låg, skulle den enskildes rättigheter i detta hänseende bli bättre tillgodosedda. Den enskilde skulle kunna vända sig till myndigheten med begäran om underrättelse om innehållet i persondatamängden för del och egen därigenom få möjlighet att påtala eventuella felaktigheter.

Om myndigheten i fråga inte förfogar över uppgifterna, fick för myndigheten i författning föreskrivas en skyldighet att medverka till att rättelse sker. 1 de fall försummelse förelåg. skulle skadeståndsansvar föreligga för den persondataansvariga myndigheten. Skadeståndskravet skulle således tunnas ut från nuvarande ordning med s.k. strikt ansvar, dvs. ett ansvar oberoende av försumlighet, till ett ansvar för vårdslöshet Culpa. En sådan ordning för skadeståndsansvaret vore att föredra framför att föreskriva ett strikt ansvar i de fall den persondataansvarige inte kan förfoga över uppgifterna och således påverka dess innehåll. Ingenting hindrar emellertid. om skyddet för den enskilde ytterligare skulle behöva förstärkas, att den ansvarige även i de fallen hade ett strikt ansvar men gavs möjlighet att i ett flcranvändarsystetn eller annars regressvis ersättning av den som orsakat en felaktig eller missvisande personuppgift i en datamängd. Förutom att skadcstâindsaspckten bör beaktas i en ordning, där persondataansvaret läggs på den i vars verksamhet en persondatamängd förekommer, bör ansvaret inskränkas till att omfatta endast den del av ett informationssystem som ingår i verksamhetsområdet. Det ändamål som styr användningen av en viss datamängd bör härvid kunna användas för att avgränsa ansvarsområdet i ett fleranvändarsystem. En utveckling mot ett alternativ där förfogandebegreppet inte tillmäts samma betydelse för ansvaret kan sägas i huvudsak gynna den enskilde och ge flera dataanvåndare ett ansvar som de idag saknar. Det återstående alternativet, nämligen att knyta ansvarighetsbegreppet hårdare till det företag eller myndighet som har den operativa kontrollen över ett fleranvändarsystenz, dvs. en centralistisk modell, har en nackdel, eftersom den enskilde måste veta vem som har det rättsliga ansvaret för uppgifterna. Det räcker inte att vända sig till den myndighet eller företag där uppgiften använts. Ytterligare information kan behövas. Som nämnts kan därvid svårigheter uppstå när det gäller att klara ut vem som har ansvaret för att rättelser genomförs. En sådan ordning har dock uppenbara fördelar. Dels läggs ansvaret för personuppgifternas riktighet på den som har möjlighet att faktiskt påverka innehållet, dels kan skadeståndsansvaret härigenom också göras strikt gentemot den skadelidande enskilde. I samband med inrättandet av en ordning för summarisk process, dvs. mål om betalningsföreläggande och handräekning, hos kronofogdemyndigheterna med hjälp av ADB-teknik har den enskildes rättigheter i detta hänseende lett till en lösning, där såväl Riksskatteverket som den berörda kronofogdemyndigheten tillagts ett fullständigt registeransvar, trots att Riksskatteverkets befattning med målen varit begränsad se SFS 1991:876, prop. 1990/91:126, LU34, rskr. 332. Med hänsyn till den förfoganderätt över register som Riksskatteverkets befattning innebär var det enligt departementschefen nödvändigt att ålägga verket ett registeransvar i datalagens mening för kronofogdemyndigheternas register se prop. 1990/91:126 s. 67

SOU 1993: 10 239

Utvecklingen mot alltmer integrerade informationssystem gör att antalet olika användare ökar. Det är exempelvis vanligt att vissa offentliga register utnyttjas efter avtal med bl.a. banker och näringsidkare. Den information som finns i exempelvis register över företagsinteckningar och fastigheter kan genom datakommunikation direkt användas för bl.a. beslut om kreditgivning. På motsvarande sätt kan uppgifter i folkbokföringsregister, det centrala bilregistret eller i värdepapperscentralens register komma till användning i skilda sammanhang genom sammankoppling mellan olika delanvändare. I inget fall behöver användaren ha möjlighet att påverka innehållet i persondatamängden. I konsekvens med vad utredningen ansett i fråga om personregisterbegreppet skulle dock för användarens del en persondatamängd föreligga redan genom den möjlighet som finns att ta fram personuppgifter för ett visst ändamål genom ADB. Om redan användning av en sådan persondatamängd skulle grunda persondataansvar skulle en avsevärd utvidgning ske i förhållande till nuvarande regler. Förslaget till EG-direktiven anger att den som har rätt att lämna tredje man tillgång till registret är registeransvarig. Samtidigt förutsätts på denna punkt att den registeransvarige beslutar om användningsändamål, vilka slag av personuppgifter som skall lagras och vilka operationer som skall utföras med dem. Ordalydelsen ger närmast vid handen att rekvisitet om utlämnande skall förenas med övriga rekvisit. Ett vidsträckt persondataansvarsbegrepp kan naturligtvis leda till att flera myndigheter eller andra användare kan anses ansvariga för samma persondatamängd, beroende på de tekniska hjälpmedel som användarna utnyttjar samt de ändamål och datamängder det är fråga om. Ur den enskildes synvinkel är detta, som redan tidigare har berörts, visserligen ingen nackdel när det exempelvis gäller rätten att få uppgifter strukna eller rättade. Häremot skall emellertid ställas de svårigheter som kan uppstå för en ansvarig, inom såväl den offentliga som enskilda sektorn, som inte har möjlighet att påverka innehållet i persondatamängden utan enbart använder uppgifterna för särskilda lagliga ändamål. För att rättelse skulle kunna ske av felaktiga uppgifter fick dessutom en förfoganderätt konstrueras eller en anmälningsskyldighet till den som har förfoganderätt införas. Utredningen anser att en rimlig avvägning mellan de olika motstâende intressena är att upprätthålla ett krav på ett förfogande som, i likhet med EG-direktiven, förutsätter att den ansvarige beslutar om användningsändamål, vilka slag av personuppgifter som skall lagras och vilka operationer som skall utföras med dem. Denna lösning ligger således nära den centralistiska modellen. Härigenom skulle ansvar inte följa för dem som endast använder ett system eller endast förfogar över det i mera begränsad mening exempelvis de myndigheter som använder SLÖR. En särskild fråga är vidare hur de fall bör bedömas där en myndighet använder en persondatamängd, för vilken annan ursprungligen är

240 SOU 1993: 10

ansvarig, som ett led i en gransknings- eller tillsynsverksamhet. Det gäller exempelvis vid fall av revision eller annan granskning eller polismyndighets handläggning under förundersökning. Ett persondataansvar bör därvid följa för den granskande eller undersökande myndigheten redan genom att ändamålet är annat än hos den vars verksamhet är föremål för granskning eller tillsyn. Genom det nya ändamålet uppstår definitionsmässigt persondatamängd för vilken en ny persondataansvar bör föreligga. l den mån decentralisering sker av beslutsfattande o.d., berör som användning av datasystem, från en central nivå till regionala eller lokala nivåer inom exempelvis den statliga förvaltningen, bör det uppmärksammas att också persondataansvaret kopplas till beslutsbefogenheterna. En delegation till lägre nivåer dataansvaret utesluter av dock inte att också den centrala myndigheten kan ha i det ett ansvar hänseende i likhet med vad som nu föreligger för Riksskatteverkets del när det gäller den summariska processen se ovan. Frågor detta av slag aktualiseras t.ex. när det gäller lokala skattemyndighetens hand-

läggning av den numera datoriserade folkbokföringen se

prop. 1990/91:53, SkU9, rskr. 109, SFS 1990:1536 och prop. 1990/91:153, SkU28, rskr. 320, SFS 1991:481. Vid utformning av bestämmelserna om persondataansvar bör också beaktas reglerna för arkivbildning resp. utlämnande av allmänna handlingar. I görligaste mán bör persondataansvaret för myndigheters del sammanfalla med begreppet arkivmyndighet och registreringsskyldighet enligt sekretesslagen jfr 3 § arkivlagen, 1990:782, och 15 kap. 13 § sekretesslagen, 1980:100. Det rekvisit med rätt till "utlämnande" som EG-direktiven innehåller bör inte ges en självständig betydelse. I Sverige reser tillämpningen av ett sådant rekvisit nämligen de speciella frågor som är knutna till den grundlagsskyddade handlingsoffentligheten, vilken torde sakna motsvarighet utomlands. Som utredningen tidigare har konstaterat är den svenska handlingsoffentligheten enligt tryckfrihetsförordningen och sekretesslagen samt personregistreringen hos svenska myndigheter på vissa punkter svår att förena med EG-direktivens krav vad avser personregistrering inom den offentliga sektorn. För att tillgodose den enskildes krav på att utan dröjsmål veta vem som är persondataansvarig bör det även hos användare, som inte är persondataansvariga, finnas utsedda kontaktpersoner som kan ge nödvändig vägledning jfr 8 § datalagen. En väsentlig uppgift för en sådan kontaktperson bör vara att ange vem hos en persondataansvarig som har skyldighet att bistå den vars personuppgifter är berörda med 10 §-utdrag eller vid misstanke om oriktig eller missvisande uppgift. Slutligen bör understrykas att frågan om vem som är Straffrättsligt ansvarig för exempelvis brott mot datalagen inte är avgjord enbart genom att persondataansvaret fixerats. Straffrättsligt ansvar kan, som bekant, enbart åvila fysiska personer. Vid bedömning härav kan bl.a. frågor om delegation inom en myndighet ha betydelse.

12.5 Remissutfallet

Majoriteten av de remissinstanser som har yttrat sig i denna del tillstyrker den koncentration av ansvaret för personuppgifter som utredningens förslag innebär. Dessa instanser ser det som en fördel att det med utredningens förslag inte kommer att ske en sådan uppdelning av ansvaret som kan bli fallet med den nuvarande regleringen och att det mer entydigt kommer att framgå vem som är registeransvarig. Positiva är bl.a. Kammarrätten i Stockholm, Riksförsäkringsverket Riksarkivet, Statistiska Centralbyrån, Rikspolisstyrelsen, Sveriges lndustriförbund och Svenska Arbetsgivareföreningen. Viss kritik framförs mot termen persondataansvarig. Några remissinstanser menar att det föreligger risk för förväxling med begreppet persondatoransvarig. När det gäller ansvaret vid tillsynsverksamhet framförs både positiva och negativa synpunkter. Någon remissinstans menar att konsekvenserna av utredningens förslag blir alltför långtgående, medan andra delar utredningens uppfattning att ansvaret vid tillsyn bör åvila den som har ansvaret för granskningen. Datainspektionen, Sveriges Industriförbund och Svenska Arbetsgivareföreningen pekar på svårigheten att bedöma vem som är persondataansvarig för statsmaktsregister. Svenska Kommunförbundet anger i sitt yttrande att en ny datalag bör öppna möjligheterna för den kommunala nämnd som så finner lämpligt att överföra registeransvaret åtminstone för visst eller vissa register till en förvaltningschef eller annan befattningshavare sätt som nämnden finner lämpligt. Landstingsförbundet anser att det inom hälso- och sjukvården är en bättre lösning att göra chefen för varje basenhet, i regel en klinik eller en vårdcentral, ansvarig för de personuppgifter som registreras och används inom basenheten.

12.6 överväganden

Utredningen har, som framgår av redovisningen i avsnitt i det fortsatta utredningsarbetet avstått från att arbeta med sådana samlingsbegrepp som personregister eller persondatamängd. Den avgränsning som behövs mellan olika datasamlingar erhålls genom bestämmelsen att personuppgifter får behandlas endast för ett bestämt och uttryckligt ändamål. Utredningens förslag om vem som skall vara ansvarig för behandlingen av personuppgifter medför att en uppdelning av ansvaret inte kommer att ske på samma sätt som enligt gällande ordning. I stället kommer det mera entydigt att framgå vem som är ansvarig för viss behandling. Vidare läggs, som utredningen tidigare har framhållit,

ansvaret för personuppgifternas riktighet på den som har möjlighet att faktiskt påverka innehållet och skadeståndsansvaret kan härigenom också göras strikt gentemot den enskilde. En klar majoritet av remissinstanserna har godtagit förslaget ; utredningen vidhåller därför sitt förslag och har i 5 § i förslaget till datalag tagit bestämmelupp en se som innebär att den är persondataansvarig som bestämmer ändamålet med behandlingen, vilka slag av personuppgifter som skall behandlas och hur de skall behandlas. Termen persondataansvarig har behållits eftersom den får anses återspegla vad ansvaret innebär, nämligen ansvar för behandling av uppgifter data om personer. De nackdelar som ett mera centralistiskt ansvarssystem kan innebära för den enskilde när det gäller att ta till vara sina rättigheter har utredningen försökt att överbrygga genom en särskild bestämmelse som gagnar den enskilde. I 24 § andra stycket förslaget till datalag åläggs den som utan att vara persondataansvarig behandlar personuppgifter att begäran upplysa en enskild om vem som är persondataansvarig. Upplysning skall också lämnas om vem hos den persondataansvarige som bistår enskilda vid misstanke om oriktig, ofullständig, inaktuell eller missvisande uppgift. Denna bestämmelse torde göra det lättare för den enskilde att utöva sina rättigheter enligt datalagen. Utredningen vill också peka på bestämmelserna i 15 kap ll § sekretesslagen. I den paragrafen finns särskilda regler om dokumentationsskyldighet beträffande ADB-register som en myndighet har tillgång till. Reglerna syftar till att tillgodose allmänhetens intresse av överblick över och orientering i det ADB-material som finns hos myndigheterna. Bestämmelserna gäller även för sådana myndigheter som behandlar personuppgifter utan att vara persondataansvariga. Liksom f.n. kan ansvaret åvila både fysiska och juridiska personer samt myndigheter. Vid inrättandet av statsmaktsregister kan det i och för sig hävdas att det är statsmakterna, dvs. riksdagen eller regeringen, som blir persondataansvariga eftersom statsmakterna kan ha bestämt både ändamålet med registret, vilka slag av personuppgifter som skall behandlas och hur de skall behandlas. Det får emellertid anses ligga i sakens natur att persondataansvaret inte faller på statsmakterna utan i stället pá den myndighet inom vars ansvarsområde den ifrågavarande behandlingen skall ske och som har den operativa kontrollen av personuppgifterna. I allmänhet torde i statsmakternas beslut anges vem som skall vara persondataansvarig.

Det strikta skadeståndsansvar som följer av datalagen se 49 § första

stycket i lagförslaget knyts till den persondataansvarige, liksom f.ö. en lång rad andra skyldigheter enligt datalagstiftningen. Några remissinstanser, Svenska Kommunförbundet och Landstingsförbundet, har efterlyst en ordning där persondataansvaret kan delegeras från vederbörande nämnd till en förvaltningschef eller annan befattningshavare respektive från Landstingsstyrelsen eller en central nämnd till chefen för varje basenhet, i regel en klinik eller en vårdcentral.

SOU 1993: 10 243

Persondataansvaret kan emellertid inte delegeras utan ligger på myndigheten eller det privaträttsliga subjektet. En annan sak är att ledningen för en privat eller offentlig verksamhet under vissa förutsättningar kan överflytta det straffrättsliga ansvaret en ställföreträdare, som anförtrotts att med tämligen stor självständighet leda verksamheten i vissa delar. Sistnämnda fråga berörs ytterligare i avsnitt 19.1. Utredningen har tidigare berört frågan om vem som är ansvarig för sådan behandling av personuppgifter som sker som ett led i en gransknings- eller tillsynsverksamhet och där personuppgifterna har hämtats från den granskande verksamheten. I sina tidigare ställningstaganden uttalade utredningen att ett persondataansvar borde följa för den granskande eller undersökande myndigheten redan genom att ändamålet är ett annat än hos den vars verksamhet är föremål för granskning eller tillsyn. Under remissbehandlingen har flera instanser tagit upp frågan om ansvaret för behandling i samband med gransknings- eller tillsynsverksamhet. Riksdagens ombudsmän anser att utredningens förslag får alltför långtgående konsekvenser. Riksdagens ombudsman menar i stället att sådan tillsyn som utförs av t.ex. centrala fackmyndigheter eller Riksdagens ombudsmän och som innefattar granskning av innehållet i myndighetens ADB-system antingen bör uttryckligen undantas från regleringen eller alternativt anses ingå i myndighetsregistrets ursprungliga ändamål. Datainspektionen erinrar om det synsätt om granskande myndigheters ansvar som låg till grund för införandet av lagen 1987: 123 l om automatisk databehandling vid taxeringsrevision, m.m. Riksskatteverket har den uppfattningen att något persondataansvar inte uppkommer för den som utför revisionen, eftersom denne inte beslutar om vilka uppgifter som skall lagras. Riksskatteverket påpekar vidare att lagen om automatisk databehandling vid taxeringsrevision tillkommit för att förbygga risken för otillbörligt integritetsintrång när en skattemyndighet granskar någon annans personregister och verket anser därför att det bör krävas mycket starka skäl om regelverket till skydd för enskilda vid taxeringsrevision skall konstrueras på ett annat sätt. Positiva till utredningens förslag är bl.a. Sveriges Industrtförbund och Svenska Arbetsgivarefäreningen. De hävdar att det nuvarande förhållandet, då inget registeransvar alls synes föreligga vid bearbetning för revisionsändamål, är helt otillfredsställande från integritetssynpunkt, såväl vad gäller personlig integritet som företagsintegritet. Förhållandet strider också mot vad som sagts i motiveringen till l § datalagen om att registeransvarighetsregeln bör tillämpas på sådant sätt att alltid någon kan konstateras vara registeransvarig. Den tidigare nämnda lagen om automatisk databehandling vid taxeringsrevision, m.m. infördes som en komplettering till reglerna i taxeringslagen om ADB-användning. Lagen gäller vid myndighets revision avseende skatter och socialavgifter som innefattar automatisk

databehandling av personuppgifter i personregister enligt datalagen. Syftet med lagen är enligt motiven att skydda personuppgifter som finns hos den som granskas vid en revision och ge ett skydd mot att kontrollverksamheten genom användningen av ADB-teknik får en uppläggning som är oacceptabel från integritetssynpunkt prop. 1987/88:65 s. 80. Eftersom en granskande myndighet, med den gällande datalagens synsätt, inte blir registeransvarig för de bearbetningar som utförs under granskningen kan inte alla datalagens regler tillämpas på granskarens bearbetningar. De flesta reglerna i datalagen riktar sig nämligen, uttryckligen eller underförstått, till den registeransvarige. Därmed avses den för vars verksamhet personregistret förs, om han förfogar över det. Definitionen utesluter bl.a. den som använder sig av ett register utan att kunna bestämma dess innehåll. Registeransvarig för de register som revideras är därför i regel den som revisionen utförs hos. Däremot medför inte de bearbetningar som granskaren utför med registret att han eller den myndighet han tjänstgör vid blir att anse som registeransvarig. Granskaren blir inte heller utan vidare bunden av villkor som avser den registeransvariges användning av registret. Det är mot denna bakgrund som lagen om automatisk databehandling vid taxeringsrevision, m.m. mäste ses. Enligt lagen får granskningen av personregister inte leda till otillbörligt intrång i registrerads personliga integritet 2 §. Med otillbörligt integritetsintrâng avses i princip detsamma som i den gällande datalagen. Regeln riktar sig i första hand till granskaren men utgör samtidigt grunden för Datainspektionens åtgärder med stöd av 3 5 §§ i lagen. - Datainspektionen utövar enligt 3 § tillsyn över granskningen och den som verkställer revisionen skall lämna Datainspektionen de uppgifter om den automatiska databehandlingen som inspektionen begär för sin tillsyn. I den mån det behövs för att förhindra risk för otillbörligt integritctsintrång fär Datainspektionen enligt 4§ meddela villkor. Sådana villkor får meddelas om utförandet av den automatiska databehandlingen, den tekniska utrustningen, de bearbetningar av personuppgifter som får göras, de personuppgifter som fâr göras tillgängliga, utlämnande och annan användning av personuppgifter, bevarande och gallring samt om kontroll och säkerhet. Med stöd av en särskild förordning 1987: 1232 har Datainspektionen utfärdat förskrifter om verkställigheten av lagen om automatisk databehandling vid taxeringsrevision m.m. DIFS 1988:2 och 1991:1. Inledningsvis ställs upp vissa krav på kompetens hos den som skall granska personregister. Med granskning av personregister med hjälp av ADB avses enligt föreskrifterna att den registeransvarige på granskarens begäran tar fram personuppgifter ur personregister, eller att granskaren själv tar fram uppgifterna genom att använda den registeransvariges eller egna tekniska hjälpmedel 2 §. Granskning av

SOU 1993: lO 245

personregister får inte ske genom terminaluppkoppling från skattemyndigheten till den registeransvarige 3 §. Vidare föreskrivs att av ett beslut om revision avseende skatter och socialavgifter med hjälp av ADB skall framgå för vilket eller vilka ändamål revisionen sker och att den följande granskningen av personregister skall stå i överensstämmelse med det ändamål som har bestämts för revisionen 5 och 6 §§- I syfte att förebygga risk för att granskningen skall medföra otillbörligt intrång i personlig integritet hos den som finns med i registret har ett samrådsförfarande införts. Förfarandet får undvaras endast om annat följer av sekretesslagen. Enligt huvudregeln 7§ första stycket skall således granskaren samråda med den registeransvarige i fråga om

var granskningen skall utföras, 2. vilken teknisk utrustning och programvara hos den registeransvarige som skall användas, vilka personregister som skall granskas, 4. vilka bearbetningar av personuppgifter som skall göras, samt 5. vem som skall ta fram personuppgifterna med hjälp av ADB.

Den registeransvarige skall dessutom, om det är förenligt med revisionens ändamål, ges tillfälle att själv ta fram personuppgifterna 7 § andra stycket. Datainspektionens föreskrifter omfattar även bestämmelser om användning och bevarande av personuppgifter samt säkerhet avseende ADB. I de bestämmelserna ges bl.a. föreskrifter om begränsningar när det gäller användningen av tekniska hjälpmedel, program och sökbegrepp samt de personuppgifter som kommer fram vid granskningen. Användningen måste enligt föreskrifterna ske i överensstämmelse med revisionens ändamål 9 och 10 §§. När det gäller ADB-säkerhet skall enligt huvudregeln granskaren, när denne själv tar fram uppgifterna och använder tekniska hjälpmedel, i första hand använda kopior av de personregister som granskas 14 §. Regeln är till för att eliminera riskerna för intrång i registrerads personliga integritet genom att granskningen kan leda till oavsiktlig eller otillåten förstörelse eller ändring av det granskade personregistret. I samband med överväganden kring frågor om persondataansvaret vid gransknings- eller tillsynsverksamhet kan det finnas anledning att titta närmare på hur olika granskningar utförs i praktiken. Utredningen har som exempel valt skattemyndigheternas ADB-revisioner. Redovisningen har hämtats från SOU 1992:23, Kontrollfrâgor i tulldatoriseringen m.m. En ADB-revision innebär en kontroll av ett företags ADB-baserade ekonomisystem. Kontrollen indelas i tvâ faser, en systemgranskning och en datorstödd granskning. Systemgranskningen innebär att

ekonomisysteinet kartläggs, i första hand den ADB-baserade delen men kan också innefatta manuella delar. Huvudsyftet med systemgranskningen år att undersöka vilken information som finns i systemet, hur man kommer den samt bedöma dess tillförlitlighet. Den datorstödda granskningen innebär att företagets ADB-register bearbetas för kontroll av ett visst granskningsområde. Huvudsyftet år här att undersöka viss del av informationen och att sammanställa resultatet ett överskådligt satt. Den information som Skattemyndigheten behöver från ett företags olika ADB-register kan normalt inhämtas något av följande sätt:

Företagets personal gör själva alla bearbetningar efter ADBrevisorns begäran om vissa uppgifter. ADB-revisorn gör bearbetningar på företagets dator. ADB-revisorn tar kopior av ADB-register och arbetar på myndighetens dator.

Det sistnämnda arbetssättet är enligt Skattemyndigheten att föredra med hänsyn till att såväl maskin- som programvara behärskas av revisorn. Vid det arbetssättet stör inte heller revisorn företagets databeegen handling. Används företagets datorer kan det innebära att bearbetningar kan göras först när ledig maskinkapacitet finns. l annat fall störs den normala ADB-produktionen hos företaget. Ett sådant arbetssätt kan också, beroende på vilka uppgifter som begärs, medföra att program måste tas fram av företagets personal eller utomstående konsulter. Behärskar inte revisorn företagets programvara eller datorer tar det tid för honom att sätta sig in i arbetsmomenten. Görs bearbetningarna av företagets personal går myndigheten givetvis till viss del miste om kontroll över att resultatet beav arbetningarna innehåller korrekta uppgifter. Den datorstödda granskningens syfte är dels att ta fram uppgifter om fel/brister som bör utredas närmare vid en manuell kontroll, dels att kontrollera omfattningen av vissa fel/brister kommit fram under som revisionen och slutligen att ta fram listor, sammanställningar för m.m. att underlätta övriga revisorers kontroll av respektive granskningsområde. En grundförutsättning för en sådan granskning är att eftersökta uppgifter finns på ADB-medium. Detta är inte alltid fallet eftersom bokföringslagen inte ställer krav på arkivering i sådan form. Vad som är möjligt att göra i en enskild revision kan inte avgöras förrän man vet vilka uppgifter som finns bevarade ADB-media. Som exempel på kontroller som kan göras för att få information varuinköp om m.m. om dessa finns på ett stort antal konton kan nämnas listning efter leverantör, beloppsmässig storlek på fakturor eller leverantörer, antal fakturor per leverantör och snittfakturering leverantör. per

SOU 1993: 10 247

Datalagsutredningen har, som nämnts, under sina tidigare ställningstaganden uttalat att ett persondataansvar borde följa för den granskande eller undersökande myndigheten redan genom att ändamålet är ett annat än hos den vars verksamhet är föremål för granskning eller tillsyn. En viktig utgångspunkt vid utredningens överväganden har varit att regleringen av persondataansvaret i datalagen skall utformas på ett sådant sätt att det vid varje tidpunkt skall vara möjligt att avgöra var persondataansvaret ligger. Regleringen skall självfallet inte heller i förhållande till gällande rätt medföra någon försämring av integritetsskyddet. Vid en granskning eller revision torde ändamålet med behandlingen personuppgifter regelmässigt bli ett annat än det som bestämts av av den persondataansvarige i dennes verksamhet. Det blir också den granskande myndigheten som, med stöd av andra författningar än datalagen, bestämmer vilka uppgifter som skall granskas, dvs. vilka slag av uppgifter som skall behandlas. Inom vissa ramar är det också den granskande myndigheten som bestämmer hur uppgifterna skall behandlas. Med den utformning av persondataansvaret som finns i 5 § i utredningens lagförslag följer därmed att det blir den granskande myndigheten blir persondataansvarig för den behandling som sker som vid granskningen. En sådan ordning torde ge ett bättre skydd än den nuvarande regleringen för den enskilde vid granskning eller tillsyn att den granskande myndigheten, beträffande den behandling av genom personuppgifter som ingår i granskningsverksamheten, åläggs alla de skyldigheter som enligt förslaget till ny datalag vilar på den persondataansvarige. Datainspektionen kommer inte, med utredningens förslag, att kunna meddela några generella föreskrifter om tillämpningen av datalagen vid behandling av personuppgifter i samband med granskning eller tillsyn. Däremot kommer det att finnas möjlighet för inspektionen att, för att åstadkomma rättelse, i enskilda fall meddela villkor för behandlingen. En förutsättning härför är att personuppgifter behandlas eller att det framgår anmälan att personuppgifter avses bli behandlade i strid av en med vad som gäller för behandlingen jfr 40 § i lagförslaget. En viss visar hur granskning eller tillsyn bör utföras torde redan ha praxis som utbildats. Med hänvisning till vad som har sagts föreslår utredningen att lagen automatisk databehandling vid taxeringsrevision, m.m. upphävs. om Utredningens förslag till definition av persondataansvaret stämmer överens med förslaget till EG-direktiv utom såtillvida att ett fjärde rekvisit för bedömningen av vem som är ansvarig inte har tagits med i förslaget till ny datalag. Det fjärde rekvisitet avser rätten att lämna tredje man tillgång till personuppgifterna och har utelämnats av hänsyn till offentlighetsprincipen.

Utredningen har inte bedömt det meningsfullt införa som att ett begrepp motsvarande direktivförslagets "processor". Med den av utredningen föreslagna regleringen av persondataansvaret följer att ansvaret enligt datalagen, vid anlitande av servicebyráer och liknande hjälp i samband med behandling av personuppgifter, kommer att ligga kvar hos den persondataansvarige. För att undgå eventuellt ett skadestánds- eller straffrättsligt ansvar ligger det således i den persondataansvariges intresse att tillse att all behandling av personuppgifter som sker för hans räkning utförs i enlighet med gällande bestämmelser. Utredningen har inte heller ansett det nödvändigt att, såsom anges i artikel 24.3 i direktivförslaget, i lagförslaget ta in bestämmelser om avtal om behandling av personuppgifter.

SOU 1993: 10 249

13 Tillstånd eller

tillsyn

13.1 Gällande rätt

Det ursprungliga, generella tillståndskravet i datalagen ersattes år 1982 med det nuvarande systemet med anmälningsskyldighet och tillstândsskyldighet för vissa känsliga register och enbart anmälningsskyldighet för övriga register. Enligt datalagen får endast den som anmält sig till Datainspektionen och erhållit licens inrätta och föra personregister 2 §. Datainspektionen granskar inte anmälan i sak utan ger endast den registeransvarige ett bevis licens om att anmälan har gjorts samt ett licensnummer 10 § dataförordningen, 1982:480. En licens berättigar den registeransvarige att föra ett eller flera personregister. Licens erfordras inte för personregister som en enskild inrättar eller för uteslutande för personligt bruk 2 § tredje stycket. För vissa typer av register med känsliga uppgifter krävs utöver licens även ett särskilt tillstånd från Datainspektionen 2§ andra stycket datalagen. Sådant tillstånd erfordras i regel för inrättande och förande av register som innehåller 1 känsliga personuppgifter, 2 omdömen eller annan värderande upplysning om den registrerade, 3 uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande samt 4 personuppgifter som inhämtas från något annat personregister s.k. sambearbetning, om inte registreringen av uppgifterna eller utlämnandet av dessa sker med stöd av författning, Datainspektionens beslut eller den registrerades medgivande. Tillstånd erfordras inte för personregister som någon inrättar eller för uteslutande för personligt bruk 2§ tredje stycket. Tillstånd behövs inte heller för register vars inrättande beslutats av riksdagen eller regeringen s.k. statsmaktsregister eller för register som har tagits emot för förvaring av en arkivmyndighet 2 a § första och andra styckena. sammanslutningar får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska uppfattning, religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskapet i sammanslutningen 2 a § tredje stycket 1.

Myndigheter inom hälso- och sjukvården får utan tillstånd för vårdeller behandlingsändamål inrätta och föra personregister som innehåller uppgifter om någons sjukdom eller hälsotillstånd i övrigt 2 a § tredje stycket 2. Likaså får myndigheter inom socialtjänsten utan tillstånd inrätta och föra personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten 2 a § tredje stycket 3. Läkare och tandläkare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har erfarit i sin yrkesverksamhet 2 a § tredje stycket 4. Arbetsgivare får utan tillstånd inrätta och föra personregister, som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 § andra stycket lagen 1962:381 om allmän försäkring 2 a § tredje stycket 5. Särskilda skäl krävs för att tillstånd skall kunna meddelas för inrättande och förande av personregister som omfattar andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning 3 a §. Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna erhålla tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att någon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden 4 § första stycket. Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen får endast om särskilda skäl föreligger meddelas annan än en myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter. Särskilda skäl krävs även för registrering av uppgifter om någons ras eller politiska uppfattning eller religiösa övertygelse 4 § andra och tredje styckena. Det förhållandet att ett personregister skall användas för statistiska bearbetningar eller vetenskapliga undersökningar kan, enligt lagens förarbeten, i sig utgöra "särskilda" eller "synnerliga skäl" under förutsättning att enskilda personers identitet inte offentliggörs.

13.2 Bakgrunden till gällande

ordning

Debatten om behovet av en lagstiftning som skyddade den personliga integriteten vid automatisk databehandling av personuppgifter ledde till att den år 1969 tillsatta ofi‘entlighets- och sekretesslagsty‘i‘ningskommit— tén OSK genom tilläggsdirektiv âr 1971 fick i uppdrag att utreda frågan om lagstiftning rörande personorienterad ADB-inforrnation. I delbetänkandet SOU 1972:47 Data och integritet redovisade OSK ett förslag till en datalag. Förslaget innebar ett införande av krav tillstånd för upprättande av i princip alla typer av personregister som fördes med hjälp av ADB. Endast vissa typer av enklare register, som regelmässigt kunde antas inte medföra otillbörligt integritetsintrång, skulle enligt lagförslaget kunna undantas från tillståndstvånget och i stället underkastas en anmälningsskyldighet. En sådan anmälningsskyldighet skulle enligt OSK:s förslag gälla för medlemsregister, personalregister, hyresgästregister, försäkringsbolagsregister över försäkringstagare samt reskontra och andra kundförteckningar. Även andra register av liknande slag skulle kunna undantas från tillståndsplikten. Register som innehöll personnummer och inte var register över anställda skulle dock alltid vara tillståndspliktiga. OSK föreslog ytterligare begränsningar i fråga om registerinnehåll och användning av uppgifterna för att register skulle få föras efter endast anmälan. Utöver den ovannämnda begränsningen beträffande personnummer menade OSK, att i tillståndsfria register fick införas endast sådana personuppgifter som lämnats antingen av den registrerade själv för det ändamål för vilket registret fördes eller av myndighet i enlighet med författning eller som uppkommit inom registerförarens verksamhet eller som avsåg ändring av adress. Ytterligare villkor för att ett personregister skulle vara befriat från tillstândstvång var att uppgifterna i registret inte användes för annat ändamål än det för vilket registret fördes samt att det på lämpligt sätt tillkännagjorts för de registrerade att registret fördes och vilka slag av personuppgifter som ingick i registret. Regeringen skulle enligt OSK, inom den ram som angavs i lagen, få bestämma vilka typer av register som skulle undantas från tillstândstvång. Denna befogenhet torde enligt kommitténs mening kunna delegeras till Datainspektionen när erfarenheter vunnits av tillämpningen. OSK:s förslag innebar vidare en möjlighet att inhämta bindande förhandsbesked från Datainspektionen i frågan om ett tilltänkt dataregister var tillståndspliktigt eller underkastat anmälningsskyldighet. I den proposition som följde på OSK:s betänkande anförde departementschefen prop. 1973:33 s. 99 f att det skulle vara rationellt att slopa anmälningsinstitutet och i stället låta formligt tillstândstvång gälla

beträffande alla typer av register. 1 datalagen borde således, enligt departementschefen, inte tas in några bestämmelser om att vissa personregister skulle vara beroende av endast anmälan. När den nuvarande datalagen trädde i kraft innehöll den ett generellt krav pâ tillstånd för alla typer av personregister som fördes med hjälp av ADB. Det enda undantaget från tillståndsplikt utgjordes av personregister vars inrättande beslutats av riksdagen eller regeringen. Den datortekniska utvecklingen under 1970-talet medförde att datorer kom att användas inom allt fler områden i samhället. Ett resultat av denna utveckling blev en kraftig ökning av antalet tillståndsärenden hos Datainspektionen. Tillståndsprövningen tog alltmer resurser i anspråk och antalet inspektioner, som hela tiden legat på en relativt låg nivå, minskade markant. Datalagstifmingskommittén DALK som tillsattes år 1976 fick i uppdrag att utreda frågor om skyddet för den personliga integriteten vid personregistrering med hjälp av ADB. I sitt betänkande SOU 1978:54 Personregister Datorer Integritet föreslog kommittén att - ett anmälningsförfarande i vissa fall skulle kunna ersätta kravet på tillstånd. Som ett resultat av DALK:s förslag genomfördes år 1979 vissa ändringar i datalagen. Någon mera genomgripande förändring av de grundläggande principerna för tillståndsförfarandet blev det emellertid inte. Något anmälningssystem korn inte heller att införas. För att underlätta hanteringen av en typ av tillståndsärenden införde Datainspektionen år 1979 ett förenklat ansökningsförfarande för vissa slag av löne- och personalregister föreskrifter för vissa löne- och personalregister, DIFS 1979:2. Föreskrifterna angav vad som enligt inspektionen kunde godtas från integritetssynpunkt beträffande dessa personregister. När den generella tillstândsplikten för löne- och personalregister som inte innehåller känsliga uppgifter upphörde den 1 juli 1982, kom föreskrifterna att tillämpas som riktlinjer i inspektionens verksamhet och som allmänna råd. För de register som inrättades före lagändringen 1982 gäller de dock fortfarande som föreskrifter. Även beträffande andra register har inspektionen typer av sedermera utfärdat föreskrifter om ett förenklat ansökningsförfarande. Föreskrifter angående förenklat ansökningsförfarande finns f.n.

om vissa kund- och leverantörsregister m.fl DIFS 1979:3, om vissa hyresregister DIFS 1980:3, om vissa medlemsregister DIFS 1981:1, för vissa direktreklamregister DIFS 1988:1, beträffande vissa personregister för statistikändamál DIFS 1989:2, beträffande vissa personregister för forskningsändamål DIFS - 1990:1, för vissa personregister i kommunal verksamhet DIFS 1990:2 och för vissa personregister i svenska kyrkans verksamhet DIFS - 1991:2.

SOU 1993: 10 253

Av föreskrifterna avser de från tiden före 1982 register som numera inte är tillståndspliktiga. Dessa föreskrifter tillämpas därför numera endast som riktlinjer i inspektionens verksamhet. Ansökningar om tillstånd enligt det förenklade förfarandet görs på särskilda blanketter och blir inte föremål för någon egentlig prövning. I tillståndsbeslutet, som expedieras till den registeransvarige, att anges som villkor enligt 5 och 6 §§ datalagen skall gälla dels vad som angetts i ansökan, dels de bestämmelser som angetts i aktuell DIFS såsom villkor för det förenklade förfarandet. Genom tilläggsdirektiv fick DALK i december 1980 i uppdrag att med förtur undersöka möjligheterna att på kort sikt reformera Datainspektionens verksamhet. År 1981 avlämnade DALK promemorian Ds Ju 1981: 15-16 Tillstånd och tillsyn enligt datalagen. I promemorian konstaterade DALK att antalet tillstândsärenden hos Datainspektionen blivit betydligt större än man räknat med vid lagens tillkomst och att inspektionens resurser hade måst koncentreras på tillståndsverksamhet på bekostnad av tillsynsverksamheten. DALK antog att antalet ärenden sannolikt skulle komma att öka de närmaste åren och menade att tillståndskravet innebar att betydande arbete måste läggas ned på personregister som var relativt ofarliga från integritetsskyddssynpunkt. Enligt DALK var detta orsaken till att tillsynsverksamheten inte hade kunnat bedrivas i den omfattning som avsetts. Kommittén ansåg det angeläget att Datainspektionens verksamhet försköts i riktning mot ökad tillsynsverksamhet och att det var önskvärt med en förenkling av förfarandet för de registeransvariga. DALK förordade en ordning som byggde på att tillståndsplikten begränsades till särskilt integritetsfarliga register och att det för övriga register skulle vara tillräckligt med en anmälan. DALK:s förslag ledde till att betydande ändringar genomfördes i

datalagen. Ãndringarna trädde i kraft den l juli 1982 prop 1981/82 2189, KU 33, rsk. 349, SFS 1982:446. Ändringarna innebar bl.a. att

en anmälningsplikt kombinerad med en skyldighet att förteckna sina register infördes för alla registeransvariga. Tillståndsplikten slopades beträffande register för vilka en förhandsgranskning av Datainspektionen ansågs obehövlig. Endast de register som ansågs särskilt integritetskänsliga blev tillståndspliktiga. Genom lagändringen undantogs exempelvis kommunernas register inom hälso- och sjukvården samt socialtjänsten från tillståndsplikt. Tillståndsplikten begränsades till vissa i 2§ datalagen angivna situationer. En närmare redovisning av tillståndspliktens omfattning finns i avsnitt 13.1. För de register som inte var tillståndspliktiga korn att gälla att dessa inte fick föras utan att en anmälan gjorts till Datainspektionen. Som bevis på att anmälan gjorts utfärdade Datainspektionen licens. Avsikten med 1982 års reform var att begränsa mängden tillstândsärenden och därigenom göra det möjligt för Datainspektionen att

koncentrera sig på de mest känsliga registren och kunna intensifiera sin tillsynsverksamhet. Effekten av lagändringen blev endast i begränsad omfattning den avsedda. Antalet tillståndsärenden ökade och antalet inspektioner sjönk. Orsaken till den ökande tillströmningen av ansökningar var givetvis den fortgående datoriseringen i samhället.

13.3 från

Framställning Datainspektionen om ändringar i datalagen

I november 1988 överlämnade Datainspektionen en skrivelse "Vissa ändringar i datalagen m.m" till Justitiedepartementet. Skrivelsen innehöll förslag till ändringar som borde genomföras i väntan på en genomgripande översyn av datalagen. I skrivelsen konstaterade Datainspektionen bl.a. att antalet tillståndsärenden under de senare åren ökat och att detta lett till att handläggningen av tillståndsärenden upptar en avsevärd del av inspektionens totala kapacitet. Inspektionen menade att flertalet av ansökningarna avsåg situationer för vilka inspektionen utvecklat en fast praxis för bedömningen. För sådana typsituationer ansåg Datainspektionen att det ofta finns goda möjligheter att sörja för skyddet av den personliga integriteten på ett annat och bättre sätt än genom att upprätthålla kravet på tillstånd. Enligt vad Datainspektionen vidare anför i sin skrivelse har datoranvändningen i samhället numera nått en sådan omfattning att det är nödvändigt att ifrågasätta hela systemet med tillstånd i alla de fall som föreskrivs i den nuvarande datalagen. Inspektionen tror att utvecklingen går i den riktningen att successivt under 1990-talet terminaler och persondatorer kommer att bli lika vanliga arbetsredskap som telefoner. Skyddet för den personliga integriteten måste därför, enligt inspektionen, företrädesvis bygga på andra metoder än en förhandsgranskning av varje tilltänkt personregister. I stället bör integritetsskyddet i högre grad byggas en verksamhetsanpassad författningsreglering och branschvis självreglering. Inspektionen föreslår att den ges befogenhet att beträffande vissa slag av personregister föreskriva undantag från lagens krav på tillstånd för att få inrätta och föra register. Undantagen avses ske i sådana fall då såväl tillstånd som villkoren " föreskrifterna" enligt datalagens nuvarande terminologi för tillstånden meddelas enligt fast praxis. Förslaget förutsätter även att Datainspektionen ges befogenhet att meddela generella föreskrifter för att förhindra intrång i personlig integritet beträffande de register som undantas från tillståndsplikten. Datainspektionens ändringsförslag sändes av regeringen till ett stort antal myndigheter och organisationer för yttrande. Inspektionens förslag godtogs i huvudsak av flertalet remissinstanser.

SOU 1993: 10 255

De remissinstanser som anslöt sig helt eller i huvudsak till Datainspektionens förslag till åtgärder betonade överlag behovet att av förenkla Datainspektionens hantering av tillståndsärenden och flytta över Datainspektionens resurser till tillsyn och information. De flesta ansåg att en sådan resursöverflyttning skulle innebära förbättring en av integritetsskyddet. Några instanser menade också att förslaget skulle komma att innebära värdefulla förenklingar och resursbesparingar för de registeransvariga. Från något håll påtalades dock risken för att gränsdragningsproblem kan uppstå när det gäller att avgöra ett om tilltänkt register omfattas av ett undantag eller inte. Några av de remissinstanser som uttryckte tveksamhet inför förslaget menade att ett genomförande av detta skulle innebära att datalagen blev än mer svåröverskådlig och svårtolkad. En viss osäkerhet uttrycktes också beträffande vilken omfattning undantaget från tillståndsplikten var avsett att få och hur omfattande och eventuellt svåröverskådlig mängden av föreskrifter för särskilda registertyper skulle bli. En del remissinstanser har ifrågasatt det konstitutionellt riktiga eller lämpliga i att delegera viss normgivningsmakt till Datainspektionen. Någon av dessa kritiska instanser har ansett att en förskjutning från tillståndsprövning till tillsyn också kan komma att innebära en försämring av integritetsskyddet. De remissinstanser som motsatte sig förslaget gjorde detta på främst konstitutionella grunder. De ansåg att det borde ankomma på riksdagen och inte på Datainspektionen att ange vilka register inte skulle som kräva tillstånd. Någon remissinstans ifrågasatte även om ett genomförande av Datainspektionens förslag överhuvudtaget skulle leda till någon rationaliseringsvinst.

13.4 Europarådets konvention

Enligt artikel 10 i konventionen skall den nationella lagen innehålla lämpliga sanktioner och rättsmedel för att de grundläggande principerna om dataskydd skall kunna tillgodoses. Några föreskrifter om hur sanktionssystemet närmare skall vara utformat finns inte i konventionen. Enligt kommentaren till artikeln överlämnas denna fråga till respektive land.

Förslaget till EG-direktiv

Enligt artikel 30 i förslaget till EG-direktiv skall varje medlemsstat utse en oberoende myndighet för att övervaka dataskyddet. Dataskyddsmyndigheten skall ges möjligheter att utöva en effektiv tillsyn.

I vissa fall krävs enligt direktivförslaget att särskilda förutsättningar föreligger för att personuppgifter skall få behandlas. För behandling av sådana känsliga uppgifter som avses i artikel 8 krävs om samtycke inte föreligger, antingen en särskild reglering i lag eller annan författning eller tillståndsbeslut av dataskyddsmyndigheten. För sådan behandling som innefattar särskilda risker för enskildas rättigheter och friheter krävs antingen en särskild reglering i lag eller annan författning, tillstándsbeslut av dataskyddsmyndigheten eller ett slags besked från myndigheten med anledning av en anmälan från den persondataansvarige se art. 18.4 och 5 samt avsnitt 9.5

13.6 Utredningens

tidigare ställningstaganden

En förprövning genom ett tillståndskrav innebär obestridliga fördelar ur integritetssynvinkel. Under förutsättning att de som avser att inrätta och föra register också ansöker om tillstånd, innebär tillståndssystemet en effektiv kontroll av registrets integritetskänslighet. Den stora nackdelen med ett tillståndsförfarande är att inspektionen måste lägga ner mycket arbete på tillståndsprövning inte bara av känsliga register utan även av register som är relativt ofarliga från integritetsskyddssynpunkt. Redan år 1979, dvs. före 1982 års reform, hade inspektionen därför måst göra vissa förenklingar av tillståndsförfarandet. Kravet på tillstånd innebär också en byråkratisk belastning för de registeransvariga. Huvudsyftet med 1982 års reform var att ta bort tillståndskravet för vissa register för att därigenom kunna koncentrera krafterna på de typiskt sett särskilt integritetskänsliga registren samtidigt som en anmälningsskyldighet och en ordning med licens föreskrevs för alla registeransvariga. Avsikten var att de resurser som frigjordes i inspektionens tillståndsverksamhet skulle användas för att förbättra tillsynsverksamheten. Erfarenheterna av 1982 ârs reform har visat att det nuvarande tillstándsförfarandet alltjämt tar i anspråk en stor del av inspektionens resurser. En betydande kraftsamling mot tillsyn och kontroll skulle kunna göras, om dessa resurser frigjordes. Avgörande bör dock vara om ett bibehållande av den obligatoriska förprövningen i något hänseende är av sådan betydelse i integritetshänseende att den inte kan ersättas med en ökad tillsyn. Denna fråga är i sin tur avhängig av vilka slags ärenden som nu omfattas av tillståndskravet och hur ett framtida tillsynssystem är tänkt att fungera. När det gäller de ärenden som nu faller under tillståndsprövningen visar en försiktig skattning mot bakgrund av de undersökningar som

utredningen har gjort en statistik undersökning av vissa tillståndsären-

den som utredningen genomfört finns intagen som bilaga 7 att i vart

SOU 1993: 10 257

fall tre fjärdedelar av alla tillståndsärenden torde vara av mera ensartat eller stereotypt slag. Undersökningsresultatet angav att mer än fyra femtedelar av alla tillståndsärenden kan hänföras till vissa klart avgränsade ärendetyper, men med hänsyn till undersökningens begränsade omfattning bör en viss försiktighet iakttas. Hit hör bl.a. tillståndsärenden rörande direktreklam och kommunala register inom hälso- och sjukvårdsområdet. En stor grupp är vidare statistik- och forskningsregister. Gemensamt för dessa ärenden är att de redan nu, under vissa förutsättningar, i stor utsträckning är eller kommer att bli föremål för ett förenklat tillstândsförfarande och att det endast är när någon avvikelse från detta förfarande påkallar det, som en mera individuell ärendeprövning måste göras. Bara i rena undantagsfall synes vidare denna prövning föranleda att tillstånd inte beviljas. Detta förklaras bl.a. med att inspektionen under hand diskuterat med sökanden och att bristfälliga ansökningar i många fall därför inte fullföljs. När det gäller de återstående tillståndsärendena, alltså i vart fall omkring en fjärdedel av alla ärenden om tillstånd, sker en individuell prövning av varje ansökan. Om dessa ärenden genomgående är av mera integritetskänsligt slag, skulle man kunna överväga att ha kvar den förprövning som ligger i ett tillstândsförfarande. De tidigare nämnda undersökningarna visar emellertid att ärendenas karaktär varierar relativt kraftigt, från mycket integritetskänsliga till förhållandevis beskedliga tilltänkta register. Den slutsatsen kan dras att inte heller för dessa ärenden är det alltid motiverat med den ingående prövning som ett tillstândsförfarande omfattar. Det förefaller därför som om de allra flesta av de tillståndsärenden som nu prövas ur integritetsskyddssynvinkel inte i sig motiverar den insats som krävs. Tillståndshanteringen svarar för drygt 35 procent av Datainspektionens hela resursanvändning. Samtidigt är inspektionens tillsynsverksamhet inskränkt till ett relativt litet antal fall per år. De flesta av inspektionerna är s.k. skrivbordsinspektioner. Inspektionerna och de större tillsynsprojekt som genomförts visar, å andra sidan, att efterlevnaden av reglerna och därmed integritetsskyddet i vissa hänseenden är bristfälligt såväl inom den privata som offentliga sektorn. Om ett skärpt tillsynsförfarande kunde inriktas på att kontrollera, inte bara de ärendeslag som nu ingår i tillståndsgruppen, utan även de tillståndspliktiga personregister för vilka f.n. något tillstånd inte söks antingen på grund av okunnighet eller av andra skäl skulle - integritetsskyddet således i hög grad kunna förbättras. Den ökade tillsynen skulle då också avse de register som i dag inte omfattas av tillståndstvånget. Vissa av dessa innehåller mycket känsliga uppgifter, t.ex. register inom hälso- och sjukvården samt socialtjänsten. Register över medlemmar, anställda etc. utgör i sig inget hot mot integriteten

men skulle behöva kontrolleras stickprovsvis, så att inte andra uppgifter registreras än sådana som får finnas i registren. Vetskapen om att Datainspektionen ägnar sin uppmärksamhet en skärpt tillsyn bör ha en allmänpreventiv effekt och avhålla registeransvariga från att inrätta och föra otillåtna register eller att ta med icke tillåtna uppgifter i registret. När det gäller de nuvarande förhållandena räcker det att peka på skillnaden mellan det nuvarande antalet anmälda registeransvariga, ca 38 500, och det uppskattade antalet personregister i landet, 200 000 500 000. Ett mycket stort antal register kan således även med beaktande av att siffrorna inte är direkt jämförbara, då varje registeransvarig kan ha flera register på goda grunder antas f.n. vara helt undandragna varje kontroll. Mot denna bakgrund ansåg utredningen i sina tidigare ställningstaganden att ett tillsynssystem under vissa förutsättningar, bl.a. en anmälningsplikt för vissa register, borde kunna ersätta det nuvarande tillståndssystemet.

13.7 Remissutfallet

Remissinstanserna delar genomgående utredningens uppfattning att Datainspektionens resurser bör styras över från tillstânds- till tillsynsverksamhet. Flera remissinstanser understryker att en aktiv tillsyn är nödvändig för att få ett gott skydd för den enskildes integritetsintressen. Vad gäller frågan om det är möjligt att helt slopa tillståndsförfarandet instämmer majoriteten av remissinstanserna i utredningens förslag att ett system byggt på anmälningsplikt för vissa register bör ersätta det nuvarande systemet med amnälan/tillstånd. Några remissinstanser anser emellertid att en ordning med tillstånd bör behållas i viss utsträckning. Viss tveksamhet uttrycker Juridiska Fakultetsnämnden vid Stockholms universitet och uttalar att en möjlighet som bör övervägas är att behålla ett reducerat krav på förhandstillstånd baserat på ett allmänt formulerat känslighets- eller farlighetskriterium. Riksskatteverket och Riksförsäkringsverket ifrågasätter om inte kravet på tillstånd bör finnas kvar för de mest integritetskänsliga registren. Även Riksdagens ombudsmän menar att det straffsanktionerade tillståndskravet inte helt kan ersättas av en skärpt tillsyn och ökad normering genom bransch- och sektorsvis gällande detaljföreskrifter och att även i fortsättningen krav på individuellt tillstånd bör gälla för varje personregister vars existens kan medföra beaktansvärda risker för integritetskränkningar. Svenska kommunförbundet anser att både teoretiska och praktiska skäl talar för ett bibehållet tillståndsförfarande.

SOU 1993: 10 259

13.8 överväganden

Utvecklingen hos Datainspektionen visar en fortsatt ökning av antalet tillstândsärenden. För budgetåret 1992/93 räknar inspektionen med att antalet ärenden, som inte handläggs enligt ett förenklat förfarande, ökar med 20 %. Trots att inspektionen under de senaste åren bedrivit rationaliseringsarbete inom tillståndsverksamheten, vilket bl.a. lett till föreskrifter om förenklade ansökningsförfaranden för flera olika registerslag, tar tillståndshanteringen fortfarande i anspråk en stor del av inspektionens resurser, för 1991/92 drygt 30 %. För budgetåret 1992/93 har Datainspektionen som mál för tillstândsverksamheten att denna skall ta i anspråk högst 30 % av inspektionens totala arbetstid. Hos Datainspektionen finns för närvarande registrerat drygt 50 000 licenser och knappt 50 000 tillstånd. Enligt utredningens beräkningar hade antalet licenser bort vara mellan 500 000 och en miljon. Nackdelarna med det nuvarande tillståndssystemet kan sammanfattas följande sätt. Enligt den undersökning som utredningen har låtit utföra och som har redovisats i det föregående innefattar tillstândsansökningarna både behandling av känsliga uppgifter och behandling som från integritetssynpunkt framstår som tämligen harmlös. Det har visat sig vara mycket svårt att dra en klar gräns mellan dessa tvâ kategorier. Följden blir att Datainspektionen ägnar en omotiverat stor del av sin tid att granska behandling som inte borde bli föremål för den relativt omfattande procedur som en tillståndsprövning innebär. Datainspektionens tillsynsverksamhet är samtidigt begränsad till ett ganska litet antal inspektioner varje år. Dessa inspektioner visar på den andra sidan att efterlevnaden av gällande regler och därmed integritetsskyddet i vissa hänseenden är bristfälligt. Det vitsordas också i några remissyttranden att kunskaperna om lagstiftningen på många håll är uppenbart bristfälliga. Bara ett begränsat antal datasamlingar, jämfört med det antal som antas existera i landet, anmäls till Datainspektionen. Det betyder att det finns ett stort antal datasamlingar som är okända för Datainspektionen. Den stora majoriteten av dessa är förmodligen harmlös men det kan bland dem också finnas datasamlingar med mycket känslig information. Problemet med den grå sektorn sammanhänger av allt att döma med att den del av Datainspektionens resurser som avdelats för inspektionsverksamhet är begränsad. Man vet bland de persondataansvariga att risken för upptäckt om man låter bli att söka tillstånd eller göra anmälan är nästan försumbar. Detta gäller för övrigt också t.ex. efterlevnaden av de villkor som kan ha meddelats i det enskilda ärendet. Som någon remissinstans framhåller kan vissa brott mot datalagen, t.ex. sådana som innebär att Datainspektionens villkor

åsidosätts, i princip bara upptäckas i samband med inspektionens tillsynsverksamhet. Enligt utredningens mening talar goda skäl för att överge tillståndsförfarandet till förmån för ett system med tillsyn. Datainspektionen skulle inte längre behöva syssla alltför ingående med behandling av harmlösa personuppgifter, det skulle bli tillräckliga eller i vart fall bättre resurser för en intensifierad tillsyn och sist men inte minst, ett renodlat tillsynssystem skulle ha en allmänt avhållande effekt på de persondataansvariga som överväger att avvika från de regler som gäller för integritetsskyddet. Majoriteten av de remissinstanser som har yttrat sig i frågan har också tillstyrkt en övergång till ett renodlat tillsynssystem. I några remissyttranden har emellertid hävdats att integritetsskyddet kräver att tillstándssystemet behålls för de mest integritetskänsliga datasamlingarna. Mot detta kan i sin tur invändas att olika försök redan har gjorts att inskränka tillstándsprövningen. Det förenklade förfarandet som infördes av Datainspektionen var ett led i inspektionens ansträngningar att begränsa arbetet med de mera harmlösa datasamlingarna till förmån för de mera känsliga. Genom ändringarna i datalagen år 1982 begränsades uttryckligen tillståndskravet till de kategorier av personregister som ansågs vara särskilt känsliga. Syftet var att inskränka omfattningen av tillståndsprövningen och att i motsvarande mån öka tillsynsaktiviteterna. Dessa mål uppnåddes också, men bara för en tid. Det dröjde inte länge förrän situationen var densamma som före lagändringarna med så många tillståndsansökningar att knappast några inspektioner kunde äga rum. Teoretiskt är det naturligtvis tänkbart att fortsätta i riktning mot ett ännu mer reducerat tillståndskrav. Bortsett från de gränsdragningsproblem som uppkommer visar emellertid erfarenheten att antalet tillståndsärenden ganska snart på nytt skulle bli så stort att betydande resurser skulle läggas ner på handläggningen. Detta hänger naturligtvis samman med att inget tyder på att takten i datoriseringen i landet kommer att stanna upp. Till detta kommer att det finns en risk för att man även med en begränsad tillstándsverksamhet förfuskar huvudtanken att genom reducerad tillståndsbyråkrati möjliggöra en effektiviserad tillsyns- och kontrollverksamhet. I detta sammanhang bör emellertid också de s.k. samkörningarna diskuteras. Samkörning har utan att ordet som sådant anges i datalagen likväl för många kommit att symbolisera riskerna från integritetssynpunkt med ADB-användningen. Med begreppet samkörning avses närmast maskinell eller elektronisk bearbetning av personuppgifter som hänförs till ett visst ändamål tillsammans med personuppgifter som hänförs till ett annat ändamål hos den persondataansvarige eller hos annan persondataansvarig eller annan även manuell direkt överföring av uppgifter från en datasamling till en annan.

Enligt nuvarande bestämmelser krävs i princip alltid tillstånd av Datainspektionen för sådan sambearbetning. Krav på tillstånd gäller en dock inte om det finns stöd i författning eller ett beslut av inspektionen eller om det görs med den enskildes samtycke. Informationssystemen har genomgående utvecklats från centrala system till decentraliserad ordning, vilket tekniskt sett har ökat en behovet av "samkörning" utan att man för den skull kan hävda att integritetsriskema enbart därigenom har ökat. Även databastekniken och teknikanvändningen i allmänhet har bidragit till att öka antalet "samkörningar", liksom behovet att uppdatera lagrat material. Denna tekniska utveckling kan förväntas fortsätta och därigenom göra "samkörningarna" ännu vanliga. För att inte inge felaktiga mera föreställningar teknikens "farlighet" bör man enligt utredningen i om integritetssammanhang i stället för "samkörning" använda termen sambearbetning och överföring av uppgifter mellan datasamlingar. I det följande där inte annat framgår, med sambearbetning också avses, överföring av uppgifter mellan datasamlingar. Den omständigheten att sambearbetning sker av personuppgifter i flera datasamlingar kan visserligen ibland sägas leda till ett mera omedelbart och okontrollerat integritetsintrång än om insamling och lagring sker i enda datasamling. Datakvalitén kan också bli lidande en att uppgifter insamlats för ett visst ändamål används för ett av som annat. Utredningen har därför övervägt att behålla nuvarande ordning, dvs. att kräva att tillstånd skall föreligga i vissa fall. Som tidigare har utvecklats har emellertid den tekniska utvecklingen och utvecklingen mot decentraliserade system lett fram till och kommer framöver att i än högre grad leda fram till förekomsten av en stor mängd sambearbetningar utan att dessa bearbetningar innebär några egentliga risker från integritetsskyddssynpunkt. En ordning med tillståndsprövning för dessa fall skulle därför innebära ett orimligt stort ianspråktagande av Datainspektionens utan motsvarande vinster för integritetsresurser skyddet. Det finns därför för sambearbetningarna minst lika goda skäl för datasamlingar i övrigt att upprätthålla ett flexibelt och som obyråkratiskt system. Utredningen har alltså stannat för att inte föreslå införande av en särlösning i dessa fall. Utredningen diskuterar i anslutning till ll § i förslaget till datalag hur bedömningen skall göras huruvida en sambearbetning är tillåten eller inte. Sammanfattningsvis är det enligt utredningens uppfattning hög tid överger tanken att genom ett partiellt tillståndsförfarande att man man skulle kunna hantera integritetsfrâgorna på ADB-området. Utredningen vidhåller sitt tidigare förslag om en övergång till ett renodlat till- Ett sådant system naturligtvis i sin tur upphov till synssystem. ger vissa problem och kan inte genomföras utan att vissa förutsättningar föreligger. Utredningen återkommer till detta i nästa avsnitt.

Som utredningen har redovisat i det föregående avsnitt 9.5 och 13.5 krävs i vissa fall enligt förslaget till EG-direktiv att särskilda förutsättningar föreligger för att personuppgifter skall få behandlas, nämligen antingen en särskild reglering i lag eller författning, tillstândsbeslut av dataskyddsmyndigheten eller ett slags besked från myndigheten med anledning av en anmälan från den persondataansvarige. För behandling av känsliga uppgifter har utredningen valt alternativet med en särskild reglering i lag eller annan författning se 20 § förslaget till datalag och här stämmer alltså utredningens förslag om en övergång från det nuvarande tillstándssystemet till ett tillsynssystem överens med direktivförslaget.

SOU 1993: 10 263

14 Vissa för

förutsättningar en renodlad tillsynsverksamhet

14.1 Gällande rätt

Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet 15 - 18 §§ datalagen. l denna tillsyn innefattas rätt att få tillträde till de lokaler som har samband med ADB-verksamheten, att få tillgång till den dokumentatirör databehandlingen och att föranstalta om egna kömingar av on som personregister 16 §. Det åligger vidare den registeransvarige att lämna datainspektionen de uppgifter inspektionen begär för sin tillsyn 17 §. som Datainspektionen kan vitesförelägga den registeransvarige om denne inte fullgör sina skyldigheter i samband med tillsynen 24 §. Har förande personregister medfört eller kan antas medföra av otillbörligt intrång i personlig integritet kan datainspektionen meddela villkor eller, rättelse inte annat sätt kan åstadkommas, förbjuda om fortsatt förande personregister eller återkalla meddelat tillstånd av 18 §.

14.2 Utredningens tidigare ställningstaganden

Ett renodlat tillsynssystem, där någon förprövning inte sker, förutsätter dels att de grundläggande bestämmelserna om personregistrering anges i datalagen, dels att Datainspektionen ges möjlighet att genom normer i förväg detaljreglera olika branscher och sektorer samt att förekomsten vissa personregister genom anmälan i tillräcklig omfattning kommer av till inspektionens kännedom.

Datainspektionens bransch- eller sektorsreglering

Utgångspunkten även i ett renodlat tillsynssystem bör sålunda vara att de materiella bestämmelserna i datalagen anger de grundläggande förutsättningarna för personregistreringen. Förutom de grundläggande bestämmelserna i datalagen behövs emellertid, liksom för närvarande,

en regelutfyllnad på lägre nivå. I praktiken innebär den förenklade tillståndsgivningen att register inom en viss sektor i förväg normerats av Datainspektionen med stöd av bl.a. antagen verkställighetsen föreskrift och att den registeransvarige, har ett register på vilket som föreskrifterna år tilllämpliga, på särskild blankett ansöker tillstånd om hos inspektionen. Denna ger därefter formellt tillstånd och beslutar bl.a. att innehållet i föreskrifterna skall gälla såsom villkor eller "föreskrifter" enligt terminologin i 5 och 6 §§ datalagen för registret. Denna ordning är närmast föranledd av att inspektionen f.n. inte har någon laglig möjlighet att ge dispens från tillstândskravet och inte har ett allmänt bemyndigande att utfärda generella regler på dataomrâdet. De nuvarande bestämmelserna i regeringsformen 8 kap. 5 och 7 §§ sätter vidare en gräns för inspektionens regleringsmöjlighet. Även med ett uttryckligt bemyndigande i datalagen torde det inte vara möjligt för regeringen att subdelegera normgivningsmakt Datainspektionen när det gäller det kommunala och landstingskommunala

området se 8 kap. 5 och 7 §§ regeringsformen. Även den privata verksamhet som inte kan räknas till "näringsverksamhet" se 8 kap.

7 § 3 regeringsformen faller utanför. Möjligheten för inspektionen att normera dessa sektorer genom regelgivning förutsätter således ändring i grundlagen. En regelgivning, som innebär att inspektionen utfärdar detaljemera rade bestämmelser för inrättande och förande av olika slags register, är som framhållits av grundläggande betydelse för övergång till en ett renodlat tillsynssystem. Möjligheterna för Datainspektionen att i ett framtida tillsynssystem normera skilda områden bör emellertid kunna inskränkas till de områden där registrering känsliga uppgifter av förekommer, dvs i princip sådana uppgifter i 4 § och 6 § som nu anges andra stycket datalagen, samt register med uppgifter om personer som saknar sådan anknytning till den registeransvarige följer medsom av lemskap, anställning etc. Register inte innehåller känsliga som uppgifter bör täckas av de grundläggande bestämmelserna i datalagen.

Ändring i grundlagen

En ordning med kompletterande föreskrifter förutsätter att regeringen eller den myndighet som regeringen bestämmer, dvs. närmast Datainspektionen, ges ett bemyndigande att närmare reglera vad som skall gälla för inrättande och förande av personregister på skilda områden utöver de grundläggande bestämmelserna i datalagen och i särskilda registerförfattningar. Utan ändring i regeringsformen en torde dock ett sådant bemyndigande emellertid, framgått, bara som kunna gälla registrering inom statlig verksamhet och privat "näringsverksamhet". Den kommunala sektorn och vissa andra områden skulle därför falla utanför. Det ligger emellertid under alla förhållanden ett stort värde i att systemet är så beskaffat, att det inte råder några

SOU 1993: 10 265

oklarheter i konstitutionellt hänseende i fråga om den närmare regleringen. Utredningen föreslår därför att 8 kap. 7 § regeringsformen ändras så, att till uppräkningen i paragrafen fogas ämnet "skydd mot kränkning av personlig integritet vid personregistrering med hjälp av automatisk databehandling" . I fråga om utformningen av bemyndigandet i datalagen föreslog Datainspektionen i en promemoria som gavs till regeringen i november 1988, att ett bemyndigande för regeringen eller inspektionen skulle avse befogenhet att ta undan vissa slag av personregister från tillständskravet under förutsättning att det samtidigt meddelas generella föreskrifter för de undantagna personregistren. Under remissbehandlingen av promemorian kritiserade vissa remissinstanser bl.a. Statskontoret, Juridiska fakultetsnämnden vid Stockholms universitet, Svenska Bankföreningen, Svenska Arbetsgivareföreningen och Sveriges Industriförbund förslaget i denna del. Kritiken tog närmast sikte på att det i en sådan ordning kunde bli svårt att överblicka omfattningen av undantagen. Utredningen delar den kritik som i dessa remissyttranden har kommit fram om utformningen av det föreslagna bemyndigandet. Det bemyndigade i datalagen som utredningen förordar bör lämpligen fâ den innebörden, att det avser grupper av sådana register som ofta förekommer och som är av enhetlig karaktär.

Anmälningsskyldigheten

En ordning med bransch eller sektorsreglering genom inspektionens försorg är en förutsättning för att man skall kunna slopa det nuvarande tillstândskravet. En ytterligare förutsättning för att tillståndsplikten skall kunna tas bort är, som tidigare har nämnts, att en viss anmälningsplikt införs. Redan i dag är det tänkt att anmälningarna för att få licens skall

utgöra en viktig grund för inspektionens tillsynsverksamhet se prop.

1981/82: 189 s. 25. Om tillstândsprövningen upphör, förstärks behovet av att få en överblick över personregistreringen. Ett obligatoriskt anmälningsförfarande blir därför av stor betydelse. Med hänsyn till behovet av att förenkla tillsynshandläggningen och att inordna anmälningarna i ett nytt regelsystem måste anmälan innehålla vissa grundläggande upplysningar. Ytterligare ett skäl att införa en anmälningsplikt är att det underlättar för den enskilde att få den insyn i personregistreringen som han

eller hon har rätt till se 10 § datalagen. Genom en hänvändelse till

inspektionen kan han eller hon på ett enkelt sätt få besked om de olika slag av mera känsliga personregister som från tid till annan förs. Ett annat skäl som talar för ett anmälningssystem är att någon form av anmälan eller registrering hos en tillsynsmyndighet ingår som ett

led i integritetsskyddet på dataområdet i andra länder. ‘Se om förhållandena i Finland, Frankrike, Nederländerna och Storbritannien i bilaga 4. En avsaknad av en anmälningsplikt i vårt land skulle således kunna avvika från vad som är vanligt utomlands. Vad som kan tala mot att införa ett anmälningssystem är framför allt att detta är en byråkratisk omgång som tar vissa resurser i anspråk. Anmälningsskyldigheten bör emellertid kunna inskränkas till de fall då känsliga uppgifter förekommer, dvs i princip sådana uppgifter som nu anges i 4 § och 6 § andra stycket datalagen, samt register med uppgifter om personer som saknar sådan anknytning till den persondataansvarige som följer av medlemskap, anställning etc. Anmälningsplikt skulle således gälla för följande tre kategorier av personuppgifter.

l Känsliga uppgifter i egentlig mening, dvs. uppgift om brott, tvångsingripande, hälsa, sexualliv, ras, politisk uppfattning, religiös tro etc. Personuppgift som avser omdöme eller annan värderande upplysning om någon. 3 Uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande o.d.

Det innebär exempelvis att en persondataansvarig som endast använder personuppgifter som har en naturlig anknytning till honom inte behöver göra någon anmälan. Skulle i ett fall med naturlig anknytning uppgifterna i sig vara känsliga, trots anknytningen, bör dock givetvis anmälningsskyldighet föreligga.

Huvudpunkter i den framtida tillsynsverksamheten

En huvuduppgift för inspektionen i ett renodlat tillsynssystem blir att genom inspektioner och kontroll se till att bestämmelserna efterlevs och integritetsskyddet upprätthålls. Underlaget för tillsynen bör i huvudsak utgöras av de anmälningar om register som föreligger hos inspektionen. Dessa bör hos inspektionen kunna systematiseras så. att de svarar mot den branscheller sektorsreglering som föreligger. Härigenom får inspektionen en god möjlighet till överblick och till att fortlöpande följa utvecklingen inom olika områden. Datainspektionen får därigenom också förutsättningar att göra den anpassning av föreskrifterna som kan vara påkallad. Genom inspektioner hos utvalda registeransvariga bör vidare kontroll regelbundet göras. Inspektionerna kan antingen ske stickprovsvis eller efter mönster av den nuvarande projektverksamheten koncentreras till vissa områden eller grupper av registeransvariga. Det är naturligt att Datainspektionens tillsyn i första hand inriktas de typer av register som skall anmälas till inspektionen. Myndig-

SOU 1993: 10 267

heten bör dock ägna viss uppmärksamhet även de register inte som behöver anmälas, dvs. den stora massan av register. Det får förutsättas att en registeransvarig, att föra ett som avser särskilt känsligt register eller ett register som inte ingår i någon de av standardkategorier som kan finnas, tar kontakt med inspektionen före eller senast i samband med sin anmälan för att inte riskera att registret blir föremål för en rad ingripande, icke förutsedda villkor eller rent av förbjuds. Vetskapen om att inspektionen utövar skärpt tillsyn bör en effektivt kunna bidra till ett sådant handlingssätt. Inspektionen bör, som nyss antytts, i ett enskilt fall liksom f.n. kunna meddela de villkor som skall gälla för förande av ett register. För många register av mera känsligt slag torde med hänsyn till vad som nu har sagts skillnaden i praktiken mellan en förprövning tillstånd och efterprövning tillsyn inte bli så stor för den registeransvarige. Kontrollen kommer däremot att kunna skärpas och tillsynen effektiviseras genom att resurser har frigjorts från den nuvarande tillstândsprövningen för Datainspektionens del. De personregister som inte anmäls, oavsett om anmälningsplikt föreligger eller inte, får, som utredningen tidigare har berört i detta avsnitt, inspektionen också bevaka genom en kontroll hos de registeranvariga. Förfrågningar och information bör kunna riktas till grupper eller inom sektorer, där kontrollbehovet bedöms särskilt stort. vara Erfarenheterna av de tillsynsprojekt som inspektionen har genomfört bör som framgått härvid kunna tas tillvara. De förteckningar och register över företag som redan förs exempelvis det allmänna företagsregistret BASUN bör kunna användas som ett verksamt underlag för en sådan inspektionsverksamhet.

14.3 Remissutfallet

De remissinstanser som har berört frågan betonar behovet fyllig av en reglering i lag och andra föreskrifter. Den registeransvarige måste ha möjlighet att förutse om ett visst register är tillåtet eller inte och en tydlig och utförlig reglering är alltså motiverad redan rättssäkerav hetsskäl. Juridiska fakultetsnämnden vid Lunds universitet framhåller att en förutsättning för att det föreslagna tillsynssystemet skall uppfylla den straffrättsliga legalitetsgrundsatsen och i övrigt fungera tillfredsställande är att lagreglerna, liksom övriga föreskrifter, uppfyller betydande krav på precision. Majoriteten av de remissinstanser uttryckligen har tagit som ställning till frågan, bl.a. Riksdagens ombudsmän och Datainspektionen, godtar att Datainspektionen ges möjlighet att meddela branscheller sektorsföreskrifter som komplettering till de grundläggande bestämmelserna i datalagen. Dessa remissinstanser tillstyrker också

förslaget om grundlagsändring. l fråga om avgränsningen tillkänsliga personuppgifter uttalar Datainspektionen att förandet av de mindre integritetskänsliga registren liksom hittills i princip bör styras endast av föreskrifterna i datalagen. Kritiska synpunkter förekommer emellertid i en del yttranden. En remissinstans erinrar om bestämmelsen i 2 kap 3 § andra stycket regeringsformen att varje medborgare i den utsträckning som närmare anges i lag skall skyddas mot att hans personliga integritet kränks personregistrering med ADB. Även genom om den föreslagna grundlagsändringen genomförs, sägs det vidare i yttrandet, kvarstår att den nyss berörda bestämmelsen sätter gränser för den normgivningsmakt som efter delegation kan tilläggas regeringen eller Datainspektionen. Även när det gäller den föreslagna anmälningsskyldigheten godtas den av en majoritet av de remissinstanser som har tagit upp frågan i sina yttranden. Kammarrätten i Stockholm har svårt att tro att anmälningarna kan avvaras som underlag för inspektionsverksamheten. Den olägenhet som ligger i att tillsynen kan hämmas som en följd av arbetet med anmälningarna torde därför få tas. Enligt Datainspektionen bör den personuppgiftshantering som bedöms vara av mindre känslig art få äga rum utan krav någon särskild anmälan. Andra remissinstanser anser det inte självklart att någon anmälningsplikt överhuvudtaget skall finnas. Skyldigheten att dokumentera personregister i kombination med en effektiv tillsyn av Datainspektionen, säger t.ex. Juridiska fakultetsnämnden vid Stockholms universitet, kan mycket väl vara ett bättre kontrollinstrument än en anmälningshantering som belastar myndighetens resurser och minskar möjligheterna att bedriva tillsynen. Vissa remissinstanser pekar på olika problem som är förenade med en anmälningsskyldighet. Eftersom anmälningsplikten bara gäller för vissa register måste den registeransvarige själv ta ställning till om registret är anmälningspliktigt eller inte. I några yttranden pekar man på de olägenheter som kan uppkomma för den registeransvarige genom att Datainspektionen förutsätts göra en bedömning i efterhand av de inkomna anmälningarna. Riksförsäkringsverket framhåller att den registeransvarige kan få leva i osäkerhet om Datainspektionens bedömning under obestämd tid. Enligt Riksskatteverket bör det krävas att Datainspektionen inom viss kortare tid efter anmälan lämnar besked till den registeransvarige om inspektionen finner att förandet av registret förutsätter betungande villkor. I annat fall bör sådana villkor meddelas endast om de beror på omständigheter som inte framgår av anmälan. Samma synpunkter förs fram av Datainspektionen men inspektionen pekar också de skador från integritetssynpunkt som kan inträffa innan myndigheten har haft tillfälle att granska anmälningen. Datainspektionen förordar att anmälningskravet kombineras med någon form av tidsfrist för Datainspektionens granskning av anmälningen och att behandlingen av personuppgifterna inte får

SOU 1993: 10 269

påbörjas förrän tidsfristen löpt ut. Ett alternativ kan enligt inspektionen vara att införa en rätt till formellt förhandsbesked. En sådan regel, sägs det i yttrandet, skulle emellertid kunna anses i alltför hög grad likna prövningen i dagens tillståndssystem och därför strida mot de av utredningen förordade principerna för en ny datalag. Juridiska fakultetsnämnden vid Stockholms universitet erinrar om de risker som ligger i momentana register och registeranvändningar av otillbörligt slag. Från den synvinkeln är det enligt fakultetsnämnden absolut nödvändigt att Datainspektionen åtminstone har möjlighet att meddela interimistiska förbud mot en viss anmäld aktivitet.

14.4 överväganden

Det nuvarande tillståndstvångct för behandling av integritetskänsliga personuppgifter innebär att den registeransvarige genom ett beslut från Datainspektionen eller i förekommande fall regeringen får veta om registret är tillåtet och kännedom om villkoren för att det skall få föras. I ett renodlat tillsynssystem är det den persondataansvarige själv som i första hand får ta ställning till om hans personuppgiftshantering håller sig inom de ramar som har ställts upp för hanteringen. Det är därför av avgörande betydelse för ett sådant system att det finns en tydlig och utförlig reglering till ledning för den persondataansvariges handlande. Den nya datalagen kommer, i stället för det nuvarande allmänt hållna begreppet otillbörligt intrång i personlig integritet, att innehålla regler i olika hänseenden för behandlingen av personuppgifter. Lagen är tänkt att innehålla bl.a. bestämmelser om den nödvändiga anknytningen till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka personuppgifter som får behandlas, formen för samtycke från den enskilde och gallring av personuppgifter. Regleringen av behandlingen av känsliga uppgifter har utformats på ett sådant sätt att någon tveksamhet inte heller skall behöva uppstå hos den persondataansvarige om en behandling av känsliga uppgifter är tillåten eller inte. Mot den nu angivna bakgrunden menar utredningen att den första förutsättningen för ett renodlat tillsynssystem föreligger, nämligen att de grundläggande bestämmelserna om behandling av personuppgifter uppfyller de krav precision som rimligen kan ställas. Trots den förhållandevis fylliga regleringen i lag skulle integritetsskyddet för den enskilde och förutsebarheten för den persondataansvarige som utredningen framhåller i sina tidigare ställningstaganden och som majoriteten av de remissinstanser som har berört frågan har anslutit sig till vinna på en regelutfyllnad en lägre konstitutionell nivå för olika branscher och sektorer. Samtidigt bör man hålla i minnet

att enligt grundlagsbestämmelsen i 2 kap 3 § andra stycket regeringsformen omfattningen av det integritetsskydd som den enskilde åtnjuter skall närmare anges i av riksdagen stiftad lag. Den normgivningsmakt som skall delegeras till regeringen eller Datainspektionen får inte bli för omfattande och den bör få en klar avgränsning. Något behov av en ytterligare normering i fråga om de mindre känsliga personuppgifterna torde inte finnas, utan behandlingen av dem bör kunna ske enbart med ledning av de allmänna bestämmelserna i datalagen. Så sker i dag och förutsättningarna för en sådan ordning bör bli ännu bättre genom att den nya datalagen är tänkt att innehålla fylligare och mera precisa bestämmelser. Bemyndigandet i datalagen för regeringen eller Datainspektionen att meddela kompletterande föreskrifter bör alltså i princip bara avse sådan behandling som innefattar särskilda risker för den enskildes integritet. Gränserna för bemyndigandet i det hänseende som nu diskuteras bör i princip sammanfalla med den avgränsning som görs av skyldigheten att anmäla datasamlingar till Datainspektionen. Utredningen tar upp den frågan i det följande. Ytterligare en begränsning bör göras. Det är naturligt att Datainspektionens normering tar sikte områden där det finns många och likartade datasamlingar. En sådan normering ökar förutsebarheten för åtskilliga persondataansvariga och integritetsskyddet för många enskilda. Datainspektionens tillsyn underlättas breda områden. En reglering s-om avser enstaka typer av behandling av personuppgifter bör däremot i princip inte förekomma. Som exempel på vad utredningen åsyftar kan nämnas sjukhusens patientregister och olika forskningsregister. I enlighet med vad som nu har sagts förordar utredningen att det i datalagen tas in en bestämmelse om att regeringen eller, efter regeringens bemyndigande, Datainspektionen får i fråga om sådan behandling som innefattar särskilda risker för den enskildes integritet och vilken behandling ofta sker inom ett visst område för ett visst ändamål, meddela närmare föreskrifter om tillämpningen av bestämmelserna i datalagen om behandling av personuppgifter. Ett sådant bemyndigande kräver, som utredningen har berört i sina tidigare ställningstaganden, en ändring i 8 kap 7 § regeringsformen. En tredje förutsättning för ett renodlat tillsynssystem bör, som också en majoritet av de remissinstanser som har berört frågan har ansett, vara en animälningsskyldighet som kan läggas till grund för inspektionsverksannheten. Anmälningsskyldigheten bör, liksom bemyndigandet för Datainspektionen att meddela kompletterande föreskrifter, bara avse sådana datasamlingar som kan sägas innefatta särskilda risker för den enskildes integritet. Syftet med anmälningsskyldigheten är att anmälningarna skall ligga till grund för Datainspektionens tillsyn av behandling av personuppgifter. Genom anmälningarna kan också den enskilde, stom utredningen har utvecklat i avsnitt 5.3, få information

om sådana datasamlingar som innefattar särskilda risker för den enskildes integritet. Någon gång kan också en anmälan föranleda ett direkt ingripande från inspektionen i form villkor eller förbud att av använda datasamlingar. Det primära syftet med anmälningsskyldigheten är alltså att anmälningarna skall ligga till grund för Datainspektionens tillsyn av behandling av personuppgifter. Med ledning inkomna anmälningar av skall inspektionen möjlighet till en god överblick och kunna inrikta tillsynen i första hand de datasamlingar representerar särskilda som risker från integritetssynpunkt. För att man skall kunna uppnå dessa syften måste emellertid antalet anmälningar hållas på en hanterlig nivå. De får inte bli så många att registreringen anmälningarna och av hanteringen i övrigt av dem blir en huvudsak och själva tillsynen en bifråga. Inte heller får de bli så många att Datainspektionen inte får den överblick över den känsliga personuppgiftsbehandlingen är som önskvärd. Enligt gällande rätt krävs tillstånd för att få inrätta och föra personregister i fråga om tre kategorier av personuppgifter, nämligen känsliga uppgifter i egentlig mening, uppgifter om personer som saknar viss anknytning till den persondataansvarige samt personuppgifter som blir föremål för sambearbetning. I avsnitt 9 har utredningen förordat att i sig känsliga uppgifter över huvud taget inte får behandlas om det inte, förutom vid samtycke, finns särskilt stöd i författning för behandlingen. Det kan knappast råda någon tvekan om att nu berörda behandling bör anmälas till Datainspektionen. När det sedan gäller behandling av uppgifter om personer som saknar sådan anknytning till den persondataansvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande är skälet till den nuvarande tillstândsplikten att behandling inte utan ett angeläget behov bör få ske uppgifter av om andra personer än sådana som har naturlig anknytning till den en persondataansvariges verksamhet. Denna grunduppfattning borde leda till, kan det hävdas, att även i dessa fall anmälningsskyldighet en skulle föreligga. Det finns emellertid också skäl som talar i motsatt riktning. Man bör till en början ha i minnet att, behandlingen i de fall om en naturlig anknytning saknas också avser i sig känsliga uppgifter, en anmälningsskyldighet följer av förekomsten av känsliga uppgifter. Vad diskussionen nu gäller är således behandling harmlösa av mera personuppgifter. De mest uppmärksammade fallen av behandling där anknytning saknas har varit behandling av personuppgifter för direktreklamändamål. I utredningens förslag finns särskilda regler som syftar till att skydda den enskildes integritet vid behandling för direktreklamändamål av personuppgifter som hänför sig till honom. I och för sig bör behandling av personuppgifter för direktreklamändamål kunna ske utan

att den enskilde har samtyckt till behandlingen. Om mottagaren av reklamen skulle komma att motsätta sig behandlingen bör emellertid detta konstituera ett sådant intresse hos den enskilde som tar över den persondataansvariges intresse och den sistnämnde får då stoppa direktreklamen till den enskilde ifr ll § första stycket 6 i lagförslaget. En uttrycklig regel om förbud för den persondataansvarige att behandla personuppgifter för direktreklamändamål i strid mot den enskildes önskan finns i 28 § i lagförslaget. Ett väsentligt skäl mot en anmälningsskyldighet i de fall det saknas en naturlig anknytning är vidare att en sådan ordning skulle leda till ett mycket stort antal anmälningar. Detta sammanhänger bl.a. med den mycket vanligt förekommande 0rd- och textbehandlingen. Visserligen är ordbehandlingen som sådan undantagen från lagens tillämpningsom-

råde se 6§ 5 förslaget till datalag. Som framgår av specialmo-

tiveringen till denna bestämmelse är undantaget tillämpligt bara så länge som personuppgifterna är föremål för ordbehandling. Lagras uppgifterna för att behandlas för andra syften än ordbehandling blir datalagen tillämplig. Det torde förhålla sig så att det i flertalet fall sparas i maskinen de brev, skrivelser, dokument etc. som skrivs ut för att man skall ha snabb tillgång till materialet och för att kunna söka i det. Vidare torde det vara så att det, särskilt på den offentliga sidan, finns många fall där korrespondens, beslut m.m. avser andra personer än sådana som den persondataansvarige har en naturlig anknytning till. Enligt utredningens mening är de skäl som från integritetsskyddssynpunkt talar för en anmälningsskyldighet i de nu berörda situationerna svagare än som utredningen tidigare har utgått från jfr avsnitt 14.2. Till detta kommer att en ordning där anmälningsskyldigheten verkligen fyller sitt syfte förutsätter en hård begränsning av antalet anmälningar. Utredningen förordar därför inte längre någon anmälningsskyldighet i de nu berörda fallen. Återstår så sambearbetningsfallen. När utredningen i avsnitt 13 diskuterade om man för dem skulle ha en särlösning med tillstånd blev slutsatsen att en sådan ordning skulle innebära ett orimligt stort ianspråktagande av Datainspektionens resurser utan motsvarande vinster för integritetsskyddet. Det fanns därför för sambearbetningarna, sades det, minst lika goda skäl som för datasamlingar i Övrigt att

upprätthålla ett flexibelt och obyråkratiskt system se avsnitt 13.8. I

sina tidigare ställningstaganden har utredningen också kommit fram till att anmälningsskyldigheten även vid sambearbetning skulle begränsas till de fall där sambearbetningen omfattar känsliga uppgifter eller uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande o.d. avsnitt 14.2. Någon särskild reaktion mot detta förekom inte under remissbehandlingen. När utredningen nu på nytt tar upp frågan skulle utredningen vilja förorda, mot bakgrund av vad som har sagts i det föregående, att anmälningsskyldigheten begränsas ytterligare och bara

SOU 1993: 10 273

avser de fall då känsliga uppgifter i egentlig mening innefattas i sambearbetningen. I enlighet med det nu sagda bör i förslaget till datalag tas in en bestämmelse om att en anmälan skall ha kommit in till Datainspektionen innan personuppgifter får behandlas, om behandlingen avser känsliga uppgifter 20 och 37 §§ förslaget till datalag. Även

se om

behandlingen avser känsliga uppgifter bör emellertid från anmälningsskyldigheten tas undan de fall av behandling som i dag utgör undantag från tillståndsplikten 2 a § tredje stycket i den gällande datalagen och 37 § andra stycket i utredningens förslag till datalag. Med en sådan reglering kommer den behandling som innefattar särskilda risker för den enskildes integritet att komma till Datainspektionens kännedom samtidigt som antalet anmälningar kan hållas en hanterlig nivå. Det bör i sammanhanget framhållas att de undantag från amnälningsskyldigheten som nyss har nämnts inte bör ha någon motsvarighet när det gäller bemyndigandet för regeringen eller Datainspektionen att meddela kompletterande föreskrifter. Vid remissbehandlingen har förts fram tankar om en tidsfrist för Datainspektionens granskning av anmälningar eller i andra hand en rätt för den persondataansvarige att få ett formellt förhandsbesked. Utredningen har i avsnitt 13 utförligt diskuterat de olägenheter som är förenade med ett tillstândssystem, även om detta är partiellt, och har kommit fram till den slutsatsen att man med ett sådant förfarande inte löser de problem som finns på integritetsskyddsområdet. Systemet med en tidsfrist torde i praktiken innebära att man via bestämmelserna om anmälningsskyldighet behåller det partiella tillståndsförfarandet. Även en ordning med förhandsbesked skulle, som också medges i det berörda yttrandet, i alltför hög grad leda till samma resultat. Utredningen är för sin del inte beredd att förorda en ordning med en tidsfrist eller förhandsbesked. Om man emellertid inte vill ha en ordning med tidsfrist eller förhandsbesked kan det onekligen inträffa att integritetsskador kan uppkomma innan anmälningen har behandlats av Datainspektionen. Denna risk för skador måste emellertid jämföras med motsvarande risk i ett tillståndsförfarande eller en variant av ett sådant förfarande. Vid sin diskussion av frågan om ett renodlat tillsynssystem har utredningen betonat att man med ett sådant system bör ha mycket större möjligheter än f.n. att komma tillrätta med alla de persondataansvariga som inte hör av sig till Datainspektionen och vars verksamhet i det fördolda orsakar mer eller mindre stora integritetsskador. Det är utredningens övertygelse att på sikt integritetsskadorna kommer att bli mindre i ett renodlat tillsynsförfarande än i ett partiellt tillståndsförfarande. Om därefter anmälningsskyldigheten ses från den persondataansvariges perspektiv torde, med den avgränsning som anmälningsplikten har fått i förslaget, det inte innebära nâgra svårigheter att avgöra om en viss datasamling skall anmälas till Datainspektionen eller Däremot

kan det inte bestridas att den persondataansvarige kan komma att uppleva en större osäkerhet med den ordningen än i ett tillnya ståndsförfarande. Datainspektionens bedömning med anledning av en anmälan kan någon gång leda till att inspektionen meddelar villkor för behandlingen av personuppgifterna eller rent förbjuder datasamav lingen. Även interimistiskt förbud skall enligt utredningens förslag kunna förekomma. Problemet skall emellertid inte överdrivas. Möjligheterna för den persondataansvarige att avgöra vad är som tillåtet är helt annorlunda i den föreslagna ordningen med dess krav på att behandling av känsliga uppgifter åtminstone i vissa hänseenden måste vara särskilt författningsreglerad och dess i övrigt ganska ingående reglering av förutsättningarna för att behandla personuppgifter. Den persondataansvarige som är osäker om var gränserna går har också alltid möjlighet att ta kontakt med Datainspektionen före eller i samband med en anmälan för att inte riskera att datasamlingen blir föremål för ingripande. Utredningen vill till slut ta upp frågan om karaktären på den tillsyn som Datainspektionen skall utföra. På grund av att erfarenheter saknades såväl nationellt som internationellt det vid datalagens - - var tillkomst i början av 1970-talet både naturligt och nödvändigt att statsmakterna avstod från en närmare reglering och lämnade den tillämpande myndigheten stor frihet att praxis fylla ut reglerna genom i lagen. De villkor som Datainspektionen i dag meddelar vid tillståndsprövningen eller vid sin tillsyn är alltså ett inslag i den materiella regleringen av behandlingen av olika personuppgifter. Läget blir emellertid helt annorlunda genom utredningens förslag med dess förhållandevis utförliga reglering av olika aspekter av datahanteringen. Datainspektionens uppgifter blir i det nya systemet att till att se behandlingen av personuppgifter sker i enlighet med de bestämmelser som gäller för behandlingen av uppgifterna. Skulle personuppgifter behandlas i strid med vad som gäller för behandlingen får Datainspektionen meddela villkor. Dessa villkor har dock inte till syfte att fylla ut den materiella regleringen utan syftet är att åstadkomma rättelse. De sanktionsmöjligheter som Datainspektionen föreslås få i sin tillsynsverksamhet behandlas närmare i specialmotiveringen i anslutning till 39 § och följande paragrafer. l fråga om inriktningen av den framtida tillsynsverksamheten hänvisar utredningen till sina tidigare uttalanden avsnitt 14.2. Utredningens förslag om delegation av normgivningsmakt innebär inga avvikelser från förslaget till EG-direktiv. Med uttrycket "law" i direktivet torde nämligen också förstås av regeringen beslutade förordningar och de föreskrifter som Datainspektionen efter delegation har rätt att meddela. Direktivets krav lagform torde uppfyllt, vara om det är fråga om i förväg meddelade normer av generell karaktär, till skillnad från myndighetsbeslut i enskilda fall. Den inhemska rättsordningens val av normnivá torde således inte var avgörande.

SOU 1993: 10 275

Däremot avviker utredningens förslag från förslaget till EG-direktiv när det gäller skyldighet att göra anmälan datasamling till om en dataskyddsmyndigheten. Enligt utredningen skall en behandling av personuppgifter i princip anmälas till Datainspektionen, beom handlingen avser känsliga uppgifter ifr 20 § i förslaget till datalag. Som utredningen har redovisat i avsnitt 5.3 går direktivförslaget mycket längre.

SOU 1993: 10 277

15 Gallring av personuppgifter

15.1 Den materiella gallringsregeln

l5.1.l Gällande ordning

Den l juli 1991 trädde arkivlagen i kraft prop. 1989/90:72, KrU 29, rskr. 307, SFS 1990:782. I denna ges grundläggande regler om arkiv hos såväl statliga som kommunala myndigheter samt bestämmelser om bl.a. vad som ingår i en myndighets arkiv, vården av arkivet och gallring av arkiv. De bestämmelser som gäller för statliga arkiv gäller också för arkiv hos kyrkokommunala myndigheter, vissa organ som jämställs med myndigheter och allmänna försäkringskassor. Enskildas arkiv regleras dock inte av lagen. I 3 § arkivlagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet och att de skall ordnas så att rätten att ta del av allmänna handlingar tillgodoses. Dessutom skall behovet av information för rättskipningen och förvaltningen samt forskningens behov tillgodoses. Ett myndighetsarkiv i lagens mening bildas enbart av de allmänna handlingarna från myndighetens verksamhet samt av sådana handlingar som avses i 2 kap. 9 § tryckfrihetsordningen vissa minnesanteckningar och utkast eller koncept och som myndigheten beslutar skall tas om hand för arkivering. Upptagningar för ADB som är tillgängliga för flera myndigheter bildar dock endast arkiv hos en av de myndigheter hos vilka de utgör allmän handling och då i första hand hos den myndighet som svarar för huvuddelen av upptagningen 3 § l st. Arkivmyndigheterna och deras tillsynsuppgifter beträffande myndigheternas arkivvârd regleras också genom arkivlagen. I fråga om ansvaret för arkiven anges att varje myndighet skall ha ansvar för sitt arkiv samt att särskilda arkivmyndigheter skall ha tillsyn över myndigheternas arkivverksamhet 4 och 7 §§. Statliga arkivmyndigheter är Riksarkivet, Krigsarkivet och landsarkiven, som sorterar under Riksarkivet. Om inte andra arkivmyndigheter utsetts, skall kommunstyrelsen och förvaltningsutskottet sköta den sysslan i kommuner och landsting 8 §. Enligt 10§ arkivlagen får allmänna handlingar gallras. Gallring skall dock alltid ske med beaktande av att arkiven utgör en del av kulturarvet och sådant sätt att det återstående arkivmaterialet fyller

de i 3 § angivna ändamålen med arkiven, nämligen att tillgodose rätten att ta del av allmänna handlingar, rättskipningens och förvaltningens behov av information samt forskningens behov. Undantag från huvudregeln om gallring görs dock för de fall att det i lag eller i annan förordning finns avvikande regler gallring. Dessa avvikande om bestämmelser tar då över arkivlagens bestämmelser gallring. om Arkivlagens bestämmelser gäller dock enligt 10 § framför bestämmelserna i 12 § datalagen. Enligt 12 § datalagen skall personuppgifter som inte längre behövs med hänsyn till registerändamålet utgå ur personregistret de inte om skall bevaras på grund av bestämmelser i författning eller myndighets beslut som meddelats med stöd av författning. Detsamma gäller då den registeransvarige upphör att föra personregistret. Bestämmelserna gäller för alla personregister. Datainspektionen kan meddela beslut om bevarande och gallring av personuppgifter i ett visst register med stöd 6 eller 18 § av a datalagen. Beträffande tillståndsregister bestämmer Datainspektionen i de villkor som meddelas för personregistret, i den mån det behövs för att förebygga risk för otillbörligt intrång i den personliga integriteten, vad som skall gälla om bevarande och gallring av uppgifterna i registret 6 §. Skulle författningsföreskrifter i detta hänseende saknas beträffande ett sådant statsmaktsregister som avses i 2 a§ första stycket andra meningen datalagen ankommer det på Datainspektionen att besluta därom 6 a §. Datainspektionen kan också i mån av behov meddela beslut om gallring beträffande licensregister om förandet av registret lett till otillbörligt intrång i personlig integritet eller om det finns anledning anta att sådant intrång skall uppkomma 18 §- Principen att uppgifter skall gallras registren finns också i förur fattningar som reglerar olika integritetskänsliga register. Det är här fråga om akter och register med personuppgifter. Reglerna i ges flertalet fall i lag. Bestämmelserna varierar något, den men som gemensamma principen framträder att materialet skall förstöras efter en viss tid, om det inte finns direkta föreskrifter bevarande. Sådana om särbestämmelser som nu har berörts finns bl.a. i lagen 1968:430 om mervärdeskatt, fastighetstaxeringslagen 1979:1152, skatteregisterlagen 1980:343, socialtjänstlagen 1980:620, utsökningsregisterlagen 1986:617 och tullregisterlagen 1990:137. I lagen 1963:197 om allmänt kriminalregister och polisregisterkungörelsen 1969: 38 stadgas det att uppgifter skall utgå ur registret när vissa förutsättningar har inträffat. I patientjournallagen 1985:562 finns föreskrifter att om journalhandlingar skall bevaras en minsta tid. De särskilda registerlagarna har i samband med propositionen om arkiv m.m. setts över och gjorts mer enhetliga, se lagen 1990:325 om självdeklaration och kontrolluppgifter, lagen 1990:330 om ändring i lagen om mervärdesskatt, lagen 1990:379 ändring i om

SOU 1993: 10 279

fastighetstaxeringslagen, lagen 1990:785 ändring i patientjournalom lagen, lagen 1990:786 om ändring i utsökningsregisterlagen och lagen 1990:789 om ändring i socialtjänstlagen. Riksdagen har därefter antagit lagen 1990:1536 om folkbokföringsregister, som stadgar att gallring av uppgifter i ett lokalt folkbokföringsregister och i det centrala referensregistret skall ske i enlighet med arkivlagens bestämmelser. För de enskilda arkivbildarna, dvs. för företag, organisationer etc., finns inte nägra allmänna författningsbestämmelser om arkivvârd. Datalagen gäller dock även för de enskilda arkivbildarna. I vissa andra författningar, som främst gäller ekonomiska förhållanden, finns det bestämmelser om att vissa handlingar skall bevaras under en bestämd tid. Hit hör bl.a. lagen om mervärdeskatt, bokföringslagen 1976:125, fastighetstaxeringslagen och lagen om självdeklaration och kontrolluppgifter. I detta sammanhang kan även nämnas lagen 1978:487 om pliktexemplar av skrifter och ljud- och bildupptagningar. Denna lag innehåller bestämmelser om skyldighet att leverera skrifter och s.k. kombinerat material till vissa bibliotek samt av ljud- och bildupptagningar till arkivet för ljud och bild, men saknar motsvarande bestämmelser om information lagrad ADB-medium. Närmare föreskrifter om bl.a. bevarande av det material som omfattas av lagen meddelas i en särskild förordning 1978:779 om pliktexemplar av skrifter och ljud- och bildupptagningar.

15. 1 .2 Europarådets konvention

I artikel 5.e föreskrivs att personuppgifter som undergår automatisk databehandling skall bevaras pá ett sådant sätt att de registrerade personerna inte kan identifieras under längre tid än som är nödvändigt med hänsyn till det ändamål för vilket uppgifterna lagras. Av kommentaren till den berörda bestämmelsen framgår att syftet inte är att uppgifterna efter en tid pâ ett oåterkalleligt sätt skall skiljas från namnet på den person som de avser, utan i stället är tanken att det inte längre på ett enkelt sätt skall vara möjligt att knyta uppgifterna till någon enskild person.

15. 1 Förslaget till EG-direktiv

Enligt artikel 6.l.e fâr personuppgifter bevaras i en form som tillåter identifiering av enskilda bara så länge som detta behövs med hänsyn till ändamålet med behandlingen. En medlemsstat fâr dock lägga fast lämpliga skyddsbestämmelser för personuppgifter som lagras för historisk, statistisk eller vetenskaplig användning.

15.1.4 Utredningens tidigare ställningstaganden

Gallringen är en viktig uppgift och utgör en nödvändig del av arkivverksamheten. Som påtalas i propositionen till arkivlagen prop. 1989/90:72 s. 39 ff skulle utan gallring arkivmaterialet växa i en omfattning som vore ohanterlig, utan att det skulle medföra några fördelar från insyns- eller informationssynpunkt. Gallringen syftar till att arkiven inte skall tyngas av handlingar som saknar påtagligt informationsvärde och som bara utgör en dubblering av information som bättre kan sökas i ett annat arkiv eller som har ett informationsvärde som är markant begränsat i tiden. En riktigt utförd gallring bör, enligt vad som vidare sägs i propositionen, leda till att arkiven blir mer överskådliga och mer effektiva som informationskällor samtidigt som det innebär en kostnadsbesparing. Sedan länge utgallras också en stor del av de allmänna handlingarna hos myndigheterna. Arkivutredningen har beräknat att gallringen av statsförvaltningens handlingar svarar mot i genomsnitt ungefär 80 % av de ursprungligen tillförda handlingarna. Detta avser pappersbaserat material. Gallringen av personregister torde ske i något mindre omfattning och förestavas i huvudsak av integritetsskäl, men även hanteringsskäl och ekonomiska skäl har betydelse. Hårdast är gallringen hos lokala och regionala myndigheter eftersom informationen ofta finns bevarad även hos en central myndighet, då ofta i ackumulerad eller komprimerad form. Vid sidan om den gallring som är betingad av hanterlighetsskäl och ekonomiska skäl kan gallring också vara pâkallad av hänsyn till den enskildes integritet. Det gäller särskilt sådana register som förs med hjälp av ADB, men i några fall också personakter, oavsett om de förs på papper eller med elektroniska hjälpmedel. I allmänhet går gallringsprincipen i dessa fall ut att uppgifterna efter en viss tid skall förstöras, om det inte finns särskilda föreskrifter om bevarande. Datainspektionens beslut när det gäller gallring är närmast föranledda av de särskilda risker för integritetsintrång som ADB-tekniken kan medföra. Integritetsskälen betonas i den proposition 1979/80: l som låg till grund för socialtjänstlagen. Syftet med gallringsbestämmelserna angavs där vara att det från allmänna integritetssynpunkter i princip framstod som olämpligt att ömtåliga personliga uppgifter om enskilda människor skulle sparas för längre tid än de behövdes för det ändamål för vilket de hade samlats in. Vidare nämndes att det vid sidan av dessa integritetsskäl också måste beaktas att det av ekonomiska skäl förr eller senare måste bli nödvändigt att i någon form gallra socialnämndernas på papper förda personregister. I propositionen till arkivlagen 1989/90:72 behandlade departementschefen också de olika intressen som har betydelse för hur länge uppgifter skall bevaras samt anförde bl.a. följande s. 31 ff.

När det gäller att ställa upp målen för det offentliga arkivväsendet finns det vid sidan jag berört

kulturarvsaspekten,

- om som nyss mycket konkreta rättssäkerhets- oc rationaliseringsaspekter att beakta. Främst är här att beakta den grundlagsfästa handlingsoffentligheten. Enligt denna har var och en rätt att ta del av allmänna handlingar, om de inte i särskild lag har belagts med sekretess. Denna insyn i den offentliga förvaltningen hör till de elementen i vårt samhällsskick. Rätten till insyn

grundläggande

är inte sbegränsad. I praktiken kan väl sägas att insynsintresset avklingar med tiden, men rent faktiskt är det ytterst med stöd av handlingsoffentligheten som även äldre allmänna handlingar kan be äras utlämnade. Det kan här räcka med att som exem

anföra

att handlingsoffentligheten gör det möjligt att nu, se an sekretesstiden har löpt ut, få fram vilka åtgärder som vidtogs av svenska myndigheter under andra världskriget. Efter en viss tid har dock i allmänhet kravet på insyn, i den mening man främst förknippar med handlingsoffentlighetens syfte, kommit att efterträdas av något som mer kan betecknas som ett forskningsintresse. Gränsen torde dock sällan vara klar. Ett forskningsintresse kan sålunda till dels förestavas av en önskan att till sist få korten på bordet och klarlägga hur något som varit uppmärksammat verkligen förhöll sig. Rätten till insyn enligt bestämmelserna om handlingsoffentlighet kan givetvis inte till odoses utan ett välordnat arkiv. Redan dessa bestämmelser ger ärför grunderna för en arkivreglering. De medför krav att allmänna handlin ar i princip bevaras. att de ordnas så att det går att hitta bland em och att de vårdas så att de inte skingras eller förstörs. Behov av att handlingar bevaras, hålls ordnade och vårdas finns också med hänsyn till rättskipningens och förvaltningens egen verksamhet. Människor har rätt att kräva att både domstolar och visar konsekvens i sin tillämpning

förvaltningsmyndiåheter

av författningar och åller reda på de uppgifter som en gång har lämnats. För detta fordras välordnade arkiv. Arkiven är också en viktig bas för forskning av olika slag. Sålunda är arkiven nyttiga för den professionella forskning som ger oss sådana insikter i samband och orsaker som är av omedelbar praktisk nytta för framtiden. Jag tänker härvid t.ex. på den medicinska forskningen, men även modern ekonomisk forskning kan vara beroende av arkivmaterial, t.ex. från skattemyndigheterna. Att bevara, ordna och vårda arkiven så att de kan tjäna också forskningens olika behov ser ag som ytterligare en huvuduppgifti arkivverksamheten. Här ramstár kulturarvsaspekten tydligast, det för en kulturnation självklara att bevara minnet av sin utveckling och använda detta minne för att dels belysa den historiska utvecklingen, dels nyttiggöra de erfarenheter som dras ur materialet. Jag vill på eka att när det gäller bevarande av arkivmaterial måste man öra in också integritetsaspekten. Jag skall utveckla den frågan senare, men den är så viktig att den bör nämnas i omedelbart samband med mitt förslag att ett av arkivens huvudsyften skall vara att tillgodose forskningens behov. Integritetshänsyn kan sålunda leda till att material inte bevaras i den utsträckning som hade varit önskvärd från andra synpunkter eller att tillgången till bevarat material begränsas. Sådana av integritetshänsyn påkallade avvikelser från huvudregeln om bevarande bör tas in i de särskilda lagar som reglerar integritetskänsliga akter

282 SOU 1993: 10

och register. Reglerna kan därmed bäst anpassas efter vad det speciella materialet kräver.

Vid utformningen av gallringsbestämmelser för personregister förs som med hjälp av ADB-teknik måste naturligtvis hänsyn tas till de av departementschefen berörda aspekterna. Enligt datalagsutredningen bör härvid inte minst offentlighetsintressena beaktas så att rätten att ta del av allmänna handlingar inte inskränks på ett otillbörligt sätt. Samtidigt måste emellertid beträffande dessa personregister bevarandefrågan, med hänsyn till ADB-teknikens effekter på skyddet för den personliga integriteten, också bedömas mot bakgrund människors befogade av krav på skydd mot otillbörliga integritetsintrång. Vid riksdagsbehandlingen av förslaget till arkivlag framhölls ny att det är nödvändigt att göra avvägning mellan olika intressen i fråga en om gallring och att därvid integritetsaspekten är särskilt viktig att beakta jfr KrU 1989/90:29 s. l2. Det förtjänar att framhållas att gallring av personuppgifter är endast en av flera möjliga integritetsskyddande åtgärder och att i vissa fall den personliga integriteten kan anses bli tillräckligt skyddad utan att någon gallring sker. Under vissa förutsättningar kan t.ex. sekretesslagstiftningen ge tillräckliga garantier för att något otillbörligt integritetsintrång inte sker. Vidare kan redan ett överlämnande av materialet till arkivmyndighet innebära ett förbättrat skydd mot bl.a. tillgrepp och obehörig åtkomst och därmed också innefatta förstärkning en av skyddet mot otillbörligt intrång. En annan följd överlämnande till av arkivmyndighet är att myndighetens egen tillgång till materialet blir begränsad av sekretesslagens regler jfr prop. 1989/90:72 102. I s. vissa fall kan det dock vara nödvändigt av integritetsskäl att gallra. Den omständigheten att gallring sker av uppgifter som finns ADB-medium behöver emellertid inte innebära att insynsmöjligheterna helt försvinner. Motsvarande information kan nämligen föreligga på annat slags medium, då huvudsakligen papper. Insynsmöjligheterna torde i de flesta fallen dock bli sämre på grund av en minskad överblick och svårigheter för exempelvis forskare att bearbeta vissa uppgifter. Ett fall av överföring av information från datamedium till papper föreligger när en myndighet använder sig upptagning för av en automatisk databehandling för handläggning av ett visst mål eller ärende. Enligt 14§ datalagen skall då upptagningen tillföras handlingarna i målet eller ärendet i läsbar form, inte särskilda skäl om föranleder annat. Med hänsyn till den fortsatta utvecklingen teknikomrâdet får man dock räkna med att allt mindre mängd en information kommer att återfinnas papper. En positiv följd detta av är att lagringen av pappersmaterial i framtiden inte kommer att utgöra det stora problem som det är i dag. Den gallring som enbart är betingad av hanterlighetsskäl kommer följaktligen också att minska i betydelse.

SOU 1993: 10 283

En ökad användning av ADB-teknik i handläggningen kan emellertid på den andra sidan innebära en utveckling där hänsynen till integritetsintresset kan komma att en allt större betydelse vid bedömningen gallringsfrágor. önskemålet till viktig och av att ta vara t.ex. för forskningen betydelsefull information kan då i allt större utsträckning komma i konflikt med önskemål att begränsa tillgängligheten till uppgifter som rör enskilda människor. Utredningen att i avser en senare etapp i utredningsarbetet återkomma till den övergripande frågan om hur en avvägning mellan olika intressen lämpligen bör ske och närmare behandla de riktlinjer som därvid bör gälla. I sitt tidigare arbete presenterade utredningen alltså inte något förslag till en materiell gallringsregel.

l5.1.5 överväganden

Som har framgått av det föregående uppställs i utredningens förslag till datalag olika regler till skydd för den personliga integriteten. Några av bestämmelserna finns i ll § som ger uttryck för den grundläggande principen att behandling av personuppgifter får förekomma bara när detta är nödvändigt för vissa syften. En annan grundläggande princip för integritetsskyddet är att en påbörjad behandling inte får hålla längre än som är nödvändigt. Reglerna i ll § i förslaget till datalag bör därför kompletteras med en föreskrift som säger att personuppgifter skall gallras när de inte längre behövs för de ändamål för vilka de behandlas. En sådan bestämmelse finns i 12 § i den nuvarande datalagen och en motsvarighet till den har förts in i 19 § första stycket förslaget till datalag. Frågan när personuppgifter inte längre behöver behandlas för sitt ändamål är svår att besvara generellt. Integritetsintressena talar för en så snabb gallring som möjligt. Utredningen har några ställen i betänkandet för särskilda situationer berört frågan gallring. En om särskild bestämmelse i 35 § förslaget till datalag avser gallring vissa av känsliga uppgifter som behandlas för anställningsändamål. Gallringsfrågor har också tagits upp i den allmänna motiveringen i avsnitt 11.6 vid diskussion av möjligheten att i anställningsförhållanden behandla personuppgifter som rör den enskildes arbetsinsatser samt i specialmotiveringen till 6 § 5 förslaget till datalag där gallring löpande text av berörs. I vissa fall är det ofrånkomligt att personuppgifter får behandlas under lång tid, t.ex. när longitudinella studier görs inom forskningen. I sådana fall torde med jämna mellanrum en prövning böra ske om de berörda personuppgifterna fortfarande behöver behandlas. När man diskuterar bevarande och gallring kan man dock inte bara ta hänsyn till integritetsintressena. Andra motstående intressen får också vägas in i bedömningen. I fråga om allmänna handlingar har dessa motstående intressen angetts i arkivlagen. Enligt 10 § arkivlagen får allmänna handlingar gallras men vid gallringen skall beaktas att

arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår skall kunna tillgodose de mål som anges i 3 § tredje stycket. l sistnämnda lagrum föreskrivs att myndigheternas arkiv skall bevaras. hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Någon allmän bestämmelse om hur integritetsintressena skall vägas mot dc intressen som anges i 3 § tredje stycket arkivlagen finns inte i datalagen. l förarbetena till arkivlagen prop. 1989/90:72 s. 32 framhölls att man måste föra också integritetsaspekten når det gäller bevarande av arkivmaterial. lntegritetshänsytn kan sålunda leda till att material inte bevaras i den utsträckning som hade varit önskvärd från andra synpunkter eller att tillgången till bevarat material begränsas. Sådana av integritetshänsyn påkallade avvikelser från huvudregeln om bevarande bör. sades det också i propositionen. tas in i de särskilda lagar som reglerar integritetskänsliga akter och register. Reglerna kan därmed bäst anpassas efter vad det speciella materialet kräver. Vid diskussionen i propositionen om Datainspektionens möjlighet att meddela villkor om gallring uttalades vidare att. när det infördes en generell arkivlagstiftning som anger mål för arkivverksamheten och knyter gallringsreglerna till dessa mål. inspektionen givetvis hade att beakta den lagstiftningen och att väga intressena för bevarande mot integritetsintresset. l sak torde det emellertid inte vara något nytt för inspektionen och det fanns inte då anledning att i datalagen närmare reglera denna avvägningsfråga anförda prop. s. 49. Det berörda lagstiftningsärendet ledde alltså inte till att det i datalagen togs in en allmän bestämmelse om bevarande och gallring av personuppgifter som utgör allmän handling. Frågan är emellertid om inte avvägningen mellan de motståeitde intressena bör komma till uttryck i lagtexten när en ny datalag införs. Det ligger visserligen i sakens natur att bestämmelsen måste bli allmänt hållen och att närmare regler om gallring på olika områden får tas i särskilda registerlagar eller läggas fast genom rättspraxis. Det är enligt utredningens mening ändå av värde att lagstiftarens intentioner kommer till uttryck i själva lagtexten. Av en sådan bestämmelse bör framgå att vid gallring av personuppgifter som utgör allmän handling inte bara integritetsintressena utan även andra intressen bör beaktas. Sistnämnda intressen är de som anges i 3 § tredje stycket arkivlagen. En bestämmelse av nu nämnt innehåll har tagits i 19 § andra stycket förslaget till datalag. Hur avvägningen skall göras i det enskilda fallet är svårt att närmare ange. Allmänt kan sägas att känsligare materialet är desto tyngre väger integritetsskyddet medan omvänt bevarandeintressena får större tyngd när materialet är mindre känsligt från intregritetsskyddssynpunkt. Viktiga bevarandeintressen kan på den andra sidan leda till att även mycket integritetskänsliga uppgifter bevaras.

SOU 1993: 10 285

Arkivlagen gäller inte för enskilda arkiv. Vissa uttalanden om sådana arkiv finns emellertid i förarbetena till lagen. Bl.a. framhålls att även enskilda arkiv utgör en viktig del av vårt kulturarv och att den omständigheten att uppbyggnad och vård av enskilda arkiv i princip bör lämnas enskilda dock inte innebär att de offentliga arkivinstitutionerna skall avstå från att befatta sig med dessa arkiv. De statliga arkivmyndigheterna har hittills haft en viktig uppgift i att ge råd och anvisningar till hjälp för skötseln av enskilda arkiv. Det är angeläget för bevarandet av ett allsidigt arkivmaterial att de statliga arkivmyndigheterna även i framtiden kan lämna detta stöd till de enskilda arkiven prop. 1989/90:72 s. 29 35. Enligt utredningens mening bör det i vissa fall vara möjligt att göra undantag från huvudregeln om gallring även när det gäller personuppgifter som inte utgör allmän handling. Vad utredningen då tänker på är sådana fall då intresset av att personuppgifterna bevaras tar över den enskildes intresse av att inte förekomma i datasamlingar längre än som behövs med hänsyn till det ändamål som datasamlingen används för. Det skall alltså röra sig om ett väsentligt bevarandeintresse. Det skall vidare finnas ett bestående intresse av att bevara uppgifterna. Som exempel på vad som åsyftas kan nämnas arkiv hos företag som belyser den industriella utvecklingen eller arkiv hos fackföreningsrörelsen som ger en bild av den fackliga rörelsens framväxt. Det nu sagda har uttryckts i lagtexten på det sättet l9§ tredje stycket förslaget till datalag att uppgifterna skall ha ett historiskt intresse och att detta intresse får anses väga tyngre än den enskildes intresse av att uppgifterna om honom gallras. Liksom när det gäller allmänna handlingar bör vidare personuppgifter som inte utgör allmän handling kunna bevaras om de har intresse för den framtida forskningen. Även här bör gälla att forskningsintresset skall väga tyngre än den enskildes intresse av att uppgifterna gallras. Av förarbetena till arkivlagen framgår att hänvisningen i 3 § tredje stycket 3 till forskningens behov avser inte bara den professionella forskningen utan också amatörforskningen prop. 1989/90:72 s. 71. angivna intresseavvägningen bör emellertid såvitt gäller Den nyss personuppgifter som inte utgör allmän handling leda till att bara uppgifter som är av intresse för den professionella forskningen bör kunna bevaras. De uttalanden som utredningen har gjort i avsnitt lO vikten ett forskningsprojekt bör kunna vara till ledning även för om av bedömningen när personuppgifter kan ha ett sådant intresse för framtida forskning att de bör bevaras. I fråga om förhållandet till förslaget till EG-direktiv har utredningen redan i avsnitt 5.4 konstaterat att direktivförslaget inte innehåller något undantag från huvudregeln om gallring som gör det möjligt att bevara personuppgifter med hänsyn till offentlighetsprincipen. I övrigt stämmer utredningens förslag i huvudsak överens med direktivförslaget. Det är dock tveksamt om behovet av information för rättskip-

ningen och förvaltningen 3 § tredje stycket 2 arkivlagen enligt artikel l .e i direktivförslaget utgör någon grund för att bevara personuppgifter längre är som behövs för det ursprungliga ändamålet. Utredningen har heller inte, i överensstämmelse med vad gäller enligt som arkivlagen, gjort något uttryckligt undantag för personuppgifter som kan vara av intresse för den framtida statistikproduktionen.

15.2 Vem skall besluta

om gallring

15.2. l Inledning

Enligt 10 § tredje stycket arkivlagen fâr särbestämmelser, som skall ta över grundreglerna om gallring av allmänna handlingar i 10 § första och andra styckena, bara meddelas genom lag eller förordning. Riksdagen har vid antagandet av arkivlagen understrukit att avvikelser som regel skall ske i lag och bara undantagsvis i förordningsform 1989/90KrU:29 s. 13. En sådan avvikande bestämmelse som avses

i 10 § tredje stycket arkivlagen finns i 19 § i förslaget till datalag se

avsnitt 15.1.5. Frågan är om även Datainspektionen skall rätt att ges meddela gallringsnormer, vilket förutsätter att bestämmelsen i 10§ tredje stycket arkivlagen ändras. Av den materiella gallringsregeln i 19§ framgår vidare inte vem som skall besluta om gallring, dvs. kompetensfördelningen mellan Datainspektionen på den sidan samt ena Riksarkivet och kommunerna på den andra sidan. Utredningen har under sitt tidigare arbete diskuterat de nu angivna frågorna och dessa behandlas nu i det följande. Bestämmelser i enlighet med det sagda finns för statliga myndigheter i arkivförordningen 1991:446. Föreskrifter och särskilda beslut om gallring avseende myndigheter inom Försvarsdepartementets verksamhetsområde meddelas dock av Krigsarkivet.

15.2.2 Gällande rätt

Gallringsnormerna i form av verkställighetsföreskrifter har, sâvitt gäller statsförvaltningen prop. 1989/90:72 s. 42ft, förutskickats bli fattade företrädesvis av riksarkivet i samarbete med berörda arkivbildande myndigheter. Gallringsföreskrifter för kommunala myndigheter avses i allt väsentligt bli meddelade kommunerna själva. Inom av statsförvaltningen avses myndigheterna normalt få gallra endast enligt de föreskrifter som den centrala arkivmyndigheten har utfärdat. Bestämmelser i enlighet med det sagda finns för statliga myndigheter i arkivförordningen 1991:446. Föreskrifter och särskilda beslut om gallring avseende myndigheter inom Försvarsdepartementets verksamhetsomráde meddelas dock av Krigsarkivet.

SOU 1993: 10 287

Som tidigare nämnts kan emellertid även Datainspektionen med stöd av bestämmelser i datalagen 6, 6 a eller 18 § meddela beslut om bevarande och gallring av personuppgifter. Sådana beslut har meddelats dels i enskilda ärenden, dels i av Datainspektionen meddelade föreskrifter om förenklat ansöknings- och tillstândsförfarande. Datainspektionens beslut om gallring är betingade av de särskilda risker för integritetsintrång som ADB-tekniken medför. Departementschefen behandlade förhållandet mellan arkivlagen och datalagen på följande sätt s. 48 fi.

Bestämmelserna i den föreslagna arkivlagen om bevarande och gallring samt föreskrifter som meddelas med stöd av arkivlagen, t.ex. om bevarande för forskningsändamål, blir regler som enligt datalagens gällande lydelse tar över datalagens regel i 12 § om förstörande. Licensregister hos myndigheter som utgör allmän handling och som inte är författningsreglerade i särskild ordning kommer därmed att gallras enligt arkivlagens normsystem. - Detta bör normalt sett inte innebära några problem jfr vad som sagts ovan om 18 § datalagen och jag anser därför att det bör vara en rimlig ordning. När datainspektionen meddelar föreskrifter om bevarande och för tillståndsregister 6 § datala

gallring

en skall ins ektionen

örutom integritetsaspekten även beakta e skäl som ta ar för ett bevarande. Frågor om bevarande och gallrin av personre ister

avgörs enligt 12 § dataförordningen 1982:485 efter samrå med

riksarkivet. Det är min uppfattning att datainspektionens föreskrifter om bevarande och gallring l praktiken tillkommer under vederbörlig hänsyn till gängse gallrin sprinciper. Jag anser inte att arkivlagen bör medföra någon än ring när det gäller datainmed tillståndsregistren. Bestämmelsen i 6 §

sipektionens uppgifter

atalagen bör ärför gälla före arkivlagens regler. När det införs en generell arkivla stiftning som anger mål för arkivverksam-

heten och knyter gañringsreglerna till dessa mål har inspektionen

beakta den lagstiftningen och intressena för

givetvis

att

evarande integritetsintresset. sak väga

mot I torde et emellertid inte vara något nytt för inspektionen. Jag ser därför inte nu anledning att i datalagen närmare reglera denna avvägningsfrâga. Sammanfattningsvis innebär den nu föreslagna ordningen att när det gäller tillståndsregistren är det datainspektionen som med stöd av datalagen meddelar föreskrifter om gallring och bevarande, medan det är riksarkivet alternativt den kommunala arkivmyndigheten som meddelar sådana föreskrifter i övrigt, alltså även om det rör sig om licensregister. Enligt dataförordningen skall datainspektionen samråda med riksarkivet när inspektionen utfärdar föreskrifter om bevarande och allring. I verkställighetsföreskrifterna till arkivlagen bör föres rivas att riksarkivet skall samråda med datainspektionen innan arkivet utfärdar föreskrifter som täcker också licensregistren på det statliga området. Jag avser att återkomma till regeringen med förslag i det avseendet. Givetvis bör också kommuner som avser att meddela föreskrifter gallring om av licensregister samråda med inspektionen. Aven med den ordningen att arkivlagen tar över den allmänna regeln i 12 § datalagen om gallring återstår emellertid frågan om förhållandet mellan arkivlagen och datalagens bestämmelse i 18 §

288 SOU 1993: 10

om rätt för inspektionen att meddela särskilda gallringsföreskrifter också beträffande licensregistren. Bestämmelsen motiveras av integritetshänsyn. Den har enligt uppgift kommit till användning endast i nå ra enstaka fall. Enligt min mening bör dock datainspektionen a kvar möjligheten att förekommen anledning ingripa till skydd för inte riteten även om andra organ i princip svarar för gallringsföres ifterna på området. Sådan 18 § datala en är avfattad anser jag det vara klart att inspektionen har kvar enna befogenhet även efter införandet av den nu föreslagna arkivlagstiftningen. Givetvis förutsätter jag att datainspektionen samrådet med riksarkivet eller resp. kommun innan den går ut med särskilda bestämmelser enligt 18 § datalagen.

Det av departementschefen redovisade förhållandet mellan arkivlagen och datalagen, som godtagits av riksdagen KrU 1989/90:29, rskr. 307, innebär således att Datainspektionen även framdeles skall ha möjlighet att i det särskilda fallet meddela beslut om gallring för personregistren. Jfr även prop. 1990/91:53 om lag om folkbokföringsregister m.m., s. 33. Departementschefen frångick i denna proposition ett i lagrådsremissen framlagt förslag om att låta gallringsfrågorna avgöras av Riksarkivet efter samråd med Datainspektionen. Vid sin behandling av propositionen beslöt riksdagen att i lagen om folkbokföringsregister ta in en bestämmelse, 13 om att gallring av uppgifter i ett lokalt folkbokföringsregister och i det centrala referensregistret skall ske i enlighet med arkivlagens bestämmelser, se SkU 1990/91 :9, rskr. 109. Gallringsbeslut för statligt och kommunalt förda personregister som kräver särskilt tillstånd enligt datalagen "tillstándsregister" skall meddelas av Datainspektionen i den mån det behövs för att förebygga risk för otillbörligt intrång i den personliga integriteten 6 § datalagen och i annat fall av resp. arkivmyndighet. Vad angår personregister som enbart kräver licens enligt datalagen "licensregister" skall gallringsbeslut meddelas av Riksarkivet, Krigsarkivet eller respektive kommun. Om det emellertid skulle behövas med anledning av vad som framkommit om registret skall dock Datainspektionen i det enskilda fallet kunna meddela beslut om gallring även för sådana register 18 § datalagen. Den nya arkivlagen innebär alltså i sak inte någon förändring av den nu gällande kompetensfördelningen på gallringsområdet mellan Datainspektionen och arkivmyndigheterna.

15.2.3 Förslaget till EG-direktiv

En dataskyddsmyndighet skall, enligt artikel 30.2 i direktivförslaget, utrustas med befogenheter att effektivt ingripa mot behandling av personuppgifter, bl.a. genom befogenheter att besluta om innehållande blocking eller utplånande av uppgifter.

SOU 1993: 10 289

15.2.4 Utredningens tidigare ställningstaganden

Allt mer material lagras på ADB-medium och i en framtid kommer troligen huvuddelen av myndigheternas uppgifter att återfinnas på sådant medium. Se t.ex. den genomgång av elektronisk informationsförmedling som har getts i biblioteksexemplarsutredningens be-

tänkande, SOU 1989:89, Översyn lagen pliktexemplar 54 ff.

av om s. Detta är en omständighet som talar för att den centrala arkivmyndigheten, Riksarkivet, även erhåller det övergripande ansvaret för gallringsfrågor rörande personregister på sådant medium. Riksarkivet skulle då, förutom att beakta de i arkivlagen särskilt angivna arkivändamålen, även ha att ta vederbörliga integritetsskyddshänsyn. De risker för den enskildes integritet som personregistrering på ADB-medium innebär, medför emellertid att just integritetsintresset i dessa fall väger tungt. Även Riksarkivet har erfarenhet om av att bedöma vissa integritetsfrågor får Datainspektionen anses vara den myndighet som har störst kompetens och erfarenhet i landet av att bedöma frågor om risk för integritetsintrång. Inspektionen har den bästa överblicken över personregistreringen på ADB-området i landet. Denna inspektionens särskilda kompetens och erfarenhet på integritetsskyddsområdet talar för att Datainspektionen svarar för gallringsbesluten i fråga om personregister där integritetsintressena väger särskilt tungt. För övriga register, dvs. sådana som inte innehåller någon från integritetssynpunkt särskilt känslig infonnation, kan däremot gallringsfrågan med fördel regleras av Riksarkivet eller kommunerna. Som tidigare har nämnts är detta den ordning som statsmakterna har beslutat i fråga om förhållandet mellan arkivlagen och datalagen. Denna kompetensfördelning är väl avvägd och bör gälla också när den nuvarande datalagen ersätts av en ny lag på området. Integritetskänsliga register torde huvudsakligen komma att återfinnas i den grupp av register som enligt en framtida datalag skulle bli föremål för amnälningsskyldighet. Gallringsbeslut för dessa register bör därför meddelas av Datainspektionen. Det blir dels fråga om föreskrifter, dels beslut om gallring för det enskilda registret. För det fall inspektionen inte skulle finna något villkor om gallring motiverat från integritetsskyddssynpunkt för det enskilda registret och därför underlåter att meddela något sådant villkor får det anses ankomma på vederbörande arkivmyndighet att bestämma regler för gallring av registret. De föreskrifter som Datainspektionen kommer att utfärda gallringsområdet avser således fall där bevarandefrågan måste bedömas med särskild hänsyn till integritetsaspekten. Det blir alltså fråga om särbestämmelser som skall ta över grundreglerna om gallring i 10 § första och andra styckena arkivlagen. Sådana avvikande regler är möjliga att utfärda enligt tredje stycket i den nyss nämnda paragrafen, dock bara i lag eller förordning. Riksdagen har vid antagandet av

290 SOU 1993: 10

arkivlagen understrukit att avvikelser som regel skall ske i lag och bara undantagsvis i förordningsform. KrU 1989/90:29 s. 13. Kravet på lagform kan tillgodoses genom att den normering genom Datainspektionens försorg som utredningen har tänkt sig ersätts av en reglering genom särskilda registerlagar. Kravet på lagform kan också tillgodoses genom att riksdagen i lag beslutar om särskilda gallringsregler som då skulle komplettera de författningar som Datainspektionen utfärdar. Utredningen har utgått från att så många som möjligt av myndigheternas register inom skilda sektorer skall regleras genom föreskrifter av Datainspektionen. För närvarande finns bara ett fåtal registerlagar och avsikten är att en ytterligare specialreglering av myndighetsregister skall ske endast på vissa begränsade ämnesområden jfr prop. l990/9l:60 s. 56 ff. Inte heller är det realistiskt att tänka sig att riksdagen genom lagstiftning skulle komplettera författningar som utfärdas av Datainspektionen med en rad gallringsregler. En annan möjlighet att möta kravet lagform skulle vara att i datalagen ta in en bestämmelse som klargör under vilka förutsättningar som Datainspektionen får meddela föreskrifter om gallring. Bemyndigandet skulle alltså ha en sådan precision att avvikelserna från de vanliga gallringsreglema i arkivlagen ändock kunde anses ha skett i lag. Med hänsyn till de skilda områden och ämnen som Datainspektionens normering skall avse är det emellertid knappast möjligt att förutse de olika aspekter på bevarande och gallring som kan bli aktueloch ge bemyndigandet den fasthet och precision som krävs. Vill man inte bemyndiga Datainspektionen att meddela gallringsföreskrifter återstår inte annat än att inspektionen för varje enskilt register meddelar beslut i gallringsfrâgan. Detta skulle emellertid leda till en omfattande byråkrati, en byråkrati som utredningen velat undvika genom sina förslag om normering i förening med en anmälningsskyldighet och en skärpt tillsyn. Arkivlagen torde alltså behöva ändras, så att det också blir möjligt för Datainspektionen att meddela föreskrifter på gallringsområdet för de känsliga registren. Kulturutskottet har vid sin behandling av förslaget till arkivlag framhållit att det är särskilt viktigt att beakta integritetsaspekten vid avgörande av gallringsfrâgor. En ändring av arkivlagen som ger Datainspektionen rätt att i detta syfte meddela föreskrifter pâ gallringsområdet överensstämmer därför väl med de skäl som enligt utskottsbetänkandet låg bakom riksdagens önskemål att

begränsa avvikelser från arkivlagen till i princip bara lagnivân se KrU

1989/90:29 s. 12 ff. Gallringsbeslut för de register av mindre känsligt slag som inte omfattas av någon anmälningsplikt torde lämpligen kunna meddelas av Riksarkivet eller kommunerna. Datainspektionen bör dock beträffande sådana register förbehållas en möjlighet motsvarande nuvarande 18 § datalagen att i undantagsfall meddela villkor gallring för det om

enskilda registret, om den finner detta nödvändigt med hänsynen till risken för otillbörligt integritetsintrång. Datainspektionen och Riksarkivet skall innan de avgör frågor om bevarande och gallring också framgent samråda med varandra. Även om de avvägningsproblem mellan olika intressen kan uppkomma som i erforderlig grad torde kunna beaktas vid ett sådant samråd, kan i vissa fall uppfattningarna gå isär. Frågan är hur bör förfara i man sådana fall. Vid oenighet mellan de båda myndigheterna ett om gallringsbeslut enligt datalagen äger Datainspektionens mening företräde. För det fall beslutet avser ett inspektionens beslut föreskrifter, om dvs. normerande beslut för en viss sektor eller bransch, torde frågan redan idag kunna underställas regeringen utan att några regler om formell anmälan eller hänskjutande föreligger. En tänkbar lösning, om meningarna i enskilda ärenden ofta går isär mellan myndigheterna, är att den myndighet, dvs. närmast Riksarkivet, som är missnöjd med ett visst av inspektionen meddelat gallringsbeslut får möjlighet att föra frågan vidare till högre instans. Det torde dock vara mindre lämpligt att ge den missnöjda myndigheten formell en möjlighet att överklaga beslutet. Inte heller det tillsynes vara en fredsställande ordning att överlåta exempelvis Justitiekanslern i ett sådant fall att överklaga beslutet eller vara "skiljeman". Alternativet att tillskapa en särskild nämnd med uppgift att besluta i tvistiga frågor framstår inte heller som särskilt lämpligt. Enligt Datalagsutredningens bedömning har det nuvarande samrådsförfarandet mellan Datainspektionen och Riksarkivet hittills inte uppvisat sådana meningsskiljaktigheter, att det finns anledning att nu göra några ändringar i det gällande systemet. Dock skulle möjligen samrädsförfarandet och även annan kontakt mellan Datainspektionen och Riksarkivet kunna vinna på att det inrättades ett informellt samrådsforum med företrädare för de två myndigheterna. Med en sådan ordning skulle man smidigt kunna lösa eventuella konflikter och den skulle också kunna underlätta möjligheterna för Datainspektionen och Riksarkivet att utbyta erfarenheter från sina olika verksamhetsområden. En kompetensutveckling myndigheternas handläggare skulle av också kunna ske inom ramen för ett sådant samrådsforum.

15 .2.5 Remissutfallet

Vid remissbehandlingen har några remissinstanser, bl.a. Riksdagens ombudsmän och Justitiekanslern, uttalat att utredningens synpunkter om gallring inte ger anledning till några påpekanden. Svenska kommunförbundet uppger att det delar utredningens uppfattning att den nuvarande kompetensfördelningen bör kunna behållas. Förbundet anser att Datainspektionen bör kunna svara för gallringsbeslut i fråga om känsliga personregister och kommunerna själva beträffande övriga

register. I vissa andra yttranden, bl.a. från Kammarrätten i Göteborg och Arbetarskyddsverket, ansluter man sig också till principen att Datainspektionen bör fâ meddela villkor om gallring beträffande de mer integritetskänsliga registren och arkivmyndigheterna beträffande de övriga. Dessa remissinstanser motsätter sig dock att Datainspektionen genom generella föreskrifter skall få meddela särbestämmelser i förhållande till arkivlagen. De särbestämmelser som behövs bör tas in i datalagen. En kritisk inställning till utredningens förslag har i allmänhet de arkivmyndigheter som har yttrat sig. Riksarkivet framhåller att utredningens resonemang om kompetensfördelningen mellan Datainspektionen och Riksarkivet bygger pâ förutsättningen att integritetshänsyn vid en konflikt alltid skall kunna ta över motstäende intressen. Att Datainspektionen vid sin bedömning av gallringsfrågor tillräckligt skulle beakta även andra intressen, såsom offentlighetsprincipen och forskningens intressen, på bekostnad av de intregritetsintressen man har uteslutande uppdrag att bevaka, är ett mycket osäkert antagande. Riksarkivets mångåriga och breda erfarenhet i gallringsfrâgor, grundad pâ bedömningar även av förvaltningens och framför allt forskningens behov, gör inte utredningens förslag på denna punkt invändningsfritt. Riksarkivet avvisar vidare tanken att Datainspektionen skulle ges möjlighet att utfärda särbestämmelser om gallring som skulle ta över huvudregeln i 10 § arkivlagen. Riksarkivet avvisar också förslagen att Datainspektionen skulle ha rätt att utfärda gallringsbestämmelser för de personregister som redan tidigare bedömts som mindre känsliga. Liknande synpunkter förs fram av BIK-förbundet.

15 .2.6 överväganden

Utredningen har genom den materiella gallringsregeln i 19 § andra stycket i förslaget till datalag för personuppgifter som utgör allmän handling försökt ange den avvägning som måste göras mellan de intressen som anges i arkivlagen och integritetsintressena. Av naturliga skäl är bestämmelsen allmänt hållen och det står klart att det på vissa områden kan behövas specialbestämmelser om gallring. Sådana specialbestämmelser har också, som framgått av den föregående redogörelsen, meddelats i en del fall. Dessa gallringsregler finns i lag och regleringen stämmer därmed överens med vad som krävs enligt 10 § tredje stycket arkivlagen. Utredningen har i sina tidigare ställningstaganden förordat en ordning som innebär att även Datainspektionen skulle få besluta gallringsnormer. Ett argument som da âberopades var att det bara fanns ett fåtal registerlagar och att avsikten var att en ytterligare specialreglering av myndighetsregister genom lag skulle ske endast pâ vissa begränsade ämnesområden. Saken har emellertid kommit i ett annat läge genom utredningens förslag om behandlingen av de känsliga personuppgifterna 20§ i

SOU 1993: 10 293

förslaget till datalag. Enligt den bestämmelsen får känsliga personuppgifter i princip inte behandlas om inte behandlingen åtminstone i vissa hänseenden har reglerats genom särskilda bestämmelser i lag eller annan författning. Skulle behov finnas av en särskild gallringsbestämmelse ett visst område förefaller det då naturligt att denna gallringsbestämmelse tas in i den författning som ändå måste beslutas. I fråga om de känsliga personuppgifterna finns det därför knappast någon anledning att ge Datainspektionen befogenhet att meddela generella föreskrifter om gallring. Som framgår av avsnitt 14.4 har bemyndigandet att meddela kompletterande föreskrifter begränsats till att avse känsliga personuppgifter. Utredningen övergår därefter till att diskutera frågan vem som får besluta om gallring i det enskilda fallet. Eftersom enskildas arkiv inte omfattas av arkivlagen kommer Datainspektionen att få meddela villkor om gallring i fråga om alla personuppgifter som behandlas av enskilda. Diskussionen i det följande gäller bara personuppgifter som utgör allmän handling. Majoriteten av remissinstanserna har inte haft något att erinra mot en ordning som innebär att Datainspektionen får besluta om gallring i fråga om de mer integritetskänsliga datasamlingarna. En sådan lösning stämmer också överens med vad som gäller i dag. Utredningen förordar en sådan regel även i den nya datalagen. Avgränsningen av de känsliga datasamlingarna torde kunna göras samma sätt som har

skett i fråga om Datainspektionens rätt att meddela föreskrifter se

36 §. I fråga om sådana personuppgifter av mindre känsligt slag som utgör allmän handling gäller i dag att gallringsbeslut meddelas av arkivmyndigheterna eller kommunerna. Datainspektionen har dock en möjlighet enligt 18 § i nuvarande datalagen att i undantagsfall meddela villkor om gallring för det enskilda registret. Denna fördelning av befogenheter har också ganska nyligen prövats och godtagits av statsmakterna i anslutning till den nya arkivlagens tillkomst. Utredningen för sin del ingen anledning att föreslå någon avvikelse från den nu ser gällande ordningen. l enlighet med det nu sagda har i 40 § i förslaget till datalag tagits bestämmelser som innebär att Datainspektionen under vissa förutupp sättningar får meddela villkor gallring. Är det fråga om om personuppgifter som utgör allmän handling och som är mera harmlösa får dock inspektionen meddela villkor om gallring bara om synnerliga skäl talar för det, dvs liksom enligt gällande ordning bara i undantagsfall. Utredningen har i sina tidigare ställningstaganden berört frågan om samråd mellan Datainspektionen och Riksarkivet i ärenden om bevarande och gallring. En motsvarighet till de bestämmelser om samråd mellan Riksarkivet, Krigsarkivet och Datainspektionen som finns i dataförordningen och arkivförordningen bör finnas även i det nya systemet.

294 SOU 1993: 10 Utredningens förslag innefattar inte några avvikelser i förhållande till förslaget till EG-direktiv.

SOU 1993: 10 295

16 Behövs

en samordning av datalagen med annan integritetsskyddslagstiftning

16.1 Gällande rätt

Regeringsformen m.m.

Skyddet för den personliga integriteten finns i svensk rätt intagen i olika bestämmelser av skild konstitutionell valör. Det grundläggande skyddet återfinns i regeringsformens RF bestämmelser, som reglerar skyddet för vissa medborgerliga fri- och rättigheter. Skyddet för den personliga integriteten utgör en del av de fri- och rättigheter som är avsedda att skydda bl.a. opinionsfriheterna. Som ett led i skyddet för de medborgerliga fri- och rättigheterna finns i l kap. 2 § RF en bestämmelse om att det allmänna skall värna den enskildes privatliv och familjeliv. Vidare finns reglerna i 2 kap. om grundläggande frioch rättigheter. Förutom med stöd av den egna rättstraditionen, bl.a. 16 § i 1809 års regeringsform, har fri- och rättighetskatalogen i 2 kap. RF utformats mot bakgrund av tvâ internationella instrument som Sverige förbundit sig att följa: Förenta nationernas allmänna förklaring de mänskliga rättigheterna av år 1948 och Europarádskonventionen om från år 1950 om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Sedan är 1988 har katalogen i 2 kap. RF utvidgats till att också omfatta skydd för medborgarna mot att deras personliga integritet kränks genom att uppgifter om dem registreras med hjälp av automatisk databehandling 2 kap. 3 § andra stycket. Den allmänna grundlagsbestämmelse som tar sikte på personligt integritetsskydd, utöver skyddet mot kroppslig integritet, är 2 kap. 6 Enligt denna bestämmelse är den enskilde skyddad gentemot det allmänna mot husrannsakan och liknande intrång samt mot undersökning brev eller förtrolig försändelse och mot hemlig av annan avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. I likhet med en del andra fri- och rättigheter i 2 kap. RF kan emellertid också denna bestämmelse begränsas genom lag. Enligt 2 kap. 12 § får begränsningen göras endast för att tillgodose ändamål

som är godtagbart i ett demokratiskt samhälle. Den får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål har föranlett som den eller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen som är en av folkstyrelsens grundvalar. Begränsning får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning 12 § andra stycket. Bland de lagar som utgör undantag från skyddet för personlig integritet i förevarande fall kan nämnas bestämmelserna i 27 kap. rättegångsbalken om beslag av brev, telegram eller försändelse annan i post- eller televerkets vård och hemlig teleavlyssning, liksom i om lagen l952:98 med särskilda bestämmelser tvångsmedel i vissa om brottmål och lagen 1989:530 om åtgärder för att förebygga våldsdåd med internationell bakgrund terroristlag. Andra exempel på undantag från skyddet för personlig integritet är föreskrifterna i 28 kap. rättegångsbalken om husrannsakan och rätten att bl.a. undersöka påträffade post- och telegrafförsändelser. Intrång slag av samma som husrannsakan kan även förekomma vid administrativa tvångsförfaranden enligt bevissäkringslagen 1975:1027 för skatte- och avgiftsprocessen samt enligt utsökningsbalken vid exekutiva förfaranden. Medan grundlagsbestämmelserna reglerar integritetsskyddet mellan det allmänna och den enskilde, är skyddet mellan enskilda reglerat enbart i vanlig lag. Sådana bestämmelser riktar sig naturligtvis också till företrädare för det allmänna till den del integritetskränkande åtgärder vidtas på ett obehörigt eller olovligt sätt. Exempel på integritetsskyddande bestämmelser i vanlig lag är, förutom datalagen, vissa bestämmelser i brottsbalken samt kreditupplysningslagen 1973: 1 173, inkassolagen 1974: 182 och sekretesslagen 1980: 100. Som framhålls i direktiven för utredningen hör också regleringen av TV-övervakning hit. I följande avsnitt skall kortfattat bestämmelserna i de nu nämnda författningarna beskrivas, särskilt med hänsyn till huruvida anknytning finns till datorteknik och personregistrering. Den lagstiftning som i övrigt allmänt kan sägas integritetsmera vara av skyddande slag berörs dock inte. Hit hör framför allt den upphovsrättsliga lagstiftningen och bestämmelser till skydd för o.d., bl.a. namn firmalagen 1974:156 och lagen 1978:800 och bild i om namn reklam.

Brottsbalken

År 1986 genomfördes vissa lagändringar i brottsbalken i syfte att förstärka det straffrättsliga skyddet mot straffvärda förfaranden som har anknytning till användningen automatisk informationsbeav handling, särskilt datorer SFS 1986:123, 1985/86:65, JuUl7, prop. rskr. 121. Bl.a. fördes i bedrägeristadgandet i brottsbalken 9 kap. 1 § in en ny bestämmelse som straffbelägger att någon bereder sig

SOU 1993: 10 297

vinning genom att olovligen påverka resultatet av en automatisk informationsbehandling eller en liknande automatisk process, så att det innebär skada för någon annan. Vidare ändrades straffstadgandena om olovligt brukande 10 kap. 7 § brottsbalken och dataintrång 21 § datalagen i syfte att möjliggöra ett effektivare ingripande mot förfarande som brukar betecknas som tidsstöld resp. "wire-tapping" olovlig avtappning av data som är under befordran. De bestämmelser i brottsbalken som tar sikte på att skydda den personliga integriteten i annat hänseende än när det gäller att skydda mot en rent kroppslig kränkning är närmast reglerna om hemfridsbrott 4 kap. 6 §, brytande av post- eller telehemlighet 4 kap. 8 §, intrång i förvar 4 kap. 9 § och olovlig avlyssning, dvs. s.k. buggning 4 kap. 9 a §. I vidare mening hör även bestämmelserna om ärekränkning i 5 kap. hit.

Lagen om övervakningskameror m.m.

År 1990 ersattes 1977 års lag 1977:20 om TV-övervakning av en ny lag 1990:484 om övervakningskameror m.m. Syftet med den nya lagen var främst att anpassa den rättsliga regleringen av användningen av optisk-elektronisk övervakningsutrustning till den tekniska utvecklingen och att hålla ett tillfredsställande skydd mot integri-

tetskränkningar i samband med användningen av sådan utrustning se

prop. 1989/90:119; JuU34, rskr. 320. Med övervakningskameror förstås enligt lagen TV-kameror, andra optisk-elektroniska instrument och därmed jämförbara utrustningar som är uppsatta så att de, utan att manövreras på platsen, kan användas för personövervakning 1 §. Med termen optisk avses enligt förarbetena alla registreringar som kan ske med instrument inom det elektromagnetiska våglängdsspektret för optisk strålning. Under beteckningen optisk faller därmed den insamling av information som kan ske på såväl optisk-elektronisk som fotokemisk väg. Med uttrycket elektronisk förstås att förmedlingen av bilderna, visningen av bilderna på till en instrumentet anknuten monitor eller lagringen av de upptagna bilderna sker genom elektronisk påverkan. Däremot saknar det betydelse om andra funktioner hos instrumentet styrs på elektronisk väg. Detta innebär exempelvis att s.k. fiber-optiska kikare liksom stillbilds- och filmkameror är att anse som optisk-elektroniska instrument, om bildupptagningen direkt förmedlas vidare till en elektronisk bildskärm eller lagras videoband, i datorminne eller på något annat elektro-

niskt medium se prop. s. 39.

Enligt lagen skall en övervakningskamera användas med tillbörlig hänsyn till enskildas integritet och upplysning om kameran skall lämnas genom tydlig skyltning eller på något annat verksamt sätt 2 - 3 §§.

Tillstånd att använda en övervakningskamera krävs enligt huvudregeln för att en sådan kamera skall få vara uppsatt så att den kan riktas mot den plats dit allmänheten har tillträde. Undantag medges bl.a. för övervakningskameror som är uppsatta fordon av trafiksäkerhets- eller arbetsmiljöskäl och för vissa kameror som används av polisen 4 §. Tillstånd får meddelas endast om sökanden kan anses ha ett befogat intresse av att få använda övervakningskameran och detta intresse inte lika väl kan tillgodoses på något annat sätt. Tillstånd skall under denna förutsättning meddelas, om den information som kan förmedlas, och om tillståndet är avsett att förenas med en rätt att behandla eller bevara bilder, denna rätt kan antas vara av ringa betydelse för enskildas personliga integritet med hänsyn till den utrustning som skall användas, det område som skall bevakas och övriga omständigheter. I andra fall, dvs. när integritetsriskerna är mera framträdande, skall tillstånd meddelas bara om intresset av att tillgodose det avsedda ändamålet med övervakningen är så starkt att det skall ges företräde framför intresset att värna enskildas personliga integritet 5 §. I förarbetena ges vissa exempel på hur bestämmelsen skall tolkas, varav bl.a. framgår att affärslokaler inom detaljhandeln liksom bankoch postlokaler i allmänhet hör till den kategori som regelmässigt bör ges tillstånd under förutsättning att utrustningen endast medger en allmän övervakning och inte tillåter närbilder eller annan mera närgången granskning. Detsamma gäller områden i anslutning till allmänna kommunikationsmedel, t.ex. väntsalar, biljetthallar och perronger. Däremot anses integritetsriskerna vara större när det gäller områden som används för allmän trafik, liksom lokaler och områden som används av allmänheten för att utöva någon av de grundläggande

fri- och rättigheterna i regeringsformen se 2 kap. l § eller där

allmänheten uppehåller sig för rekreation eller nöjen. Till de senare platserna uppges höra andra utrymmen än entréer och foajéer i exempelvis muséer, och hotell. Även sjukhusentréer, restauranger socialkontor, försäkringskassor och domstolslokaler nämns som exempel platser där integritetsintressen kan göra sig särskilt gällande prop. s. 47 I de fall där riskerna för integritetsintrång är mera framträdande krävs för tillstånd, som tidigare har nämnts, att intresset av att tillgodose det avsedda ändamålet är så starkt att det skall ha företräde framför integritetsintresset. Tillstånd lämnas av länsstyrelsen som också har vissa tillsynsuppgifter 7 -13 §§. I de fall integritetsriskerna bedöms som ringa och i sådana andra fall där övervakningskameran är avsedd att användas för att förebygga brott, förhindra olyckor eller tillgodose något annat därmed jämförligt ändamål, får ett tillstånd förenas med rätt att med någon teknisk anordning behandla eller bevara bilder, som tas upp av kameran, om sökanden av särskilda skäl har behov av detta 6 §. Härmed avses

SOU 1993: 10 299

exempelvis att en bank eller någon penninginrättning har annan som tillstånd att använda övervakningskamera kan beroende en vara av att få bevara bilder från upptagningar inträffade rån 0.d. för av att övervakningen inte skall förlora sitt syfte. Likaså kan enligt förarbetena prop. s. 49 en naturlig anknytning mellan övervakning och bevaring av bilder föreligga när ändamålet med övervakningen är att förhindra olyckor. Det kan nämligen så att det först vara genom en granskning av dokumentationen inträffad olycka kan möjligt av en var att begränsa verkningarna av den eller få underlag för insatser för att förhindra framtida olyckor påpekas det. Länsstyrelsen får vid sin tillståndsgivning meddela villkor avseende bl.a. behandling och bevaring av bilder samt andra förhållanden betydelse för skydda av att enskildas personliga integritet. I förarbetena påpekas i detta sammanhang prop. s. 53 att villkor som riktar sig till myndigheter inte får gå utöver vad dessa har att iaktta enligt tryckfrihetsförordningen och sekretesslagen i fråga om offentlighetsprincipen. I fråga om förhållandet mellan datalagen och föreskrifterna överom vakningskameror påpekas att tillstånd enligt datalagen att få inrätta och föra ett register kan krävas, ett bildregister uppkommer vid om som användningen av en övervakningskamera samtidigt är att anse som ett personregister prop. s. 45. I lagen regleras också frågor om sekretess, straff, överklagande m.fl. liknande frågor 14-19 §§.

Sekretesslagen

Sekretesslagens 1980:100 bestämmelser tar i stor utsträckning sikte skydd för enskilds integritet. Det gäller närmast 7 - 9 kap. som avser sekretesskyddsbestämmelser med hänsyn till enskilds personliga och ekonomiska förhållanden. I dessa kapitel i vilken anges utsträckning uppgifter hos en myndighet skall hållas hemliga. Sekretesslagens bestämmelser skall ses i ljuset av den offentlighetsprincip för allmänna handlingar, inklusive ADB-upptagningar, som sedan länge gäller enligt tryckfrihetsförordningen. Bestämmelserna härom har varit föremål för översyn vid flera tillfällen under senare år, senast genom lagändringar år 1991 prop. l990/9l:60, KUll, rskr. 160. Riksdagsbeslutet innefattar vissa ändringar i tryckfrihetsförordningen. En ändring innebär att det inte längre skall möjligt för vara en enskild att med stöd av offentlighetsprincipen ställa datorprogram och datorkapacitet till en myndighets förfogande och begär bearbetningar med hjälp av dessa. Den s.k. biblioteksregeln i tryckfrihetsförordningen förtydligas, så att det klart framgår att den omfattar även databaser som en myndighet har tillgång till avtal med enskild. genom Vidare görs ett par ändringar i sekretesslagen innebär precisesom ringar av det krav på "god offentlighetsstruktur" gäller myndigsom

heternas ADB-verksamhet. Vissa ändringar görs också i datalagen för att tydligare markera att uppgifter ur myndigheters personregister inte får säljas, om det inte finns särskilt stöd för det, och i sekretesslagen och datalagen för att underlätta allmänhetens möjligheter att få information om när en myndighet får sälja uppgifter ur personregister. Slutligen genomförs den ändringen att myndigheters beslut att vägra lämna utdrag ur personregister enligt 10 § datalagen skall överklagas på samma sätt som beslut att vägra utlämnande enligt offentlighetsprincipen. När det gäller den närmare redovisningen av sekretesslagsbestämmelserna och förhållandet till ADB hänvisas till propositionen och till data- och offentlighetskommitténs slutbetänkande SOU 1988:64 Offentlighetsprincipens tillämpning på upptagning för automatisk databehandling

Kreditupplysningslagen och inkassolagen

Enligt kreditupplysningslagen 1973:1173 får kreditupplysningsverksamhet som regel inte bedrivas annat än efter tillstånd av Datainspektionen. Med kreditupplysning avses uppgift, omdöme eller råd som lämnas till ledning för bedömning av annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. Verksamheten fâr inte bedrivas så att den leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. Restriktioner gäller vidare för insamling och lagring av vissa uppgifter politisk eller religiös uppfattning, ras eller hudfärg, brottsmisstanke, tvångsvård, sjukdom, hälsotillstånd m.fl.. Begränsningar finns också när det gäller upplysningar om annan enskild person än den som är näringsidkare eller annars har så väsentligt inflytande i viss näringsverksamhet att uppgift om hans egna förhållanden behövs för att belysa verksamhetens ekonomiska ställning. Vidare finns bestämmelser om underrättelseskyldighet, rättelse, tystnadsplikt och förbud mot överlåtelse av register som används i kreditupplysningsverksamhet, liksom om tillsyn, straff och skadestånd m.m. Inkassolagen 1974:182 gäller indrivning av egen eller annans fordran genom krav eller annan inkassoåtgärd inkassoverksamhet. Lagen innehåller krav tillstånd från Datainspektionen för att få bedriva sådan inkassoverksamhet som avser indrivning av fordringar för annans räkning eller fordringar som har övertagits för indrivning. Tillstånd får meddelas endast om verksamheten kan antas bli bedriven på ett sakkunnigt och omdömesgillt sätt. Inkassoverksamhet skall bedrivas enligt "god inkassosed".

Register som avser gäldenär och som används i tillståndspliktig inkassoverksamhet får överlåtas eller upplåtas till annan endast efter medgivande av datainspektioncn. Bestämmelser finns om tystnadsplikt avseende bl.a. enskilds personliga förhållanden liksom om tillsyn, straff och skadestånd m.m. Såväl kreditupplysningsverksamhet som inkassoverksamhet bedrivs oftast med hjälp av ADB, varför en prövning enligt datalagen som regel också behövs. Ett trettiotal företag har för närvarande tillstånd att bedriva kreditupplysningsverksamhet, medan antalet inkassoföretag är knappt 400.

16.2 ställningstaganden

Utredningens tidigare

Som framgår av redovisningen av gällande rätt uppvisar skyddet för den enskildes integritet enligt svensk rätt en i viss mån splittrad bild. Någon samlad reglering till skydd för personliga förhållanden av ickekroppsligt slag finns inte. Vid sidan av de grundläggande föreskrifterna i regeringsformen och de undantag från skyddet till förmån för allmänna intressen som finns intagna i främst rättegångsbalken återfinns de allmänna integritetsskyddsreglema framför allt i brottsbalken, där också regler om datorrelaterade brott finns intagna. När det gäller det speciella område som omfattas av datalagen, nämligen integritetsskydd vid personregistrering med hjälp av ADB, finns hårutöver beröringspunkter i ett antal särskilda lagar såsom lagen 1990:484 om övervakningskameror m.m., kreditupplysningslagen 1973: l 173 och inkassolagen 1974: 182. Det gemensamma för dessa lagar är att de avser att skydda den enskilde mot att uppgifter om honom eller henne i otillbörlig omfattning samlas in, lagras, bearbetas och sprids i olika sammanhang. I fråga om övervakningskameror gäller det närmast bilder av den enskilde, medan det vid kreditupplysning och inkassoverksamhet rör uppgifter om dennes personliga och ekonomiska förhållanden. I mycket stor utsträckning är den särskilt tillståndspliktiga verksamhet som är reglerad enligt de nu nämnda lagarna också ADB-anknuten. Någon osäkerhet om att i sådant fall också datalagens regler om integritetsskydd är tillämpliga torde inte föreligga. I fråga om det integritetsskydd som sekretesslagen 1980: 100 innebär tar detta mera sikte på utlämnande av uppgifter, dvs. aktualiseras först sedan personuppgifter inhämtats och lagrats. I den mån de handlingar som regleras av tryckfrihetsförordningen och sekretesslagen också är att anse som personregister i datalagens mening kan dock även i de fallen frågan om en dubbel prövning uppstå. Enligt datalagen ll § första stycket får personuppgift som ingår i personregister inte lämnas ut om det finns anledning anta att uppgiften skall användas för automatisk databehandling i strid med lagen. Motsvarande förbudsregel

som i ll § första stycket datalagen finns för myndigheternas del i 7 kap. l6§ sekretesslagen. Inte heller i nu nämnda fall torde några gränsdragnings- eller tillämpningssvårigheter uppstå. Nuvarande ordning har, såvitt utredningen kunnat finna, inte inneburit behov av någon särskild samordning av de skilda bestämmelserna. Med hänsyn till att utredningen inte föreslår att några ändringar i ADB-begreppet vid tillämpning av datalagen behöver göras och att personregisterbegreppet framgent skall göras mera teknikoberoende finns det inte heller skäl att tro att tillämpningssvårigheter skulle uppstå i framtiden i förhållande till de speciallagar har som nu behandlats. Enligt Datalagsutredningens mening finns det därför inte skäl att ytterligare samordna lagstiftningen på integritetskyddsområdet vad gäller områden där datorteknik används och personregistrering sker. Å andra sidan det inte möjligt synes vara att i en vidare utsträckning undvika den dubbla prövning som nu i en del fall kan krävas enligt skilda bestämmelser. En förändring i en sådan riktning skulle tvärtom kunna leda till att brister i integritetsskyddet skulle uppstå på området. När det gäller kreditupplysnings- och inkassoverksamhet förtjänar det att framhållas att integritetsskyddet främjas av att Datainspektionen är tillsynsmyndighet också på dessa områden. Inspektionens tillsyn och kontroll bör verksamt kunna bidra till en enhetlig tillämpning vid en prövning av integritetsskyddet.

16. 3 Remissutfallet

Av de fyra remissinstanser som närmare har uppehállit sig vid de frågor som nu har berörts om samordningen av datalagen med annan integritetslagstiftning har Justitiekanslern, Kammarrätten i Göteborg och Datainspektionen inget att erinra mot utredningens synpunkter. Juridiska fakultetsnämnden vid Stockholms universitet är något tveksam och menar att det är möjligt att se samordningsbehoven i ett annorlunda perspektiv än det utredningen valt. Fakultetsnämnden förordar en förnyad analys.

16.4 överväganden

Utredningen har stannat för att datalagen skall vara tillämplig på behandling av personuppgifter, inte personregister eller persondatamängd. Detta ger emellertid inte utredningen anledning att ändra den uppfattning i samordningsfrågan som tidigare har redovisats. Inte heller i övrigt finns det enligt utredningens mening skäl till förnyade överväganden.

SOU 1993: 10 303

17 Organisatoriska frågor

17. 1 Nuvarande

ordning

För Datainspektionen gäller förordningen 1988:912 med instruktion för datainspektionen. Datainspektionens generaldirektör är chef för inspektionen. Inspektionens styrelse består högst elva av personer, inklusive generaldirektören, och står under dennes ordförandeskap. Inom inspektionen finns två sakenheter som svarar för uppgifterna inom resp. offentlig verksamhet och enskild verksamhet. Varje enhet leds av en byráchef. Dessutom finns administrativ och teknisk en en enhet. Sammanlagt finns f.n. 38 tjänster vid myndigheten. Enligt särskild föreskrift i förordningen skall styrelsen besluta i frågor om tillstånd eller återkallelse tillstånd är särskild av som av principiell vikt. Beslut om föreskrifter fattas regelmässigt styrelsen. I övrigt är av beslutsfattandet delegerat i enlighet med föreskrifterna i verksförordningen 1987: l 100 och i inspektionens arbetsordning. Fördelningen av arbetad tid på olika aktiviteter under budgetåret 1990/91 framgår av följande bild föregående budgetárs siffror inom parentes. Av bilden kan utläsas bl.a. att den enda Verksamhetsgren som har minskat sin andel av den arbetade tiden är tillsyn. Den andel av den arbetade tiden som anslås till tillsyn uppgår bara till 14 %.

35.7% Tillstånd 35.7 Z

16.57. Extlnfo 1a5 14.2% Tillsyn 22.7 15.5% - 8.0% Teknikverk

ae§gl%1vn 7.3 z

Fördelningen av arbetad tid under 1991/92 har också tagits fram av Datainspektionen. Den bilden visar bl.a. en inte oväsentlig ökning av tillsynsaktiviteterna medan andelen arbetad tid för tillstånd har sjunkit.

30.77. Tillstånd

7.4% Licfrágor

12 R°ge13 20.87.ExLlmo

I den verksamhetsplan som inspektionen bilagt sin anslagsframställan för budgetåret 1990/91 och ett treårigt budgetförslag t.0.m. budgetåret 1992/93 har inspektionen i sin beskrivning över målen för den framtida verksamhetsutvecklingen behandlat bl.a. tillståndsprövningen, tillsynsverksamheten, licensverksamheten, informationsverksamheten och regelgivningen. För tillstândsprövningen har inspektionen angivit att målet är att högst en tredjedel av inspektionens resurser skall utnyttjas för handläggning av tillstándsärenden vid treårsperiodens slut. Rationaliseringar, utbyggnad av ADB-stödet, dokumentation av praxis samt kompetensutveckling anges som medel för att nå det uppsatta målet. När det gäller tillsynsverksamheten anges som mål att denna skall öka och att minst en tredjedel av resurserna skall användas för tillsyn i olika former. Det uppsatta målet bör enligt inspektionen kunna nås genom rationalisering av klagomålshanteringen samt en ökad inriktning på projektanställd specialistkompetens och en uppföljning av resultatet av allmänna råd och föreskrifter om förenklade ansökningsförfaranden. I fråga om informationsverksamheten och regelgivningen anges särskilt att dessa verksamheter skall intensifieras. I sin verksamhetsplan för budgetåret 1992/93 har Datainspektionen som mål för tillstándsverksamheten angett att denna skall ta i anspråk högst 30 % av inspektionens totala arbetstid. Den produktivitetsökning som detta kräver med hänsyn också till att antalet ärenden som inte handläggs enligt ett förenklat ansökningsförfarande beräknas öka under budgetåret med 20 % skall ske genom rationaliseringar av hand- läggningen av tillståndsärendena, bl.a. genom användning av standardiserade tillståndsbeslut i vissa typer av ärenden. För tillsynsverksamheten gäller enligt verksamhetsplanen att detta arbete skall ta i anspråk minst 25 % av inspektionens totala arbetstid.

SOU 1993: 10 305

För den enhet som svarar för uppgifterna inom offentlig verksamhet gäller att varje handläggare under budgetåret skall ha genomfört fyra inspektioner utöver dem som föranleds av den löpande verksamheten klagomål m.m.. Den andra enheten, som svarar för uppgifterna inom enskild verksamhet, skall under budgetåret ha företagit 20 inspektioner på eget initiativ. Den tekniska enheten skall följa upp av Datainspektiobeslutade ADB-säkerhetsföreskrifter genom ett tekniskt tillnen synsarbete, bl.a. genom inspektioner på sjukvårdsomrâdet. I sammanhanget bör erinras om att Datainspektionens verksamhet inte är begränsad till frågor som regleras i datalagen. Inspektionen beslutar bl.a. också om tillstånd enligt kreditupplysningslagen 1973:1173 och inkassolagen 1974: 182.

17.2 Utredningens tidigare ställningstaganden

Följande utgångspunkter för en organisatorisk förändring vid inspektionen konsekvens av ett renodlat tillsynssystem bör enligt som en utredningen beaktas.

Tillståndsprövningen upphör

Den nuvarande tillståndsprövningen kan helt upphöra. De fall där inspektionen i framtiden behöver göra individuell ärendebedömning en i fråga inrättande och förande av register inskränker sig till de fall om där anmälan görs inrättande av ett personregister. I dessa fall en om kan inspektionen ha att besluta villkor för eller undantagsvis förbud om mot fortsatt förande samt ta ställning till frågan om medgivande till utlandsöverföring. Handläggningen de nu nämnda frågorna kan av kräva ändrad organisation för att identifiera ärendena och på en lämplig nivå kunna besluta i saken. Urvalet och identifieringen av anmälningar av nyss nämnt slag bör kunna ske med ADB-stöd och huvuddelen av ärendena kunna beslutas enhetschef efter föredragning eller handläggas som enmansårenden. av Beslut förbud mot fortsatt förande bör i viktiga fall underställas om styrelsen, det inte är tillräckligt att generaldirektören fattar om beslutet. Det ligger i sakens natur att det av tidsskäl inte torde vara möjligt att låta styrelsen besluta i fråga om ett interimistiskt beslut.

Förstärkt tillsyn

Tillsynen bör framdeles koncentreras till att följa upp tillämpningen av bestämmelserna, såväl datalagens inspektionens egna föreskrifter, som inspektioner och handläggning av klagomål. Hit hör givetvis genom också kontroll att de registeransvariga följer de villkor som har en av

ställts upp av Datainspektionen i det enskilda ärendet. Den del av tillsynen som f.n. handläggs projektverksamhet bör i förändrad som en ordning snarare hänföras till de bransch- eller sektorsöversyner som krävs för normeringen eller regelgivningen.

En viktig del av den framtida tillsynen bör att ta ställning till vara i vad mån överträdelser av bestämmelser också bör medföra lagföring.

Datainspektionen saknar f.n. möjlighet att annat än i form anmälan av till polis- eller åklagarmyndighet påkalla fråga straffansvar. De en om fall där ansvars- eller skadeståndstalan förs är också mycket få. Detta

hänger till en del samman med att inspektionen inte har möjlighet att i önskvärd utsträckning ägna sig tillsynsverksamhet. Det kan inte

heller uteslutas att de nuvarande förhållandena år föranledda de av att brottsutredande myndigheterna har vissa svårigheter tillämpa att föreskrifterna inom det speciella rättsområde integritetsskyddet som och datafrågorna utgör. Det bör dock understrykas inspektionen i att sin klagomålshantering många gånger får rättelse till stånd genom påpekanden underhand, vilket kan göra frågan lagföring i dessa fall om onödig.

I de fall där ansvarstalan verkligen förs är det mycket vanligt att tjänstemän vid Datainspektionen kontaktas polis- eller åklagarmynav dighet under förundersökningen för att bidra med synpunkter på den

rättsliga bedömningen i ett visst fall. Det har vidare förekommit att en tjänsteman vid inspektionen av åklagaren åberopats och också av domstolen kallats som "vittne" för att redogöra för tolkningen vissa av bestämmelser i datalagen vid huvudförhandlingen i målet.

I ett renodlat tillsynssystem kan i vart fall inledningsvis frågor - om straffansvar m.m. komma att få framträdande roll än f.n. en mera Det bör naturligtvis inte vara något självändamål att öka antalet fall av lagföring av brott mot datalagen, skärpt tillsyn bör rimligen men en till resultat att flera fall som kräver straffrättslig prövning upptäcks.

Och det är av allmänpreventiva skäl vikt att de upptäckta fallen, där av avsteg från de integritetsskyddande föreskrifterna i datalagen föreligger

eller från de bestämmelser som inspektionen har beslutat verkligen om, också i tillräcklig omfattning leder till lagföring och straff, i den mån

det inte bedöms tillräckligt med påpekanden underhand.

Datainspektionens roll kommer således i ett renodlat tillsynssystem

att behöva inriktas mera mot ombudsmannafunktion, dvs. en att övervaka och påtala avvikelser, än f.n.

En ombudsmannaroll reser i sin tur frågor i vilken utsträckning om inspektionen själv bör kunna initiera och påverka frågor om straffan-

svar. F.n. saknar de ombudsmän âtalsrätt näringsfrihetsombudsmann- nen NO, konsumentombudsmannen KO, jämställdhetsombudsman-

nen JämO och diskrimineringsombudsmannen DO under de - som senaste decennierna efter mönster av justitieombudsmännen införts i

vårt land. Vid sidan av de allmänna åklagarna har endast ett mycket

begränsat antal myndigheter möjlighet att väcka åtal som särskilda åklagare. Hit hör främst Justitiekanslern och justitieombudsmännen. NO och KO har dock givits en exklusiv behörighet att inom respektive ämnesområde lämna medgivande till allmänt åtal. JämO, å sin sida, har möjlighet att inom sitt område föra talan för den enskildes räkning. Vid inrättandet av den senaste ombudsmannen, DO, för några år sedan behandlades frågan om åtalsrätt inte närmare. Däremot betonades i lagstiftningsärendet prop. 1985/86:98, SfU 20, rskr. 301 att DO skulle ha en rådgivande och utredande funktion och att ombudsmannen inte skulle uppfattas som en tillsynsmyndighet i egentlig mening. Straff, sanktioner och rättslig prövning borde därför inte, framhöll man, förknippas med diskrimineringsombudsmannens verksamhet prop. s. 66 Utgångspunkterna vid inrättandet av DO kan således sägas i förevarande hänseende ha varit i viss mån annorlunda än vad som nu har antagits för inspektionens del i ett framtida tillsynssystem. Frågan om att ge Datainspektionen dataombudsman åtalsrätt som reser en rad svåra frågor om avvägningen mellan allmänna åklagare och särskild åklagare samt om formerna för bedrivande förunderav sökning m.m. se 7 och 23 kap. rättegångsbalken. En sådan reform skulle också bryta det mönster som utvecklats rörande de ombudsmän som under senare år inrättats inom skilda specialområden. Enligt utredningens mening bör det därför inte vara näraliggande att ge Datainspektionen som ombudsman ställning särskild åklagare som eller att på annat sätt ge inspektionen rätt att självständigt väcka åtal. Däremot bör inspektionen kunna ges rätt att i likhet med vad som gäller för NO:s och KO:s del inom sitt specialområde få påverka åtalsfrågan genom en uttrycklig behörighet att medge att allmänt åtal väcks. Det kan också diskuteras om inte tjänstemän vid inspektionen av Riksåklagaren i något fall skulle kunna förordnas att som biträdande åklagare medverka vid åtalsprövningen eller utföra ett åtal de som allmänna åklagarna beslutat om jfr. 7 kap. l § rättegångsbalken och 8 § förordningen med instruktion för riksåklagaren, 1989: 847. En sådan ordning skulle i vissa fall kunna bidra till att effektivisera lagföringen omrâdet, även utredningen är tveksam till att om mera allmänt förorda en sådan lösning. Härtill kommer naturligtvis de gynnsamma resultat ökade som utbildningsinsatser inom detta specialområde kan medföra för berörda myndigheter, främst åklagar- och polismyndigheterna. Utredningen har alltså inte velat utesluta att Datainspektionen också skulle ges rätt att medge åtal och att tjänstemän vid myndigheten någon gång skulle kunna förordnas att som biträdande åklagare medverka vid en âtalsprövning eller utföra ett av allmänna åklagaren väckt åtal. Dessa uppgifter bör kunna handläggas på byråchefsnivå hos myndigheten.

Utredningen har också tagit upp frågan om de statliga tillsynsmyndigheter som svarar för olika delar av förvaltningen och vissa övriga sektorer bör medverka i den skärpta tillsynen. Det gäller närmast de myndigheter som redan i dag har ett tillsynsansvar för skilda områden t.ex. Finansinspektionen, Socialstyrelsen, Riksskatteverket och Riksförsäkringsverket. De myndigheter som skulle kunna ges ett särskilt tillsynsansvar inom dataområdet bör utan större svårighet kunna utsträcka sin vanliga tillsyn till att gälla också integritetsskyddet inom myndighetens ansvarsområde. Vad det närmast gäller är att se till att underlydande myndigheter eller övriga institutioner eller inrättningar som står under tillsyn följer de föreskrifter angående inrättande och förande av personregister som Datainspektionen har utfärdat. Det innebär att tillsynen från dessa myndigheters sida bör begränsas till de i förväg bransch- eller sektorsnormerade områdena. De berörda myndigheterna skulle heller inte få använda sig av de sanktionsmöjligheter som står Datainspektionen till buds. I inspektionens informations- och utbildningsuppgift bör särskilt ingå att utbilda befattningshavare på andra tillsynsmyndigheter i de krav som integritetsskyddet på dataområdet ställer dessa myndigheter. Liksom f.n. bör verksamheten hos Datainspektionen kunna fördelas på två sakenheter, dvs. en för den privata och en för den offentliga sektorn. En fortsatt utbyggnad av inspektionens tekniska kompetens är önskvärd. Det är också värdefullt om teknisk sakkunskap finns företrädd i inspektionens styrelse.

Inspektionens normgivning

Såsom redan har förutskickats i inspektionens verksamhetsplan kommer arbetet med att utarbeta föreskrifter att behöva intensifieras. Enligt utredningens modell bör olika branscher eller sektorer gås igenom och behovet av anpassade föreskrifter prövas. Erfarenheterna från det nuvarande förenklade tillståndssystemet med de "föreskrifter" som hittills utgivits och den särskilda projektverksamheten bör härvid kunna utnyttjas. Resurserna för regelgivningen kommer dock att behöva förstärkas, utöver vad inspektionen redan har antagit i sin verksamhetsplan. Med tanke på den betydelse som föreskrifterna kommer att ha för tillsynsverksamheten är det angeläget att dessa får en lämplig och väl avvägd utformning. Beslut om föreskrifter bör självfallet fattas av inspektionens styrelse. Beredningen bör också ske under nära samarbete med berörda myndigheter resp. branschföreträdare. En intensifiering av regelgivningen kan organisatoriskt behöva medföra en utbyggnad av vissa stabsfunktioner inom inspektionen.

SOU 1993: 10 309

då funktionen verksjurist. Även i Utredningen avser närmast som övrigt kan en förstärkning vara nödvändig.

Handläggningen av anmälningar

Koncentrationen anmälningsplikten till enbart känsliga personuppav gifter medför att antalet anmälningar högst bör uppgå till det antal som enligt nuvarande ordning är tillståndspliktigt f.n. uppgår antalet till knappt 2 000 årligen, exklusive de ärenden som faller inom det förenklade förfarandet. Det bör framhållas att anmälningarna av Datainspektionen bör kunna handläggas pâ ett sådant flexibelt sätt att onödig byråkrati och resursslöseri kan undvikas. Man torde kunna räkna med att det i en del fall inte behövs något särskilt beslut från Datainspektionen i form av villkor för persondatamängden eller förbud att använda den. l dessa fall kan anmälningarna efter granskningen bara läggas till handlingama.

Information m.m.

Datainspektionens bör givetvis vid en reform också förstärkas resurser vad gäller information och utbildning. Detta gäller särskilt vid genomförandeskedet och övergången till ett nytt system. Förutom information till framför allt de registeransvariga behövs bl.a. riktad utbildning för nyckelbefattningshavare vid de myndigheter som är avsedda att biträda vid tillsynen.

17.3 Remissutfallet

De organisatoriska frågorna har bara berörts ett begränsat antal av remissinstanser. Statskontoret framhåller att en förstärkt tillsyn bör organisatoriska förändringar för-att Datainspektionen skall åtföljas av kunna arbeta effektivt. Tanken att Datainspektionen skulle ges rätt att medverka i det straffrättsliga förfarandet vid brott mot datalagen har fått ett blandat mottagande. Bl.a. Justitiekanslern och Datainspektionen avstyrker en sådan ordning. Ett antal centrala förvaltningsmyndigheter har yttrat sig över förslaget att Datainspektionen skulle få visst biträde i tillsynsarbetet av de förvaltningsmyndigheter redan i dag har tillsynsuppgifter inom som omrâdet. En majoritet de centrala myndigheter som har yttrat sig av avstyrker, i likhet med Svenska kommunförbundet, detta förslag.

överväganden

Redogörelsen i det föregående visar att Datainspektionen, trots en ökande arbetsbörda på tillståndssidan, successivt avsätter allt större en del av sina resurser för tillsyn. Utvecklingen går alltså, som utredningen ser det, rätt håll och det är viktigt att Datainspektionen redan nu börjar förbereda sig för en ordning där tillståndsverksamheten har avskaffats. När detta sker bör givetvis den tid går för som tillståndsarbetet användas för tillsyn. Utredningen vill i det sammanhanget än en gång framhålla att anmälningsförfarandet är bli avsett att ett hjälpmedel i tillsynsarbetet och inte någon slags efterföljare till tillståndsverksamheten jfr avsnitt 14.4. Målet i den ordningen nya bör vara att andelen arbetad tid för tillsyn inte understiger 60 % av den totala tiden. Samtidigt är det ofrånkomligt att vissa andra aktiviteter måste inte ta obetydliga resurser i anspråk, inte minst under övergångsperiod före en och efter den nya datalagens ikraftträdande. Enligt den redovissenaste ningen tar verksamheten "regelgivning" i anspråk omkring 14 % av resurserna. Till denna verksamhet räknas också det arbete som består av besvarande av remisser, yttranden enligt 2 a§ datalagen och granskning av delningar av författningsförslag. Detta arbete har, som framgår av Datainspektionens senaste verksamhetsplan, tagit allt större resurser i anspråk. Utredningen har i det föregående förordat att den nu gällande skyldigheten att alltid inhämta yttrande från Datainspektionen inför ett s.k. statsmaktsregister skall avskaffas. Remissförfarandet bör enligt utredningen begränsas till fall då det verkligen är nödvändigt att ett underlag från Datainspektionen. Denna ordning bör, den om genomförs, inte oväsentligt minska Datainspektionens arbete med remisser inför s.k. statsmaktsregister. Även i övrigt är det angeläget att regeringskansliet försöker begränsa antalet remisser till Datainspektionen. Men även när det gäller själva författningsarbetet är det önskvärt att Datainspektionens insatser kan begränsas, till förmån för tillsynsarbetet. Utredningens förslag förutsätter att de allmänna reglerna i datalagen kompletteras med föreskrifter från Datainspektionen för vissa områden eller för vissa branscher. Ett sätt att reducera Datainspektionens insatser i denna del kan vara att arbetet med kompletterande föreskrifter sköts av en grupp utanför myndigheten. Inför ikraftträdandet av lagen skulle t.ex. en mindre inom Datalagsutredningen få grupp svara för författningsarbetet. Datainspektionen måste naturligtvis medverka med sin sakkunskap men den skisserade ordningen skulle likväl kunna innebära en klar lättnad för inspektionen. Målet bör vara att den verksamhet som hänför sig till författningsarbete, remisser m.m. inte tar i anspråk mer än högst 10 % av resurserna.

Teknikverksamheten och informationsverksamheten tar för närvarande i anspråk omkring 7 resp. 20 % av den arbetade tiden. Som utredningen tidigare har framhållit är dessa båda verksamhetsgrenar av stor betydelse, inte minst vid genomförandeskedet och övergången till en ny ordning. Detta har också understrukits av en del remissinstanser. Man får räkna med att i huvudsak samma behov av resurser kommer att behövas även i framtiden för teknik- och informationsverksamheterna. Behovet av resurser för att ta in den årliga avgiften torde däremot relativt sätt komma att minska. Detta sammanhänger med att i dagens ordning i princip alla registeransvariga skall betala den årliga avgiften licensavgiften, medan i det nya systemet betalningsskyldigheten har kopplats till anmälningsskyldigheten. Anmälningsskyldigheten omfattas av nuvarande tillståndsplikt. Som närmare utvecklas i nästa avsnitt löper inkasseringen av licensavgifter från tillståndshavarna i stort sett friktionsfritt medan betalningsförsummelser från en del andra registeransvariga orsakar Datainspektionen en hel del arbete. Den tid som behövs för att ta in den årliga avgiften i det nya systemet torde emellertid inte bli mindre än som nu åtgår för licensavgifterna, detta med hänsyn till det årliga antalet anmälningar som utredningen räknar med jfr avsnitt 21. Andelen arbetad tid för tillsyn bör som nämnts inte understiga 60 % av den totala arbetstiden. Effektiviteten i tillsynsarbetet skulle emellertid kunna öka ytterligare om andra myndigheter med tillsynsuppgifter inom statsförvaltningen kunde medverka i tillsynen dataområdet. Utredningen har tidigare tagit upp frågan om en sådan medverkan. Som utredningen har utvecklat i det föregående bygger den nya ordningen på att en systematisk och effektiv tillsyn kommer till stånd. Utredningens tanke om biträde i tillsynsarbetet av vissa andra myndigheter skall ses mot denna bakgrund. Samtidigt går det inte att komma ifrån att en sådan lösning är förenad med vissa nackdelar, delvis av principiell natur. Som har utvecklats i en del av remissvaren kan en meningsfull tillsynsverksamhet komma att kräva en del extra resurser hos de berörda myndigheterna. Det kan också finnas risk för att visst dubbelarbete med Datainspektionen uppkommer. Kompetensproblem kan uppkomma och den skisserade ordningen kan också innebära intressekonflikter. Myndigheterna skall i sin verksamhet både ta tillvara och utveckla sin normala ADB-verksamhet och samtidigt ha ett särskilt tillsynsansvar. En remissinstans har pekat på att de aktuella myndigheterna i sin tur står under Datainspektionens tillsyn. Med hänsyn till vad som nu har sagts och det övervägande negativa remissutfallet är utredningen inte beredd att vidhålla sitt tidigare förslag i denna del. Utredningen har tidigare framhållit att Datainspektionens roll i ett renodlat tillsynssystem mera kommer att inriktas mot en ombudsman-

nafunktion, dvs. att övervaka och påtala avvikelser, än f.n. Datainspektionens huvuduppgift blir att se till att behandling av personuppgifter sker ett sätt som stämmer överens med de regler som gäller för behandlingen av de berörda personuppgifterna. Under sitt tidigare arbete har utredningen tagit upp frågan om inte Datainspektionen, som ett led i sin nya roll, skulle få möjlighet att påverka åtalsfrågan vid brott mot datalagen och att en tjänsteman där skulle kunna förordnas som biträdande åklagare vid sådana brott. Under remissbehandlingen har olika invändningar gjorts mot dessa tankar. Det har sagts att åtalsfrågorna vid brott mot datalagen knappast är mera komplicerade än inom många andra specialstraffrättsliga områden, t.ex. miljöområdet. Det har också framhållits att en mera effektiv lagföring inte kommer till stånd genom att Datainspektionen svarar för rena åtalsuppgifter utan genom en skärpt tillsyn från inspektionens sida. Datainspektionen har ansett det olämpligt att dess verksamhet med tillsyn och rådgivning i olika former förenas med en möjlighet för en tjänsteman vid inspektionen att självständigt påverka ett åtal. I allmänhetens ögon skulle tjänstemännen kunna framstå som partisk och bunden av tidigare ställningstaganden i inspektionens verksamhet. De invändningar som har förts fram är sådana att de bör beaktas. Datalagsutredningen vidhåller inte de nu diskuterade förslagen, vilket dock innebär en avvikelse i förhållande till förslaget till EG-direktiv. Enligt artikel 30.2 i direktivförslaget skall nämligen dataskyddsmyndigheten ges befogenhet att väcka talan vid domstol vid överträdelse av dataskyddsbestämmelserna. Datainspektionen är i dag en myndighet som i huvudsak i arbetar i traditionella verksformer. Verksamheten består till mycket stor del av handläggning av olika ansökningar som kommer in till myndigheten. Den tillsyn som förekommer är av blygsam omfattning. De utåtriktade aktiviteterna består i en ganska omfattande informationsverksamhet samt olika åtgärder för att ta in licensavgifter. Arbetsformerna avspeglas i myndighetens organisation som följer det vanliga verksmönstret. Utredningens förslag innebär om de genomförs en radikal förändring av inriktningen av Datainspektionens verksamhet. Det utåtriktade arbetet i form av tillsyn skall prioriteras och omfatta åtminstone 60 % av arbetstiden. Tillsynen får också en annan karaktär än i dag. Den kommer att gå ut på att kontrollera att persondataansvariga i sin ADBhantering håller sig till de bestämmelser som gäller för den berörda behandlingen av personuppgifter. Datainspektionens verksamhet kommer att i ganska hög grad likna den verksamhet som renodlade tillsynsmyndigheter, t.ex. Riksdagens ombudsmän, ägnar sig åt. De nya arbetsformer som utredningens förslag förutsätter kommer att medföra krav på en ny myndighetskultur hos Datainspektionen. Omställningen kommer, kan det antas, att innebära vissa problem för en personal som är van vid att utföra sitt arbete i helt andra former. I

andra sammanhang, särskilt under senare tid, när en myndighets Verksamhetsinriktning förändrats kraftigt, har förändringar i arbetsbetingelserna följts upp av en organisatorisk översyn i syfte att ge myndigheten en organisation som är anpassad till de förändrade arbetsuppgifterna. Frågan är om inte en sådan översyn skulle vara på sin plats även när det gäller Datainspektionen. Vad utredningen närmast tänker på är att lägga ner Datainspektionen som myndighet och i stället anförtro integritetsskyddet en dataombudsman. En ordning med en dataombudsman är vanligt förekommande utomlands. Beslutande i den nya myndigheten skulle bli ombudsmannen ensam och hos myndigheten skulle det finnas ett antal föredragande samt kanslipersonal, dvs. ungefär samma struktur som Riksdagens ombudsmän har i dag. Genom övergången till en konstruktion med en dataombudsman skulle även organisatoriskt markeras den starka inriktning på tillsyn som ligger i utredningens förslag. Vissa komplikationer finns emellertid. En fråga är hur man skall göra med den ganska omfattande informationsverksamhet som Datainspektionen bedriver i dag och som kommer att behövas även i fortsättningen. En annan fråga är finansieringen av dataombudsmannens verksamhet. Det arbete som består i att meddela kompletterande föreskrifter till datalagen måste också utföras. Det är också angeläget att ha kvar någon form av lekmannainsyn i verksamheten, även om detta inte är lika påkallat som i dag med Datainspektionens funktion att med sin praxis fylla ut en ganska så generalklausulbetonad lagstiftning. Den nu berörda översynen omfattas inte av utredningens direktiv. Utredningen vill emellertid väcka frågan om inte de föreslagna materiella förändringarna i datalagstiftningen bör följas upp med en mera omfattande organisatorisk förändring.

18 Finansiella

frågor

18.1 Nuvarande

ordning

Datainspektionens budget omsluter f.n. omkring 20 milj. kr. Verksamheten bekostas i sin helhet av licens- och handläggningsavgifter enligt förordningen 1982:48 1 avgifter för datainspektionens verksamhet. om Avgift tas ut enligt förordningen för handläggning tillstândsärenav den och vissa andra ärenden. Intäkterna i form av handläggningsavgifter uppgår f.n. till drygt 2 milj. kr. Licensintäkterna, som svarar för ca 18 milj. kr., är således av avgörande betydelse för inspektionens ekonomi. Det totala antalet registrerade licenspliktiga uppgår till 50 000, 3 800 ca varav ca avgiftsbefriats bl.a. ideella föreningar med färre än 200 medlemmar. Avgiften för varje licenspliktig är f.n. 435 kr. år. per Inspektionen för en förteckning som omfattar alla registeransvariga som gjort licensanmälan. Detta licensregister förs med hjälp ADB av och benämns LIRE. Antalet nya licenspliktiga som anmält sig har uppgått till 8 000 ca per år de två år inspektionen haft informationskampanjer budgetâren 1986/87 och 1988/89, medan det årliga tillskottet i övrigt varit 3 000 4 000 nya licenser. - F.n. tar licensverksamheten i anspråk drygt sju inspektioprocent av nens resurser för hela verksamheten. I den verksamhetsplan som Datainspektionen bilagt sin anslagsframställning för budgetåret 1990/91 och ett treårigt budgetförslag t.o.m. budgetåret 1992/93 anges att arbetet med att få de registeransvariga att göra anmälan skall fortsätta, men att särskilda informationskampanjer inte torde vara behövliga längre. Licenshanteringens andel av inspektionens hela resursanvändning kan därför förväntas minska.

Utredningens tidigare ställningstaganden

Utgångspunkten bör enligt utredningens mening att inspektionens vara verksamhet även framgent är helt avgiftsfinansierad. De organisatoriska förändringar torde bli följden som av ett mera renodlat tillsynssystem bör även kunna finansieras inom för ramen nuvarande resurser. En omfördelning bör kunna ske, så att resurser

som frigörs från den nuvarande tillståndshandläggningen kan föras över till bl.a. tillsynsverksamheten och de delar inom inspektionen som bör ha ansvar för beredning av föreskrifter. Kunskapen om licenssystemet har fått relativt stor spridning bland allmänheten och de registeransvariga som en följd av de informationskampanjer som inspektionen har genomfört, även om långt ifrån alla licenspliktiga anmäler sig. Licenssystemet har också fördelar av annat än rent ekonomiskt slag. Licensregistret kan således användas för att nå registeransvariga med riktad och avpassad information, vilket kan bidra till att stärka integritetsskyddet. Härtill kommer att licensregistret kan utgöra underlag för inspektionsverksamhet. Redan dessa förhållanden är tunga skäl för att behålla en ordning med en årlig avgift för vissa registeransvariga. Det avgörande skälet för att behålla systemet bör enligt utredningens mening dock vara att systemet med årliga avgifter innebär att de som i sin verksamhet ger upphov till risker för otillbörligt intrång i den personliga integriteten dataområdet också bär den ekonomiska bördan för samhällets försök att förhindra ett sådant intrång. Det kan naturligtvis diskuteras andra alternativ, exempelvis att genom en specialdestinerad skatt bl.a. omsättningen av datorer sörja för finansieringen av inspektionens verksamhet. En sådan skatt skulle emellertid, för att bli administrativt hanterbar, behöva innefatta också den försäljning av datorer som sker för enskilt eller annars personligt bruk och därmed även belasta ett område, där risken för intrång i den personliga integriteten typiskt sett är mycket liten. En sådan lösning är därför mindre lämplig. Utredningen förordar därför att med anmälningsskyldighet för en persondatamängd också bör följa en skyldighet att betala en årlig avgift till inspektionen, så länge persondatamängden förekommer i verksamheten. Det nuvarande licenssystemet samt handläggningsavgifterna i avgiftsförordningen bör avskaffas.

18.3 Remissutfallet

De tämligen få remissinstanser som har uttalat sig om de finansiella frågorna delar utredningens uppfattning att Datainspektionens verksamhet även i fortsättningen skall vara helt avgiftsfinansierad samt att de i sin verksamhet ger upphov till integritetsrisker också bör bära som den ekonomiska bördan för samhällets försök att förhindra att den personliga integriteten kränks. Man har i allmänhet inte haft något att erinra mot att avgiftsskyldigheten kopplas till skyldigheten att göra anmälan.

18.4 överväganden

Ingenting har framkommit som ger utredningen anledning att frångå sin tidigare uppfattning att Datainspektionens verksamhet även sedan en ny datalag har trätt i kraft bör helt avgiftsfinansieras. Det är vidare en rimlig ordning att kostnaderna för verksamheten betalas av de persondataansvariga vars behandling av personuppgifter innebär särskilda risker och hot. Genom att skyldigheten att betala en årlig avgift införs för dem som är anmälningsskyldiga, fördelas kostnaderna enligt den princip som nyss har antytts. Den årliga avgiften bör vara lika stor för alla berörda. Den bör betalas i anslutning till att anmälan görs och därefter per kalenderår på tid som Datainspektionen bestämmer. Storleken av den årliga avgiften bestäms i princip av det antal anmälningar som har gjorts till Datainspektionen och de årliga kostnaderna för myndighetens verksamhet. Antalet gällande tillstånd enligt datalagen kan beräknas till omkring 50 000. Som har berörts i avsnitt 14.4 är anmälningsskyldigheten mindre omfattande än tillståndsplikten. Anmälningsskyldigheten omfattar inte behandling av uppgifter personer som saknar sådan anknytning till den persondaom taansvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande. Det saknas uppgifter om hur många dessa fall kan vara men antalet kan vara betydande. I fråga om sambearbetningar föreligger vidare anmälningsskyldighet bara när sambearbetningen innefattar känsliga uppgifter, medan tillståndsplikten i princip alla sambearbetningar. Vad denna skillnad innebär går avser det heller inte att få fram uppgifter om. Anmälningsskyldigheten enligt den lagen hänför sig den andra sidan till ett mer preciserat och nya snävare ändamålsbegrepp än vad tillståndsplikten bygger på enligt den gällande datalagen. Sammanfattningsvis bör den ståndpunkt som utredningen har intagit i frågan om anmälningsskyldighet leda till att det i övergângsskedet kommer att röra sig om en stock på runt 35 000 40 000 anmälningar. Det årliga antalet nytillkommande anmälningar är svårt att uppskatta. Antalet torde dock komma att ligga mellan 5 000 och 10 000 per år. Mot bakgrund vad som nu har sagts skulle, om man räknar med av en årlig kostnad för Datainspektionens verksamhet på drygt 20 milj. kr, den årliga avgiften komma att uppgå till i stort sett samma belopp betalas för licens. I förhållande till licenssystemet blir dock som nu skillnaden den att den årliga avgiften i den nya ordningen måste betalas för varje ändamål för vilket personuppgifter behandlas. Detta är emellertid helt i överensstämmelse med principen att betalningsskyldigheten bör stå i direkt proportion till de risker och hot som de persondataansvariga förorsakar. Storleken på den årliga avgiften bör liksom nu bestämmas av regeringen.

En särskild fråga är om det behövs någon sanktion för utebliven betalning. Någon sådan sanktion finns inte i dag men utredningen har tidigare tagit upp frågan och förordat sanktioner i form tilläggsavav gift eller, i sista hand, förbud att behandla personuppgifter. Uppgifter från Datainspektionen visar att inte så få licensinnehavare underlåter att betala sina licensavgifter och att de belopp skrivs till följd som av av underlâten betalning inte är oväsentliga. Man har emellertid också från Datainspektionen uppgett att betalningsförsummelserna inte hänför sig till de registeransvariga är tillståndspliktiga till andra som utan innehavare av personregister. De har tillstånd betalar nästan som undantagslöst sina licensavgifter. Med hänsyn till vad sålunda har som kommit fram kan det ifrågasättas om det behövs nâgra sanktioner för utebliven betalning. Amnälningsskyldigheten enligt utredningens förslag omfattas av tillståndsplikten enligt nuvarande ordning. Utredningen är mest benägen att inte vidhâlla sitt tidigare förslag om sanktioner vid utebliven betalning.

19 Vissa

övriga frågor

19.1 Straffbestämmelser

19.1.1 Gällande rätt

I 20 § datalagen finns regler straff för överträdelser vissa beom av stämmelser i datalagen. Enligt första stycket döms till böter eller fängelse i högst ett år den som uppsåtligen eller oaktsamhet av l.inrättar eller för personregister utan licens eller tillstånd enligt datalagen, när detta erfordras, 2.bryter mot villkor eller förbud som Datainspektionen har meddelat enligt 6 eller 18 3.lämnar en personuppgift i strid mot utlämnandeförbudet i ll dvs. lämnar ut personuppgifter ur personregister när det finns risk för att uppgifterna skall användas i strid mot datalagen eller lämnar ut sådana uppgifter, utan erforderligt tillstånd av Datainspektionen, när det kan antas att uppgifterna skall användas för automatisk databehandling i en stat som inte anslutit sig till Europarådets dataskyddskonvention, 4.bryter mot gallringsregeln i 12 5.lämnar en osann uppgift vid fullgörande skyldigheten att lämna av underrättelse enligt 10 6.1ämnar en osann uppgift i sådana fall som avses i 17 dvs. då Datainspektionen begär upplysningar för sin tillsynsverksamhet. Enligt andra stycket döms till böter den som uppsåtligen eller av oaktsamhet bryter mot 7 a § första eller tredje stycket, dvs. inte för registerförteckning eller inte har angivit avsändaren på försändelse som innehåller personuppgift till den registrerade. En straffbestämmelse finns också i 21 § datalagen. Där föreskrivs att den som olovligen bereder sig tillgång till upptagning för autoen matisk databehandling eller olovligen ändrar eller utplånar eller i ett register för in en sådan upptagning skall dömas för dataintrång till böter eller fängelse i högst två år, inte gärningen är belagd med om straff i brottsbalken. Med upptagning här även uppgifter är avses som under befordran via elektroniskt eller annat liknande hjälpmedel för att användas vid automatisk databehandling. Brottet är straffbart även på försöks- och förberedelsestadiet, om det inte är ringa.

Ett personregister kan enligt 22 § datalagen förklaras förverkat om det inrättats eller förts utan nödvändig licens eller tillstånd eller förts i strid med ett av Datainspektionen meddelat förbud. Här bör också nämnas att bestämmelsen i 13 § datalagen om tystnadsplikt sanktioneras av bestämmelsen i 20 kap. 3 § brottsbalken om brott mot tystnadsplikt. Datalagens straffbestämmelser är inte formellt utformade så att ansvaret riktas mot någon särskilt utpekad person. Av förarbetena till datalagen framgår dock att man utgått från att straffbestämmelserna endast i ringa utsträckning skulle vara tillämpliga på annan än den

registeransvarige se prop. 1973:33 s. 104.

Som tidigare nämnts kan såväl fysiska som juridiska personer och myndigheter registeransvariga. l de fall då den registeransvarige vara utgörs myndighet eller en juridisk person, t.ex. ett aktiebolag, av en uppstår frågan vilken fysisk person som skall bära det straffrättsliga ansvaret för brott som förövas inom ramen för en sådan registeransvarigs verksamhet. Härvidlag har man att tillämpa allmänna straffrättsliga principer. När det gäller placeringen av ansvaret för lagöverträdelser som begås i privata företags verksamhet har vissa regler om s.k. företagaransvar utvecklats i rättspraxis. l princip åvilar det straffrättsliga ansvaret företagsledningen. I ett aktiebolag utgörs denna av styrelsen eller den verkställande direktören. Ansvaret inom företagsledningen fördelas så att ansvaret i första hand åvilar den ledamot inom vars verksamhetsområde en lagöverträdelse begåtts. Verkställande direktören kommer därvid i första hand i fråga eftersom han ansvarar för den löpande förvaltningen. Endast undantagsvis finns anledning att ålägga medlem av en juridisk persons högsta beslutande organ t.ex. en bolags- eller föreningsstämma ansvar. Aktieägare anses bli ansvariga endast vid kvalificerad medverkan eller mycket grova brott. Såväl enskilda näringsidkare som ledare av juridiska personers verksamhet kan enligt rådande rättspraxis under vissa förutsättningar överflytta det straffrättsliga ansvaret på en ställföreträdare, som anförtrotts att med tämligen stor självständighet leda företagets verksamhet i dess helhet eller gren därav. Som förutsättning för att en ansvaret skall kunna överflyttas krävs att det med hänsyn till föreliggande omständigheter är svårt för företagaren att förhindra vissa lagöverträdelser. Exempel på sådana omständigheter är att företaget är så omfattande att företagaren inte kan behärska alla detaljer i verksamheten, att företagaren är bosatt på annan ort än den där verksamheten bedrivs eller att företagaren på grund av ålder eller sjukdom, lyte eller omfattande engagemang i andra företag eller allmänna angelägenheter inte helt kan övervaka arbetets anordnande och bedrivande. Se professorn Hans Thomstedts promemoria DsJu 1975:23 om vissa specialstraffrättsliga problem.

SOU 1993: 10 321

Företagsledningen ansvarar emellertid alltid för att företaget organiseras på sådant sätt att lagöverträdelser kan förutsättas inte ske i dess verksamhet. Ledningen har alltså att sörja för att företaget har en ändamålsenlig personalorganisation och att underordnad personal är kompetent och tillräckligt instruerad för sina uppgifter. Även om överflyttning av straffansvar skett är ledningen skyldig att gripa in om det visas föreligga brister eller annars särskild anledning föreligger. Vid oaktsamhetsbrott kan ansvar utkrävas av den i företagsledningen som oaktsamt brustit i vad som enligt det nyss sagda ålegat honom. Då uppsåt erfordras för straffbarhet, blir företagaren, även om han anförtrott förvaltningen en ställföreträdare, ansvarig för lagöverträdelser som inträffar med hans vetskap och vilja. Naturligtvis blir företagaren också straffansvarig om han givit order om en lagöverträdelse. Detsamma gäller, om han inte respekterar den bestämda arbetsfördelningen mellan sig och ställföreträdaren och trots denna faktiskt utövar ledning och kontroll i detalj av viss verksamhet. Ansvaret åvilar då företagaren och inte ställföreträdaren för förseelser, som står i samband med denna verksamhet. Dessa principer för företagaransvar på det privata näringslivets område torde även kunna tillämpas då straffrättsligt ansvar skall utkrävas för brott i en myndighets verksamhet. Det innebär att även styrelseledamöter och chefer vid myndigheter kan bli straffrättsligt ansvariga. Vid brott mot datalagen kommer straffansvaret att åvila den eller de personer som är ansvariga för verksamheten. Detta torde i princip gälla både statliga och kommunala myndigheter. I fråga om kommunala nämnder torde ansvaret åvila nämndens ordförande och dess ledamöter. Högsta domstolen HD har i ett rättsfall NJA 1987 s. 426 prövat frågan om ordföranden i en kommunal nämnd kunde göras ansvarig för brott mot datalagen bestående i att personregister förts utan tillstånd av Datainspektionen. Ordföranden gjorde bl.a. gällande att ansvaret för datalagsfrågor genom den ansvarsfördelning som gällde inom kommunen delegerats till nämndens kanslichef. I domen, vari åtalet ogillades, uttalar HD bl.a. att de principer för företagaransvar som utbildats i rättspraxis för det privata näringslivet kan tjäna som en utgångspunkt också på den kommunala sektorn. HD nämner vidare att möjligheten att delegera ansvar möjligen är något mindre omfattande på den kommunala sektorn och att omständigheterna i det särskilda fallet måste tillmätas betydande vikt när det gäller att ta ställning till om delegation av det straffrättsliga ansvaret för förtroendevalda kunnat ske.

322 SOU 1993: 10

19.1.2 Praxis

Datalagens straffbestämmelser har endast tillämpats i ett fåtal fall. Av en av datalagstiftningskommittén i februari 1981 upprättad PM framgår att kommittén då endast hade funnit tre avdömda fall vad gäller brott mot datalagens bestämmelser. Dessa var följande.

Norrtälje tingsrätt dömde år 1978 en person till dagsböter enligt 20 § 1 datalagen för att ha inrättat personregister utan tillstånd. Ett aktiebolag hade använt ett annat närstående aktiebolags personregister för marknadsföring utan att söka erforderligt tillstånd. Borås tingsrätt dömde år 1978 en person till dagsböter för dataintrâng och brott mot tystnads likt. Dataintrånget bestod i att en polisman berett sig tillgång till ikspolisstyrelsens polisregister i en angelägenhet som inte rörde tänsten. Genom att polismannen dessutom visat registerutdrag för ollegor som inte haft berättigat intresse av att få del av uppgifter dömdes han även för brott mot tystnadsplikten. Borås tingsrätt dömde år 1980 en person för bl.a. brott mot 20 § 2 datalagen till dagsböter. I domen åberopades även 6 § 7 datalagen. Brottet bestod i att ett bolag som hade tillstånd enligt förenklat förfarande att föra kund-, leverantörs-, abonnent- och faktureringsregister även använde register med annat bolags kunder för marknadsföring. Enligt Datainspektionens föreskrifter fick endast egna kunder ingå i registret.

Utredningen har tidigare berört en dom av Högsta domstolen. Domstolen ogillade i ett avgörande från är 1987 ett åtal för brott mot datalagen avseende en valnämndsordförande för att Valnämnden inrättat och fört ett personregister. Underinstanserna hade även ogillat ett åtal för brott mot datalagen avseende en sektionschef vid Stockholms kommuns dataenhet för att kommunens befolkningsregister i strid mot ett beslut av Datainspektionen sambearbetats med det av Valnämnden inrättade registret. I målet aktualiserades frågan om vem som bar det straffrättsliga ansvaret. Rättsfallet är refererat i NJA 1987 s. 426. Rikspolisstyrelsen gjorde i november 1988 en rundfråga till landets polismyndigheter om frekvensen av databrott och datorrelaterad brottslighet. Resultatet av undersökningen har redovisats i RPS Rapport 1991:1 Datorrelaterad brottslighet En undersökning hos polismyndigheterna. Redovisningen omfattar brottsutredningar som var aktuella under tiden 1 januari 1987 31 augusti 1989. I rapporten redovisas 47 ärenden, varav det i 18 fall var fråga om brott eller misstanke om brott mot 21 § datalagen dataintrång. I övrigt gällde de redovisade ärendena olika slags brottsbalksbrott med datoranknytning 18 ärenden, brott mot lagen om upphovsrätt 7 ärenden samt fall av illojal konkurrens 4 ärenden. För att få en bild av hur sanktionsbestämmelserna i datalagen har tillämpats av domstolarna under de senaste åren har utredningen tillskrivit landets samtliga 97 tingsrätter. Dessa har tillfrågats om de

SOU 1993: 10 323

under åren 1985 1991 har handlagt mål där talan förts med åberopan- de av bestämmelserna i 20 24 §§ datalagen. Utredningen har fått - svar från 89 tingsrätter. Av svaren framgår att 14 dessa tingsrätter har av handlagt mål av det efterfrågade slaget. Det totala antalet sådana mål under den aktuella perioden uppgick till 17. Nästan samtliga mål avsåg frågan om straffansvar. Endast två av målen gällde skadeståndsskyldighet enligt 23 § datalagen. Av brottmålen gällde nio mål ansvar för dataintrång. De övriga sex brottmålsdomama var följande.

Göteborgs tingsrätt ogillade i april 1985 ett åtal för brott mot datalagen avseende en läkare vid Göteborgs sjukhusförvaltning. Sjukhusförvaltningen hade år 1975 beviljats tillstånd att inrätta och föra ett personregister för att genomföra undersökning en om barnolycksfall i kommunen. Läkaren, som var s.k. kontaktman, hade fortlöpande varit i kontakt med datainspektionen samt begärt

förlängning m.m. angående registret samt ensam utnyttjat detta

för forskning. I november 1980 erhöll sjukvârdsförvaltnin en tillstånd att tillfälligt till registret inhämta upp ifter från social örvaltningens personregister. Datainspektionen öreskrev i samband därmed att de från socialförvaltningen inhämtade uppgifterna skulle förstöras senast den 31 april 1981. Vid en ins ektion av Datainspektionen i oktober 1982 framkom att så inte ade skett. Aklagaren lade läkaren till last att han av oaktsamhet inte tillsett att uppgifterna förstörts. Tingsrätten fann att den omständigheten att läkaren hade uppträtt som kontaktman mellan Datainspektionen och sjukvårdsförvaltningen inte kunde medföra att det ansvar, som åvilat den registeransvarige att tillse att Datainspektionens föreskrifter följts, överflyttats på läkaren. Falköpings tingsrätt dömde år 1986 kanslichefcn i en kommun för brott mot datalagen enligt 20 § l jämförd med 2 § andra stycket 3 och fjärde stycket datalagen till trettio dagsböter. Tingsrätten fann utrett att fritidsintendenten i kommunen utan tillstånd av Datainspektionen påbörjat insamlandet av personuppgifter avsedda att ingå i ett dataregister. Kanslichefen, som i administrativt hänseende var överordnad fritidsintendenten och som haft befogenhet att beordra intendenten att inställa arbetet, hade samtyckt till insamlandet av uppgifterna. Domen överklagades till Göta hovrätt som fastställde tingsrättens dom i ansvarsdelen. Högsta domstolen meddelade inte prövningstillstånd. Norrköpings tingsrätt ogillade i januari 1990 ett åtal för brott mot datalagen avseende en person som under avtjänande straff av på kriminalvårdsanstalt med hjälp av ADB utan tillstånd prättat u och fört ett personregister över bl.a. landets samtliga sdagsledamöter och personer som förekommit i den honom rörande förundersökningen. Den tilltalade att han hade använt och uppgav avsåg att använda registren enbart för att skapa debatt och bilda opinion samt för att kunna tillvarata sin rätt vid kommande domstolsprövning. Tingsrätten fann att denna pgift inte motbeu

visats fick för god. Registren ansågs därför ha inrättats

utan tas och förts uteslutande för personli t bruk för vilket tillstånd inte hade erfordrats. Efter överklagan e av åklagaren fastställde Göta hovrätt i mars 1990 tingsrättens dom. Hovrättens dom har vunnit laga kraft.

324 SOU 1993: 10

Göteborgs tingsrätt dömde i februari 1990 en man för brott mot datalagen till sextio dagsböter. Den dömde hade varit verkställande direktör och firmatecknare i ett aktiebolag som utan licens och tillstånd inrättat och i drygt ett års tid fört ett personister innehållande olika personers namn, arbetsgivare, inkomst re förmögenhetsförhâllanden. Då bolaget försattes i konkurs oc överläts bl.a. detta ersonre ister till ett annat av mannen ägt aktiebolag. Vid ko rstillfä let innehöll registret uppgifter om 12 700 åtminstone 4 700 personer inte hade ca ersoner varav något kund örhållande till konkursbolaget. Tingsrättens dom vann laga kraft. Malmö tingsrätt dömde i september 1990 en man för brott mot 20§ 1 stycket l punkten datalagen till sextio dagsböter. Den dömde hade utan licens och tillstånd inrättat och fört ett ADBregister. Registret innehöll rubriknamnen på olika tidningsartiklar och för varje rubrik sidohänvisning till ett antal pärmar med en diverse tidningsurklip Personnamn var sökbara i den mån namnet ingick i rubriknamnet. Urklippen innehöll up gifter en vilka dömts för brott och om den politiska de atten. om personer Mannen använde registret i sin verksamhet som journalist, författare och föredragshållare för att snabbt kunna plocka fram fakta från pärmama. Rätten ansåg re istret vara att anse som ett personregister i datalagens mening, vi ket inte använts uteslutande för personligt bruk. Den omständigheten att personuppgifterna i registret i vissa fall måste "översättas" till en viss person på manuell väg genom sidohänvisningarna i registret och mannens samling urklipp ansågs inte utgöra grund för en annan beav dömning. Detta även om det endast var möjligt för mannen att vilken avsågs. Tingsrättens dom vann laga

förstå

person som kra Västerås tingsrätt dömde i a ril 1991 en man för brott mot 20§ 1 stycket l punkten data agen till tjugo dagsböter. Den dömde verkställande direktör och huvudredaktör för en var tidning vars datoriserade klipparkiv, innehållande bl.a. personuppgifter, hade förts utan licens och tillstånd under ca sex

månader. Under denna tid hade bibliotek och skolor via termina-

ler haft direktåtkomst till registret. Tin srätten fann omständigheterna förmildrande och utdömde där ör endast ett lågt bötesstraff. Domen överklagades. Svea Hovrätt höjde i dom meddelad i februari 1992 dagsbotsantalet till femtio. Målet överklagades till Högsta Domstolen inte meddelade prövningstillstånd. som

I detta sammanhang kan även nämnas följande två fall i vilka Datainspektionen gjort anmälan om misstänkta datalagsbrott.

Datainspektionen ingav år 1989 till Justitiekanslern en anmälan mot Statens invandrarverk för misstanke om brott mot 20 § 2 datalagen. Datainspektionen menade att Statens invandrarverk i vissa hänseenden inte efterkommit av inspektionen meddelade villkor bl.a. kontroll och säkerhet i verkets s.k. SU-system om systemet för utlänningsärenden; ett personregister omfattande ca 470 000 personer med uppgifter om bl.a. utlänningars namn, födelsetid, medbor arskap, resedokument, vissa tvångsâtgärder, ansökan om politis asyl, utvisning p. g.a. brott m.m. samt om utlämnande ersonupp ifter från registret. Datainspektionen av påtalade att vil kor inte öljts rörande behörighetskontroll och

SOU 1993: 10 325

behandlingshistorik samt rörande utlämnande av personuppgifter till Arbetsmarknadsdepartementet och Rikspolisstyrelsen. Justitiekanslern fann i beslut den 2 oktober 1989 att de av Datainspektionen meddelade villkoren hade blivit åsidosatta i viktiga hänseenden och att dessa brister var allvarliga med tanke på att SUsystemet var integritetskänsligt. Justitiekanslern fann dock

något mtycket frättsligt förfarande borde inledas med

att stra inte anledning av vad som förekommit. Skälen härför angavs framför allt vara att det förekom omständigheter som kunde tyda att Datainspektionen blivit informerad om åtminstone vissa av bristerna men inte påtalat dessa samt att bristerna i övrigt, dvs. utlåmnandet av personuppgifter till Arbetsmarknadsdepartementet och Rikspolisstyrelsen, inte kunde antas ha varit ägnade att leda till integritetskrärtltning för någon enskild. I augusti 1991 ingav Datainspektionen till åklagarmyndigheten i Stockholm en anmälan mot en social distriktsnâmnd om ifrågasatt brott mot 20§ första stycket datalagen. Nämnden ansökte i december 1990 om tillstånd att få inrätta och föra ett benämnt "Arbetskortsregister". Vid inspektion

personregister

en os distriktsnämnden den 31 maj 1991 fann Datainspektionen att det ifrågavarande personregistret redan hade inrättats och användes i verksamheten. I sin åtalsanmälan anförde inspektionen att den sociala distriktsnämnden underlåtit att ansöka om tillstånd innan registret, som innehåller mycket integritetskänsliga uppgifter bl.a. uppgifter om brott och brottsmisstanke, inrättades trots att den varit medveten om att denna skyldighet förelegat samt att säkerhetsåtgärderna till sk dd för personregistret varit bristfälliga. Förundersökningen pågar fortfarande.

19. 1.3 Internationella överenskommelser

Enligt artikel 10 i Europarádets dataskyddskonvention skall den nationella lagen innehålla lämpliga sanktioner och rättsmedel. I kommentaren till artikeln sägs att det ankommer på varje enskild stat att bestämma karaktären av dessa sanktioner och rättsmedel, dvs. huruvida dessa skall vara av civilrättslig, administrativ eller straffrättslig karaktär. Medlemsländerna skall enligt punkt 19 i 0ECD:s riktlinjer i fråga integritetsskyddet och persondataflödet över gränserna bl.a. särskilt om sträva efter att införa lämpliga sanktioner och rättsmedel. Enligt artikel 25 i förslaget till EG-direktiv skall medlemsstaterna ha verkningsfulla straff för den som bryter mot de nationella bestämmelser som har antagits i enlighet med direktivet.

19.1.4 Utredningens tidigare ställningstaganden

I dag gäller att den som uppsåtligen eller av oaktsamhet inrättar eller för personregister utan erforderlig licens eller tillstånd enligt datalagen âdöms straffansvar. Detsamma bör gälla den som i ett framtida tillsynssystem underlåter att fullgöra sin anmälningsskyldighet.

Enligt den nuvarande datalagen är det vidare straffbart att bryta mot vissa generella föreskrifter i lagen, nämligen förbudet lämna att ut personuppgifter utomlands m.m., bestämmelserna gallring och om om vad som skall iakttas när ett personregister upphör att föras samt reglerna om skyldighet att ha förteckning över personregister och en ange avsändare i handlingar till den registrerade. Motsvarande straffbestämmelser bör återfinnas i datalag. en ny En framtida datalag kommer därutöver enligt utredningens förslag att innehålla vissa materiella förhållningsregler för den enligt som lagen är ansvarig för personuppgifter i form grundläggande av principer för dataskydd. Arbetslivs- och forskningsomrádena, där känsliga uppgifter kan förekomma, avses vidare bli särskilt reglerade i en framtida datalag. Datainspektionen kommer för detaljregatt svara leringen i form av generella föreskrifter för vissa områden och branscher. Förutom för överskridande av de i datalagen intagna grundläggande principerna för dataskydd, bör även straff föreskrivas för avvikelse frán vissa av de bestämmelser som Datainspektionen kan ha meddelat. Motsvarande bör gälla i fråga om de villkor och förbud insom spektionen kan ha meddelat i ett särskilt fall. Vad angår utformningen av den bestämmelse i datalagen som avser att straffbelägga avvikelse från Datainspektionens generella föreskrifter måste särskilt beaktas bestämmelserna i 8 kap. 7 och ll §§ regeringsformen. Utredningen föreslår att 8 kap. 7 § regeringsformen ändras så, att till uppräkningen i första stycket i paragrafen fogas ämnet "skydd mot kränkning av personlig integritet vid personregistrering med hjälp av automatisk databehandling". Härigenom blir det möjligt att delegera normgivning också vad avser den kommunala sektorn och den privata verksamhet som inte kan räknas till näringsverksamhet. Enligt 8 kap 7 § sista stycket kan riksdagen i lag, som innehåller bemyndigande med stöd av första stycket paragraf, samma föreskriva även annan rättsverkan än böter för överträdelse av föreskrift som regeringen meddelar med stöd av bemyndigandet. Det innebär att, om fängelse skall följa överträdelse en av en av Datainspektionen meddelad föreskrift, sådan straffbestämmelse en måste tas in i datalagen. Slutligen bör en ny datalag innehålla motsvarigheter till de nuvarande bestämmelserna om straff för den lämnar uppgift vid som osann fullgörande av skyldighet att lämna s.k. lO §-utdrag eller lämnar som osann uppgift rörande den automatiska databehandlingen när datainspektionen begär uppgifter för sin tillsyn. Det bör liksom i dag vara tillräckligt med oaktsamhet för att straffansvar skall anses föreligga. Vid bedömningen av det straffvärde föreligger vid brott mot som datalagens regler mäste särskilt beaktas att datalagen har till uppgift att skydda den enskildes personliga integritet mot otillbörligt intrång.

SOU 1993: 10 327

Med undantag av vissa mindre förseelser mot datalagens regler, såsom att inte föra förteckning över persondatamängd eller inte ange avsändaren försändelse som innehåller personuppgift till den vars personuppgifter det gäller, måste brott mot lagens bestämmelser, med hänsyn till lagens särskilda skyddsområde, rimligen ges ett förhållandevis högt straffvärde. Med ett sådant högt straffvärde måste också strängare straff än i dag kunna utdömas. Fall som det finns anledning att se allvarligt på är t.ex. sådana där myndigheter eller företag i strid mot datalagens bestämmelser registrerar särskilt känsliga uppgifter om sina anställda, t.ex uppgifter om deras politiska åsikter. Vid bedömningen av vilken straffskala som bör väljas kan man jämföra med de straffskalor som gäller för de bestämmelser i brottsbalken som tar sikte på att skydda den personliga integriteten i annat hänseende än när det gäller att skydda mot en rent kroppslig kränkning. Dessa är närmast reglerna om hemfridsbrott 4 kap. 6 §, brytande av post- eller telehemlighet 4 kap. 8 §, intrång i förvar 4 kap. 9 §, och olovlig avlyssning 4 kap. 9 a § samt i vidare mening även bestämmelserna om ärekränkning i 5 kap. En sådan jämförelse ger vid handen att straffskalan bör bestämmas till böter eller fängelse i högst tvâ år. Utredningen föreslår därför att straffskalan i datalagen anpassas till denna nivå. Vad angår de rena ordningsförseelsema, dvs. i en framtida lag bestämmelser motsvarande de tvâ ovan nämnda fallen om registerförteckning och skyldighet att ange avsändare, bör de även i fortsättningen endast kunna leda till böter. I fråga om brott mot anmälningsskyldigheten kan det möjligen hävdas att även detta är att bedöma som en ordningsförseelse och därför endast bör kunna straffas med böter. Den omständigheten att underlåter att inge en erforderlig anmälan kan dock ske med man avsikt att undanhålla Datainspektionen kunskap om att en känslig persondatamängd förs och därigenom minska risken för upptäckt. Det bör därför även vara möjligt att ådöma annan påföljd än enbart böter. Så är för övrigt fallet beträffande den som i dag underlåter att skaffa erforderlig licens. Enligt rådande rättspraxis har det ansetts möjligt att under vissa förutsättningar i viss mån delegera straffansvar. Såvitt avser brott mot datalagens bestämmelser har HD också i ett rättsfall NJA 1987 s. 426 prövat frågan om sådan delegation. De regler för delegation av straffansvar som sålunda utvecklats i rättspraxis bör också fortsättningsvis gälla även i fråga om brott mot datalagens regler. Anledning att i en ny datalag särskilt reglera frågan överflyttning av det straffrättsliga ansvaret föreligger därför inte. om Nuvarande regler innebär, som framgått, att ledningen för en privat eller offentlig verksamhet under vissa förutsättningar kan överflytta det straffrättsliga ansvaret pä en ställföreträdare, som anförtrotts att med tämligen stor självständighet leda verksamheten i vissa delar.

19. 1.5 Remissutfallet

Praktiskt taget alla remissinstanser som har berört frågan i sina yttranden tillstyrker utredningens förslag i fråga om straffbestämmelser. Bland de positiva remissinstansema återfinns Justitiekanslern, Kammarrätten i Stockholm, Riksåklagaren, Datainspektionen, Riksförsäkringsverket, Juridiska fakultetsnämndens forskningsnämnd vid Lunds universitet, Rikspolisstyrelsen, Svenska kommunförbundet och Landstingsförbundet. Ett par remissinstanser är emellertid kritiska i vissa avseenden. Enligt Hovrätten över Skåne och Blekinge har utredningen inte anfört tillräckligt övertygande skäl för en skärpning av straffskalan och hovrätten avstyrker därför förslaget i den delen.

19. 1.6 Överväganden

Datastraffrättsutredningen har i sitt betänkande SOU 1992: 10 l Information och den nya informationsteknologin straff- och process- rättsliga frågor m.m. föreslagit att bestämmelsen om dataintrång flyttas över till brottsbalken. Datalagsutredningens förslag till datalag ny innehåller därför ingen motsvarighet till den nyss nämnda bestämmelsen i den nuvarande datalagen. Utredningens synpunkter på straffbestämmelserna i en framtida datalag har godtagits av praktiskt taget alla remissinstanser har som berört frågan. Utredningen vidhåller därför sina förslag. En förändring bör emellertid göras. Utredningens lagförslag innehåller inte, av skäl som har utvecklats i avsnitt 5.3, någon motsvarighet till de regler om förteckningsskyldighet som nu finns i 7 a § datalagen. Straftbestämmelserna bör jämkas i enlighet med detta. I fråga om utformningen av straffbestämmelserna i övrigt hänvisas till specialmotiveringen i anslutning till 47 Utformningen av straffbestämmelserna torde tillgodose de krav som ställs upp i artikel 25 i förslaget till EG-direktiv.

19.2 Skadestånd

19.2.1 Gällande rätt

Om en registrerad tillfogas skada genom att ett personregister innehåller oriktig eller missvisande uppgift om honom, skall den registeransvarige enligt 23 § första stycket datalagen ersätta skadan. Regeln korresponderar med regeln om rättelse av oriktiga och missvisande uppgifter i 8 § datalagen. Den omständigheten att den registeransvarige uppfyllt sin rättelseskyldighet enligt den paragrafen behöver inte innebära att han befrias från sin skadeståndsskyldighet.

SOU 1993: 10 329

Skadeståndsregeln i 23 § första stycket innebär att skadeståndsskyldighet föreligger även om den skadeståndsansvarige inte har orsakat skadan avsiktligt eller genom vårdslöshet, dvs. s.k. strikt skadeståndsansvar. Detta innebär bl.a. att även för det fallet att en viss felaktighet i ett personregister inte har sin grund i ett agerande från den registeransvariges sida utan härstammar från ett annat håll, t.ex. från ett annat personregister, den registeransvarige bär ansvaret gentemot den registrerade. Den registeransvarige kan dock i vissa fall enligt allmänna skadeståndsrättsliga regler ha rätt att regressvis återkräva det skadeståndsbelopp han betalat ut. En regel om skadestånd vid brott finns intagen i 23 § andra stycket datalagen. Där stadgas att om någon tillfogas skada genom brott som avses i 20§ första stycket datalagen brott mot Datainspektionens villkor och vissa allmänna registerbestämmelser eller 21 § datalagen dataintrång, skall den som gjort sig skyldig till brottet ersätta skadan. Vid bedömande om och i vad mån skada har uppstått skall man enligt 23 § tredje stycket datalagen ta hänsyn även till lidande och andra omständigheter av annan än rent ekonomisk betydelse, dvs. ersättning kan utgå även för s.k. ideell skada. Av allmänna skadeståndsrättsliga regler följer bl.a. att skadestånd enligt 23 § första och andra stycket datalagen kan utgå för personskada, sakskada och ren förmögenhetsskada. Enligt 23 § tredje stycket kan alltså även skadestånd utgå för ideell skada utan samband med personskada. Att skadestånd i ett visst fall skall utgå enligt paragrafens andra stycke behöver inte utesluta att skadestånd kan utgå även enligt första stycket för samma förfarande. Som exempel nämns i förarbetena prop. 1986/872116 s. 22 att en registeransvarig registrerar en personuppgift, som dels är oriktig eller missvisande och dels inte får registreras enligt vad Datainspektionen bestämt för registret. Att uppgiften är oriktig eller missvisande kan grunda skadeståndsskyldighet enligt 23 § första stycket datalagen. Brottet mot Datainspektionens villkor faller under straffbestämmelsen i 20 § första stycket datalagen och kan grunda skadeståndsskyldighet enligt 23 § andra stycket. I bägge fallen kan ersättning utgå även för ideell skada enligt tredje stycket. När skada uppstår till följd av oriktighet i myndighets register kan det vara fråga om sådan skada vid myndighetsutövning som avses i 3 kap. 2 § skadeståndslagen. Även skadeståndsregeln i datalagen om innebär att skadeståndsskyldigheten regleras särskilt på förevarande område bör enligt förarbetena till datalagen prop. 1973:33 s. 149 vissa regler i skadeståndslagen kunna vara tillämpliga, t.ex. bestämmelsen i 6 kap. 1 § om jämkning av skadestånd på grund av vållande på den skadelidandes sida. Den utvidgning av det straffrättsliga tjänsteansvaret för offentligt anställda som trädde i kraft den 1 oktober 1989 innebar inga ändringar av bestämmelserna om det

allmännas ansvar enligt skadeståndslagen prop. 1988/89: 1 13; JuU24, rskr. 312, SFS 1989:608. Däremot upphörde genom en lagändring vissa bestämmelser i skadeståndslagen 3 kap 3 5 §§ om särskilda begränsningar i det allmännas skadeståndsansvar att gälla den 1 januari 1990 prop. 1989/90:42, LU10, rskr. 50, SFS 1989:926. Enligt 9 § lagen om inskrivningsregister 1973:98 har staten strikt ansvar för skador som orsakats av tekniska fel. Regeln stadgar att bestämmelsen i 19 kap. 19 § jordabalken om ersättning för förlust till följd av fel eller försummelse äger motsvarande tillämpning förlust som orsakats av tekniska fcl i registret eller i anordning som anslutits till detta hos vissa statliga och kommunala myndigheter. I 19 kap. 5 § fastighetsbildningslagen 1970:988 finns en liknande skadeståndsregel för skador som orsakats av tekniska fel i fastighetsregistret och i vissa till registret anslutna terminaler. Liknande skadeståndsregler finns dels i 370 § sjölagen 1891 :35 för skada som orsakats av tekniska fel i skepps- eller skeppsbyggnadsregistret vid användning av ADB eller i anordning som hos registermyndigheten eller annan statlig myndighet är ansluten till registret, dels i 5 kap. 1 § företagshypotekslagen 1984:649 för skada som någon lider till följd av tekniskt fel i företagsinteckningsregistret eller i någon anordning som hos inskrivningsmyndigheten eller annan statlig myndighet är ansluten till registret. Även i aktiekontolagen 1989:827 finns i 7 kap. 2 § bestämmelen rent strikt skadeståndsansvar som direkt riktar sig mot ADBse om baserad verksamhet. Regeln innebär att om någon tillfogas skada till följd av oriktig eller missvisande uppgift i ett avstämningsregister eller i annat fall genom fel i samband med uppläggning eller förande av ett sådant register, denne har rätt till ersättning av värdepapperscentralen VPC. VPC har dock viss möjlighet att exkulpera sig. En annan lag som bör nämnas i detta sammanhang är inkassolagen 1974: 182. Enligt 18 § inkassolagen skall den som bedriver inkassoverksamhet och förorsakar skada genom otillbörlig påtryckning eller annan otillbörlig inkassoâtgärd ersätta denna. Om ett inkassoregister förs med hjälp av ADB är skadeständsregeln i datalagen tillämplig. En skadeståndsregel finns också intagen i 21 § kreditupplysningslagen 1973: l 173. Enligt denna skall den som bedriver kreditupplysningsverksamhet ersätta skada som till följd av verksamheten tillfogas intrång i hans personliga integritet. Vidare uppkommer någon genom skadeståndsskyldighet om oriktig uppgift lämnas, om inte den som bedriver verksamheten kan visa att tillbörlig omsorg och varsamhet iakttagits. Vad som skall ersättas är både ideell och ren förmögenhetsskada. I de fall ett kreditupplysningsregister förs med hjälp av ADB blir dock även skadeståndsregeln i datalagen tillämplig jfr prop. 1973:155 s. 122.

SOU 1993: 10 331

19.2.2 Praxis

De praktiska erfarenheterna av datalagens skadeständsregel är mycket begränsade beroende på att antalet skadestándsärenden varit litet. Det alldeles övervägande antalet av dessa har gällt anspråk mot staten. De har slutligt reglerats av Justitiekanslern JK som i de fall skadestånd över huvud taget medgetts har bestämt dessa till förhållandevis låga belopp. Vid remissbehandlingen DALKs delbetänkande SOU 1978:54 av Personregister Datorer - - Integritet hänvisade JK i sitt yttrande till att han reglerat ett trettiotal skadestândsärenden i vilka han hade tillämpat

23 § datalagen. Åtskilliga anspråken hade ringa belopp, i

av avsett några fall endast ersättning för portokostnader se prop. 1978/79: 109 s. 199. För att få en bild av hur omfattande skaderegleringen hos JK var samt av ärendetypen vad gällde registeransvariga, typen fel, av ersättningsbelopp m.m. granskade DALK härefter beslut hos JK som rörde skadestånd enligt datalagen för åren 1978 - 1980. Resultatet av undersökningen redovisades i en år 1981 upprättad PM. Av denna framgår att JK under år 1978 beslutade ersättning i elva fall, under om år 1979 i 18 fall och under âr 1980 i sex fall. Nästan alla ärenden gällde fel i bilregistret eller parkeringsamnärkningsregistret och medförde skadeståndsskyldighet för Trafiksäkerhetsverket eller berörd länsstyrelse. Ett fall gällde fel i en länsstyrelses skatteregister och ett annat fall fel i register hos en försäkringskassa. Lägsta ersättningsbelopp som beslutats var 2 kr 10 öre och högsta belopp 2 200 kr. Av ärendena rörde 24 belopp som understeg 100 kr, och 13 fallen av gällde 20 kr eller mindre. Näst högsta belopp var 361 kr. De flesta fallen rörde fel i parkeringsanmärkningsregistret beroende t.ex. pâ att undanröjda beslut inte registrerades, förväxling av bilar hade skett eller att för hög parkeringsavgift registrerats. Vad som ersatts var telefonoch portokostnader för att rättelse. Vidare hade ersättning för besvär och tidsspillan utgetts samt ersättning för ränteförlust att genom återbetalning av felaktiga parkeringsavgifter fördröjts. Även när det gällde fel i bilregistret hade skadestånd utbetalats för rättelsekostnad och som ersättning för tidsspillan. I några fall hade det gällt ersättning för onödig besiktning, något varit följd felaktiga uppgifter. som en av I ett fall hade en bil åsatts fel årsmodell. Köparen ansågs på grund härav ha gett ett för högt pris för bilen när han köpte den begagnad och tillerkändes ersättning med 2 100 kr för att kompensera detta, förutom ersättning för resor och telefonsamtal med 100 kr. De felregistreringar som medfört skadeståndsskyldighet hade ofta varit mer inriktade pä objekt t.ex. bilen än och ibland gällt - - personer detaljuppgifter om objekten som t.ex. felaktiga chassi-nummer och dylikt. I en del fall hade ersättning yrkats för ideell skada i form av

psykiskt lidande. De fall som ersatts hade dock uteslutande gällt ekonomisk skada. I DOKzs delbetänkande SOU 1986:24 Rättelse och skadestånd Patientuppgifter i personregister refereras ytterligare några exempel på skadeståndsärenden hos JK under åren 1984 och 1985 s. 42 t. De var följande.

En oriktig adressuppgift i folkbokföringsregistret hade spritt sig till bl.a. Riksförsäkringsverkets sjukförsäkringsregister och medfört försenad utbetalning av bidragsförskott. Felet hade uppkommit genom att två personer med samma namn hade förväxlats sedan pastorsämbetet aviserat om adressändring för den enc. Den drabbade mannen begärde ersättning av staten med 12 000 kr. varav huvuddelen för eget arbete och för lidande. Utredningen visade endast att mannens post i vissa fall hade blivit försenad. Han ansågs varken berättigad till ersättning för psykiskt lidande eller för eget arbete. Däremot utbetalades 25 kr, för ränteförlust, portokostnader, brevpapper m.m. Sedan länsstyrelsen fått underrättelse om att en utomlands bosatt man hade ändrat namn sände Trafiksäkerhetsverket ut ett nytt körkortsunderlag på vilket en bokstav i mannens namn var fel. På den avi som hade sänts ut fanns anvisningar om vad körkortshavaren skall göra om uppgifterna inte är riktiga. I stället för att iaktta denna rutin försökte mannen nå Trafiksäkerhetsverket per telefon och lade enligt egen uppgift ut l 100 kr på de resu försöken att få kontakt med Trafiksäkerhetsverket. Han ansågs inte berättigad till skadestånd. Två makar begärde ersättning med 2 500 kr vardera, för lidande, obehag och kostnader i samband med att en kronofo demyndighet vid två olika tillfällen anmanat dem att betala kvarstående skatt trots att anstånd hade beviljats. Utredningen visade att det första kravet som riktats till båda makarna hade skrivits ut två dagar innan skattemyndigheten hade beslutat om anstånd. Det andra kravet, som enbart riktats mot mannen, hade däremot orsakats av ett fel hos kronofogdemyndigheten. Ersättning utbetalades till mannen med 500 kr för visst obehag och en del extra arbete. En man begärde ersättning med 50 000 kr för psykiskt lidande som han angav hade förorsakats av att han fått kontrolluppgift avseende annan persons inkomster från en taxeringsmyndighet. Utredningen visade att Tekniska Högskolan i Stockholm var arbetsgivare till en gästforskare som saknade personnummer. För denne hade högskolan tillskapat en identitetsbeteckning som var densamma som klagandens personnummer och som angavs på kontrolluppgiften. Sedan klaganden besökt lokala skattemyndigheten rättades felet efter ett fåtal dagar. Ersättningen bestämdes av JK till 500 kr för psykiskt lidande.

Mannen i det sist refererade ärendet väckte sedermera talan vid Stockholms tingsrätt och yrkade att staten skulle förpliktas att till honom utge ytterligare 49 500 kr jämte ränta. I dom i maj 1987 tillerkändes mannen 9 500 kr jämte ränta. Staten överklagade domen till Svea hovrätt som ijanuari 1990 fastställde tingsrättens domslut. En

SOU 1993: 10 333

av hovrättens ledamöter var skiljaktig och ville utdöma hela det yrkade beloppet. Utredningen har gått igenom och granskat beslut hos JK som rör skadestånd enligt datalagen för åren 1985 1991. Härvid kan konstate- ras att någon större förändring av skaderegleringen mot vad som redovisades av DALK och DOK inte skett. Antalet sådana ärenden är i stort oförändrat i förhållande till tidigare är och uppgår till ca 10 per år. Registeransvariga och typen av fel är i stort sett de samma som under tidigare år. En stort antal av ärendena har gällt fel i bil-, körkorts-, eller parkeringsanmärkningsregistret och medfört skadestândsskyldighet för Trafiksäkerhetsverket eller länsstyrelse. De ersättningsbelopp som tillerkänns för ideell skada varierar från några

hundratals kronor till 10 000 kr som utgick i ett ärende se nedan. En

utveckling mot en något höjd skadestándsnivå kan dock skönjas under de allra senaste åren. Som exempel på några avgöranden av JK under perioden kan nämnas:

En man registrerades i både kriminal- och rikspolisregistret som till tvâ rattfylleribrott när det rätteligen bara ett. JK

skyldig

var til erkände mannen ersättning för lidande med 2 000 kr Beslut 1986-01-23. En länsstyrelses folkbokföringsregister innehöll under två månader oriktig uppgift om att en man hade avlidit ett visst en datum istället för, som var fallet, att han hade erhållit äktenskapsskillnad detta datum. Den oriktiga uppgiften ledde till att mannen erhöll ett brev adresserat till sitt eget dödsbo. Mannen tillerkändes ersättning för lidande med 500 kr Beslut 1986-03-07. En kvinna begärde ersättning för kostnader och lidande som åsamkats henne på grund av att Riksskatteverket hade ändrat ett personnummer som hon av misstag tidigare hade tilldelats. Andringen av personnumret hade bl.a. föranlett henne att ta kontakt med ett tiotal olika myndigheter, banker m.m. för att underrätta dessa om personnummerändringen. Vidare hade löneutbetalningarna vid två tillfällen fördröjts. Kvinnan tillerkändes ersättning med totalt 500 kr Beslut 1986-03-11. Genom att två personnummer hade sammanblandats kom det centrala skatteregistret att innehålla en orikti inkomstup gift. Den oriktiga uppgiften medförde att en man un er två är fic förfrå ningar från taxerin snämnden om en inkomst som han inte ha e haft. Ersättning til erkändes med l 000 kr Beslut 1986-03- 13. En man erhöll en oriktig betalningsanmaning från kronofogdemyndigheten på rund av en felaktig registrering om restförd skatt. Mannen tiller ändes ersättning med l 000 kr Beslut 1986- 03-21. En felaktig uppgift i aktiebolagsregistret om att en man var styrelseledamot ledde till att denne uppre ade gånger söktes för delgivning och även kallades till krono ogdemyndigheten. JK tillerkände mannen ersättning för lidande med 2 500 kr Beslut 1987-09-03. Två makar fick en lägre inkomst vid föräldraledighet än de skulle ha haft, detta som en följd av oriktiga uppgifter i ett

334 SOU 1993: 10

sjukförsäkringsregister. Ena maken tillerkändes ersättning för utebliven arbetsförtjänst och lidande. Ersättningen för lidande bestämdes till 500 kr Beslut 1987-09-16. Som en följd av falsk tillvitelse kom person- och belastningsregistret att innehålla oriktiga uppgifter beträffande en kvinna om misstanke om rattfylleri, stöld och bedrägeri. I vart fall uppgiften om misstanke om rattfylleri hade funnits registrerad i mer än två år. Vidare kom ett föreläggande av ordningsbot att felaktigt registreras i registret över brott av betydelse i körkortssammanhan Den uppgiften hade funnits i registret i minst tre år. . Un errättelse om ordningsboten hade lämnats till körkortsregistret. Då ordningsboten inte hade betalts hade anteckning även skett i utsökningsregistret. Ersättning för lidande bestämdes till 5 000 kr. Beslut 1987-10-27. En man begärde ersättning för att han nödgats fullgöra en krigsförbandsövnin under tolv dagar trots att han inte varit

skyldig till detta enñgt värnpliktslagen. Ersättning begärdes med

l 781 kr för förlorad arbetsförtjänst och med 12 000 kr för frihetsberövande dygnetrunttjänstgöring i fält. Utredningen visade att inkallelsen var oriktig. Eftersom det register som utgjorde underlaget för inkallelsen var ett personregister prövades begäran

om ersättning enligt datala JK uttalade i sitt beslut i februari

1988 att 23 § datalagen fick anses täcka även det fall där det saknades en personuppgift, vilken borde ha tillförts registret med hänsyn till ändamålet med detta. Mannen ansågs därför berättigad till ersättning för den skada som orsakats honom genom att registret varit ofullständigt då en av fem genomförda krigsförbandsövnin ar inte blivit re istrerad. Mannen erhöll begärd ersättning ör förlorad arbets örtjänst. Ersättningen för lidande bestämdes till 3 000 kr Beslut 1988-02-23. En kvinna begärde skadestånd med bl.a. 50 000 kr för lidande på grund av att Socialstyrelsens register över sluten psykiatrisk vård innehållit en oriktig upp ift om att hon lidit av schizofreni. Utredningen visade att uppgi ten i registret varit felaktig och att kvinnan därför var berättigad till ersättning. JK bestämde i ett beslut i september 1988 ersättningen för lidande till 7 500 kr. I sitt beslut anförde JK att den omständigheten att personuppgifterna varit mycket integritetskänsliga och funnits i registret under förhållandevis lång tid samt att obehaget kunde sägas ha förstärkts av att de oriktiga uppgifterna hade kvarstått viss tid i registret även sedan deras felaktighet påtalats, var omständigheter som gjorde att ersättningen för lidande borde bestämmas till ett jämförelsevis högt belopp. A andra sidan menade JK att det i sammanhanget också måste vägas in att inget framkommit som tytt på att personuppgifterna obehörigen röjts eller spritts till andra register Beslut 1988-09-02. I ett senare ärende som också gällde en felaktig uppgift i Socialstyrelsens register över sluten psykiatrisk vård, begärde en man skadestånd med 50 000 kr för psykiskt lidande. Ersättningen för lidande bestämdes av JK till 5 000 kr Beslut 1989-09-25. Ett av Riksförsäkringsverket fört personregister innehöll en oriktig uppgift om det skatteavdrag som skulle göras vid utbetalning av ersättning från försäkringskassan. Uppgiften medförde avdrag för skatt skedde med för litet

preliminär

att belopp, vilket ledde till att en registrerade senare påfördes kvarstående skatt och kvarskatteavgift. Ersättning tillerkändes för den merkostnad

som kvarskatteavgiften medförde samt för lidande och obehag med 2 000 kr Beslut 1989-01-04. På grund av en förväxling av en gäldenärs förnamn och efternamn korn en man att felaktigt registreras som gäldenär i utsökningsregistret. Den felaktiga registreringen ledde till att han från kronofogdemyndigheten erhöll underrättelse om utsökningsmál och utmätningsförrättning. Ersättningen för lidande bestämdes till 3 000 kr Beslut 1989-02-08. En man som på grund av namnförväxling felaktigt kom att registreras som styrelseledamot i aktiebolagsregistret tillerkändes förutom viss ersättning för kostnader även 500 kr för lidande Beslut 1989-04-21. I samband med sin makes dödsfallregistrering hade en kvinna blivit registrerad i det regionala folkbokföringsregistret som avliden i stället för som änka. JK fann att felaktigheten hade avsett ett i högsta grad inte ritetskänsligt område och hade trots att åtgärder för rättelse sna bt hade vidtagits lett till ett avsevärt lidande. Ersättning för lidande bestämdes till 10 000 kr Beslut 1990-02-13. På grund av en förväxling av personnummer korn oriktiga uppgifter om en man att registreras 1 ett försäkringskasseregister. Detta medförde att ett intyg om "sjukförsäkringstillhörighet i Sverige" kom att innehålla personuppgifter om mannen samt om en främmande kvinna och hennes barn såsom familjemedlemmar. Detta medförde diskussion mellan mannen och hans hustru. Mannen begärde bl.a. ersättnin med 500 kr för lidande. JK tillerkände honom det yrkade be oppet Beslut 1990-06-05. På grund av oriktiga uppgifter i bilregistret tvingades en bilägare i onödan inställa sitt fordon till en registreringsbesiktning. Bilägaren tillerkändes ersättning för de merkostnader som därigenom uppstått. Bilägarens yrkande om ersättning för ideell skada lämnades utan bifall Beslut 1991-05-08. På grund av en personförväxling korn en kvinna som var bosatt i Gustavsberg att felaktigt kyrkobokföras i Sveg. Detta medförde att en felaktig uppgift registrerades i det regionala folkbokföringsregistret. Folkbokföringsregistret används för uppdatering av andra myndighetsregister, t.ex. skatteförvaltningens centrala och regionala skatteregister, kommunala register och register hos försäkringskassan. Aven dessa register kom därför att innehålla oriktiga adressuppgifter. Kvinnan begärde skadestånd med 10 000 kr avseende ersättning för att hennes personnummer använts felaktigt och för det extraarbete hon haft för att tillrättalägga och utreda felet hos olika myndigheter, telefonkostnader samt personligt lidande. Ersättningen för besvär, kostnader och lidande bestämdes av JK till totalt 5 000 kr Beslut 1991-06-14. På rund av personalbrist hos en länsstyrelse kom ett beslut om âterkalelse av körkort att registreras i det centrala körkortsregistret först efter utgången av beslutets gilti hetstid. Detta medförde att körkortsinnehavaren inte i rätt tid Ck tillbaka sitt körkort och därigenom gick miste om arbetsförtjänst. Körkortsinnehavaren tillerkändes yrkad ersättning för den förlorade arbetsförtjänsten. Nå ot yrkande om ideellt skadestånd framställdes inte Beslut l 91-08-06. En värnpliktig tillerkändes ersättning för den inkomstförlust han hade åsamkats på grund att han blev inkallad tre månader för tidigt. Den felaktiga inkallelsen berodde á en felaktig uppgift om honom i ett dataregister Beslut 1991-0 -28.

Av de tingsrätter som svarat på utredningens förfrågan om de under . åren 1985 1991 handlagt datalagsmål har endast en tingsrätt, - Stockholms tingsrätt, uppgett att den handlagt mál som gällde skadeståndsskyldighet enligt 23 § datalagen. Stockholms tingsrätt uppgav att den handlagt två sådana mål. I det ena av dessa mål fastställde tingsrätten i en mellandom år 1989 att vissa av Upplysningscentralen UC Aktiebolag UC registrerade betalningsanmärkningar inte var skadeståndsgrundande. Kärandena, som vitsordade att innehållet i de registrerade uppgifterna varit korrekt, gjorde bl.a. gällande att uppgifterna varit oriktiga på det sätt som avsågs i 23 § datalagen i dess lydelse före den 1 april 1988. Skadeståndsskyldigheten enligt datalagen omfattade då inte skada som vållats genom att ett personregister innehöll missvisande personuppgift. Tingsrätten fann att uttrycket "oriktig" borde förstås så att uppgiften inte är korrekt och ansåg att lydelsen av 23 § datalagen före den 1 april 1988 och det faktum att en ändring ansågs påkallad inte gav utrymme för att ålägga UC skadeståndsansvar för uppgift som inte är oriktig. I det andra målet väckte en man år 1989 talan vid tingsrätten och yrkade att Stockholms läns landsting skulle förpliktas att till honom utge skadestånd med 25 700 kr jämte ränta. Av det yrkade beloppet avsåg 25 000 kr ersättning för psykiskt lidande och 700 kr kostnaden för självrisk för byte av en lägenhetsdörr. Bakgrunden var att någon för parterna okänd person -sedan hösten 1984 vid flera tillfällen hade använt en patientbricka med kärandens namn, personnummer och adress. Denne okände person hade bl.a. använt sig av denna patientbricka då han hade behandlats för en infektionssjukdom. Då denne person inte återkom till infektionskliniken efter en permission begärde sjukhuset hjälp av polisen för att hämta honom i bostaden. Polisen tog sig också in i kärandens bostad. De gjorde detta genom att bl.a. bryta upp lägenhetsdörren. Vid tidpunkten för sjukhusets begäran om biträde från polisen fanns personuppgifter i ett dataregister och i en manuellt förd journal. Käranden gjorde gällande att hans personliga integritet bl.a. hade kränkts genom det felaktiga polisingripandet i hans bostad och genom att han utpekats som en allvarligt sjuk person. Landstinget, som bestred käromålet, gjorde gällande att några felaktiga uppgifter inte hade tagits in i registret eftersom uppgifterna var korrekta såvitt avsåg den okände man som hade varit intagen infektionskliniken. Tingsrätten fann att det förekommit sådana oriktiga uppgifter i ett personregister för vilken ersättningsskyldighet enligt 23 § datalagen förelåg. Då enligt tingsrättens mening polisingripandet mot kärandens bostad skulle ha skett även om uppgifter om käranden endast funnits i den manuellt förda journalen ansågs denne inte vara berättigad till ersättning för skada som han kunde ha lidit till följd av polisingripandet. Tingsrätten fann dock klarlagt att käranden lidit ideell skada dels genom den integritetskränkning som det hade inneburit att uppgifterna

SOU 1993: 10 337

i registret hade utpekat honom som en sjuk person, dels genom den risk funnits för att han skulle ha kunnat utsättas för felbehandling som han hade tagits in på sjukhus. Käranden tillerkändes ersättning med om 10 000 kr jämte ränta. Domen meddelades i juni 1990.

19.2.3 Tidigare utredningsarbete

Offentlighets- och sekretesslagstiftningskommittén OSK ansåg i sitt betänkande SOU 1972:47 Data och integritet att den dåvarande skadeståndslagens bestämmelser inte var tillräckliga för att reglera den registrerades rätt till skadestånd vid fel i personregister som förs med hjälp ADB. OSK föreslog därför att särskilda regler skulle gälla när av registrerad hade utsatts för en skada genom att felaktiga uppgifter hade lämnats ut. OSK diskuterade även en obligatorisk försäkringsskyldighet för de registeransvariga men tanken på en sådan skyldighet tillbakavisades s. 92 f.

Vid remissbehandlingen av OSK:s förslag se prop. 1973:33 s. 146

ff föreslogs särskild regel om ideellt skadestånd vid vissa straffbeen lagda handlingar, främst utlämnande av uppgift. Från flera håll ansågs emellertid att den föreslagna skadeståndsskyldigheten var alltför långtgående. Ett annat alternativ som fördes fram var att begränsa rätten till skadestånd till de fall där oriktigheten medfört kränkning av den registrerades personliga integritet på ett väsentligt sätt. Några remissinstanser ansåg att endast sådana oriktigheter som var hänförliga till den registeransvariges handläggning skulle vara relevanta. egen Någon ville ha uttrycklig reglering av det inbördes ansvaret mellan en den registeransvarige och den från vilken felaktig uppgift har lämnats ut. I den proposition prop. 1973:33 som följde OSK:s betänkande ansåg departementschefen att behovet av skadeståndsregler på datateknikens område i stor utsträckning täcktes genom bestämmelserna i skadeståndslagen. Han menade dock liksom OSK att det för vissa fall fanns skäl att införa regler om skadestånd som gick längre än skadestândslagens bestämmelser för de fall då skada uppstått till följd att personregister innehållit oriktig uppgift. Som motiv för att införa av strikt skadeståndsansvar för dessa fall anfördes bl.a. att skadeverkett ningarna oriktig registeruppgift kan bli betydande genom den av en stora spridning uppgift som datatekniken möjliggör och den av en särskilda tilltro datauppgifter i många fall åtnjuter. Som ett som ytterligare motiv anfördes att faktiska fel kan uppkomma i ett dataregister missöden inte kan läggas någon till last som genom som vållande. Departementschefen tyckte att vissa skäl talade för att utsträcka rätten till ersättning för ideell skada även till fall då brottslig handling har begåtts med avseende på datalagrat material utan att någon personuppgift har fått ett oriktigt innehåll. Som exempel nämndes fall där någon stulit uppgift i och för sig är riktig eller som

upprättat personregister utan tillstånd. Någon särskild bestämmelse för sådana fall föreslogs emellertid inte i propositionen. Föredragande departementschefen ansåg att skadestândsansvaret gentemot den enskilde borde åvila den som sist haft hand om uppgiften, dvs. den registeransvarige som lämnat ut den oriktiga uppgiften eller på annat sätt orsakat skadan. En sådan registeransvarig kunde enligt föredraganden i vissa fall ha rätt att regressvis äterkräva utgiven ersättning av annan prop. s. 148 Sålunda intogs en skadeståndsregel i datalagen i stort översom ensstämde med den OSK föreslagit. Denna innebar strikt för ansvar den registeransvarige för skada som tillfogats registrerad att genom personregister innehåller oriktig uppgift honom. Även ideellt om skadestånd kunde utgå. Skadeståndsskyldighet förelåg även om den oriktiga uppgiften inte var hänförlig till den registeransvariges egen verksamhet. I sitt betänkande SOU 1978:54 Personregister Datorer Integritet - berörde DALK att kritik hade riktats mot skadeståndsregeln i datalagen. Enligt Datainspektionen hade ifrågasatts om det lämpligt att var införa en så vittgående skadeståndsregel som samtidigt enligt kritiken var inkonsekvent då den inte täckte alla situationer där otillbörligt intrång kunde tänkas uppkomma. DALK fann att skadeståndsregeln ännu inte hade tillämpats och att praktisk erfarenhet regeln av saknades. Enligt DALK:s mening fanns inte tillräckliga skäl att förorda någon ändring av den gällande skadeståndsregeln s. 281. I propositionen l978/79:l09 med förslag till ändring i datalagen fann departementschefen att skadestándsreglerna borde över. En ses mera inträngande undersökning borde enligt departementschefen göras i samband med utredningen av en generell lagstiftning om personregister. Data- och offentlighetskommittén DOK föreslog i sitt första delbetänkande SOU 1986:24 Rättelse och skadestånd Patientuppgifter i personregister bl.a. att den som hade begått brott enligt datalagen skulle bli skyldig att betala skadestånd även för s.k. ideell skada 23 §. Kommittén ansåg att det, med hänsyn till de möjligheter till ideellt skadestånd i samband med brott mot den personliga integriteten som numera tagits upp i skadeståndslagen, inkonsekvent vore om man inte vid behov kunde utkräva skadestånd för lidande som hade orsakats av brott mot datalagens bestämmelser. Med hänsyn till departementschefens uttalande i datalagens förarbeten och den allmänna restriktiviteten i svensk rätt när det gäller att medge ersättning för ideell skada fann Kommittén det mindre lämpligt att förlita sig till utvecklingen av praxis och föreslog ett tillägg i l kap 3 § skadeståndslagen klart som angav att ideellt skadestånd kan utgå i samband med brott mot datalagen s. 46. DOK föreslog även vissa ändringar i datalagen innebärande utökad skyldighet för den registeransvarige att rätta felaktiga

SOU 1993: 10 339

uppgifter i ett personregister och skyldighet för denne eller att utse en flera kontaktpersoner. DOK:s förslag ledde till vissa ändringar i datalagen som trädde i kraft den l april 1988 prop. 1986/87:116, KU 1987/88:5, rskr. 10,

SFS 1987:990. Ãndringama innebar den registeransvarige i ökad

att utsträckning blev skyldig att rätta felaktiga uppgifter i ett personregister. Rättelseskyldigheten utsträcktes till att i vissa fall även omfatta uppgift som är missvisande utan oriktig. Den att vara registeransvarige blev också skyldig att utse en eller flera kontaktpersoner som skall bistå de registrerade vid misstanke om att en personuppgift är felaktig. Vad angår skadestândsskyldigheten enligt datalagen utvidgades den till att avse skada som vallats genom att ett personregister innehåller missvisande personuppgift. I 23 § infördes nuvarande andra stycke som inte var avsett att innebära någon ändring i sak utöver vad som redan gällde enligt skadeståndslagen jfr prop. 1986/87: l 16 s. 21 f. Vidare infördes i datalagen en särskild föreskrift om att även ersättning för ideell skada kan utdömas. Som skäl för att en sådan regel fördes in i datalagen och inte, som DOK föreslagit, i skadeståndslagen angavs att skadeståndslagen i första hand borde reserveras för regler av mera allmän räckvidd och att regler som endast berör ett speciellt område bör tas in i den särskilda lagstiftning som gäller för det området prop. s. 19 I propositionen uttalade departementschefen även att de motiv som åberopades vid datalagens tillkomst till stöd för 23 § datalagen enligt hans mening alltjämt hade bärkraft s. 17. Han yttrade vidare s. 19:

Med hänsyn till de intressen som datalagen är avsedd att skydda torde det i första hand vara de registrerade kan bli besom rättigade till ersättning för ideell skada vid brott som avses i nämnda lagrum. För att skadestånd skall ut å i ett konkret fall bör givetvis krävas att málsäganden har livit utsatt för en integritetskränkning som inte är obetydlig. En sådan integritetskränkning kan t.ex. bestå i att en integritetskänslig uppgift om kommit till obehörigas kännedom

målsä

genom det brotts iga förfarandet. Aven en påtaglig risk för detta bör kunna beaktas. Ett integritetsintrång av detta slag torde kunna up komma t.ex. i vissa fall när ett register förs utan tillstånd jfr 20 § första stycket 1 datalagen eller när en

registreras, lämnas eller bevaras i strid med personuppgift

ut en bestämme se i datalagen eller en föreskrift meddelats datainspektionen som av jfr 20 § första stycket 2 4. Motsvarande torde kunna bli fallet olovligen bereder sig tillgång till

§någ0n

en personuppgift jfr 1 . Ersättning för ideell skada bör också kunna utgå när den registrerade genom det brottsliga förfarandet blir utsatt för en påtaglig risk för att bli föremål för felaktiga ingripanden från myndigheter eller för att inte kunna tillvarata sina lagliga rättigheter i ett visst avseende. Ett sådant torde kunna

uppkomma integritetsintrån

t.ex. i vissa fall då någon 0 ovligen än rar, utplånar eller för in en personuppgift i ett register jfr 21 § datalagen. Skadestånd bör också kunna utgå om en registrerad blir ur stånd

340 SOU 1993: 10

att tillvarata sin rätt i en angelägenhet på grund av att en registeransvarig har lämnat osann uppgift vid fullgörande av sin skyldighet att lämna en underrättelse enligt l0 § jfr 20 § första stycket 5. Aven i vissa andra fall torde ett brott mot datalagen kunna ge upphov till ett integritetsintrâng som berättigar till ersättning för ideell skada. Särskilt gäller detta vid s.k. wire-tapping som avses med den är 1986 utvidgade gämingsbeskrivningen i fråga om dataintrån och som ligger brytande av telehemlighet nära prop. 1985/86: 5 s. 30 ff. Det fâr ankomma på rättstillämpnin en att bedöma u pkommande skadeståndsfall mot bakgrun av allmänna ska esprinciper och de intressen datalagen skall

tindisáättsliga

som s y a.

19.2.4 Internationella överenskommelser

Enligt artikel lO i Europarádets dataskyddskonvention skall den nationella lagen innehålla lämpliga sanktioner och rättsmedel. I kommentaren till artikeln sägs att det ankommer på varje enskild stat att bestämma karaktären av dessa sanktioner och rättsmedel, dvs. huruvida dessa skall vara av civilrättslig, administrativ eller straffrättslig karaktär. Medlemsländerna skall enligt punkt 19 i 0ECD:s riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna bl.a. särskilt sträva efter att införa lämpliga sanktioner och rättsmedel. Förslaget till EG-direktiv innehåller en bestämmelse om den enskildes rätt till skadestånd art. 23. Bestämmelsen ålägger medlemsstaterna att föreskriva att en person vars personuppgifter behandlas och som lider skada till följd av en olaglig behandling eller annat handlande i strid mot de nationella bestämmelser som har antagits i enlighet med direktivet skall vara berättigad till ersättning av den persondataansvarige. Direktivförslaget möjliggör för medlemsstaterna att föreskriva att den persondataansvarige skall kunna undgå ersättningsskyldighet, helt eller delvis, för skada till följd av förlust eller förstörelse av uppgifter eller på grund av obehörig tillgång om den persondataansvarige visar att han vidtagit lämpliga åtgärder för att uppfylla de krav som direktivförslaget uppställer i fråga om datasäkerhet art. 17 och behandling som för den persondataansvariges räkning utförs av annan art. 24.

19.2.5 Utredningens tidigare ställningstaganden

De skadeståndsregler som finns i den nuvarande datalagen bör kunna föras in även i en framtida datalag. Ersättning bör alltså också framdeles utgå om någon tillfogas skada genom att en persondatamängd innehåller oriktig eller missvisande uppgift om honom eller henne.

Med hänsyn till den lösning som utredningen förordar beträffande vem som skall bära ansvaret för personuppgifter som förs med ADB se avsnitt 12 bör skadeståndsansvaret även i framtiden vara strikt till sin natur, dvs. gälla oberoende av vårdslöshet. En bestämmelse om skadestånd vid brott mot datalagens regler bör också ingå i en framtida datalag. Liksom i dag bör ersättning även kunna utgå för s.k. ideell skada. Med hänsyn till den skärpta syn på straffnivån som utredningen redovisat bör en höjning av skadestândsbeloppen i dessa fall också ske. Enligt utredningens mening bör skadeståndets storlek vid det slag av integritetskränkning som kommer i fråga vid brott mot datalagen i vissa fall kunna jämställas med de belopp som utdöms för annan kränkning av personlig integritet, exempelvis i fall av fysiskt övervåld. Utredningen tänker t.ex. på det tidigare avsnitt 19.2.2 redovisade ärendet som avsåg felaktig uppgift i Socialstyrelsens register över sluten psykiatrisk vård. Det innebär att ersätmingsbeloppen i jämförelse med Justitiekanslems nuvarande praxis i dessa fall bör höjas väsentligt.

19.2.6 Remissutfallet

Praktiskt taget alla remissinstanser som har berört frågan har anslutit sig till utredningens förslag om skadeståndsskyldighet. Till dessa hör Datainspektionen, Juridiska fakultetsstyrelsens forskningsnämnd vid Lunds universitet, Tjänstemännen.: Centralorganisation, Landsorganisationen i Sverige samt Dataföreningen i Sverige. När det gäller frågan om en höjning av skadeståndsbeloppen anser Justitiekanslern att det kan motiverat att i anslutning till de senaste årens utveckling vara höja ersättningsbeloppen för de integritetsintrâng som kan komma i fråga. Han ställer sig dock tveksam till utredningens bedömning att ersättningsbeloppen bör höjas "väsentligt". Hovrätten över Skåne och Blekinge ställer sig avvisande till en höjning av skadeståndsbeloppen och hänvisar till att den har avstyrkt förslaget om straffskärpning. Kritiska synpunkter framförs också av Swedish Direct Marketing Association som anser att utredningen lämnat en utvidgad och svårtillgänglig definition av begreppet personregister och att utredningens förslag skulle innebära att ett allt för stort ansvar överflyttades på de för register ansvariga i samhället. En registeransvarig skulle kunna komma att stå skadeståndsansvarig utan att ens känna till att han är ansvarig för ett anmälningspliktigt register.

19.2.7 överväganden

Utredningen har under det fortsatta utredningsarbetet inte funnit skäl att frångå de ställningstaganden i skadeståndsfrågoma som man tidigare har kommit fram till.

342 SOU 1993: 10

Skillnaderna i förhållande till gällande rätt 23 § datalagen är endast att brottet dataintrång inte längre finns med i uppräkningen i paragrafens andra stycke. Genom att detta brott enligt förslag från Datastraffrättsutredningen avses bli överfört till brottsbalken har det inte ansetts motiverat att reglera frågan skadestånd på grund detta brott i om av datalagen. I stället blir bestämmelserna i skadeståndslagen att tillämpa. Någon ändring i sak i fråga om skadeståndsskyldighetens omfattning är inte avsedd. Frågan har behandlats Datastraffrättsutredningen i av dess betänkande SOU 1992:110 Information och den inforrnanya tionsteknologin straff- och processrâttsliga frågor Vidare har - m.m. skadeståndsansvaret uttryckligen utvidgats till att avse skada inte bara när personuppgifter är oriktiga eller missvisande utan även när de är ofullständiga eller inaktuella. Utvidgningen är en konsekvens av regleringen i 22 och 23 §§ förslaget till datalag. Enligt förslaget till EG-direktiv skall varje handlande strider som mot de nationella bestämmelser som antagits i enlighet med direktivet kunna leda till skadestånd. De skadeståndsgrunder tas i som upp utredningens förslag 49 § första och andra styckena är emellertid så omfattande att kraven i artikel 23 i direktivförslaget får tillanses godosedda.

Överklagande

19.3.l Gällande rätt

Datainspektionens beslut kan f.n. överklagas enbart hos regeringen 25 § första stycket datalagen. För överklagandet gäller förvaltningslagens 1986:223 bestämmelser. Det innebär bl.a. att klagotiden är tre veckor från det klaganden fick del av beslutet och att enbart den som beslutet angår, om det har gått denne emot, har rätt att överklaga. Enligt 25 § första stycket datalagen har också Justitiekanslern rätt att överklaga Datainspektionens beslut för att ta tillvara allmänna intressen.

19.3.2 Förslaget till EG-direktiv

Enligt artikel 22 i direktivförslaget skall enskilda ha rätt till domstolsprövning judicial remedy vid brott mot de rättigheter som tillförsäkras dem genom direktivet.

19.3.3 Utredningens tidigare ställningstaganden

I direktiven för utredningen har pekats på de krav tillgång till domstolsprövning som den europeiska konventionen skydd för de om

SOU 1993: 10 343

mänskliga rättigheterna och de grundläggande friheterna Europakonventionen uppställer. Konventionens rättigheter gäller såväl fysiska som juridiska personer. Enligt artikel 6 i konventionen föreskrivs att "envar skall, när det gäller att pröva hans civila rättigheter och skyldigheten..., vara berättigad till opartisk och offentlig rättegång inom skälig tid och inför en oavhängig och opartisk domstol som upprättats enligt lag." Den europeiska domstolen i Strasbourg har givit begreppet "civila rättigheter och skyldigheter" en tämligen vid tolkning, enligt vilken begreppet anses omfatta inte bara vad som traditionellt brukar hänföras till civilrätten. Även viktigare offentligrättslig reglering individens av

näringsfrihet och frihet i ekonomiskt hänseende räknas hit en

kortfattad redovisning av artikel 6 och praxis finns i Ds Ju 1986:3. Utvecklingen pá detta område har lett till att möjligheten till domstolsprövning rent generellt vidgats i Sverige genom att institutet rättsprövning införts. Enligt lagen 1988:205 om rättsprövning av vissa förvaltningsbeslut, som är tidsbegränsad till utgången av år 1994, skall Regeringsrätten på ansökan av enskild part i ett sådant förvaltningsärende hos regeringen eller en förvaltningsmyndighet som rör något förhållande som avses i 8 kap. 2 eller 3 § regeringsformen pröva om avgörandet i ärendet strider mot någon rättsregel. Rättsprövning kan gälla endast sådana beslut som innebär myndighetsutövning mot den enskilde. Dessutom krävs att beslutet annars kan prövas av domstol endast efter ansökan om resning och inte skulle ha kunnat överprövas i annan ordning. Beslut av vissa nämnder är dock undantagna från rättsprövning, liksom beslut i vissa typer av ärenden. Av förarbetena till lagen prop. 1987/88:69 framgår att Regeringsrättens prövning skall omfatta inte bara lagtolkning utan också faktabedömning och bevisvärdering. Även kraven i l kap. 9 § regeringsformen om allas likhet inför lagen samt om saklighet och opartiskhet bör kunna prövas. Det är däremot inte avsett att rättsprövning skall kunna ske av politiska lämplighetsfrågor i egentlig mening. De beslut av Datainspektionen som kan komma i fråga i ett framtida tillsynssystem är i huvudsak frågor huruvida personuppgifter av visst slag får förekomma i en viss datamängd eller om användningen av uppgifter skall begränsas till visst ändamål eller förbjudas. Vidare hör hit frågor om medgivande till utlandsöverföring, liksom förelägganden av olika slag riktade till den persondataansvarige för att tillgodose krav på rättelse eller komplettering av felaktiga eller ofullständiga uppgifter. Däremot faller frågan om straff och skadestånd utanför, eftersom dessa frågor avgörs av allmän domstol. Såväl den enskilde den som persondataansvarige kan ha anledning att vilja få ett beslut av Datainspektionen överprövat.

Normbeslut, dvs. Datainspektionens beslut att efter delegation normera vissa sektorer eller branscher, bör emellertid inte omfattas av fullföljdsreglerna. Om integritetsskyddet enligt datalagen skulle vara hänförligt till en sådan rättighet som avses i artikel 6 Europakonventionen skulle således en domstolsprövning vara det enda möjliga alternativet till nuvarande ordning vid fullföljd från Datainspektionen. De rättigheter och skyldigheter som enskilda har enligt datalagen saknar direkt motsvarighet i Europakonventionen. Det integritetsskydd som datalagen och regeringsformens 2 kap. 3 § ger uttryck för ligger emellertid nära den rätt till skydd för privat- och familjeliv, hem och korrespondens som konventionen innehåller art. jfr l kap. 2 § regeringsformen. Iden praxis som har utvecklats vid Europakommissionen vid dess tillämpning av konventionen har också frågan om dataskydd ansetts falla inom ramen för rätten till skydd för privatlivet. Enligt artikel 13 i Europakonventionen skall den vars konventionsskyddade rättigheter kränkts ha rätt till ett effektivt rättsmedel inför inhemsk myndighet. Därmed anses dock inte ett krav på domstolsprövning föreligga, utan även administrativa rättsmedel kan vara tillräckliga för att uppfylla konventionens krav i denna del jfr Danelius, Mänskliga rättigheter, 4 uppl., s. 134 ff. Eftersom integritetsskyddet inte heller direkt torde omfattas av bestämmelserna i artikel förefaller således inte en övergång till domstolsprövning kunna motiveras med hänvisning enbart till Europakonventionen. Den svenska ordningen med en överprövning hos regeringen av beslut av förvaltningsmyndighet har en lång tradition och saknar motsvarighet utomlands. Det vanliga i andra länder är att förvaltningsmyndigheters beslut, i den mån de kan överklagas, prövas av allmän domstol eller förvaltningsdomstol. Å andra sidan har den svenska förvaltningstraditionen en mera självständig prägel än den styrning som utomlands utövas från ministerierna över de underlydande myndigheterna. Fördelen med att behålla regeringen som överinstans är att lämplighetsfrâgor som rymmer behov av en mera övergripande bedömning kan bli bättre tillgodosedda. l den mån det är fråga om en mera uttalad rättslig prövning minskar dock behovet av en sådan diskretionär bedömning. De materiella bestämmelserna i en framtida datalag bör vara så utformade att de möjliggör en rättslig prövning. Vad som nu har sagts talar för att regeringens befattning med överklagande inom datalagens område upphör. Härigenom kan regeringen också i linje med en utveckling som pågår avlastas ytterligare en ärendegrupp. Sedan flera år sker inom regeringskansliet en systematisk översyn av reglerna om rätt att överklaga till regeringen. Riktlinjerna för detta arbete fastställdes av riksdagen år 1984 prop. 1983/84: 120. En redovisning av utvecklingen finns i bil.2 till

SOU 1993: 10 345

budgetpropositionen 1991 s. 55 I översynsarbetet ingår även att undersöka om det är ändamålsenligt att låta domstolsprövning ersätta överklagande i administrativ ordning områden där Europakonventionens krav om tillgång till domstolsprövning gör sig gällande se KU1990/91:7 s. 12. Olika skäl talar således för att fullföljd av inspektionens beslut framgent i stället skall göras till domstol. Bl.a. skulle en anpassning till en europeisk modell åstadkommas och risken för att nuvarande ordning trots allt står i strid med Europakonventionen undanröjas. Utredningen föreslår med hänvisning till vad som nu har anförts att överklagande av enskilda framgent görs hos domstol och inte hos regeringen. Detta stämmer också överens med vad som föreslås i utkastet till EG-direktiv. När det gäller förvaltningsmyndigheters möjlighet att föra talan mot inspektionens beslut måste emellertid vissa andra frågor beaktas. Att lösa tvist mellan statliga förvaltningsmyndigheter innebär att andra än rent rättsliga aspekter kommer i förgrunden. Om Datainspektionen skulle fatta beslut på integritetsområdet som gäller en annan förvaltningsmyndighets handläggning kan detta sägas röra en tvist mellan två myndigheter, vilka båda är underställda regeringen. Frågor om integritetsskydd i ADB-sammanhang inom den statliga förvaltningen torde i många fall komma att bli aktuella som en följd av att en myndighet beslutat att av administrativa skäl eller effektivitetsskål införa eller utvidga ett ADB-stöd. Den prioritering som därvid kan behöva göras mellan integritetsskydd, å ena sidan, och den statliga förvaltningens effektivitet, å den andra, bör lämpligen lösas genom att frågan slutligt avgörs av regeringen som har den nödvändiga överblicken. En statlig förvaltningsmyndighet bör därför även framgent kunna överklaga till regeringen. När det gäller kommunala myndigheter, som inte lyder under regeringen, gör sig behovet av en regeringsprövning inte gällande på samma sätt. Visserligen sker en utveckling med ADB-stöd i rationaliseringssyfte inom den kommunala sektorn i inte så få fall mot bakgrund av statliga beslut om ålägganden och bidrag m.m. Den kommunala verksamheten omfattas emellertid inte till alla delar av en statlig reglering. Det innebär att regeringen inte som för den statliga förvaltningen kan göra de övergripande bedömningar för den kommunala sektorn som motiverar regeringens ställning som besvårsmyndighet för den statliga förvaltningen. I de kommunala fallen bör således en domstolsprövning lämpligen göras, liksom när det gäller enskilda. Särbehandlingen för statliga myndigheters del har en motsvarighet när det gäller fullföljdsreglerna i sekretesslagen 1980: 100. Se l5 kap. 7-8 §§ prop. 1979/80:2 Del A s. 362 ff.

Den lösning som nu föreslås ligger också i linje med den särskilda behandling av s.k. statsmaktsregister som utredningen tidigare har förordar skall behållas. När det gäller frågan om valet av domstolsinstans som bör överpröva Datainspektionens beslut förefaller det enligt utredningens mening vara mest närliggande att låta denna prövning företas de av allmänna förvaltningsdomstolama. I dessa domstolar finns en erfarenhet av administrativa förvaltningsbeslut som saknas i de allmänna domstolarna. Omfattningen av skadestånds- resp. ansvarstalan enligt datalagen i allmänna domstolar är inte heller sådan att dessa domstolar av det skälet har en förtrogenhet med det speciella område som datalagen utgör. Antalet framtida överklagandeärenden är givetvis svårt att uppskatta. Det får dock bedömas vara av en mycket begränsad omfattning. Antalet klagoärenden som nu prövas av regeringen inskränker sig till ca tio fall årligen. Detta förhållande och målens speciella karaktär talar

mot att låta länsrätten första instans. Överklaganden bör därför

vara göras till kammarrätten. Av forumreglerna följer att målen kan koncentreras till Kammarrätten i Stockholm se 1 § förordningen, 1977:937, om kammarrätternas domkretsar m.m..

övervägande skäl talar således för att Datainspektionens beslut

framgent överklagas till Kammarrätten i Stockholm. En möjlighet till fullföljd på sedvanligt sätt efter prövningstillstånd till Regeringsrätten bör givetvis finnas. När det slutligen gäller beslut av Datainspektionen som rör en domstol bör domstolen också kunna överklaga dessa. Domstolarna är emellertid inte statliga förvaltningsmyndigheter och lyder inte under regeringen, varför det synsätt som i föregående avsnitt redovisats för förvaltningsmyndigheterna inte bör tillämpas. Även för dessa fall bör således en domstolsprövning föreskrivas. När det gäller de beslut av Datainspektionen som kan komma i fråga rör de domstolens administration och inte någon sökande eller part vid domstolen. Den ordning inom en domstolsinstans som gäller för besvärsmål eller annan ordinär fullföljd är därför inget naturligt val för överklagande. Ett lämpligare alternativ är att låta även en domstol överklaga till kammarrätten. Vad som nu har sagts bör gälla inte bara för allmänna domstolar i första och andra instans och för de allmänna förvaltningsdomstolama i första instans utan också för de specialdomstolar och domstolsliknande nämnder som finns. Det innebär att de av inspektionens beslut som rör exempelvis Bostadsdomstolen, Arbetsdomstolen, Marknadsdomstolen, Försäkringsöverdomstolen och hyresnämnderna bör fullföljas till kammarrätten. Om kammarrätten ges exklusiv behörighet bör dock Högsta domstolen och Regeringsrätten undantas. De båda högsta instanserna får anses själva kunna slutligt pröva de beslut av Datainspektionen som nu är i fråga. Om Datainspektionens beslut rör en kammarrätt bör talan mot

SOU 1993: 10 347

beslutet, utan krav på prövningstillstånd, kunna fullföljas till Regetingsrätten. De privaträttsliga organ, slutligen, nämns i l kap 8 § sekresom tesslagen, dvs. sådana organ som är jämställda med myndigheter när det gäller att ta del av allmänna handlingar bl.a. notarius publicus och AB Svensk Bilprovning, bör i förevarande sammanhang följa den ordning som gäller för dem som inte är statliga förvaltningsmyndigheter. Det innebär således att fullföljd bör ske till kammarrätten och inte till regeringen. Motsvarande bör gälla för myndigheterna under riksdagen. Vad utredningen föreslagit i fråga om överklagande bör inte ändra Justitiekanslems möjlighet att överklaga för att ta till allmänna vara intressen. Huruvida talan av denne skall föras hos regeringen eller i domstol är avhängigt av vem Datainspektionens beslut riktar sig emot eller annars angår, dvs. statlig förvaltningsmyndighet en resp. en enskild person, en myndighet under riksdagen, kommunal myndigen het, myndighetsliknande organ eller domstol domstolsliknande en nämnd.

19.3 .4 Remissutfallet

Utredningens förslag om ett system med olika besvärsvägar har fått ett blandat mottagande. Flera remissinstanser tillstyrker utredningens förslag, nämligen Riksförsäkringsverket, Juridiska fakultetsstyrelsens forskningsnämnd vid Lunds universitet, Polismyndigheten i Göteborg, Landstingsförbundet och Dataföreningen i Sverige. Det framförs emellertid också många kritiska synpunkter. Riksdagens ombudsmän anför att frågan om rätt besvärsinstans bör avgöras med utgångspunkt i vem som för registret, inte i anför vem som besvär. I annat fall kan sak komma prövas olika samma att av instanser. Hovrätten över Skåne och Blekinge motsätter sig inte förslaget att talan av statlig förvaltningsmyndighet skall prövas av regeringen, detta med hänsyn till den särskilda beslutsordning som gäller för inrättande av s.k. statsmaktsregister. Beträffande domstolarna anser hovrätten att regleringen datoranvändningen inte står av i sådant direkt samband med dömandet särskild reglering att en av fullföljd mot talan mot Datainspektionens beslut rörande persondatamängder i domstol är motiverad. Även talan domstolar bör således av enligt hovrätten prövas av regeringen. Kammarrätten i Stockholm föreslår att alla överklaganden beslut av av Datainspektionen, med undantag för Högsta domstolen och Regeringsrätten, överklagas till allmän förvaltningsdomstol. Om det anses erforderligt att besvär i ärenden rör andra myndigheter än som domstolarna anförs hos regeringen, sätter kammarrätten i fråga inte om samma reglering bör gälla också i fråga domstolarna, dock med om undantag för Högsta domstolen och Regeringsrätten. Om utredningens

348 SOU 1993: 10

förslag i fullföljdsfrâgoma skulle följas menar kammarrätten att en bestämmelse undantag från prövningstillstånd vid besvär över om Datainspektionens beslut rör en kammarrätt bör undvikas. Kamsom marrätten det naturligt att frågan om till vilken instans av anser förvaltningsdomstol talan skall fullföljas löses i samband med att ställning tas till domstolsutredningens betänkande. Datainspektionen pekar på behovet av samordning med fullföljdsreglerna i närliggande lagstiftning. Juridiska fakultetsnämnden vid Stockholms universitet anser att det skulle naturligt att generellt tillämpa en ordning med övervara klagande till domstol. En sådan ordning kan, hävdar fakultetsnänmden, också ägnad att stärka tilltron till att individens skyddsintressen vara blir objektivt och rättsenligt bedömda också när det är fråga om statliga förvaltningsmyndigheters persondatabehandling. Det är angeläget inte minst eftersom de mest omfattande och mest integritetskänsliga hanteringarna finns just inom denna sektor. Statens personoch adressregistemämnd, i övrigt godtar utredningens förslag, som att även Högsta domstolen och Regeringsrätten bör fullfölja menar talan till regeringen. Svenska kommunförbundet anför i sitt yttrande att enskilda och det allmänna inte bör olika överklagningsvägar eftersom i stort sett ges datarättsliga grunder gäller för alla registeransvariga. En samma betydande risk för olikheter i rättstillämpningen kan armars föreligga. Medborgarrättsrörelsen Friheten i Sverige anser också att ett system med två besvärsvägar bör undvikas och föreslår att endast besvär till förvaltningsdomstol används, dock att de båda högsta instansernas beslut undantas överprövningsmöjligheten. Vilken typ av förvaltningsdomstol skall komma i fråga länsrätt eller kammarrätt -fár som avgöras i samband med den omstrukturering som blir en följd av de ändringsarbeten inom domstolarna som domstolsutredningens betänkande leder till. Swedish Direct Marketing Association anser att de överväganden skall göras i besvärssituation mellan en registerförande som en myndighets krav på effektivitet och samhällsmedborgarnas krav på skydd för den personliga integriteten med fördel kan göras av domstol i stället för regeringen. Organisationerna menar också att det är en av fördel om alla frågor kring integritetsskyddet avgörs av samma instans, oavsett i vilken form den registeransvarige uppträder.

19.3.5 överväganden

Enligt gällande rätt har registrerad en mycket begränsad talerätt. en Den har gjort anmälan till Datainspektionen om en felaktig som en registrering uppgifter om honom själv, anses t.ex. inte ha någon rätt av att överklaga beslut varigenom inspektionen förklarat att anmälan inte föranleder någon åtgärd. I princip är det bara Justitiekanslern och den

SOU 1993: 10 349

registeransvarige som har klagorätt. Den av utredningen förslagna ordningen med två besvärsvägar skall ses mot bl.a. den bakgrunden. Artikel 15 i förslaget till EG-direktiv föreskriver att den enskilde skall ha en rätt att motsätta sig, lagliga grunder, behandling av personuppgifter som hänför sig till honom relating to him. Som tidigare har redovisats skall vidare den enskilde ha rätt till domstolsprövning vid brott mot de rättigheter som tillförsäkras honom genom direktivet. Enligt regleringen i förslaget till EG-direktiv anses alltså ett beslut av en dataskyddsmyndighet angå en enskild i betydligt större omfattning än som följer av nuvarande praxis i Sverige. Den som anser att uppgifter om honom inte får behandlas därför att ändamålet med behandlingen inte medger detta eller därför att uppgifterna borde ha gallrats får, enligt det synsätt som direktivförslaget ger uttryck för, möjlighet att överklaga dataskyddsmyndighetens beslut, om det har gått honom emot. På motsvarande sätt torde anmälaren i det förut angivna exemplet ha klagorätt. Enligt utredningens mening bör tolkningen av vem ett beslut angår dataskyddsområdet ske i enlighet med de principer som följer av förslaget till EG-direktiv. Den närmare gränsdragningen får överlåtas rättstillämpningen. Med en ordning där den enskilde pâ dataskyddsområdet ges en betydligt utvidgad klagorätt uppkommer med utredningens tidigare ställningstaganden de olägenheter som några remissinstanser har pekat på, nämligen att samma sak kan komma att prövas i två olika instanser. För att undvika denna svårighet bör talan kunna fullföljas endast till en instans. Med hänsyn till vad förslaget till EG-direktiv innehåller på denna punkt, de skäl som utredningen tidigare har redovisat till stöd för en domstolsprövning och den uppfattning som en hel del remissinstanser har fört fram, bör man välja ett system som innebär att domstol prövar alla överklaganden av beslut av Datainspektionen, således även de fall där talan fullföljs av en statlig förvaltningsmyndighet. Utredningen vidhåller dock sitt förslag att undantag bör göras för Högsta domstolen och Regeringsrätten. Av skäl som tidigare redovisats bör man i valet mellan allmänna domstolar och förvaltningsdomstolar välja att låta förvaltningsdomstol pröva överklaganden enligt datalagen. När det gäller frågan till vilken instans inom de allmänna förvaltningsdomstolarna som överklagandena skall föras bör i och för sig den grundläggande principen vara att tyngdpunkten i rättsskipningen skall ligga i den första domstolsinstansen. Domstolsutredningen har i sitt betänkande SOU 1991:106 Domstolama inför 2000-talet s. 442 anfört att det bör krävas mycket starka skäl för att frångå principen att den första domstolsprövningen av ett förvaltningsärende alltid skall ske i länsrätt. Datainspektionen får emellertid anses ha en i viss mån speciell ställning. Det kan nog också hävdas att datalagsmål kan komma att bli så komplicerade att det av den anledningen krävs juristkollegial sammansättning i första instans.

Målen torde på flera sätt komma att skilja sig från andra typer av mål och mycket talar för att de borde föras direkt till kammarrätten. Utredningen har därför slutligen stannat för att föreslå att kammarrätten blir första besvärsinstans vid överklaganden enligt datalagen. Som utredningen tidigare har berört är antalet klagoärenden f.n. mycket begränsat. Den utvidgade klagorätten för enskilda kan leda till en inte oväsentlig ökning av antalet överklaganden. Det går dock inte att säga något bestämt om hur stor ökningen kan bli. Liksom i dag bör Justitiekanslern ha möjlighet att överklaga inspektionens beslut för att tillvarata allmänna intressen. Datainspektionens beslut om föreskrifter som avses i 8 kap regeringsformen och som har meddelats med stöd av bemyndigande i 36 § bör inte omfattas av fullföljdsreglerna. I enlighet med det nu anförda har bestämmelser om överklagande tagits upp i 51 § förslaget till datalag. Hur bestämmelserna förhåller sig till förslaget till EG-direktiv har berörts i det föregående.

19.4 Datalagens

tillämpning på bilder m.m.

Som framgått av redovisningen av den tekniska utvecklingen i avsnitt 3 ökar lagringen på datormedia av annan information än text och textrelaterad information, t.ex. bilder. Förutom direkta bilder av personer och andra motiv blir den information som lagras i form av bilder på datormedia allt mer omfattande. Textinformation kan med hjälp av scanners lagras som digitala bilder på datormedia. Det förekommer även att fingeravtryck och viss genetisk information lagras i form av bilder. Av de direkta bilderna främst fotografier är ett porträtt ett tydligt exempel en bild som är klart personrelaterad. Men en enskild kan naturligtvis också identifieras en bild vars huvudsakliga syfte inte är att återge någon enskild person, t.ex. en bild som avser att dokumentera olika gatumiljöer. Annan information som i hög grad är hänförlig till en viss person är naturligtvis fingeravtrycksbilder och olika slag av genetisk information. Den digitala bildlagringen har ökat i omfattning under den allra senaste tiden. Med hjälp av en s.k. filmscanner kan i dag film av alla filmfabrikat, svartvitt, färg och dia läsas till elektroniska bilder. Bilderna kan bl.a. lagras en CD-ROM-skiva. I avsnitt 3.7 har nämnts hur CD Photo sedan en tid tillbaka marknadsförs på bred front. Förutom vad där sagts kan nämnas att det nu på marknaden även finns digitala kameror med vilka man direkt lagrar tagna bilder ett datormedium. Med vissa av dessa kameror kan också bilder sändas direkt via telenätet till en mottagande dator. Som nämnts i avsnitt 3.6 finns nu också en omfattande bilddatabas med miljontals bilder i Sverige Posten Bildbanken AB i Kiruna. Förutom att ansluta sig till

denna svenska databas är det möjligt att medelst modem koppla sig upp till utländska motsvarigheter till denna svenska databas. Enligt uppgift har bl.a. Kodak planer på att inrätta en global söknings- och förmedlingstjänst av bilder, Kodak Picture Exchange. Medelst en persondator skall man kunna koppla sig till databas. I databasen kan söka en man efter bilder och se dessa i en lågupplöst version samt beställa originalbilden. Kodaks förmedlingstjänst är planerad att starta under år 1993 i USA och under år 1994 i Europa. l början av 1970-talet det inte tekniskt möjligt var att digitalt lagra fotografiska bilder, varför frågan registrering bilder överhuvudom av taget inte diskuterades i samband med den nuvarande datalagens tillkomst. Frågan om digitala bilder omfattas datalagens bestämmelav ser har därför fått avgöras i praxis. Datainspektionen avgjorde i april 1992 frågan tillstånd för om Posten Bildbanken AB att driva sin bilddatabas i Kiruna. I sitt beslut anförde Datainspektionen bl.a. följande.

Enligt l § datalagen definieras personuppgift såsom upplysning som avser enskild person. Personregister är ister, förteckning re eller andra anteckningar som förs med hjä automatisk p av databehandling ADB och som innehåller personuppgift kan som hänföras till den som avses med uppgiften. Med i datalagens mening

upplgiift avses inte endast text utan

även bild oc ljud. Datainspektionen konstaterar att personuppgifterna i ifrågavarande register inte endast ut örs den av text som registreras utan även de bilder skal lagras digitalt i den av som mån bilden kan hänföras till viss person, d.v.s. någon kan av identifieras som personen i fråga. Det förhållandet att re istret att innefatta kommersiella avser bilder utesluter inte att bi dema även kan utgöra sådana känsliga up gifter som anges i 4 § datalagen, t.ex. bilder visar som ett po is-ingripande, sjukhusinteriör eller politiskt eller en ett religiöst möte.

Posten Bildbanken AB erhöll ett med ett antal föreskrifter förenat tillstånd. Beslutet har överklagats. Digital bildbehandling innebär att fotografiska bilder kan tas emot, lagras, visas och lämnas ut genom ADB. Visningen sker det sättet att man med hjälp av en dator söker fram bilder via särskilda sökord eller att man med hjälp dator bläddrar i bildarkivet. I allmänhet av en torde vissa av bilderna, på sätt som tidigare har berörts, hänförvara liga till vissa enskilda personer. Digitalt lagrade identifierbara bilder faller därmed in under den föreslagna datalagens tillämpningsområde behandling av personuppgifter. Digitalt lagrade identifierbara bilder har hittills inte förekommit i någon större skala och därför inte orsakat några större problem vid tillämpningen av datalagens bestämmelser. Det är emellertid endast en tidsfråga innan den moderna bildlagringstekniken blir allmänt tillgänglig och kommer till större praktisk användning. Den en

352 SOU 1993: 10

omständigheten att vissa digitala bilder kan anses utgöra personuppgifi datalagens mening innebär ett antal svåra tillämpningsproblem. ter Utredningen har därför funnit anledning att särskilt ta upp denna fråga

till diskussion. Det bör dock först noteras att en stor del av de personorienterade digitala bilderna torde helt falla utanför den föreslagna datalagens tillämpningsområde. Detta gäller främst den användning som sker uteslutande för personligt bruk 7 §. Amatörfotografens bilder som lagras på Photo CD-skiva bör i de allra flesta fall hamna t.ex. en utanför datalagen. Bilder ingår i uppslagsverk 0.dyl., t.ex. CDsom ROM-skivor, undantas också 6 § 4. Även många de bilder som av publiceras i massmedia kan komma att falla utanför datalaavses att reglering 6 § 1. I detta sammanhang skall också erinras om att gens bilder har varit publicerade i en tidning och som har arkiverats som med ADB-teknik inte omfattas datalagens tillämpningsområde 6 § av 3. För de bilder är textrelaterade, t.ex. genom scanner inlästa som lagras bilder, datalagens olika bestämmelser inte texter som som synes komma att innebära några större tillämpningsproblem. Datalagens bestämmelser torde i dessa fall kunna tillämpas som på lagrad textinformation. Däremot uppkommer ett antal problem vid till ämpningen den föreslagna lagens bestämmelser andra slag av av ADB-lagrad bildinformation såsom stillbilder t.ex. foton och teckningar och rörliga bilder. Uppgifter bl.a. ras, etniskt ursprung, politisk uppfattning, om religiös eller filosofisk övertygelse, sjukdom, hälsotillstånd eller sexualliv är känsliga uppgifter enligt 20 § förslaget till datalag. Härav följer att bild på som utvisar dennes rastillhörighet är en en en person känslig uppgift. De flesta bilder på personer torde utvisa personens rastillhörighet. Bilder t.ex. avbildar personer i samband med som politiska möten blir också att anse som känsliga. Enligt 20§ får personuppgifterna, dvs. i dessa fall de digitala bilderna, endast skriftligen lämnar sitt samtycke särskilt behandlas om den enskilde angivet sätt eller det följer bestämmelserna i datalagen om beav handling för anställningsändamål resp. forsknings- eller statistikändamål eller av annan författning. Några problem erhålla samtycke från medverkande aktörer vid att reklam- och spelfilmsupptagningar och olika slag av modellfotografering torde inte föreligga. l de flesta andra fall torde det emellertid vara förenat med mycket stora svårigheter att erhålla erforderliga samtyck- Bilder äkta dokumentärkaraktär synes bli närmast omöjliga att en. av behandla. Såvitt polis och andra myndigheter kan det av lag följa avser de har rätt att lagra och behandla bildinformation. Utan hinder av att 20 § kan vidare digitala bilder som känsliga behandlas om som anses det sker under sådana omständigheter att det är uppenbart att inga kränkningar personlig integritet äger rum 21 § förslaget till av

SOU 1993: 10 353

datalag. Detta inte särskilt vida undantag torde emellertid vara svårt att tillämpa i nu aktuella fall. Slutsatsen måste bli att det för den digitala bildhanteringen behövs en särskild författningsreglering i enlighet med bestämmelserna i 20§ förslaget till datalag. Då som nämnts flertalet digitala bilder kan anses vara av känslig art torde också anmälningsskyldigheten för sådana bilder bli mycket omfattande. Andra bestämmelser i datalagsförslaget som kan orsaka tillämpningsproblem när en personuppgift består av en bild är bestämmelsen i l4 § om att personuppgifter skall vara riktiga, fullständiga, aktuella och inte missvisande. Det finns i dag möjlighet att med hjälp av datortekniken manipulera bilder på alla tänkbara sätt. Problem uppkommer även vid tillämpningen av 22 och 23 §§ som bl.a. föreskriver en rättelse- och kompletteringsskyldighet för den persondataansvarige. Hur rättar eller kompletterar man ett fotografi Den enskilde har enligt 25 § förslaget till datalag en rätt till insyn. Den enskilde kan med stöd av denna bestämmelse kräva att få besked om han förekommer på någon bild som den persondataansvarige har lagrat på datormedia. Det säger sig självt att om den persondataansvarige har lagrat en enorm mängd bilder och inte har någon förteckning över vilka personer som förekommer på bilderna, denne inte har någon rimlig möjlighet att besvara en sådan förfrågan. I den tidigare nämnda bilddatabasen i Kiruna kan sökning inte ske på personnamn, personnummer eller andra personidentifierande sökbegrepp, eftersom sådan information inte lagras i datasamlingen och inte heller i övrigt finns tillgänglig. I ett sådant fall får det därför närmast anses ankomma på den enskilde att ett tillräckligt tydligt sätt precisera sin begäran eller, om möjligt, får den enskilde erbjudas möjlighet att egen hand gå igenom den lagrade bildinformationen. Digitalt lagrad bildinformation har som framgått sådana särdrag som gör det svårt att reglera all dess behandling det sätt som skett i utredningens förslag till ny datalag. Det gäller för övrigt all annan datalagstiftning som utredningen har gått igenom och den intemationelregleringen på området. Bildhanteringen är av sådan art att det möjligen vore lämpligare att reglera den i särskild ordning och då på ett sätt som ger enhetliga regler för bildhantering oavsett på vilket sätt bilderna framställs och lagras. I avvaktan på en sådan generell reglering finner dock utredningen sig inte kunna låta de digitala bilderna, som i dag regleras av datalagens bestämmelser, stå utanför en kommande datalags regelsystem. Den lösningen bör då väljas att datalagen kompletteras enligt 20 § med en särskild registerlag för den digitala bildhanteringen. En sådan registerlag skall göra det möjligt att behandla känslig bildinformation utan att samtycke föreligger från de berörda enskilda. En förutsättning för att detta skall kunna ske är att det föreligger ett viktigt allmänt intresse se avsnitt 9.8, 10.6 och 11.6. Ett sådant intresse utgörs av informationsfriheten i samhället och bildförmedling ingår som ett

väsentligt led i denna informationsfrihet. Mot informationsfriheten bör emellertid ställas integritetsintressena och den särskilda registerlagen bör innehålla vissa bestämmelser som tillgodoser dessa intressen. Den persondataansvarige bör ha en viss informationsskyldighet, i massmedia eller på annat lämpligt sätt. Informationen bör avse bildbankens ändamål, dess innehåll och den strykningsrätt som bör tillkomma den enskilde. Med strykningsrätt förstås en skyldighet för den persondataansvarige att på begäran av den enskilde ta bort de uppgifter som är hänförliga till denne. Strykningsrätten framstår för utredningen som en rimlig åtgärd vid avvägningen mellan informations- och integritetsintressena. Den innebär också en praktisk lösning på de problem som sammanhänger med rätten till rättelse och komplettering av information. I den utsträckning bildbanken saknar direkt personorienterande urvalskriterier får det för att strykningsrätten skall kunna utövas krävas att den enskilde på ett tillräckligt tydligt sätt preciserar sin begäran om strykning. Ett alternativ kan vara att den enskilde får möjlighet att på egen hand gå igenom den lagrade bildinformationen. Vad som nu har sagts om utövande av strykningsrätten gäller också den enskildes rätt till insyn enligt 25 § förslaget till datalag. Den särskilda registerlagen bör också innehålla bestämmelser i enlighet med det nu sagda. Slutligen bör övervägas vissa inskränkningar i anmälningsskyldigheten eftersom denna annars skulle bli alltför omfattande.

Förslaget till EG-direktiv

Enligt kommentaren till direktivförslaget kan person identifieras bl.a. genom en bild på denne eller dennes röst samt genom fingeravtryck eller genetiska kännetecken. Den skisserade särskilda registerförfattningen torde vara förenlig med direktivförslaget i den meningen att viktiga allmänna intressen, informationsfriheten, ligger till grund för regleringen art. 8.3. Den berörda insynsrätten avviker emellertid från vad som gäller enligt direktivförslaget, liksom även från vad utredningen föreslår 25 § förslaget till datalag.

SOU 1993: 10 355

Övergången

20 till ett nytt systern

När den nya datalagen träder i kraft, vilket bör kunna ske den l januari 1995, kommer det att finnas ett stort antal fall där personuppgifter behandlas för ett visst ändamål. Utredningen har i det föregående räknat med omkring 35 000 40 000 fall av anmälningsskyldighet enligt den nya lagen vid tidpunkten för lagens ikraftträdande. Till detta kommer ett okänt antal fall där personuppgifter vid ikraftträdandet behandlas utan krav på tillstånd enligt äldre bestämmelser och där inte heller någon anmälningsskyldighet kommer att föreligga. De persondataansvariga bör komma in i det nya systemet så snart som möjligt. Det skulle vara önskvärt att även de persondataansvariga som har tillstånd enligt nuvarande datalag ger in en anmälan. Datainspektionen skulle därigenom få ett enhetligt underlag för sin tillsyn. Den nu angivna ordningen medför emellertid också stora nackdelar. Datainspektionen skulle i anslutning till eller under övergångsperiod en efter ikraftträdandet få ta emot och registrera en mycket stor mängd anmälningar. Det är svårt att bedöma hur mycket resurser som skulle gå för den uppgiften. Man kan få viss vägledning för beräken ningen av en sådan registrering genom att studera inspektionens nuvarande kostnader för hanteringen licensanmälningar. De är av enligt inspektionen sju procent av de medel som står till inspektionens förfogande, dvs. i runda tal 1,4 miljoner kronor för högst 4 000 fall per år. Utgår man från dessa siffror torde kostnaden för registreringen av här aktuella anmälningar komma att uppgå till storleksordningen 17,5 miljoner kronor eller ett 80-tal biträden under ett år. Mot den beräkningen kan sägas att de nämnda sju procenten inkluderar utöver själva registreringen även information m.m. I vilket fall helst som skulle kostnaderna bli så stora att den lösningen inte kan komma ifråga. Utredningen vill i stället förorda en ordning innebär att som tillstándsbesluten får fungera som en anmälan enligt den nya lagen, i den mån innehavaren av tillståndet också är anmälningsskyldig enligt den nya lagen. Med en sådan övergångsordning slipper Datainspektionen ett omfattande registreringsarbete och bör kunna få utrymme för sina viktiga tillsynsuppgifter även under övergångsperioden vid ikraftträdandet. De som behandlar personuppgifter före ikraftträdandet måste anpassa sina system till den nya lagen. Vad kan vålla bekymmer som

är framför allt den nya lagens krav mer preciserade ändamål för behandlingen. I flertalet fall är det sannolikt inte något större problem. Det kan vara fråga om att beskriva ändamålet ett annat sätt än tidigare. Det kan visserligen vara tidskrävande och fordra en dialog med företrädare för Datainspektionen. I andra fall krävs mer än så. Det kan i sista hand bli fråga om utvecklingsarbete och kanske investeringar innan en del system kan anses uppfylla den nya datalagens krav. Det behövs därför en övergångsperiod för vissa system. Vilka dessa system är kan inte närmare anges, men det står klart att de återfinns bland de nu tillståndspliktiga datasamlingarna, framför allt inom den offentliga sektorn. Utredningen förordar därför en generell övergångsregel av innebörd att ändamål som har bestämts i beslut om tillstånd får godtas som ändamål enligt 9 § i den nya lagen under en övergångsperiod av tre år. Efter remissbehandlingen kan det vara möjligt att i övergångsregeln närmare ange vilka system som det kan vara fråga om. Det kan också visa sig att övergångsperioden bör vara något annorlunda än vad utredningen har utgått från. Vid utgången av övergångsperioden måste de persondataansvariga ha anpassat sig till de regler om ändamálsanknytning som finns i den nya datalagen. Enligt 20 § i den nya lagen får känsliga personuppgifter behandlas bara om den enskilde samtycker till det eller det följer av särskilda bestämmelser i datalagen eller i annan lag eller författning. Av specialmotiveringen till paragrafen framgår att de särskilda bestämmelom behandlingen av de känsliga uppgifterna måste reglera i vart serna fall vilken typ av uppgifter som det är fråga om, vilka skyddsbestämmelser som skall gälla, vilka som skall ha tillgång till personuppgifterna och vilka persondataansvariga det gäller. En sådan reglering har gjorts i den föreslagna datalagen i fråga om forskning och statistik samt i fråga om behandling för anställningsändamål. Inget hindrar naturligtvis att specialregleringen av känsliga uppgifter omfattar andra personuppgiftsbehandlingen. I den mån den inte gör det, aspekter av blir de allmänna bestämmelserna i datalagen tillämpliga, i förekommande fall kompletterade med föreskrifter som Datainspektionen har utfärdat. Vid den nya lagens ikraftträdande kommer det alltså att finnas en ingående reglering av behandlingen av de nu berörda personuppgifterna. Den nya lagen bör därför kunna gälla omedelbart i dessa fall och de gamla tillståndsbesluten upphöra att gälla vid samma tidpunkt. Besluten kommer dock för de anmälningspliktiga datasamlingarna såtillvida att bestå som de fungerar som en anmälan enligt den nya lagen och som en ändamâlsangivelse under en övergångsperiod. I fråga om känsliga uppgifter sammanfaller amnälningsskyldigheten enligt de nya föreskrifterna med tillståndsplikten enligt nuvarande datalag. Det bör dock erinras om att anmälningsskyldigheten i något hänseende går längre och omfattar uppgifter som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Däremot omfattar inte anmälningsskyldigheten sådan nu tillståndsplik-

SOU 1993: 10 357

tig behandling som avser uppgifter om personer som saknar sådan anknytning till den persondataansvarige som följer av medlemskap, anställning, kundförhállande eller liknande. Vidare föreligger anmälningsskyldighet bara vid sådana sambearbetningar som innefattar känsliga uppgifter. För behandlingen av andra än känsliga uppgifter kommer det inte att finnas någon anmälningsskyldighet. Någon tillståndsplikt enligt gällande ordning finns inte heller för den allra största delen av denna behandling. Om dessa personuppgifter behandlas redan före ikraftträdandet, bör den nya lagen utan komplikationer kunna tillämpas omedelbart när den träder i kraft. De tillståndsbeslut som finns upphör att gälla. Skulle Datainspektionen med stöd av l8§ datalagen ha meddelat något villkor för behandlingen, upphör villkoret att gälla vid ikraftträdandet. Vissa övergångsfrågor som berör s.k. statsmaktsregister diskuteras i specialmotiveringen. Ytterligare några frågor bör tas upp. Har ett beslut meddelats av Datainspektionen före den nya lagens ikraftträdande, bör beslutet överklagas enligt äldre bestämmelser, dvs till regeringen. Har en ansökan tillstånd gjorts men inte slutligt prövats före ikraftträdanom det, bör ansökningen kunna behandlas som en anmälan enligt den nya lagen. I vissa fall av sambearbetning krävs tillstånd enligt nu gällande ordning inte någon anmälan enligt de nya föreskrifterna. Skulle men sådan tillståndsansökan vara anhängig hos Datainspektionen vid en ikraftträdandet, får inspektionen avskriva ärendet från vidare handläggning. Om personuppgifter börjar behandlas först efter ikraftträdandet bör givetvis denna behandling helt falla under den nya lagen. Detta gäller också för behandling av personuppgifter för vilken ansökan om tillstånd dessförinnan har lämnats in till Datainspektionen men där inspektionen inte har avgjort ansökningen före ikraftträdandet. Som tidigare har berörts bör i dessa fall ansökningen betraktas som en anmälan. Slutligen bör några ord sägas om de frågor som aktualiseras i samband med övergången till ett nytt avgiftssystem. Licensavgifterna betalas enligt nuvarande ordning löpande under kalenderåret, dvs vissa licenspliktiga betalar sin avgift under januari, vissa under februari etc. Tidpunkten för betalning bestäms av den tid då anmälan för licens gjordes. De licensavgifter erläggs under år 1994 kommer alltså att som mindre eller större del av år 1995, då den nya ordningen avse en förutsätts ha trätt i kraft. En första fråga blir hur skall göra med dem som betalar man licensavgift under år 1994 inte skall betala någon årlig avgift men som enligt den ordningen, t.ex. därför att deras datasamlingar bara nya harmlösa personuppgifter. Att reglera detta i efterhand omfattar mera återbetalning från Datainspektionen skulle innebära en genom en

betydande administrativ börda, inte minst med hänsyn till de jämförel-

sevis små belopp det rör sig om. Återbetalningen skulle dessutom få

ske under en period då myndigheten är fullt upptagen med andra övergângsproblem. Man kan också notera att det enligt nuvarande ordning inte blir någon restitution för den har betalat in sin som licensavgift men kort tid därefter upphör att behandla personuppgifter. Med hänsyn till vad som nu har sagts föreslår utredningen att en betalning av licensavgift under år 1994 inte skall berättiga till någon återbetalning. En andra fråga är hur man skall se på den under âr 1994 inbetalda licensavgiften för dem som har sådana datasamlingar omfattas som av anmälningsplikten enligt den nya ordningen. Den smidigaste övergången torde man få om den del av licensavgiften som avser år 1995 anses som årlig avgift enligt det nya systemet. En fördel med detta är också att man kan behålla ordningen med att de betalningsskyldiga betalar in sina avgifter successivt under året. Som tidigare har nämnts skall ett tillstándsbeslut betraktas anmälan enligt den lagen. som en nya Den årliga avgiften får tas ut för varje ändamål i de berörda som anges besluten. Betalningen får lämpligen tas ut under månad samma som tidigare licensavgiften Den årliga avgiften kan komma att ändras när den persondataansvarige måste anpassa sin behandling av personuppgifter till det nya ändamálsbegreppet.

SOU 1993: 10 359

21 Ekonomiska konsekvenser av utred-

ningens förslag

Utredningens förslag kommer att övergângsvis medföra kostnader vid Datainspektionen och hos dem som har system med personregister i drift vid lagens ikraftträdande. Om man först ser till den senare gruppen är det klart att samtliga måste gå igenom sin dokumentation av systemen för att se i vad mån ändringar måste vidtas. I vilken mån dessa genomgångar kommer att leda till att systemen måste ändras på någon punkt eller om arbetet kan inskränkas till en tydligare beskrivning än tidigare, är inte möjligt att bedöma. Någon beräkning av kostnadskonsekvensema av utredningens förslag i dessa fall kan alltså inte göras nu. En kommande remiss kan måhända kasta ett visst ljus över dessa frågor. Utredningen berör dock en särskild fråga om s.k. statsmaktsregister i det följande under avsnitt 21.2. Liknande övergångsproblem skulle kunna bli aktuella även på något annat område, även om utredningen inte har funnit något sådant under utredningsarbetet. I det följande uppehåller sig utredningen främst vid konsekvenserna för Datainspektionen. I årets budgetproposition prop. 1992/93: 100 bil 3 beräknas anslaget till Datainspektionens verksamhet för budgetåret 1993/94 till 21 miljoner kronor. Utredningen har vid utfominingen av sina förslag utgått från denna anslagsnivå.

Löpande kostnader

I det föregående har utredningen angett vilket årligt antal anmälningar som den av utredningen föreslagna anmälningsskyldigheten kan komma att leda till. Utredningen har räknat med att detta antal kommer att ligga mellan 5 000 10 000 per år. Dessa anmälningar kommer att i stort sett behandlas som licensanmälningar i dagens system. Man kan därför räkna med att i stort sett samma andel som i dag av inspektionens anslag kommer att behövas för registreringen av anmälningarna enligt det nya systemet. Det betyder att den avgjort största delen av inspektionens resurser kan sättas in i inspektionens tillsynsverksamhet. Det kan visserligen hävdas att inspektionens verksamhet i denna del

360 SOU 1993: 10

skulle behöva vara större än vad nuvarande resurser medger, eftersom antalet persondataansvariga i samhället sannolikt är mycket stort med nuvarande grad av datorisering och eftersom datoriseringen i samhället tenderar att öka. Utredningen har dock stannat för en omfördelning av nuvarande anslag, eftersom den medger en kraftig satsning på tillsynsverksamhet. Till bilden hör också att våra nordiska grannländer lägger ner betydligt lägre kostnader per invånare på sina motsvarigheter till inspektionen. Utredningen utgår från, som har utvecklats i avsnitt 18, att den som gör en anmälan till Datainspektionen skall betala en årlig avgift. Utredningen förutsätter vidare att den skall erläggas samtidigt som anmälan. Avgiften skall alltså vara en förutsättning för registreringen. Därefter skall inspektionen ta ut en årlig avgift. Avgifterna kommer därmed att liksom nu flyta in successivt under âret. Utredningen räknar med att en årlig avgift av den storleksordning som nu utgår för licenser kommer att täcka kostnaderna för inspektionens verksamhet.

Övergångskostnader

Enligt punkten 2 till övergångsbestämmelserna till den föreslagna lagen kommer beslut om tillstånd att inrätta och föra personregister att anses som en anmälan enligt den nya lagen, om anmälningsskyldighet enligt den senare lagen föreligger för en sådan behandling av personuppgifter som avses med beslutet. Datainspektionen har uppgifter om nu aktuella persondataansvariga i sina nuvarande datorstödda rutiner. Det förutsätts att inspektionen när man första gången bestämmer den årliga avgiften kommer att gå tillbaka till de berörda tillståndsbesluten med ledning av sina diarier. Hur stor den insatsen kan tänkas bli kan inte nu beräknas. Det är möjligt att det kommer att föreligga bättre uppgifter om det efter remissbehandlingen av utredningens förslag. Klart är dock att den insats som här behövs är långt mindre än om anmälan skulle ha ställts upp som ett krav även för dem som har tillstånd för sina datasamlingar. Utredningen har i specialmotiveringen i anslutning till Övergångsbestämmelserna till den föreslagna datalagen framhållit att en författning om inrättande av personregister med känsliga uppgifter inte i och för sig upphör att gälla på grund av att datalagen upphör. Om däremot inrättandet av statsmaktsregistret har skett på annat sätt, krävs vid den nya lagens ikraftträdande en författningsreglering för att behandlingen av känsliga uppgifter skall få fortsätta. Utredningen har här räknat med att det föreligger anmälningsplikt i bägge fallen redan vid ikraftträdandet av den nya lagen. Utredningen har inte klart för sig hur många fall det här är fråga om men det är sannolikt inte fråga om tusentals fall. Det är å andra sidan ofta fråga om stora och komplexa system där en

anpassning till den nya datalagen redan vid ikraftträdande skulle leda till orimliga kostnader och arbete. Utredningen utgår från att statsmakterna kommer att efter förslag av berörda myndigheter införa övergångsregler i de aktuella författningarna eller de nya författningar

som kan behövas. övergångsregler kan behövas på flera punkter. En

övergångsperiod av det slag som utredningen har föreslagit beträffande de datasamlingar för vilka har meddelats beslut om tillstånd kan säkert komma att behövas i många fall. Det är möjligt att övergångstiden i något fall kan behöva göras längre än som följer av de generella regler som utredningen föreslagit för de datasamlingar som har tillstånd enligt nuvarande ordning. De övergångsfrâgor som utredningen har pekat på här leder sannolikt till att inspektionen kommer att få lägga ner något mer arbete på registreringsfrågorna under främst det första året efter ikraftträdandet av den nya lagen än sedan verksamheten har fått en löpande karaktär. Att nu bedöma hur mycket kostnader som övergângsfrågorna kommer att föra med sig i monetära termer är inte möjligt. Utredningen utgår från att anslaget till inspektionens verksamhet kan hållas oförändrat även under övergångstiden, även om tillsynsverksamheten under denna tid kommer att fâ en något mindre omfattning än under en löpande verksamhet.

Övergången till den nya lagen kan också kräva att Datainspektionen

ser över sitt ADB-stöd. Med de nya regler för investering genom lån som nu införts i statsförvaltningen utgår utredningen från att ränta och andra årliga kostnader för lånet kan rymmas inom nuvarande anslag.

SOU 1993: 10 363

22 Specialmotivering

Utredningens förslag till en ny datalag avsnitt 22.4 förutsätter följdändringar i en rad andra författningar. Vid översiktlig en genomgång som utredningen har gjort har det visat sig att det behövs ett mycket stort antal sådana ändringar. Utredningen har tidsskäl av inte haft någon möjlighet att gå in i alla dessa lagar och förordningar. I stället har utredningen valt att lägga fram förslag till ändringar av nâgra centrala författningar. Förslagen gäller, förutom regeringsformen, tryckfrihetsförordningen och yttrandefrihets grundlagen avsnitt 22.1 3, förvaltningsprocesslagen 1971:291, sekretesslagen - 1980: 100 och arkivlagen 1990:782 avsnitt 22.5,6 och 8. Vidare föreslås upphävande av lagen 1987:1231 om automatisk databehandling vid taxeringsrevision, m.m. avsnitt 22.7.

Förslaget till lag om ändring i regerings-

formen

Utredningen föreslår att ändringar skall göras i 2 kap. 3 och 20 §§

samt i 8 kap. 7 § regeringsformen. Andringarna skall enligt förslaget träda i kraft den 1 januari 1995.

Nuvarande lydelse Föreslagen lydelse

2 kap. 3 §

Anteckning om medborgare i allmänt register får utan hans samtycke grundas enbart på hans politiska âskádning. Varje medborgare skall i Varje medborgare skall i den utsträckning som närmare den utsträckning närmare som angives i lag skyddas mot att angives i lag skyddas mot att hans personliga integritet krän- hans personliga integritet kes genom att uppgifter kränkes om genom att personupphonom registreras med hjälp gifter behandlas. av automatisk databehandling.

Med personuppgift avses varje uppgift som ensam eller tillsammans med andra är hånförlig till en identifierad eller identijierbar enskild person. Som personuppgift anses dock inte en uppgift som presenteras i statistisk form och som endast efter en omfattande, kostsam eller tidskrävande arbetsinsats kan hänföras till den enskilde. Med behandling avses varje åtgärd som vidtas med personuppgifter genom automatisk databehandling. Med behandling förstås även insamling av personuppgifter, om ytterligare åtgärder skall vidtas med uppgifterna genom automatisk databehandling.

Utredningens förslag till datalag innebär bl.a. att personregisterny begreppet slopas. Lagen innehåller i stället bestämmelser som reglerar behandling personuppgifter jfr specialmotiveringen till l 3 §§ av förslaget till datalag samt avsnitten 6.6 och 8.7 i den allmänna motiveringen. Andra stycket i förevarande paragraf har ändrats redaktionellt för att stämma överens med den nya terminologin. I paragrafens tredje stycke har tagits in den definition personuppgift som finns i 2 § förslaget av till datalag. I fjärde stycket återfinns den definition av behandling som tagits in i 3 § förslaget till datalag.

Nuvarande lydelse Föreslagen lydelse

2 kap. 20 §

Utlänning här i riket är likställd med svensk medborgare i fråga om skydd mot tvång att deltaga i sammankomst för opinionsbildning eller i demonstration eller meningsyttring eller att tillhöra annan sammanslutning 2 § andra meningen, trossamfund eller annan skydd för personlig integri- 2. skydd för personlig integritet vid automatisk databehand- tet vid behandling av personling 3 § andra stycket, uppgifter 3 § andra stycket,

SOU 1993: 10 365

skydd mot dödsstraff, kroppsstraff och tortyr samt mot medicinsk påverkan i syfte att framtvinga eller hindra yttranden 4 och 5 §§, 4. rätt till domstolsprövning av frihetsberövande med anledning av brott eller misstanke om brott 9 § första och tredje styckena, skydd mot retroaktiv brottspáföljd och annan retroaktiv rättsverkan av brott samt mot retroaktiv skatt eller statlig avgift 10 §, 6. skydd mot inrättande av domstol i vissa fall 11 § första stycket, 7. skydd mot missgynnande på grund av ras, hudfärg eller etniskt ursprung eller pâ grund av kön 15 och 16 §§, 8. rätt till fackliga stridsåtgärder 17 §, 9. rätt till ersättning vid expropriation eller annat sådant förfogande 18 §. Om annat icke följer av särskilda föreskrifter i lag, är utlänning här i riket likställd med svensk medborgare även i fråga om l yttrandefrihet, informationsfrihet, mötesfrihet, demonstrationsfrihet, . föreningsfrihet och religionsfrihet l §, 2. skydd mot tvång att giva till känna åskådning 2 § första meningen, skydd mot kroppsligt ingrepp även i annat fall än som avses i 4 och 5 §§, mot kroppsvisitation, husrannsakan och liknande intrång samt mot intrång i förtrolig meddelelse 6 §, 4. skydd mot frihetsberövande 8 § första meningen, 5. rätt till domstolsprövning av frihetsberövande av annan anledning än brott eller misstanke om brott 9 § andra och tredje styckena, offentlighet vid domstolsförhandling 11 § andra stycket, 7. skydd mot ingrepp på grund av åskádning 12 § andra stycket tredje meningen, författares, konstnärers och fotografers rätt till sina verk 19 §. Pâ sådana särskilda föreskrifter som avses i andra stycket tillämpas 12 § tredje stycket, fjärde stycket första meningen samt femte stycket.

l fråga denna ändring hänvisas till vad som har sagts i anslutning om till 2 kap. 3

Nuvarande lydelse Föreslagen lydelse

8 kap. 7 §

Utan hinder 3 eller 5 § kan regeringen efter bemyndigande i lag av förordning meddela föreskrifter om annat än skatt, om genom föreskrifterna avser något av följande ämnen: skydd för liv, personlig säkerhet eller hälsa, 2. utlännings vistelse i riket, in- eller utförsel av varor, av pengar eller av andra tillgångar, tillverkning, kommunikationer, kreditgivning, näringsverksamhet,

ransonering eller utformning byggnader, anläggningar och beav byggelsemiljö, 4. jakt, fiske, djurskydd eller natur- och miljövård, 5. trafik eller ordningen på allmän plats, 6. undervisning och utbildning, 7. förbud att röja sådant som någon har erfarit i allmän tjänst eller under utövande av tjänsteplikt, skydd för personlig integritet vid behandling av personuppgifien Bemyndigande som avses i första stycket medför rätt att meddela föreskrifter om annan rättsverkan brott än böter. Riksdagen kan i av lag, som innehåller bemyndigande med stöd första stycket, av föreskriva även annan rättsverkan än böter för överträdelse av föreskrift som regeringen meddelar med stöd bemyndigandet. av

Utredningens förslag till ny datalag förutsätter möjlighet till regeluten fyllnad på lägre konstitutionell nivä. I 36 § förslaget till datalag bemyndigas regeringen eller, efter regeringens bemyndigande, Datainspektionen att i vissa fall meddela närmare föreskrifter om tillämpningen av olika paragrafer i lagen. Ett sådant bemyndigande kan inte tas in i datalagen utan ett tillägg i förevarande paragraf. Bakgrunden till den här föreslagna ändringen har behandlats i avsnitt 14 i den allmänna motiveringen.

Förslaget till lag om ändring i tryckfrihetsförordningen

Utredningen föreslår att ändringar skall göras i 2 kap. 3 och 11 §§

tryckfrihetsförordningen. Andringarna skall enligt förslaget träda i kraft den l januari 1995.

Nuvarande lydelse Föreslagen lydelse

2 kap. 3 §

Med handling förstås framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Handling är allmän, den förvaras hos om myndighet och enligt 6 eller 7 § är att anse som inkommen till eller upprättad hos myndighet.

Nuvarande lydelse Föreslagen lydelse

Upptagning som avses i Upptagning som avses i första stycket anses förvarad första stycket förvarad anses hos myndighet, om upptag- hos myndighet, upptagom ningen är tillgänglig för myn- ningen är tillgänglig för myndigheten med tekniskt hjälpme- digheten med tekniskt hjälpmedel som myndigheten själv del som myndigheten själv utnyttjar för överföring i sådan utnyttjar för överföring i sådan form att den kan läsas, av- form att den kan läsas, avlyssnas eller på annat sätt lyssnas eller pâ annat sätt uppfattas. Detta gäller dock uppfattas. Detta gäller dock upptagning som ingår i person- upptagning för automatisk register, om myndigheten databehandling som innehåller enligt lag eller förordning eller personuppgifter, myndigom särskilt beslut, som grundar sig heten enligt lag eller förordpä lag, saknar befogenhet att ning eller särskilt beslut, som göra överföringen. Med per- grundar sig pâ lag, saknar sonregister förstås register, befogenhet att göra överföringförteckning eller andra anteck- en. ningar som innehålla uppgift som avser enskild person och som kan hänföras till denne. Med personuppgift avses varje uppgift som ensam eller tillsammans med andra är hänförlig till en identifierad eller identifierbar enskild person. Som personuppgift anses dock inte en uppgift som presenteras i statistisk form och som endast efter en omfattande, kostsam eller tidskrävande arbetsinsats kan hänföras till den enskilde.

Andra stycket i paragrafen har ändrats redaktionellt för att stämma överens med den terminologi som finns i utredningens förslag till ny datalag. Förslaget till datalag innebär att det tidigare personregisterbegreppet slopas. Lagen reglerar i stället behandling av personuppgifter jfr avsnitt 6.6 och 8.7 i den allmänna motiveringen. I tredje stycket har tagits in den definition personuppgift av som finns i 2§ förslaget till datalag. Jfr specialmotiveringen till den paragrafen.

Nuvarande lydelse Föreslagen lydelse

2kap. ll §

Som allmän handling anses brev, telegram eller annan sådan handling som har inlämnats till eller upprättats hos myndighet endast för befordran av meddelande, 2. meddelande eller annan handling som har inlämnats till eller upprättats hos myndighet endast för offentliggörande i periodisk skrift som utgives genom myndigheten, tryckt skrift, ljud- eller bildupptagning eller annan handling som ingår i bibliotek eller som från enskild har tillförts allmänt arkiv uteslutande för förvaring och vård eller forsknings- och studieändamål eller privata brev, skrifter eller upptagningar som eljest ha överlämnats till myndighet uteslutande för ändamål som nu angivits, 4. upptagning innehållet i handling som avses i om upptagningen av förvaras hos myndighet där den ursprungliga handlingen skulle vara att anse som allmän. Det föreskrivs i första Det som föreskrivs i första som stycket 3 om handling som stycket 3 om handling som ingår i bibliotek tillämpas inte ingår i bibliotek tillämpas inte upptagning för automatisk på upptagning för automatisk databehandling i sådant regis- databehandling som myndighet myndighet har tillgång har tillgång till enligt avtal ter som till enligt avtal med annan med annan myndighet. myndighet.

Utredningens förslag till ny datalag innebär att registerbegreppet slopas. Förevarande paragrafs andra stycke har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag. Hänvisningen till register har utgått även på den grunden att i kravet att databehandlingen skall vara automatisk finns återkopplingen till viss logisk uppbyggnad av och struktur på uppgifterna. en

22.3 Förslaget till lag om ändring i yttrandefri-

hetsgrundlagen

Utredningen förslår att en ändring skall göras i 1 kap § yttrandefri-

hetsgrundlagen. Ändringen skall enligt förslaget träda i kraft den 1

januari 1995.

SOU 1993: 10 369

Nuvarande lydelse Föreslagen lydelse

l kap. 9 §

Denna grundlags föreskrifter Denna grundlags föreskrifter om radioprogram tillämpas om radioprogram tillämpas också när en redaktion för en också när en redaktion för en tryckt periodisk skrift eller för tryckt periodisk skrift eller för radioprogram, ett företag för radioprogram, ett företag för framställning av filmer eller framställning av filmer eller ljudupptagningar eller en ny- ljudupptagningar eller en nyhetsbyrå med hjälp av elektro- hetsbyrâ med hjälp av elektromagnetiska vågor på begäran magnetiska vågor på begäran tillhandahåller allmänheten tillhandahåller allmänheten upplysningar direkt ur ett upplysningar direkt ur upptagregister med upptagningar för ningar för automatisk databeautomatisk databehandling. Det handling. Det gäller dock inte gäller dock inte om den motta- om den mottagande kan ändra gande kan ändra innehållet i innehållet i upptagningen. registret.

Utredningens förslag till ny datalag innebär att registerbegreppet slopas. Förevarande paragraf har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag. Hänvisningen till register har utgått även på den grunden att i kravet på att databehandlingen skall vara automatisk finns återkopplingen till en viss logisk uppbyggnad av och struktur uppgifterna.

22.4 Förslaget till datalag

l betänkandet föreslås en ny datalag. Lagen innefattar i åtskilliga väsentliga hänseenden en ny reglering om man jämför med den nu gällande datalagen. Hur lagförslaget förhåller sig till förslaget till EGdirektiv har behandlats i avsnitt 5 och i övrigt i berörda avsnitt i den allmänna motiveringen och specialmotiveringen. Den föreslagna lagen tar först upp vissa inledande bestämmelser l - 8 §§. Dessa bestämmelser anger lagens tillämpningsområde och innehåller också definitioner av begreppen personuppgift, behandling och persondataansvarig. Bestämmelserna i 9 21 §§ innehåller de allmänna materiella reglerna för behandling av personuppgifter. Där regleras anknytning till ett ändamål -

god datased förutsättningar för behandling av personuppgifter vilka personuppgifter som får behandlas insamling av personuppgifter från den enskilde säkerhet och gallring samt känsliga personuppgifter. - Därefter innehåller lagen ett avsnitt den persondataansvariges om skyldigheter i fråga om insyn, rättelse m.m. 22 29 §§ samt särskilda bestämmelser om behandling känsliga personuppgifter för av forsknings- eller statistikändamål resp anställningsändamål 30 - 35 §§- Efter några bestämmelser som avser bemyndigande för regeringen eller Datainspektionen att meddela föreskrifter samt skyldighet för den persondataansvarige att göra anmälan till Datainspektionen om behandling av personuppgifter 36 38 §§ följer ett avsnitt reglerar - som inspektionens tillsyn 39 44 §§. Lagen avslutas med ett antal övriga bestämmelser 45 51 §§. Där finns bl.a. föreskrifter straff, - om skadestånd, förverkande och vite. I 14 § i den gällande datalagen finns en bestämmelse om skyldighet för myndigheter att överföra ADB-upptagningar till läsbar form. Regeln gäller bara upptagningar som används i ett mål eller ett ärende. Bestämmelsen får anses höra mer hemma i sekretesslagen, i det avsnitt i 15 kap. sekretesslagen som tar upp särskilda bestämmelser om upptagningar för automatisk databehandling. Bestämmelsen i 14 § i den nuvarande datalagen har därför förts över till sekretesslagen. Lagförslaget innehåller inte någon reglering det statliga av personoch adressregistret SPAR. Aviseringsutredningen FI 1992: 12 skall enligt sina direktiv Dir. 1992:52 överväga om SPAR skall behållas i framtiden. Utredningen måste därvid bedöma vilka effekter ett som avskaffande av SPAR får på efterfrågan av uttag bl.a. enligt offentlighetsprincipen från andra datasamlingar samt i vad mån ett avskaffande leder till uppkomsten av nya datasamlingar.

Inledande bestämmelser

1 § Syftet med denna lag är att skydda den enskilde mot att hans personliga integritet kränks genom att personuppgifter behandlas.

I denna inledande paragraf anges målsättningen med lagen; att utgöra ett skydd för den enskilde mot sådant intrång i hans personliga integritet som kan ske genom behandling av personuppgifter. Syftet med den gällande datalagen har varit att skydda den enskilde mot sådant otillbörligt intrång i den personliga integriteten kan bli som

följden av dataregistrering av personuppgifter jfr 3 § i den gällande lagen och prop. 1973:33 s. 90. I 2 kap 3 § andra stycket regeringsformen RF ges medborgarna ett grundlagsskydd för den personliga integriteten vid automatisk databehandling. Enligt stadgandet, som tillkom genom en lagändring år 1988, skall varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks att genom uppgifter om honom registreras med hjälp automatisk databehandav ling. Utländsk medborgare är enligt 2 kap 20 § 2 likställd med svensk medborgare i fråga om skyddet för personlig integritet vid automatisk databehandling. Genom tillägget i 2 kap 3 § andra stycket har integritetsskyddet på dataområdet givits en fastare förankring i RF än vad som följer av målsättningsstadgandet i 1 kap 2 Grundlagsbestämmelsen i 2 kap 3 § andra stycket har ändrats redaktionellt för att stämma överens med den nya terminologin om behandling av personuppgifter se avsnitt 22.1. Vid utformningen av den grundläggande dataskyddsbestämmelsen i RF diskuterades möjligheterna att direkt i grundlagen ange ett visst mått av integritetsskydd som inte fick underskridas. Det ansågs emellertid inte möjligt att staka ut någon sådan gräns för dataskyddet. En avgörande anledning var att det inte bedömdes möjligt att den som ge personliga integriteten en närmare definition som rättsligt begrepp. Den personliga integriteten uppfattades inte som något statiskt utan begreppet kunde ha olika innebörd vid skilda tidpunkter och förhållanden. Detsamma menade man gällde för det otillbörlighetsrekvisit som användes i datalagen. Vaga begrepp av denna typ ansågs passa mindre väl in i en fri- och rättighetskatalog i RF prop. 1987/88:57 s. ll. Genom bestämmelsen i RF slås fast att det skall finnas datalagen stiftning till skydd för den personliga integriteten, men att den närmare omfattningen av skyddet får regleras i vanlig lag. Grundlagsregeln ansågs få rättslig betydelse genom att lagstiftaren åläggs att vara aktiv genom att stifta och vidmakthålla en datalagstiftning. Grundlagsregeln hindrar inte att regeringen, andra myndigheter och kommuner meddelar dataskyddsbestämmelser. Europarádskønventionens syfte och ändamål i konventionens anges artikel l vara att säkerställa respekten för grundläggande fri- och rättigheter, särskilt rätten till personlig integritet i samband med automatisk databehandling av personuppgifter. I förslaget till EG-direktiv anges i artikel l.l att medlemsstaterna skall, i överensstämmelse med direktivet, skydda fysiska personers frioch rättigheter, särskilt rätten till personlig integritet, i samband med behandlingen av personuppgifter. Medlemsstaterna får enligt artikel 1.2 varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstater med hänvisning till skyddet för enskildas integritet enligt artikel l.l. Enligt kommentaren är syftet med direktivet att, genom att sörja för en harmonisering av den nationella

372 SOU 1993: 10

lagstiftningen, säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. Direktivet försöker således att sammanjämka den inre marknadens behov av ett fritt informationsflöde med kravet på dataskydd. Utredningen har i avsnitt 8 redogjort för de svårigheter som föreligger när det gäller att definiera det allmänna begreppet otillbörligt intrång i personlig integritet. Utredningen har där dragit slutsatsen att det inte är lämpligt att för framtiden bygga en integritetslagstiftning på ett så vagt begrepp som otillbörligt intrång i personlig integritet. I stället har utredningen valt att genom en förhållandevis fyllig reglering i lagen försöka att ange hur avvägningen mellan skyddet för den enskildes personliga integritet och andra motstående intressen skall göras. Avsikten har varit att direkt i lagen ange vilken behandling som är tillåten och definiera vilka intressen som skall väga tyngst i olika situationer. Den som utför en behandling i strid mot regleringen i datalagen har kränkt det skydd för den personliga integriteten som den enskilde genom lagen skall vara tillförsäkrad. Som framgått av det föregående anges i förevarande paragraf också lagens tillämpningsområde. Lagen reglerar alltså behandling av personuppgifter. Skälen till att det nuvarande begreppet personregister har utmönstrats och ersatts med personuppgift har utvecklats i avsnitt 6. Begreppet personuppgift finns definierat i 2 Av definitionen i 3 § följer att med behandling åsyftas varje typ av databehandling. Vissa mera harmlösa typer av databehandling faller dock utanför lagens tillämpningsområde grund av bestämmelserna i 6 § 4 och 5 samt 7 Liksom den gällande datalagen tar utredningens lagförslag endast sikte på skyddet för fysiska personer. Juridiska personer faller helt utanför regleringen. Det är möjligt att även juridiska personer i vissa fall skulle kunna anses ha ett behov av skydd mot automatisk databehandling. Det framstår dock som tveksamt om ett sådant skydd bör regleras i en lag vars främsta syfte är att värna om den personliga integriteten. Frågan ligger också utanför utredningens direktiv. Kommittén för översyn av det allmännas skadeståndsansvar Ju 1989:03 har bl.a. övervägt att införa en generell reglering av det allmännas ansvar för datafel. Enligt vad som under hand inhämtats från kommittén anser emellertid kommittén att det för närvarande inte finns skäl att införa någon speciell reglering av det allmännas skadeståndsansvar för datafel, utöver de särskilda ersättningsregler som redan gäller beträffande skador till följd av tekniska fel i vissa datasamlingar.

2 § Med personuppgift avses varje uppgift som ensam eller tillsammans med andra är hänförlig till en identifierad eller identifierbar enskild person.

SOU 1993: 10 373

Som personuppgift anses dock inte en uppgift som presenteras i statistisk form och som endast efter en omfattande, kostsam eller tidskrävande arbetsinsats kan hänföras till den enskilde.

I paragrafen definieras ett av de grundläggande begrepp som används i lagförslaget. I den gällande datalagen definieras personuppgift som "upplysning som avser enskild person" 1 §. En redogörelse för bestämningen av begreppet personuppgift enligt gällande lag finns i avsnitt 6.1 i den allmänna motiveringen. I avsnitt 6.2 finns en redogörelse för Europarádskonventionens definition begreppet personuppgift. Avsnitt 6.3 innehåller en av beskrivning den definition av personuppgift som finns i förslaget till av EG-direktiv. Med avidentijiering avses att namn eller varje annan beteckning som är direkt hänförlig till den enskilde avlägsnas. Avidentifieringen är således en form av gallring. Teoretiskt kan det vara möjligt att i vissa fall genom s.k. bakvägsidentifikation, även efter en företagen avidentifiering, identifiera viss person. Detta kan ske exempelvis genom att vissa uppgifter av en offentlig natur, såsom ålder, kön, församling och årsinkomst är kända och efter en sammanställning gör identifieringen möjlig eller att andra karakteristika såsom en utvald grupps ringa storlek eller en angiven säregen händelse möjliggör att uppgifterna knyts till en viss enskild I samband med införandet av tillståndssystemet i datalagen år person. 1973 ansågs också register, där alla identifikationsmöjligheter helt och hållet eliminerats, böra falla utanför kravet på tillstånd, även om man tillfällighet skulle kunna identifiera en viss person med hjälp av en ren

andra registrerade uppgifter se prop. 1973:33 s. 118. Datainspek-

av tionen har i sin praxis ställt höga krav att bakvägsidentifikation inte skall möjlig för att avidentiñering skall anses föreligga. vara Den utredningen föreslagna definitionen av begreppet personuppav anpassning till den internationella regleringen. I gift innebär en bättre förhållande till gällande rätt kan definitionen sägas vara något mera vidsträckt. Med den föreslagna definitionen kommer nämligen alla uppgifter direkt eller indirekt går att härleda till en individ att som falla under begreppet personuppgift, oavsett hur stora resurser som krävs för att knyta uppgifterna till en enskild. Jämför dock undantaget för uppgifter i statistisk form i paragrafens andra stycke. Det skulle möjligen kunna hävdas att uppgifter som inte utan mycket stora kan härledas till en enskild normalt sett inte utgör något hot resurser mot den personliga integriteten och att de därmed inte omfattas av lagens syfte. Utredningen emellertid att en definition som täcker anser alla de fall då det är tekniskt möjligt att hänföra uppgifter till en individ ger det bästa skyddet för enskilda. En sådan definition stämmer

också överens med vad som gäller enligt förslaget till EG-direktiv. Med utredningens förslag måste sålunda bakvägsidentifikation vara utesluten för att avidentifiering skall föreligga. anses Definitionen är avsedd att täcka alla upplysningar direkt eller som indirekt kan härledas till en enskild person. Liksom enligt gällande lag faller juridiska personer utanför begreppet. Som personuppgift räknas i första hand sådana upplysningar som avser namn, identitetsnummer, födelsedatum, utbildning, familjeförhållanden och anställning. Också uppgifter av mindre personlig natur kan räknas som personuppgifter. Som personuppgift bör exempelvis räknas uppgifter om en persons ekonomi, innehav fastigheter eller av fordon. Även bilder räknas som personuppgifter under förutsättning det att är möjligt att identifiera den avbildade personen. Likaså röstupptagningar, fingeravtryck, genetiska uppgifter och olika uppgifter kan som hänföras till en persons utseende. Frågan om den föreslagna datalagens tillämpning pá bilder har m.m. diskuterats i avsnitt 19.4. En uppgift anses möjlig att härleda till viss även en person om identitetsuppgiften är utformad på ett sådant sätt att den kan tolkas endast av den invigde. Kryptering medför således inte uppgifter att upphör att vara personuppgifter. Frågor rörande kryptering behandlas närmare i anslutning till 17 och 27 §§. Statistiska uppgifter kan räknas som personuppgifter om det genom beteckningar eller liknande är möjligt att âterknyta uppgifterna till viss individ. en Paragrafens andra stycke innehåller ett undantag från huvudregeln att alla uppgifter som kan härledas till individ skall en anses som personuppgifter. Utanför begreppet personuppgift faller således uppgifter som presenteras i statistisk form och i och för sig kan som härledas till en enskild, men där detta inte är möjligt utan en omfattande, kostsam eller tidskrävande arbetsinsats. Undantaget har tillkommit för att underlätta redovisningen olika resultat inom av forskning och statistik. I de fall då det krävs betydande insatser för att anknyta uppgifter till en enskild har utredningen ansett att forskningens intressen får väga tyngre än det eventuella hot mot den personliga integriteten som uppgiftshanteringen kan medföra. Med omfattande, kostsam eller tidskrävande arbetsinsats att arbetsinsatsen är så avses stor att det i praktiken knappast blir aktuellt att hänföra uppgifterna till en viss person. Särskilda bestämmelser för forskning och statistik finns för övrigt i 30 och 31 §§. Utredningens definition av begreppet personuppgift och undantaget för vissa uppgifter i statistisk form torde stämma överens med förslaget till EG-direktiv.

SOU 1993: 10 375

3 § Med behandling avses varje åtgärd som vidtas med personuppgifter genom automatisk databehandling. Med behandling förstås även insamling av personuppgifter, om ytterligare åtgärder skall vidtas med uppgifterna genom automatisk databehandling.

l förevarande bestämmelse definieras begreppet behandling. Med behandling avses i lagförslaget alla sådana åtgärder som genom automatisk databehandling utförs med personuppgifter. Begreppet personuppgift har definierats i 2 § i lagförslaget. Enligt bestämmelsens andra stycke betraktas även insamling av uppgifter som behandling, under förutsättning att avsikten är att uppgifterna skall bli föremål för automatisk databehandling. Enligt den gällande datalagen definieras ett personregister som register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Avsnitt 6.1 i den allmänna motiveringen innehåller en beskrivning av den gällande datalagens grundbegrepp. Europarádskonventionens grundbegrepp finns beskrivna i avsnitt 6.2. Den definition av begreppet behandling processing som finns i förslaget till EG-direktiv redovisas i avsnitt 6.3. Utredningens överväganden beträffande registerbegreppet, ADB m.m. har redovisats i avsnitt Utredningen har, som framgått av redovisningen under avsnitt funnit att begreppet automatisk databehandling inte närmare kan eller bör definieras i lagen. Med den datortekniska utveckling som pågår skulle en teknisk definition av detta slag ganska snabbt kunna göra lagen inaktuell. Någon definition än att det måste frågan annan vara om en automatisk bearbetning av uppgifter ges därför inte. Definitionen av behandling är avsedd att täcka alla former av automatisk behandling. Som exempel sådana åtgärder kan nämnas inmatning av uppgifter, ordnande, lagring, bearbetning, ändring, återvinning, sökning, användning, röjande, innehållande, utplånande eller förstörande. Vanlig ordbehandling och enbart sökning omfattas sålunda av definitionen i denna paragraf. Vissa mera harmlösa typer av databehandling faller dock utanför lagens tillämpningsområde på grund av reglerna i 6 § 4 och 5 samt 7 Av skäl som redovisats i avsnitt 5.2 har utredningen ansett att lagen inte bör omfatta även manuellt förda personuppgifter. Uppgifter som hanteras manuellt faller därför generellt sett utanför lagens tillämpningsområde. I vissa fall kan dock även manuella personuppgifter omfattas av lagens reglering. Förevarande paragrafs andra stycke anger att begreppet behandling innefattar även insamling av personuppgifter, om avsikten är att uppgifterna skall bli föremål för automatisk databehandling. Även insamlingen faller således in under lagen även

om den inte sker med hjälp av automatisk databehandling. I 4 § tas upp nâgra fall av manuell dokumentation omfattas lagens reglesom av ring. Utredningens definition av begreppet behandling avviker från den definition av behandling processing som finns i förslaget till EGdirektiv genom att den inte omfattar manuellt förda uppgifter.

4 § Lagen är även tillämplig på dokumentation bearbetningar av logg, sökord och index som inte utgör personuppgifter eller som inte behandlas men som hänför sig till personuppgifter som är föremål för behandling.

Bestämmelserna i förevarande paragraf har behandlats i avsnitt 6 i den allmänna motiveringen. Genom bestämmelsen kommer lagen att omfatta även vissa uppgifter som, med de definitioner som ges i 2 och 3 §§, annars skulle falla utanför lagens tillämpningsområde. En logg innehåller dokumentation av de automatiska bearbetningar som utförts. Den har stor betydelse vid kontroll av efterlevnaden av föreskrifter om säkerhet. En logg består oftast personuppgifter och av förs i regel med hjälp av automatisk databehandling. Sökord eller index består också ofta av personuppgifter. De kan föras med hjälp av automatisk databehandling eller manuellt. Oavsett om en logg, ett sökord eller ett index består av personuppgifter eller inte och oavsett om de förs manuellt eller med hjälp av automatisk databehandling, kommer de genom förevarande bestämmelse att omfattas av lagen. En förutsättning är dock att det finns ett samband med personuppgifter som är föremål för behandling på det sättet att loggen, sökordet eller indexet hänför sig till de personuppgifter som behandlas. Utredningen ser det som nödvändigt att de uppgifter regleras som i förevarande paragraf omfattas av lagen, eftersom de genom sin starka anknytning till behandlingen av personuppgifter utgör en viktig faktor vid regleringen av integritetsskyddet i samband med automatisk databehandling.

5 § Ansvarig för behandling av personuppgifter persondataansvarig är den som bestämmer ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas.

Persondataansvaret har behandlats i avsnitt 12 i den allmänna motiveringen.

SOU 1993: 10 377

Persondataansvaret kan inte delegeras utan åvilar alltid den myndighet eller det privaträttsliga subjekt som bestämmer över ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas. Detta innebär att det straffrättsliga ansvaret för brott mot datalagens bestämmelser i princip ligger på den eller de personer som ansvarar för myndighetens eller det privaträttsliga subjektets verksamhet. För kommunala nämnder gäller att det straffrättsliga ansvaret i princip ligger på nämndens ordförande och dess ledamöter. Om beslutanderätten delegeras kan detta innebära att det straffrättsliga ansvaret flyttas. Dessa frågor har berörts i avsnitt 12 och 19.1 i den allmänna motiveringen. Vid organisatoriska förändringar kan det ofta bli aktuellt med överföringar av persondataansvaret. Eftersom en anmälan är knuten till en viss myndighet eller juridisk eller fysisk person måste den nye persondataansvarige, om behandlingen är anmälningspliktig jfr 37 §, göra en ny anmälan till Datainspektionen. Behandlingen av de överlämnade personuppgifterna får inte påbörjas förrän anmälan kommit in till Datainspektionen. Om en persondataansvarig upphör med sin verksamhet skall uppgifterna i princip gallras. Beträffande personuppgifter som utgör allmän handling gäller dock att, vid sidan av skyddet för den personliga integriteten, de intressen som anges i 3 § arkivlagen skall beaktas. Även personuppgifter inte utgör allmän handling får i viss som utsträckning bevaras. Frågor om gallring har behandlats särskilt under avsnitt 15 i den allmänna motiveringen. I 19 § i lagförslaget finns regler om gallring. I de fall personuppgifter lämnas över till en arkivmyndighet för lagring blir arkivmyndigheten persondataansvarig för de överlämnade uppgifterna. Uppgifterna hos arkivmyndigheten kommer att lagras för att tillgodose de syften som anges i 3 § tredje stycket arkivlagen såvitt gäller personuppgifter som utgör allmänna handlingar och i övrigt för att användas för de syften som anges i l9§ tredje stycket i lagförslaget. För de uppgifter som tagits emot för lagring hos arkivmyndigheten gäller inte alla datalagens bestämmelser. Vilka bestämmelser som inte gäller framgår av 8 § i lagförslaget. Vid konkurser har Datainspektionens praxis varit att tillåta konkursförvaltaren att, utan att ansöka om nytt tillstånd eller göra en ny anmälan för licens, under en övergångsperiod föra konkursboets register. Vid försäljning av konkursboets register har dock tillståndsplikt ansetts uppkomma om registret varit tillständspliktigt. Utredningens förslag medför en förändring av synen persondataansvaret vid konkurser. Efter konkursbeslutet får gäldenären inte råda över egendom som hör till konkursboet 3 kap. 1 § konkurslagen. Därav följer att gäldenären inte längre har möjlighet att bestämma över ändamålet med behandlingen av de personuppgifter som finns i företaget/konkursboet. Om konkursförvaltaren väljer att driva

378 SOU 1993: 10

ett konkursföretag vidare under en tid, är det troligt att den behandling av personuppgifter som utförs i verksamheten sker för samma ändamål som tidigare bestämts. De uppgifter som enligt konkurslagen åligger konkursförvaltaren kan dock medföra att personuppgifterna behandlas även för andra ändamål. De kan exempelvis behandlas för att förvaltaren skall kunna utröna om det föreligger misstanke om borgenärsbrott. Oavsett om personuppgifter i ett konkursbo behandlas för samma ändamål som före konkursbeslutet eller för ett nytt ändamål blir emellertid, med utredningens synsätt, konkursförvaltaren att anse som persondataansvarig för den behandling av personuppgifter som sker i konkursboet. Detta följer av att gäldenären inte längre har någon rätt att bestämma över behandlingen. I stället är det förvaltaren som har möjlighet att bestämma över ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas. Vissa komplikationer kan uppkomma när en dataservicebyrå försätts i konkurs. Om en servicebyrå vid konkursbeslutet har ett antal personuppgifter som de behandlar för annans räkning är det viktigt att tillse att uppgifterna inte sprids på ett otillåtet sätt. Det är också angeläget att servicebyråer som för annans räkning behandlar personuppgifter har sådan programvara som krävs för att det, i exempelvis en konkurssituation, skall vara möjligt att återföra kundernas personuppgifter. Hur utredningens förslag förhåller sig till förslaget till EG-direktiv har berörts i den allmänna motiveringen avsnitt 12.

6 § Denna lag gäller inte vid behandling av personuppgifter om ändamålet med behandlingen är att behandlingen eller uppgifterna skall utgöra ett direkt tekniskt hjälpmedel för framställning av tryckta skrifter eller yttranden som avses i yttrandefrihetsgrundlagen, 2. utgöra en förteckning över dem som har lämnat meddelande enligt I kap. 1 § tryckfrihetsförordningen eller 1 kap. 2 § yttrandefrihetsgrundlagen, utgöra arkiv för material som har varit publicerat i periodisk skrift eller som har förekommit i program i ljudradio eller television, ingå i sådana uppgiftssamlingar som lagrade uppslagsverk, ordböcker eller liknande referensmaterial, eller ingå i löpande text.

I denna paragraf tas under fem olika punkter upp olika slags behandling av personuppgifter som inte omfattas av datalagens reglering.

SOU 1993: 10 379

Punkt 1

Undantaget i denna punkt avser behandling av sådana personuppgifter som utredningen har kallat för produktionsregister. Utmärkande för dessa datasamlingar är att de står i ett direkt tekniskt samband med själva framställningen, vare sig det rör sig om en framställning i form av en tryckt skrift eller ett yttrande som avses i yttrandefrihetsgrundlagen YGL. Som utredningen närmare har utvecklat i avsnitt 7.3 utnyttjas ADBtekniken i dag i stor utsträckning vid framställning av yttranden. Tidningar framställs ofta genom att artiklar förs över till m.m. en stordator med vars hjälp materialet redigeras och sättes. ADB-tekniken utnyttjas också inom Sveriges Radio-koncernen vid sammanställningen av olika program. Det nyhetsmaterial, för att ta ett exempel, som förmedlas är ofta lagrat pâ ADB-medium. Vidare används ADB-tekniken i allt större utsträckning för framställningen av böcker. Enligt utredningens slutsats kan datalagens regelsystem ge upphov till konflikter med föreskrifterna om förbud mot och andra censur hindrande ätgärderi l kap 2 §tryckfrihetsförordningen TF och l kap 3 § YGL vad gäller produktionsregistren. Framför allt är det Datainspektionens tillsynsverksamhet som kan leda till normkonflikter. Men även en mindre ingripande bestämmelse i datalagen kan ge upphov till konflikter genom att Datainspektionen, om bestämmelsen inte efterlevs, i princip måste uppställa sådana villkor för den persondataansvarige att efterkomma bestämmelsen som ytterst kan leda till ett förbud. Det är med hänsyn till det nu sagda som produktionsregistren uttryckligen helt har undantagits från datalagens tillämpningsområde. De flesta produktionsregister borde normalt vara ganska kortlivade. Inte sällan gallras de efter produktionen. Om de bevaras, förlorar de normalt karaktären av produktionsregister. I sä fall blir datalagen tillämplig, om inte något annat undantag enligt denna paragraf kan bli tillämplig jfr punkt 3. Har t.ex. en bok producerats med hjälp av ADB-teknik, och sparas ADB-upptagningen för att användas för produktionen av nästa upplaga, är det emellertid rimligt att anse att ADB-upptagningen behåller sin karaktär produktionsregister. Ändamålet med behandlingen av av personuppgifterna är i detta fall endast produktion. I ett exempel som det nu nämnda kan naturligtvis ett produktionsregister existera under en längre tid. Undantaget i denna punkt överensstämmer inte helt, som har redovisats i den allmänna motiveringen, med förslaget till EG-direktiv. EG-direktivet är begränsat till pressens, audiovisuella medias och journalisternas journalistiska verksamhet. Direktivet medger således inte undantag för exempelvis förlagsverksamhet. En typ av produktionsregister är datasamlingar som används för att framställa olika slags spärrlistor. Inom vissa branscher har det blivit

vanligt att sprida information om kunder i form av spårrlistor. En spärrlista är en förteckning över personer som anses ha misskött sig i sitt mellanhavande med en uthyrare eller kreditgivare. Spärrlistor ges i allmänhet ut av en branschorganisation eller ett särskilt företag. Prenumeranter spärrlistor är vanligtvis företag som bidrar till innehållet genom att lämna uppgifter till utgivaren från sina kundregister. Syftet med spärrlistor är att varna företagen för att träffa avtal med dem som finns omnämnda i listan. Uppgifter som lämnas till ledning för bedömningen av en annan persons kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende innebär kreditupplysning. Kreditupplysningsverksamheten är reglerad i kreditupplysningslagen 1973:1173. Sådan verksamhet får i princip bedrivas endast efter tillstånd av Datainspektionen. Lagen innehåller straffsanktionerade förbud mot vissa slag av uppgifter, bl.a. om politisk eller religiös uppfattning, ras eller hudfärg och om straff och andra brottspäföljder 6 §. Personupplysning får inte heller innehålla uppgifter om betalningsförsummelser som inte har lett till rättsliga åtgärder samt om förhållanden som ligger mer än tre år tillbaka i tiden 7 och 8 §§. Lagen stadgar vidare ersättningsskyldighet för skada, som till följd av kreditupplysningsverksamhet tillfogas någon genom otillbörligt intrång i hans personliga integritet eller genom att oriktig uppgift lämnas om honom, samt skyldighet för den som bedriver verksamheten att rätta oriktiga eller missvisande uppgifter 21 och 12 §§. En spärrlista kan framställas pâ olika sätt. Det vanligaste lär dock fortfarande vara att den ges ut som en tryckt skrift. Frågan om förhållandet mellan TF och kreditupplysning i tryckt skrift togs med anledning av den förestående lagstiftningen om kreditupplysningsverksamhet upp redan i regeringens proposition 1973:123 med förslag till ändring i tryckfrihetsförordningen. Propositionen ledde till vissa ändringar av TF genom att det i TF infördes bl.a. det nu gällande stadgandet som innebär att bestämmelser utan hinder av TF får meddelas i lag dels om förbud mot offentliggörande i yrkesmässig kreditupplysningsverksamhet av kreditupplysning, som innebär otillbörligt intrång i enskilds personliga integritet eller som innehåller oriktig eller missvisande uppgift, dels om ersättningsskyldighet för sådant offentliggörande och dels om rättelse av oriktig eller missvisande uppgift l kap. 9 § TF. Frågan togs därefter upp igen i regeringens proposition om förslag till kreditupplysningslag prop. 1973: 155. Förslaget till kreditupplysningslag anpassades i vissa avseenden till TF. Bl.a. framhöll föredragande statsrådet att det inte bör öppnas någon möjlighet att i en lag meddelas vid sidan av TF införa bestämmelser om förhandssom granskning och tillståndstvâng beträffande kreditupplysningsverksamhet bedrivs genom offentliggörande av kreditupplysning i tryckt skrift. som

I den nya lagen borde därför enligt föredragande statsrådet föras in en bestämmelse om att det föreskrivna tillstândstvånget inte omfattar sådan verksamhet prop. 1973:155 s. 130 fi. En bestämmelse med sådant innehåll finns numera i 3 § kreditupplysningslagen. Som utredningen ovan anfört är ett spärregister, som är avsett att användas som ett direkt tekniskt hjälpmedel före eller vid framställningen av en skrift, att anse som ett produktionsregister. Med utredningens förslag till förtydligande av vad gällande rätt innebär skulle således datalagen inte vara tillämplig på spärregistren. Kreditupplysningslagen torde enligt utredningens mening ge tillräckliga möjligheter för Datainspektionen att ingripa mot olika integritetskränkningar som kan följa med användningen av spärregister och spärrlistor. Ingripanden mot spärrlistorna kommer nämligen att återverka pä spärregistren, som direkt används för tryckningen av listorna. Vad som nu har sagts gäller också annat tryckt material än spärrlistor som kan komma till användning i kreditupplysningssammanhang.

Punkt 2

I denna punkt görs undantag för behandling av sådana personuppgifter som utgör förteckningar över anonymitetsskyddade personer. I 3 kap TF finns regler om rätt till anonymitet för dem som medverkar vid tillkomsten av tryckta skrifter. Av stor betydelse i detta sammanhang är bestämmelsen i 3 kap 3 § TF. I denna paragraf finns föreskrifter som ålägger bl.a redaktionell personal vid en tidning eller nyhetsbyrâ, hos förlag anställda samt boktryckare, grafiker och annan teknisk personal tystnadsplikt beträffande bl.a. en författare eller meddelare. Enligt 3 kap 4 § TF får vidare en myndighet eller annat allmänt organ i princip inte efterforska den som är författare eller den som har uppträtt som meddelare. Motsvarande bestämmelser som skyddar meddelare finns också i YGL. Syftet med undantaget i denna punkt är att skydda identiteten den har lämnat meddelanden till exempelvis en tidning eller ett som radioföretag. Visserligen går Datainspektionens tillsynsverksamhet inte ut på att efterforska en meddelares identitet, men enligt utredningen föreligger det en betydande risk för att skyddade uppgifter oavsiktligt kan komma att röjas då Datainspektionen utövar sin tillsyn. Undantaget avser endast meddelare. Det gäller dock alla slags meddelanden enligt 1 kap l § tredje stycket TF och l kap 2 § YGL. Denna punkt är således tillämplig om upplysningar lämnas till exförfattare. Som har utvecklats i den allmänna motiveringen empelvis en innebär undantaget i den delen en avvikelse från förslaget till EGdirektiv. Ett praktiskt problem kan uppstå om uppgifter om en meddelare, t.ex. uppgifter som rör ersättningen till en tipsare, blandas samman

med löneadministrativa personuppgifter hos en tidning. De förstnämnda uppgifterna omfattas av tystnadspliktsföreskrifterna i TF inte men de övriga uppgifterna i den löneadministrativa datasamlingen. Detta problem har vissa beröringspunkter med vad som brukar kallas för god offentlighetsstruktur. Med det att myndigmenar man heterna självmant skall beakta den grundlagsfästa principen om allmänna handlingars offentlighet vid all hantering av information. Den alltmer omfattande användningen av ADB hos myndigheterna har emellertid i vissa avseenden lett till ökade problem vid tillämpningen av reglerna om handlingsoffentlighet i 2 kap TF. Under är 1982 infördes därför särskilda bestämmelser om ADB-upptagningar i 15 kap sekretesslagen 1980:100 för att förstärka offentlighetsprincipen i dessa sammanhang. l 15 kap 9§ sekretesslagen finns numera en uttrycklig erinran om att myndigheter som i sin verksamhet använder ADB skall ordna denna med beaktande av offentlighetsintressena. Kravet preciseras på så sätt att myndigheterna särskilt skall beakta att allmänna handlingar bör hållas åtskilda från andra handlingar samt att skyddet av sekretessbelagda uppgifter i ADB-upptagningar är som allmänna handlingar bör vara sådant att insynen enligt TF inte försvåras. En tanke bakom den redovisade lagstiftningen är således att hemliga uppgifter bör skiljas från icke hemliga uppgifter. Enligt utredningens mening bör denna princip gälla även tidningarnas löneadministrativa datasamlingar och motsvarande datasamlingar på andra håll. Reglerna i 15 kap 9§ sekretesslagen är emellertid inte tillämpliga hos tidningarna. Frågan är då om det finns något behov av lagstiftning på området. Problemet med hemliga och icke hemliga uppgifter i en och samma datasamling hos tidningarna synes inte vara praktiskt stort. Vidare förhåller det sig givetvis så att tidningarna inte kan undanhålla Datainspektionen de icke hemliga uppgifterna. I ett konkret fall mäste alltså tidningarna påta sig det praktiska arbetet med att skilja uppgifterna åt. Utredningen finner mot bakgrund härav övervägande skäl tala för att någon lagstiftning på området inte är erforderlig. Tidningarna kan naturligtvis välja att föra nu aktuella uppgifter manuellt. Kravet pá att hemliga och icke hemliga uppgifter på ett rimligt sätt hälles skilda, kan möjligen någon gång innebära att de hemliga uppgifterna bör föras manuellt.

Punkt 3

I denna punkt görs undantag för de datoriserade arkiven hos tidningarna och radioföretagen. Som utredningen närmare har redovisat under avsnitt 7.3 har tidningarna alltmer börjat utnyttja ADB-tekniken för att arkivera artiklar

SOU 1993: 10 383

har varit publicerade. Även radioföretagen använder som ADBtekniken som ett hjälpmedel vid arkivering. Innebörden av denna punkt är att behandlingen uppgifter i av nu nämnda arkiv inte omfattas av datalagens tillämpningsområde. Det spelar ingen roll om arkiven används exempelvis för tidningarnas publicistiska verksamhet eller för annan verksamhet. En tidning bestämmer således själv huruvida uppgifter skall lämnas dess ut ur arkiv till allmänheten eller inte. Det sistnämnda utlämnandet regleras inte av datalagen. Undantaget är begränsat till tidningarnas och radioföretagens eget material och egna arkiv. Några andra klipp eller andra arkiv omfattas således inte av undantaget. Vidare är det en förutsättning för att undantaget skall vara tillämpligt att personuppgifterna har varit publicerade respektive har förekommit i ett program. Som utredningen har påpekat i den allmänna motiveringen överensstämmer undantaget i denna punkt, såvitt gäller annan behandling än sådan som görs för massmediaföretagens egen verksamhet, inte med förslaget till EG-direktiv.

Punkt 4

I denna punkt görs undantag för det fall att ändamålet med behandlingen är att uppgifterna skall ingå i lagrade uppslagsverk etc. Datalagen är tillämplig pä personuppgifter som kan göras tillgängliga genom ADB-teknik. I dag lagras biblioteksinformation, ordböcker, lexikon etc. i stor utsträckning i databaser och optiska lagringsmedia, främst CD-ROM. CD-ROM gör det möjligt att lagra stora mängder information, inklusive personuppgifter. Sökning av information sker med hjälp av sökprogram som temporärt lagras i en dator så länge viss skiva en används. Innehållet på skivan kan naturligtvis också överföras till och lagras direkt i en dator. Informationen på skivan är dock inte möjlig att ändra. En ändring av innehållet kan emellertid ske efter bearbetning i en dator, om det lagras på ett annat minne. Likheten mellan CD- ROM och en databas är stor. CD-ROM har dock fördelar sin genom kapacitet och den snabbhet med vilken informationen kan avläsas. Det är också mer ekonomiskt fördelaktigt att använda sig informationen av på CD-ROM än sökning i en databas som endast kan nås via telenätet och som det är dyrt att ha on-line. CD-ROM har även betydligt längre hållbarhet än disketter och hårddiskar. Av denna punkt följer att datalagen inte är tillämplig på behandling av sådana personuppgifter som enbart förekommer biblioteksinsom formation eller i form av lexikaliska uppgifter etc. Utredningen har nämligen kommit till slutsatsen att tillgången till personuppgifter av detta slag, även med användningen av avancerad sökteknik, inte innebär någon ur integritetsskyddssynvinkel beaktansvärd risk. Det

avgörande är att den enda behandling som är möjlig att utföra är sökningar. Om de uppgifter som är tillgängliga genom CD-ROM eller en databas integreras i ett system som gör det möjligt antingen att göra sökningar och sammanställningar med andra personuppgifter eller att helt enkelt göra andra bearbetningar än sökningar av tillgängliga uppgifter, är undantaget inte tillämpligt. I de fallen gäller således datalagen. Den som bestämmer vilket innehåll som skall finnas på en CD- ROM-skiva och en databas kan givetvis göra andra behandlingar än bara sökningar. Sådan behandling, vars syfte är att tillskapa en CD- ROM-skiva eller en databas, är inte undantagen enligt denna punkt. Själva framställningen av en CD-ROM-skriva och en databas torde normalt emellertid vara att anse som ett produktionsregister och därmed vara undantagen från datalagens tilllämpningsområde jfr punkten 1. Undantaget enligt denna punkt saknar motsvarighet i förslaget till EG-direktiv.

Punkt 5

l denna punkt finns ett undantag för behandling av personuppgifter om ändamålet med behandlingen av dem är att de skall ingå i löpande text. Undantaget tar sikte sådan behandling som görs i syfte att producera löpande text. Undantaget avser alltså sedvanlig ordbehandling. Enligt utredningen kan ordbehandling inte medföra några risker för den personliga integriteten. Det saknas därför anledning att låta sådan behandling omfattas av datalagens tillämpningsområde. Därtill kommer att det knappast är rimligt att låta datalagen vara tillämplig på en ADBbehandling som används av i stort sett alla som producerar löpande text. Vid tillkomsten av den nuvarande datalagen uttalade föredragande statsrådet i frågan om vilka uppgifter som kunde anses utgöra ett sådant ADB-register omfattas av datalagen bl.a. att det direkt eller som indirekt måste vara fråga om behandling från informationssynpunkt av faktiska uppgifter. Ett ADB-register kan sålunda inte anses upprättat bara genom att löpande text lagras i ett datamedium, exempelvis för att sättning skall kunna ske med hjälp av datateknik. Pá grund härav faller åtskillig databehandling av olika slags litteratur, främst skönlitteratur, utanför datalagens tillståndssystem. Först i den mån databehandlingen tar sikte pä faktiska uppgifter i den litterära framställningen såsom för upprättande innehållsregister eller liknande föreligger av ett register i datalagens mening. Den närmare gränsdragningen när det gällde att bestämma registerbegreppets innebörd överlämnades praxis prop. 1973:33 s. 118.

SOU 1993: 10 385

Med framställning av löpande text avses bl.a. produktion av beslut, brev, uppsatser, skrivelser, dokument och liknande handlingar. Även skönlitteratur hör givetvis hit. Undantaget omfattar däremot inte framställningen av ett register i traditionell mening, t.ex. ett namnregister. Inte heller anteckningar om arbetssökande på arbetsförmedlingar, uppgifter i diarier, journaler och liknande är att betrakta som löpande text. Produkter av nu aktuellt slag torde normalt inte gallras när de har skrivits ut. När produktionen bevaras, kan det vara tveksamt om det fortfarande är fråga om ordbehandling. Så torde dock vara fallet om man lagrar exempelvis brev för att kunna hålla sig ä jour i någon fråga. Det kan t.ex. röra sig om affärskorrespondens. Däremot är det inte ordbehandling, om man gör olika sökningar och sammanställningar av information som har lagrats. Det är att märka att undantaget bara är tillämpligt så länge som personuppgifterna är föremål för ordbehandling. Lagras uppgifterna för att t.ex. behandlas för andra syften än ordbehandling, blir datalagen tillämplig. Teoretiskt kan man här tänka sig svåra gränsdragningsproblem. Enligt utredningen torde det emellertid i praktiken oftast vara klart om behandlingen avser endast ordbehandling. Undantaget i denna punkt saknar motsvarighet i förslaget till EGdirektiv. Däremot görs det i direktivet i princip ett undantag från skyldigheten att informera datatillsynsmyndigheten när det gäller ordbehandling art. 19.1. Bakgrunden härtill är att ordbehandling inte kan anses som någon integritetskänslig verksamhet.

7 § Denna lag gäller inte heller behandling av personuppgifter av en enskild som sker uteslutande för personligt bruk.

I likhet med 6 § anger 7 § vad som undantas från lagens tillämpningsområde. Det undantag som regleras här är sådan behandling av personuppgifter som en enskild utför endast för personligt bruk. I motsats till gällande rätt är undantaget inte partiellt, utan behandling enligt förevarande paragraf undantas helt från lagens tillämpningsområde. Enligt gällande rätt undantas personregister som en enskild person inrättar eller för uteslutande för personligt bruk från kravet pâ licens eller tillstånd 2 § tredje stycket i den gällande datalagen. Lagens bestämmelser om den registeransvariges skyldigheter, Datainspektionens tillsyn m.m. gäller emellertid även för dessa register. Undantaget tillkom i samband med slopandet av det generella tillståndskravet år 1982. Vid lagens tillkomst anförde föredragande statsrådet följande prop. l981/82:189 s. 54 55. -

Avgörande för undantagsbestämmelsen blir tillämplig är bl.a. om om användningen av ett personregister till någon del hänger samman med näringsverksamhet. Med näringsidkare avses varje person som yrkesmässigt driver verksamhet av ekonomisk art. Till näringsidkare räknas t.ex. fria yrlgesutövare advokater, arkitekter, fotografer, som journalister m.fl. Aven den driver verksamhet i något mindre som skala anses som näringsidkare, om det yrkesmässiga momentet är uppfyllt. Något vinstsyfte krävs inte. Om helt eller delvis använder ett personregister i sin en person näringsverksamhet, kan det aldrig vara fråga om att registret används uteslutande för personligt bruk. Undantagsregeln är då inte tillämplig. Detsamma gäller om någon inrättar eller för ett persondel skall användas för hans yrkesverksamhet register som till någon såsom anställd. Personregister används för forskning kan som regel inte som avsedda uteslutande för personligt bruk. Om ansvaret för ett anses visst forskningsprojekt åvilar universitetsinstitution, är det fråga en verksamhet inom den offentliga sektorn. Undantagsbestämmelom blir då inte tillämplig. Ofta finansieras forskningsprojekt av sen näringslivet eller stiftelser e.d. I sådana fall förväntas i regel av någon form resultat som kan användas för publicering eller på av annat sätt. Det är då heller inte fråga om något renodlat personligt bruk. I undantagsfall förekommer det dock att forskning bedrivs hobbyverksamhet och finansieras med egna medel. Ett mera som exempel är släktforskning. I sådana fall kan man tala om anersonuppgifter uteslutande för enskilt bruk. Villkoret vändning av för detta är ock att det inte till någon del är fråga om yrkes- eller

närin sverksamhet. I mån ett register har ändamål som kan hänföras både till en personligt bruk och till annat blir undantagsregeln inte tillämplig. Det är då inte fråga uteslutande personligt bruk. Om exempelvis om affärsidkare eller advokat för register över kunder eller klienter en samtidigt hör till bekantskapskretsen, blir undantagsregeln inte som tillämplig.

Enligt förslaget till EG-direktiv skall direktivet inte tillämpas

behandling personuppgifter utförs av en fysisk person för en av som rent privat och personlig verksamhet art. 3.2. Som exempel på helt

privat verksamhet nämns i kommentaren förandet av elektronisk

dagbok. I sina tidigare ställningstaganden ifrågasatte utredningen om det

finns någon anledning att bibehålla vissa skyldigheter för register som

förs uteslutande för personligt bruk. För dessa register gäller ex-

empelvis skyldighet att lämna utdrag enligt l0§ i datalagen och

skyldighet att vidta rättelse. Utredningen ansåg att det knappast var

troligt att Datainspektionen i ett framtida tillsynssystem skulle ha

möjlighet att intensifiera sin tillsyn över register förda för personligt

bruk. Det framstår heller inte som önskvärt att så sker, eftersom ut-

gångspunkten för tillsynen bör vara att bevaka områden där in-

tegritetsriskerna typiskt sett är större. Användningen uteslutande för

personligt bruk hör inte till dessa områden. Bestämmelser som inte kan

kontrolleras bör, menade utredningen, i princip inte införas. Ut-

SOU 1993: 10 387

redningen föreslog därför att personuppgifter som används uteslutande för personligt bruk, inte bara bör undantas från en framtida anmälningsskyldighet utan helt falla utanför datalagens tillämpningsområde. Utredningen framhöll att det naturligtvis finns anledning att även framgent kontrollera och pröva om en viss användning är sådan att den anses falla inom området personligt bruk. Tre remissinstanser har yttrat sig över frågan om undantag för behandling av personuppgifter som används uteslutande för personligt bruk. Hovrätten över Skåne och Blekinge och Medborgarrättsrärelsen Friheten i Sverige menar att undantagsområdet skulle kunna vidgas på så sätt att personuppgifter som används "huvudsakligen" för personligt bruk undantas från lagens tillämpningsområde. Juridiska fakultetsnämnden vid Stockholms universitet anför att undantaget för persondatabehandling som sker uteslutande för personligt bruk från flera synpunkter kan vara motiverat, men att ordningen från andra synpunkter kan ifrågasättas. Framförallt anser fakultetsnämnden att det är datakommunikationsmöjligheter i kombination med den tekniska apparaturens pris och prestanda jämfört med tidigare som kan ge anledning till tveksamhet. Också svårigheten att dra gränser mellan rent personlig databehandling och yrkesanknuten databehandling kan påverka bedömningen. Det får givetvis inte bli så att privatzonen blir en fristad för tveksamma verksamheter som innefattar omfattande och avancerad persondatahantering något som numer i och för sig är ekonomiskt och tekniskt möjligt. Utredningen anser, av skäl som tidigare har redovisats, att i vart fall personuppgifter som behandlas uteslutande för personligt bruk helt bör falla utanför datalagens tillämpningsområde. Utredningen har också övervägt de propåer som har förts fram av några remissinstanser om att undantagsområdet skall vidgas ytterligare. Som Hovrätten över Skåne och Blekinge framhåller i sitt yttrande är det knappast meningsfullt att databehandling som snart sker i var mans hand omfattas av datalagens kontrollsystem. Emellertid blir det svårare att avgränsa det område som skall tas undan och utvecklingen skulle med en sådan regel kunna i den riktning som den tredje remissinstansen befarar. Ett på detta sätt bestämt undantag stämmer inte heller överens med förslaget till EG-direktiv. Utredningen vidhåller alltså sitt tidigare förslag. Någon förändring i förhållande till gällande rätt vad gäller avgränsningen mot användning i näringsverksamhet är inte avsedd. I det föregående har berörts hur bestämmelserna i förevarande paragraf förhåller sig till förslaget till EG-direktiv.

8 § fråga om personuppgifter som har tagits emot för lagring av en arkivmyndighet gäller inte bestämmelserna i 22 29 samt - 36 38 §§. -

I paragrafen görs undantag för vissa av lagens bestämmelser vid sådan behandling som består av lagring hos en arkivmyndighet. Förslaget till datalag omfattar även sådan behandling som består av lagring hos en arkivmyndighet. Utredningen anser emellertid inte att det, för att upprätthålla en godtagbar nivå på skyddet för den personliga integriteten, är nödvändigt att alla bestämmelser i lagen tillämpas uppgifter som lagras hos arkivmyndigheter. De undantag som föreskrivs i denna paragraf gäller den persondataansvariges skyldigheter 22 29 §§. Den enskilde kommer således exempelvis inte att kunna begära att felaktiga uppgifter rättas eller begära upplysning om vilka uppgifter om honom som lagras. Vidare undantas den bestämmelse som ger Datainspektionen möjlighet att meddela föreskrifter angående behandlingen 36 §. Oavsett vilka uppgifter som lagras gäller att arkivmyndigheten inte behöver ge in någon anmälan till Datainspektionen 37 §. Den gällande datalagen gör i princip motsvarande undantag för register som tagits emot för förvaring av en arkivmyndighet. Enligt 2 a § andra stycket erfordras det inte något tillstånd för sådana register. Arkivmyndigheter behöver inte ha någon förteckning över de personregister som de förvarar 7 a § femte stycket. Bestämmelserna om rättelseskyldighet m.m. i 8 § gäller inte för nu berörda register. Inte heller rätten att få ett s.k. § lO-utdrag gäller för register som en arkivmyndighet tagit emot för förvaring. Förslaget till EG-direktiv föreskriver att personuppgifter inte skall behållas i en form som medger identifikation av enskilda under längre tid än vad som är nödvändigt för de ändamål som föreligger art. l .e. Medlemsstaterna får dock uppställa lämpliga skyddsregler för personuppgifter som lagras för historisk, statistisk eller vetenskaplig användning. l 19 § i lagförslaget finns bestämmelser om när personuppgifter som inte längre behöver behandlas för det ursprungliga ändamålet, trots detta får lagras för att tillgodose vissa angivna syften. Genom att de grundläggande bestämmelserna i lagförslaget om behandling av personuppgifter gäller för personuppgifter som tagits emot för lagring av en arkivmyndighet, bör enligt utredningen lämpliga skyddsregler ha ställts upp i enlighet med vad som gäller enligt förslaget till EG-direktiv. Det bör framhållas att den nu berörda bestämmelsen bara gäller

lagring av personuppgifter hos en arkivmyndighet. För en annan

myndighet som förvarar personuppgifter i sitt arkiv gäller datalagen fullt ut.

SOU 1993: 10 389

Behandling av personuppgifter

Anknytning till ett ändamål

9 § Personuppgifter får samlas in endast för bestämda och uttryckliga ändamål och i övrigt behandlas endast på ett sätt som är förenligt med dessa ändamål. Föreskriften i första stycket inskränker inte myndigheternas skyldigheter att lämna ut personuppgifter enligt tryckfrihetsförordningen.

Förevarande paragraf, som föreskriver att personuppgifter får samlas in endast det sker för bestämda och uttryckliga ändamål och att om övrig behandling måste utföras på ett sätt som överensstämmer med dessa ändamål, innehåller den grundläggande regeln för behandling av personuppgifter. I den allmänna motiveringen avsnitt 6 har utvecklats hur avgränsningen av en viss datasamling skall göras, nämligen genom att personuppgifter får samlas in och i övrigt behandlas endast för ett bestämt och uttryckligt ändamål. Oavsett vilka sammanställningar som är tekniskt möjliga i ett visst fall får alltså de aktuella personuppgifterbara behandlas för det ändamål som i det enskilda fallet har na bestämts den ansvarar för personuppgifterna. I avsnitt 5.4 av som diskuteras frågan om vilken betydelse bestämmelsen om ändamålsanknytning har för offentlighetsprincipen. Utredningens lagförslag innehåller även i övrigt åtskilliga bestämmelser där ändamålet med behandlingen personuppgifter får betydelse. Med den centrala av ändamålsbestämningen har i utredningens förslag är det ställning som följaktligen angeläget att ändamålet fâr en så noggrann precisering som möjligt. Gällande rätt innehåller en motsvarande bestämmelse om ändamålsbestämning. Enligt 7 § åligger det den registeransvarige att se till att personregister inrättas och förs så att inte otillbörligt intrång i registrerads personliga integritet uppkommer. Den registeransvarige skall därvid bl.a. tillse att personregister förs för ett bestämt ändamål 7 § första stycket 1, att inte andra uppgifter registreras än sådana som står i överensstämmelse med registerändamålet 7 § första stycket 2, att uppgifter inte samlas in, lämnas ut eller används annat än i överensstämmelse med registrets ändamål eller vad som gäller enligt lag eller i enlighet med den registrerades medeller annan författning givande 7 § första stycket 4. Bestämmelsen tillkom år 1982 i samband med införandet licenssystemet. Tidigare meddelade av Datainspektionen särskilda villkor för varje register i samband med tillståndsgivningen. När det gäller tillståndspliktiga register åligger det, enligt 5 § i den gällande datalagen, Datainspektionen att meddela villkor om ändamålet med registret. Om regeringen eller riksdagen inte har meddelat något

villkor angående ändamålet vid inrättandet av ett statsmaktsregister är Datainspektionen skyldig att meddela ett sådant villkor om registret i sig är tillståndspliktigt 6 a §. I Europarádskonventionens artikel som behandlar frågan om datakvalitet, finns bestämmelser om ändamålsanknytning. Där föreskrivs att personuppgifter som undergår automatisk databehandling skall lagras för särskilt angivna och lagliga ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål art. 5 .b. I kommentaren till konventionen anges att det sätt på vilket det lagliga ändamålet bestäms kan variera beroende på den nationella lagstiftningen. Även 0ECD:s rekommendation innehåller bestämmelser som anknyter till ett ändamål. Rekommendationen har behandlats i avsnitt 4.4. I förslaget till EG-direktiv an. 6.1.b understryks betydelsen av en konkret ändamâlsangivning. Insamling av uppgifter måste ske för specificerade, uttryckliga och lagliga ändamål och de insamlade uppgifterna får användas endast på sätt som är förenliga med dessa ändamål. I kommentaren till direktivförslaget denna punkt framhålls att ändamålet måste definieras och anges så snävt som möjligt. En allmän eller vag beskrivning exempelvis att uppgifterna behövs för "affärsändamål" är inte tillräcklig. Ändamålet skall innan anges uppgifterna samlas in. Kravet på laglighet innebär bl.a. att ändamålet skall ligga inom ramen för vad direktivförslaget och den inhemska lagstiftningen tillåter. Ett byte av ändamål anses lagligt endast i den utsträckning det är förenligt med det ursprungligen bestämda ändamålet. Myndigheters verksamhet regleras i allmänhet relativt noggrant i lagar, förordningar och instruktioner. Syftet med regleringen är att precisera myndighetens ansvarsområde. Därigenom kommer verksamhetsregleringen att ett direkt eller indirekt sätt påverka den informationsbehandling som får förekomma hos myndigheten. Motsvarande reglering finns även för privaträttsliga subjekt. Aktiebolags verksamhet regleras i allmänhet noga i bolagsordningen, handelsbolagens regleras i bolagsavtalet samt föreningars och stiftelsers i stadgarna. Behandling av personuppgifter får i princip inte tjäna något annat ändamål än att vara ett stöd i verksamheten. Verksamhetsinnehållet är därför den yttersta gränsen för vilka personer och vilka uppgifter om dem som får behandlas. Ändamålet skall vidare bestämt i den meningen det skall vara att

definieras och anges så snävt som möjligt. Ändamålsbestämningar

av typen näringsverksamhet, planering eller tillsyn kan således inte accepteras. För datasamlingar som används för direktreklam skulle en ändamålsbestämning kunna se ut på följande sätt.

Datasamlingen har till ändamål att framställa adressbärare för utsändning av direktadresserat reklammaterial för den persondataansvariges direktreklamkampanj, 2. att framställa listor över telefonnummer till företagares, yrkesutövares och befattningshavares arbetsplatser för telefonförsäljning eller motsvarande, att följa den persondataansvariges direktreklamkampanj upp statistisk bearbetning av svarsfrekvenser. genom

arbetsgivares personalinformationssystem skulle ändamåls- För en bestämningen kunna anges pâ följande sätt.

Personalinforrnationssystemet har till ändamål att administrera löner och annan ersättning, 2. att utgöra underlag för personaladministration, dvs arbetstidsregistrering, planering personalbehov, rekrytering, utbildning, av personal- och hälsovård samt planering av arbetstids- och semester utläggning framställning av intern telefonkatalog och framm.m., statistik för personaladministrationen, ställning av 3. att framställa meddelanden eller underlag för meddelanden, vilka den persondataansvarige är skyldig att lämna enligt författning eller avtal med de anställda, 4. att utföra budgetering, budgetuppföljning, kostnadsredovisning, revision och annan intern rapportering, distribution av personaltidning eller annan information till de enskilda.

De ändamål för vilka personuppgifter samlas in måste vara preciserade redan innan uppgifterna samlas in, något som direkt framgår av lagtexten. Ändamålet skall slutligen vara uttryckligt. Med detta avses att personuppgifter inte fâr behandlas för dolda ändamål vid sidan av det som skall kunna redovisas utåt. I den praxis Datainspektionen har utbildat prövas om den som uppgivna arten uppgifter och mängden uppgifter som skall av behandlas stämmer överens med ändamålet. Utöver arten och mängden uppgifter bör enligt motivuttalanden till den nuvarande datalagen av även beaktas sambandet mellan de personer som registreras och ändamålet prop. 1978/79: 109 s. l7. Den prövning som den persondataansvarige enligt utredningens förslag skall göra för att bedöma vilka personuppgifter skall behandlas, bör ske på liknande som grunder. Det är den persondataansvarige som bestämmer ändamålet med behandlingen personuppgifter. Beträffande persondataansvaret av hänvisas till framställningen i anslutning till 5 § och till avsnitt 12 i den allmänna motiveringen.

Förevarande bestämmelse reglerar också byten av ändamål. Ett byte av ändamål får ske endast under förutsättning att det nya ändamålet är förenligt med det ursprungligen bestämda ändamålet. Vilka användningsområden som faller inom ramen för ett visst ändamål är en tolkningsfråga. Några exempel på fall då det nya ändamålet torde vara förenligt med det ursprungliga är följande. Inom forskningen kan en viss förändring av forskningens inriktning anses förenlig med det ursprungligen bestämda ändamålet. Således torde det exempelvis vara förenligt med det ursprungligen bestämda ändamålet om en forskare, som fått samtycke till en undersökning av sambandet mellan intag av stora mängder karotin och vissa skador på njurarna, väljer att låta forskningen omfatta även skador på levern. Däremot kan det inte anses förenligt med det ursprungligen bestämda ändamålet om en forskare, som utfört en undersökning vars syfte varit att utreda narkotikamissbrukares allmänna hälsotillstånd, utvidgar ändamålet till att omfatta olika metoder som missbrukarna använder sig av för att finansiera sina narkotikainköp. Från sjukvården kan hämtas ett praktiskt exempel. Behandlingen av patienter, som pâ grund av oregelbunden hjärtrytm fått en pacemaker inopererad, ansågs av sjukhusets kardiologavdelning i och för sig vara avslutad. Avdelningen ville emellertid fortsätta ADB-behandlingen av patientuppgiftema för att kunna följa upp effekterna av operationema. En sådan efterföljande ADB-behandling av patientuppgifter måste anses vara förenlig med det ursprungliga vård- och behandlingsändamålet. I praxis har man ansett att personuppgifter för administrativa ändamål får användas för framställning av statistik för den ifrågavarande verksamheten även om detta inte har angetts uttryckligen vid formuleringen av ändamålet. När en behandling av personuppgifter inleds kan det många gånger vara svårt att förutse för vilka ändamål uppgifterna i framtiden kan behöva behandlas. Problemet blir särskilt påtagligt vid longitudinella observationsstudier. I de fall det är möjligt att inhämta deltagarnas samtycke finns dock alltid möjligheten att inleda en helt ny behandling med ett nytt ändamål. I forskningsstudien "Tierpsprojektet" var ändamålet att följa vårdutnyttjandet för invånarna i Tierps kommun. Uppgifter kontakter om med vårdcentralen i Tierp, försäkringskassans uppgifter om andra läkarkontakter, kontakter och vårdtillfällen vid ett annat sjukhus och receptuttag från apoteket i Tierp registrerades. Den information som registrerats har utnyttjats för forskning som haft som ändamål att besvara frågor som exempelvis om en utbyggd öppenvård medfört minskade krav på sjukhusvård, hur stort problemet är med bristande patient läkarkontinuitet och - vilka effekter som kan uppnås med en förbättrad organisation,

SOU 1993: 10 393

de olika ekonomiska konsekvenserna för olika patientgrupper vid ändrade regler för kostnadsfria läkemedel och högkostnadsskydd, om recept vissa läkemedel medfört en fortsatt receptförskrivning av samma läkemedel, samt om det föreligger en ökad tendens att söka läkare för allergiska sjukdomar. Det ursprungligen bestämda ändamålet i Tierpsprojektet får sägas vara för vitt formulerat för att uppfylla kraven i förevarande paragraf. Utgår man emellertid från det angivna ändamålet torde de forskningsändamål som senare tillkommit vara förenliga med det ursprungligen bestämda ändamålet. Om ett forskningsprojekt har som ursprungligt ändamål att studera hjärt-kärlsjukdomamas naturalhistoria, d.v.s. hur denna grupp av sjukdomar utvecklas i en från början frisk befolkning, kan inom ramen för detta ändamål svårligen rymmas forskning vars ändamål är att studera exempelvis olycksfallsepidemiologi, öron-näsa-halssjukdomar eller cancerepidemiologi. Det är därför viktigt att den persondataansvarige innan behandlingen inleds noga överväger vilka olika ändamål som personuppgifterna kan komma att behandlas för. Med deltagarnas samtycke finns det, som tidigare påpekats, alltid möjlighet att påbörja en ny behandling med ett nytt ändamål. När det gäller pågående forskningsprojekt vill utredningen också peka på punkt 2 i förslaget till Övergångsbestämmelser som gör det möjligt att låta ändamål som bestämts i ett tillståndsbeslut gälla till utgången av 1998. Det kan i sammanhanget förtjäna att påpekas att det inte blir fråga om byte av ändamål i de fall en ny persondataansvarig påbörjar en behandling av uppgifter som tidigare behandlats av en annan persondataansvarig. I dessa fall blir det i stället fråga om en helt ny behandling. Den behandling som exempelvis utförs av myndigheter i samband med granskning eller tillsyn eller av en konkursförvaltare skall således bedömas som en ny behandling. För att den nya behandlingen skall kunna ske krävs att den ursprunglige persondataansvarige på laglig

grund se ll § kan eller skall lämna ut uppgifterna till den nye

persondataansvarige. Dessutom krävs givetvis att den behandling som företas är laglig i sig, dvs. grundar sig något av kriterierna i 11 Gäller behandlingen känsliga uppgifter krävs, om samtycke inte före-

ligger, författningsreglering se 20 §. En förutsättning är också att

personuppgifterna i den nya miljön inte framstår som missvisande. Ett och samma inkomstbegrepp kan t.ex. inte alltid användas för olika ändamål.

Ändamålsbestämningen innebär en begränsning av vilka personupp-

gifter som får behandlas. Enligt 13 § i lagförslaget får inte sådana personuppgifter behandlas som inte behövs för att behandling skall kunna ske för ett visst ändamål. Stor betydelse har ändamálsbestämningen även för tillämpningen av bl.a. bestämmelserna om när

personuppgifter behöver vara aktuella, när personnummer får behandlas och när gallring skall ske 14, 15 och 19 §§. I paragrafens andra stycke har tagits in en erinran om att bestämmelsen i första stycket inte får hindra att myndigheter fullgör sina skyldigheter enligt tryckfrihetsförordningen. Bakgrunden till bestämmelsen har redovisats i avsnitt 5.4. Förhållandet mellan förevarande paragraf och förslaget till EGdirektiv har delvis redan berörts. Det har inte ansetts nödvändigt att i paragrafen ange att personuppgifter får behandlas endast för lagliga ändamål. Av kommentaren till direktivförslaget framgår att med lagliga ändamål avses de grunder enligt vilka behandling av personuppgifter får ske, t.ex. artikel 7 som har sin motsvarighet i ll § i utredningens lagförslag. Det är vidare självklart och behöver inte särskilt utsägas att den persondataansvarige inte får behandla personuppgifter på ett sätt som strider mot andra föreskrifter än datalagen.

God datased

10 § Personuppgifter skall behandlas i överensstämmelse med god sed i förhållandet mellan en persondataansvarig och en enskild god datased.

I anslutning till 7§ i den gällande datalagen har begreppet "god registersed" myntats. Med utredningens förslag kommer registerbegreppet att utmönstras ur datalagen och begreppet god registersed blir därför inte längre relevant. I stället föreslår utredningen i förevarande paragraf att all behandling av personuppgifter skall ske i överensstämmelse med god datased. Begreppet "god sed" förekommer inom olika rättsområden. Exempelvis innehåller inkassolagen 1974: 182 en allmän grundregel 4 § som fastslår att inkassoverksamhet skall bedrivas enligt god inkassosed. Bestämmelsen har kompletterats med en föreskrift om att gäldenären inte får vållas onödig skada eller olägenhet eller utsättas för otillbörlig påtryckning eller annan otillbörlig inkassoåtgärd. Grundprincipen att inkassoverksamhet skall bedrivas enligt god inkassosed konkretiseras i inkassolagens 5 11 §§ samt i Datainspektionens till- ämpningsföreskrifter och praxis. I propositionen till inkassolagen prop. 1974:42 s. 79 angavs att kravet på iakttagande av god inkassosed inte endast innebär att gäldenären skall skyddas mot onödig skada och olägenhet utan också innefattar ett förbud mot sådana inkassoátgärder som är särskilt integritetskränkande och därmed otillbörliga. I artikel 6. 1 .a i förslaget till EG-direktiv föreskrivs att personuppgifter skall behandlas ärligt och lagligt fairly and lawfully. Enligt kommentaren utesluter bestämmelsen användandet av dold teknisk utrustning som i hemlighet och utan den enskildes vetskap kan samla

in uppgifter, såsom sker vid telefonavlyssning och liknande. Bestämmelsen skall också hindra den persondataansvarige från att utveckla och använda hemliga metoder vid behandling av personuppgifter. Utredningen har strävat efter att ge förhållandevis detaljerade regler i datalagen för hur behandlingen av personuppgifter skall gå till. Tanken är också att de allmänna bestämmelserna i datalagen skall kompletteras med föreskrifter av Datainspektionen på skilda områden. För känsliga uppgifter krävs enligt förslaget en särskild författningsreglering för åtminstone vissa moment i informationsbehandlingen. Trots denna jämförelsevis utförliga reglering kan det naturligtvis

inträffa att personuppgifter behandlas på ett sätt som inte formellt

strider mot de dataskyddsbestämmelser som finns men som ändå är olämpligt och leder till integritetsskada eller risk för sådana skador. Genom bestämmelserna i förevarande paragraf får Datainspektionen möjlighet att ingripa i sådana fall. Bestämmelsen är motiverad bl.a. av det förhållandet att den oerhört snabba utveckligen på dataområdet gör det svårt att förutse alla de olika situationer som kan bli aktuella. Bestämmelsen om god datased skall ses mot bakgrund av lagförslagets allmänna inriktning att skapa ett integritetsskydd för den enskilde. Olika riktlinjer som kan komma att fastställas av olika branschorganisationer får beaktas. Den praxis som redan utbildats på olika områden kan i vissa fall utgöra en vägledning. Det blir Datainspektionen som får följa utvecklingen och ingripa med de åtgärder som visar sig behövliga. Kravet på god datased är avsett att motsvara direktivförslagets föreskrift om att personuppgifter skall behandlas "fairly". Att närmare ange i vilka fall som regeln kan leda till ett ingripande från Datainspektionen är knappast möjligt. Ytterst måste det bli en fråga för rättstillärnpningen att närmare definiera begreppets innebörd. Klart är emellertid att bestämmelsen bör användas med försiktighet. Den behandling av personuppgifter som den persondataansvarige ägnar sig måste framstå som klart olämplig och vara ägnad att leda till integritetsskador. Enligt förslaget till E G-direktiv skall personuppgifter även behandlas på ett lagligt sätt. Det har inte ansetts nödvändigt att särskilt ange detta i förevarande paragraf. I denna del kan hänvisas till vad som har sagts i anslutning till 9 § i lagförslaget.

Förutsättningar för behandling av personuppgifter

11 § Personuppgifter får behandlas endast om den enskilde har samtyckt till behandlingen, 2. om behandlingen behövs för att fullgöra ett avtal med den enskilde eller för att på den enskildes begäran vidta förberedande åtgärder inför ett avtal,

om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning, 4. om behandlingen behövs för att skydda intressen som är av väsentlig betydelse för den enskilde, om behandlingen behövs för att utföra en uppgift i det allmännas intresse eller i myndighetsutövning av den persondataansvarige eller någon till vilken uppgifterna lämnas ut, eller om behandlingen behövs för att tillgodose ett allmänintresse eller ett intresse hos den persondataansvarige eller någon till vilken uppgifterna lämnas ut, under förutsättning att detta intresse får anses väga tyngre än den enskildes intresse avatt uppgifter om honom inte behandlas. Personuppgifter får inte lämnas ut, om det finns anledning anta att uppgifterna skall behandlas i strid med denna lag. I fråga om personuppgifter som behandlas av en myndighet tillämpas i stället bestämmelserna i sekretesslagen 1980:100. Myndigheter får inte utan samtycke av den enskilde försälja personuppgifter behandlas annat än i enlighet med lag, som förordning eller särskilt beslut av regeringen.

I paragrafen anges under vilka förutsättningar en behandling av personuppgifter är laglig. Beträffande behandling av sådana personuppgifter som innefattar särskilda risker för den personliga integriteten uppställs i 20 och 37 §§ särskilda krav för att en behandling skall vara laglig. En behandling som utförs utan att någon av de förutsättningar som anges i paragrafen föreligger är straffsanktionerad i 47 Eftersom gällande rätt bygger på ett modifierat tillståndssystem, saknar den nuvarande datalagen en bestämmelse som motsvarar ll § i utredningens förslag. Även den nuvarande datalagen innehåller emellertid regler är avsedda att underlätta sådan automatisk som databehandling som är nödvändig för att fullgöra åligganden som följer lag eller annan författning. I 2 a § tredje stycket 2 och 3 i den av gällande datalagen görs undantag från tillståndsplikten för bl.a. vissa register som förs av myndigheter inom hälso- och sjukvården samt inom socialtjänsten. I de fall som anges erfordras endast att den registeransvarige anmält sig hos Datainspektionen och erhållit en licens. Jfr första stycket 3 i förevarande paragraf. Den gällande datalagen skiljer också ut registrering av personer som inte står i någon relation till den persondataansvarige. För register som omfattar som saknar anknytning till den registeransvarige krävs enligt personer 3 § särskilda skäl för att tillstånd att inrätta och föra personregister a skall meddelas. Enligt 1l § första stycket 2 i utredningens förslag får behandling personuppgifter ske om det är behövs för att fullgöra ett av avtal med den enskilde eller för att på den enskildes begäran vidta

SOU 1993: 10 397

förberedande åtgärder inför ett avtal. Motsvarigheten till 3 a § i nu gällande datalag torde närmast vara ll § första stycket 6 i lagförslaget. I avsnitt 4.3.3 finns en redogörelse för Europarådets rekommendation om skydd för personuppgifter som används för direktreklamändamål. I artikel 7 i förslaget till EG-direktiv finns de grundläggande principerna för behandling av personuppgifter angivna. Enligt artikel 7.a får personuppgifter behandlas endast om den enskilde har lämnat sitt samtycke. Samtycke är emellertid endast en av sex olika omständigheter som gör en behandling laglig. En behandling får också utföras den är nödvändig för att fullgöra ett avtal med den enskilde, eller om för att på den enskildes begäran företa förberedande åtgärder inför ett avtal art. 7.b. Även behandling är nödvändig för att uppfylla en som skyldighet ålagts genom lag eller annan författning är tillåten en som art. 7.c. Vidare är en behandling som är nödvändig för att skydda den enskildes vitala intressen laglig art. 7.d. l kommentaren till artikel 7.d anges att bestämmelsen tillkommit för att täcka de fall när den enskilde har ett vitalt intresse av att personuppgifter om honom behandlas, där han i exempelvis allvarliga medicinska fall men - som är förhindrad att sitt samtycke. Enligt artikel 7.e är en behandling ge tillåten den är nödvändig för att utföra en uppgift i det allmännas om intresse in the public interest eller genomförs i myndighetsutövning in the exercise of public authority av den persondataansvarige eller tredje man till vilken personuppgifter lämnas ut. Slutligen är en av en behandling laglig om den är nödvändig för att tillgodose ett allmänintresse eller de legitima intressen som finns hos den persondataansvarige eller hos tredje person till vilken personuppgifter lämnas ut, en utom i de fall då den enskildes intressen väger tyngre art. 7.0. Enligt kommentaren tar den sistnämnda bestämmelsen hänsyn till det faktum att det kan föreligga andra legitima intressen än de som kan finnas hos den persondataansvarige och hos den enskilde. Förevarande bestämmelse anger sex olika omständigheter som gör behandling personuppgifter laglig. Datainspektionen kan med en av stöd 36 § i lagförslaget komma att meddela närmare föreskrifter om av tillämpningen av bestämmelsen. Under punkt 1 anges den första av de omständigheter som gör en personuppgifter laglig. Om den enskilde samtycker till behandling av behandling skall denna vara tillåten. Bestämmelsen får ses som ett en uttryck för principen att den enskilde så långt det är möjligt skall ha rätt att själv bestämma över behandlingen av personuppgifter som honom. I 12 § i utredningens förslag regleras hur ett samtycke avser skall utformat och vad som gäller i de fall ett samtycke återkallas. vara Enligt punkt 2 är behandling personuppgifter tillåten om den en av behövs för att fullgöra ett avtal eller, under förutsättning att det sker på den enskildes begäran, behandlingen behövs för att genomföra förberedande åtgärder som är avsedda att leda till ett avtal. Behandling

av personuppgifter som sker i samband med ett avtalsförhållande torde i regel ske med i vart fall ett passivt samtycke. I vissa fall har den enskilde också möjlighet att undgå automatisk databehandling genom att välja en annan avtalspart. Om behandlingen avser känsliga uppgifter krävs enligt 20 § att den enskilde lämnar sitt samtycke till behandlingen eller att behandlingen har stöd i lag eller annan författning. När det gäller förberedande åtgärder som är avsedda att leda till ett avtal måste, för att behandlingen skall vara tillåten enligt punkt den enskilde ha tagit något initiativ för att inleda en dialog som kan resultera i ett avtalsslut. Hos ett försäkringsbolag skulle personuppgifter som erhållits i samband med förfrågan om försäkringsvillkor kunna behandlas med stöd av ll § första stycket Det kan exempelvis vara fråga om behandling av uppgifter om bostad och inventarier för framräkning av en hemförsäkringspremie. Skall den typ av känsliga uppgifter som anges i 20 § i lagförslaget behandlas krävs dock ett skriftligt samtycke. Således är det inte möjligt att enbart med stöd av en förfrågan om en viss försäkring behandla uppgifter om den presumtive försäkringstagarens hälsotillstånd. Även i samband med kreditgivning kan det bli aktuellt med viss behandling före avtalsslutet. Med stöd av ll § första stycket 2 kan exempelvis en bank behandla kreditupplysningar om en enskild i samband med handläggningen av en láneansökan. Den andra punkten i förevarande bestämmelse får inte ges en alltför vid tolkning. Vid t.ex. ett kontantköp är avtalsrelationen avslutad när levererats och betalning skett. Även vid upprepade varan om en person tillfällen anlitar ett visst företag för leverans av varor eller tjänster innebär inte detta att ett avtalsförhållande i den mening som avses i bestämmelsen föreligger. Av detta följer dock inte att ett företag är förhindrat att i sin egen marknadsföring behandla personuppgifter som härstammar från tidigare kundrelationer. Om den tidigare kunden anmält sitt intresse att få ta del av företagets reklammaterial, fâr han anses ha samtyckt till den behandling av hans personuppgifter som behövs för detta nya ändamål, allt under förutsättning att samtycket lämnats i enlighet med bestämmelserna i 12 Det nya marknadsföringsändamâlet får enligt 9 § anses vara förenligt med det gamla ändamålet. Med stöd av ett sådant samtycke bör t.ex. ett postorderföretag kunna sända ut sina årliga kataloger till den enskilde. Ett företag kan emellertid i sin marknadsföring också använda sig av bestämmelserna i 1l § första stycket Utredningen återkommer till detta i anslutning till den angivna punkten i förevarande paragraf. Vad som nu har sagts om marknadsföring i förhållande till tidigare kunder gäller också marknadsföring som avser potentiella kunder. Om ett anställningsförhållande föreligger kan behandlingen av personuppgifter i princip ske med stöd av punkt För behandling av känsliga personuppgifter i anställningsförhållanden finns också särskilda bestämmelser i 32 35 §§. -

.SOU 1993: 10 399

En behandling är enligt punkt 3 tillåten om den behövs för att den persondataansvarige skall kunna fullgöra sådana åligganden som följer .av lag eller annan författning. Det finns många exempel lagstiftning som ålägger myndigheter och företag en redovisningsskyldighet, kontrollverksamhet eller liknande funktion som förutsätter att personuppgifter behandlas. l sammanhanget kan det vara värt att påpeka att bestämmelsen i 9 § om anknytningen till ett ändamål gäller även för en behandling som sker med stöd av ll § första stycket En behandling som blir nödvändig på grund av ålägganden i lag eller annan författning måste således, för att vara laglig, vara förenlig med de ursprungligen bestämda ändamålen, om samma personuppgifter skall behandlas även för det nya ändamålet. Om kravet på förenlighet inte är uppfyllt måste de enskilda som berörs ge sitt samtycke till den behandling som avses med det nya ändamålet. I allmänhet torde dock i de nu berörda fallen det nya ändamålet vara förenligt med det ursprungliga. Vid behandling av känsliga uppgifter krävs enligt 20 § dessutom att den enskilde lämnat sitt samtycke till behandlingen eller att behandlingen har stöd i lag eller annan författning. Det är således inte tillräckligt för att en behandling av känsliga personuppgifter skall vara tillåten, att ett áliggande i lag nödvändiggör en behandling av uppgifterna. Föreligger inte samtycke måste även själva behandlingen av de känsliga uppgifterna vara författningsreglerad. Som utredningen utvecklat närmare i avsnitt 9 i den allmänna motiveringen förutsätter förslaget till en ny datalag att det tillkommer ett antal författningar som reglerar behandlingen av känsliga personuppgifter. I hälso- och sjukvårdslagen 1982:763 åläggs landstingskommuner och kommuner som inte ingår i en landstingskommun att erbjuda en god hälso- och sjukvård. Genom taxeringslagen 1990:324 åläggs riksskatteverket att leda och ansvara för taxeringsarbetet i landet. Allmänna åligganden av denna typ faller inte in under punkt Det måste röra sig om konkreta skyldigheter i vissa bestämda situationer. Arbetsgivare åläggs genom olika författningar skyldigheter som nödvändiggör en relativt omfattande behandling av personuppgifter. I regel innefattar dessa åligganden en skyldighet att lämna ut olika uppgifter om arbetstagare. Arbetsgivare inom den offentliga sektorn kan vidare vara skyldiga att lämna ut uppgifter enligt 2 kap. tryckfrihetsförordningen. Frågor om utlämnande av personuppgifter har behandlats särskilt i avsnitt 5.4 i den allmänna motiveringen. I 32 35 §§ finns särskilda bestämmelser om behandling av känsliga personuppgifter för anställningsändamål. Enligt de särskilda bestämmelserna kan vissa uppgifter behandlas för anställningsändamål även utan den enskildes samtycke. Med stöd av punkt 4 kan personuppgifter behandlas om behandlingen framstår som erforderlig för att skydda intressen som har stor betydelse för den enskilde. I första hand åsyftas situationer då den

enskilde av någon anledning är ur stånd att lämna sitt samtycke till behandlingen. Det kan exempelvis vara fråga om behandling av journaluppgifter i de fall då patienten på grund av sjukdom är förhindrad att lämna sitt samtycke. Däremot torde under denna punkt inte rymmas sådan behandling som i och för sig gagnar den enskilde, men där den enskilde på grund av oförstånd, ovilja eller av andra skäl inte lämnar sitt samtycke. Bestämmelsen i punkt 5 tar närmast sikte på den offentliga sektorn, även om myndighetsutövning i vissa fall kan överlåtas på privaträttsliga subjekt. Punkt 5 gör en behandling laglig om den behövs för att utföra en uppgift i det allmännas intresse eller i myndighetsutövning. I den allmänna motiveringen, avsnitt 10, har forskning och statistik nämnts som exempel på uppgifter i det allmännas intresse. Kravet att uppgiften skall vara i det allmännas intresse medför att ändamålet med behandlingen måste ha en viss dignitet. Utöver forskning och statistik kan som exempel på uppgifter som ligger i det allmännas intresse nämnas frågor om människors hälsa, miljön, redligheten i handeln, brottsbekämpning och intresset av att det finns en fungerande arbetsmarknad jfr avsnitt ll. Också behovet av en effektiv förvaltning och en fungerande transportmarknad är frågor som ligger i det allmännas intresse. Forskningens bidrag till kunskapsutvecklingen inom olika områden i samhället är av stort allmänt intresse. Behandlingen av personuppgifter för forsknings- eller statistikändamål torde därför vara tillåten såväl på den grund att behandlingen är nödvändig för att utföra en uppgift i det allmännas intresse 5 som den grund att behandlingen är nödvändig för att tillgodose ett allmänintresse som väger tyngre än den enskildes integritetsskyddsintresse 6. Punkt 5 medger också behandling av personuppgifter om behandlingen behövs i myndighetsutövning. Med myndighetsutövning förstås utövning av befogenhet att för enskild bestämma om förmån, rättighet, skyldighet, disciplinpâföljd, avskedande eller annat jämförbart förhållande. Utmärkande för myndighetsutövning är att det rör sig om beslut eller andra åtgärder som ytterst är uttryck för samhällets maktbefogenheter i förhållande till medborgarna. Det behöver inte vara fråga om åtgärder som innebär förpliktelser för den enskilde medborgaren. Även gynnande beslut, såsom exempelvis beviljande av tillstånd och sociala förmåner räknas som myndighetsutövning. Inte bara myndighetsutövning av den persondataansvarige avses i den nu aktuella punkten. Bestämmelsen skall också göra det möjligt för en myndighet att lämna ut sådana uppgifter som behövs för att den mottagande myndigheten skall kunna fullgöra sin myndighetsutövning. Ofta kan behandling i samband med myndighetsutövning ske med stöd punkt men i de fall behandlingen inte är en följd av av åligganden i lag eller annan författning kan punkt 5 bli tillämplig. För

behandling av känsliga personuppgifter för forsknings- eller statistikändamål finns särskilda bestämmelser i 30 31 §§. - Punkt 6 syftar främst på den enskilda sektorn. Enligt punkt 6 är en behandling laglig om den är nödvändig för att tillgodose ett allmänintresse eller ett intresse hos den persondataansvarige, under förutsättning att dessa intressen väger tyngre än den enskildes intresse av att behandling av uppgifter om honom inte äger rum. Med allmänintresse avses frågor som har betydelse för ett stort antal människor. Liksom beträffande punkt 5 kan behandling av personuppgifter i samband med forskning och statistik anges som exempel på situationer när det kan anses föreligga ett allmänintresse. I 8 kap. 7 § sekretesslagen talas om intresset av allmän kännedom om förhållande som rör människors hälsa, miljön eller redligheten i handeln eller ett liknande allmänintresse. Enligt punkt 6 krävs dessutom att den persondataansvarige gör en intresseavvägning och att denna resulterar i att allmänintresset eller den persondataansvariges intresse av behandlingen kan anses väga tyngre än den enskildes intresse av att en behandling inte kommer till stånd. Behandling av personuppgifter i kreditupplysningsverksamhet kan enligt utredningens mening också ske med stöd av punkt Kreditupplysningsverksarnhet anses utgöra en viktig faktor för effektiviteten i näringslivet. Den enskilde kan av integritetsskyddshänsyn ha ett intresse av att en behandling i samband med kreditupplysningsverksamhet inte sker, men detta intresse har inte samma tyngd som det motstående intresset. Den enskildes behov av integritet kan f.ö. också vägas mot konsumentskyddsintressen av innebörd att det ligger i samhällets intresse att tillse att konsumenter inte tar på sig en större skuldbörda än de klarar av. Behandling av personuppgifter för direktreklamändamål bör också kunna ske med stöd av punkt Så länge mottagaren av direktreklamen inte motsätter sig att personuppgifter behandlas får direktreklamen anses tillgodose intressen både hos den persondataansvarige och hos mottagaren. Om mottagaren av reklamen skulle komma att motsätta sig denna, bör detta konstituera ett sådant intresse hos den enskilde som tar över den persondataansvariges intresse och den sistnämnda får då stoppa direktreklamen till den enskilde. En uttrycklig regel om förbud för den persondataansvarige att behandla personuppgifter för direktreklamändamål i strid mot den enskildes önskan finns i 28 § i lagförslaget. Adresser för direktreklam kan man få på olika sätt. Den dominerande källan för sådana adresser är SPAR. I viss utsträckning konkurrerar enskilda adresskällor med SPAR genom att efter beställning tillhandahålla adressetiketter. Ett företag kan vidare använda sitt eget kundregister för att marknadsföra nya produkter. Uttag med stöd av offentlighetsprincipen kan också användas för direktreklamändamål.

Vid sidan av de nu angivna metoderna förekommer det att personuppgifter behandlas genom att s.k. marknadsföringslistor överlåts. En sådan lista innehåller, förutom namn och adress, någon uppgift om den enskilde som konsument. Något ärende om överlåtelse av en marknadsföringslista har inte förekommit hos Datainspektionen, trots att förfarandet i viss utsträckning torde förekomma i Sverige. Utomlands är det däremot vanligt och systemet har vissa håll missbrukats, särskilt i USA. Enligt utredningens mening bör inte överlåtelse av marknadsföringslistor kunna ske med stöd av ll § första stycket För sådan behandling av personuppgifter krävs alltså samtycke av de berörda enskilda. Punkt 6 medger också att behandling av personuppgifter får ske efter en avvägning mellan intresset hos den enskilde och intresset hos den till vilken den persondataansvarige lämnar ut de aktuella uppgifterna. Även här kan kreditupplysningsverksarnheten väljas som exempel, där kreditgivarnas intresse av att få ett underlag för kreditgivningen får anses väga tyngre än den enskildes intresse av att uppgifter om honom inte behandlas i anslutning till kreditupplysningsverksamheten. I bestämmelsens andra stycke anges att den persondataansvarige inte får lämna ut personuppgifter om det finns anledning att anta att uppgifterna efter utlämnandet kommer att behandlas ett sätt som strider mot datalagen. För myndigheter gäller i stället bestämmelserna i sekretesslagen. En motsvarighet till bestämmelsens andra stycke finns i 11 § i den gällande datalagen. Bestämmelsen i tredje stycket motsvarar 7 § första stycket 3 i den gällande datalagen. När ställning skall tas till om en försäljning skall tillåtas får en bedömning göras om försäljningen ligger i det allmännas intresse 1 l § första stycket 5 eller om den innefattar ett sådant allmänintresse som tar över den enskildes integritetsintresse ll § första stycket 6. Enligt vad som uttalades i förarbetena till den aktuella bestämmelsen i datalagen prop. 1990/9l:60 s. 50 kan en försäljning vara betingad av ett så starkt samhällsintresse att det finns skäl att tillåta den. Det bör framhållas att myndigheternas användning av personuppgifter för försäljning måste stå i överensstämmelse med det ändamål som har bestämts för behandlingen av uppgifterna. Denna fråga har diskuterats i den tidigare angivna propositionen s. 51. Utredningen vill avslutningsvis ta upp frågan hur tillåtligheten av olika behandlingar bör bedömas i sambearbetningsfallen. För att bedöma om en sambearbetning är tillåten får man först ta ställning till om personuppgifter får lämnas ut i och för sambearbetningen från den eller de aktuella datasamlingarna. Denna bedömning får göras enligt bestämmelserna i förevarande paragraf. Därefter får man ta ställning till om sambearbetningen som sådan är

SOU 1993: 10 403

tillåten, vilket också får ske med tillämpning ll De grundav läggande bestämmelserna om datakvalitet är också tillämpliga. Frågan om personuppgifter blir missvisande eller på annat sätt inkorrekta bör särskilt uppmärksammas i det sammanhanget. Vad som nu har sagts har avsett situationer där sambearbetningen inte omfattar känsliga uppgifter enligt 20 Enligt den paragrafen får känsliga personuppgifter bara behandlas om den enskilde har samtyckt till det eller det följer av särskilda bestämmelser i datalagen eller annan författning. Den särskilda författningsregleringen förutsätts ange åtminstone vilka uppgifter som får behandlas, vem som får ha tillgång till uppgifterna och vilka som får vara persondataansvariga. Lämpliga skyddsbestämmelser skall också ställas upp. Det nu sagda innebär, att om känsliga uppgifter förekommer i en sambearbetningssituation, sambearbetningen får förekomma bara i den man den har stöd i författning, om inte särskilt samtycke föreligger. Paragrafens första stycke torde överensstämma med artikel 7 i förslaget till EG-direktiv. Enligt ordalydelsen av artikel 7.e skulle dock kravet på nödvändighet bara hänföra sig till första ledet i den bestämmelsen och alltså inte till myndighetsutövning. Kravet att behandlingen skall behövas bör emellertid avse också behandling av personuppgifter i myndighetsutövning, liksom all behandling annan som avses i paragrafen. Enligt vad utredningen har förstått kommer artikel 7.e under det fortsatta beredningsarbetet inför Ministerrâdets beslut att formuleras om så att nödvändighetsrekvisitet också avser myndighetsutövning

12 § Den enskildes samtycke enligt II § första stycket 1 eller tredje stycket skall lämnas uttryckligen och avse viss behandling. Innan samtycke lämnas skall han ha fått del tillgänglig inav formation om behandlingens ändamål, vilka personuppgifter eller slag av personuppgifter det gäller, till uppgiftema vem skall lämnas ut samt namn och adress på den persondaansvarige. Ett samtycke som har lämnats enligt första stycket kan när helst återkallas. Ãterkallelsen är dock ifråga som utan verkan om den behandling av personuppgifter som har ägt rum innan den persondataansvarige fick del av återkallelsen.

Paragrafen anger vilka krav som uppställs för att ett samtycke enligt ll § första stycket l eller tredje stycket skall vara giltigt. En hänvisning till 12 § sker också i andra paragrafer, nämligen 20, 21 och 35 §§. I förslaget till EG-direktiv definieras den enskildes samtycke the data subject’s consent som varje uttryckligt angivande av en önskan varigenom den enskilde tillkännager sitt samtycke till att person-

uppgifter med anknytning till honom behandlas. En förutsättning är att den enskilde har tillgänglig information om ändamålet med behandlingen, vilka uppgifter eller slag av uppgifter det gäller, mottagaren av personuppgifterna samt namn och adress den persondataansvarige. Samtycket måste ges av fri vilja och vara specificerat. Det får när som helst återkallas, dock utan retroaktiv verkan art. 2. g. Enligt kommentaren till direktivförslaget kan ett samtycke ges i både muntlig och skriftlig form. Samtycket måste ges av fri vilja i situationer där den enskilde kan tänkas bli utsatt för påtryckningar, såsom i exempelvis förhållandet mellan en anställd och dennes arbetsgivare. Det måste vara fråga om ett informerat samtycke och den persondataansvarige måste därför förse den enskilde med den information han kan behöva. Samtycket måste vidare vara specificerat specific, vilket enligt kommentaren innebär att det måste vara hänförligt till en särskild behandling som berör den enskilde och som utförs av en särskild persondataansvarig för ett särskilt ändamål. Anledningen till att en återkallelse av ett samtycke inte får retroaktiv verkan är, att en behandling som var laglig när den utfördes i annat fall skulle kunna bli olaglig i efterhand. Enligt förevarande bestämmelse måste ett samtycke till en behandling av personuppgifter lämnas uttryckligen och avse en viss behandling. Samtycket, som kan lämnas antingen muntligt eller skriftligt, måste på ett otvetydigt sätt klargöra att den enskilde samtycker till en viss behandling. Det bör vara möjligt att vid ett tillfälle lämna sitt samtycke till flera olika behandlingar, men varje enskild behandling måste vara specificerad i den mån inte behandlingarna är av samma slag. Specificeringen kan exempelvis ske genom angivande av vem som skall utföra behandlingen, ändamålet med behandlingen och till vem uppgifterna skall lämnas ut. Kravet att samtycket skall vara specificerat innebär att det normalt inte blir möjligt att samtycka till all behandling av personuppgifter som en viss persondataansvarig, exempelvis en arbetsgivare, kan komma att utföra. Avsikten är att den enskilde skall vara helt införstådd med vilken typ av behandling han samtycker till. Det skall vara ett informerat samtycke. I bestämmelsen uppställs därför kravet att den enskilde skall underrättas om i vart fall behandlingens ändamål, vilka uppgifter eller slag av uppgifter behandlingen avser, till vem uppgifterna skall lämnas ut samt uppgift om den persondataansvariges namn och adress. Om samtycke är en förutsättning för att behandling av personuppgifter skall få ske, måste Samtycket inhämtas innan behandlingen startar. Det kan i sammanhanget vara värt att notera att begreppet behandling, enligt den definition som ges i 3 § andra stycket, omfattar även insamling av personuppgifter. Den enskilde blir inte för all framtid bunden vid ett samtycke. Enligt bestämmelsens andra stycke kan ett samtycke när som helst återkallas. En återkallelse har emellertid ingen retroaktiv verkan.

Anledningen härtill är att en behandling som var laglig när den utfördes i annat fall skulle kunna bli olaglig i efterhand. Detta innebär samtidigt att uppgifterna i en undersökning som utförts med stöd av samtycke inte kan behandlas vidare efter en återkallelse. En behandling personuppgifter som sker utan att erforderligt av samtycke inhämtats straffsanktioneras i 47 Bestämmelsen överensstämmer med den definition av samtycke som i förslaget till EG-direktiv, utom så tillvida att det inte i beges stämmelsen anges att ett samtycke skall avges av fri vilja. Enligt utredningens mening är det inte erforderligt att ange att ett samtycke skall frivilligt, eftersom detta får anses följa redan av allmänna vara rättsgrundsatser. -

Vilka personuppgifter får behandlas

13§ Endast sådana personuppgifter som behövs för ett visst ändamål får behandlas.

Bestämmelsen, att endast sådana personuppgifter som som anger behövs för ett visst ändamål får behandlas, syftar till att begränsa de uppgifter persondataansvarig samlar eller i övrigt behandlar. som en I förslaget till EG-direktiv föreskrivs att personuppgifter skall vara lämpliga, relevanta och inte överflödiga, allt ställt i relation till det ändamål för vilket de behandlas art. 6.l.c. Det går inte att generellt ange vilken typ av personuppgifter som får behandlas. I stället måste till det ändamål med behandlingen man se den persondataansvarige bestämmer innan han samlar in uppsom gifterna. l anslutning till 9 § har givits exempel olika ändamålsbestämningar. Vissa ändamål kräver relativt omfattande mängd att en uppgifter behandlas, medan en behandling för andra ändamål går att utföra med ett fåtal uppgifter. Den persondataansvarige får från fall till fall ta ställning till vilka uppgifter som är relevanta och behövs för att behandlingen skall kunna utföras.

14 § Personuppgifter skall i förhållande till det ändamål för vilket de behandlas riktiga, fullständiga och aktuella. De får vara missvisande i förhållande till det angivna ändamålet. inte vara

I bestämmelsen vissa grundläggande krav som ställs på de anges personuppgifter behandlas. Uppgifterna skall vara riktiga och som fullständiga. Om det behövs på grund av ändamålet skall de vara aktuella. Vid jämförelse med ändamålet får uppgifterna inte framstå en som missvisande.

Bestämmelsen motsvarar vad som anses gälla i dag. Utredningen har valt att i en paragraf samla de generella krav ställs på kvaliten hos som de personuppgifter som behandlas. Den gällande datalagens 8 § föreskriver en skyldighet för den registeransvarige korrigera sådana att personuppgifter i register som är oriktiga eller missvisande. I 9§ åläggs den registeransvarige en viss skyldighet att vidta kompletteringar i de fall ett personregister innehåller personuppgift med hänsyn som till registrets ändamål måste anses ofullständig eller det i om ett personregister som utgör förteckning över saknas någon personer som med hänsyn till registrets ändamål måste förväntas ingå däri. Förslaget till EG-direktiv innehåller vissa grundläggande regler om datakvalitet. Enligt artikel l.c och d skall personuppgifter vara lämpliga, relevanta och inte överflödiga i förhållande till de ändamål för vilka de behandlas. Vidare skall personuppgifterna vara riktiga, fullständiga och, om nödvändigt, aktuella. Förevarande bestämmelse uppställer således till en början kravet att personuppgifter som behandlas skall riktiga. Bedömningen vara av om uppgifterna är korrekta får göras mot bakgrund det ändamål för av vilket behandlingen sker. Kravet att personuppgifter skall vara fullständiga innebär att alla uppgifter är relevanta i förhållande till ändamålet om en person som med behandlingen och som också behövs för ändamålet skall finnas med. Som exempel på fall då utelämnande av uppgifter kan förorsaka rättsförluster kan nämnas behandling personuppgifter innefattar av som meritförteckningar. Ett utelämnande av uppgift viss utbildning eller om tjänstgöring torde regelmässigt medföra risk för rättsförlust för den en enskilde. Om inte alla relevanta meriter finns med uppfyller personuppgifterna inte de krav på fullständighet ställs i förevarande som upp paragraf. Kravet fullständighet innebär också att personuppgifterna måste omfatta alla personer som med hänsyn till ändamålet med behandlingen av uppgifterna rimligen bör omfattas. Personuppgifter skall också vara aktuella, om ändamålet kräver detta. Personuppgifter som överförts till arkivmyndighet utgör typexemplet på fall när uppgifter inte behöver aktuella. Klipparkivara ven hos tidningarna är ett annat exempel. Även andra fall där ändamålet inte kräver att personuppgifter till alla delar är aktuella kan tänkas uppkomma. I exempelvis ett forskningsprojekt sträcker sig som över en längre tidsperiod är det kanske inte alltid nödvändigt med hänsyn till forskningsändamålet att personuppgifterna till alla delar är aktuella. Även vid bedömningen av om personuppgifter är missvisande måste

hänsyn tas till ändamålet med behandlingen. Personuppgifter som i ett sammanhang uppfattas som rättvisande kan efter utlämnande och behandling för ett nytt ändamål framstå missvisande. Särskilt vid som sambearbetningar kan det således finnas anledning undersöka att noga om personuppgifterna är rättvisande i sitt sammanhang. nya

SOU 1993: 10 407

Den persondataansvarige är enligt 22 § i lagförslaget skyldig att företa skälig utredning i de fall det framkommer misstanke om att en personuppgift är oriktig, inaktuell eller missvisande. En uppgift som är oriktig, inaktuell eller missvisande skall rättas, ändras eller utplânas. Bestämmelser om skyldighet att komplettera ofullständiga uppgifter finns i 23 Den persondataansvarige har ett strikt ansvar för skada som enskild tillfogas genom att personuppgifter är oriktiga, ofullständiga, inaktuella eller missvisande 49 §. Brott mot 14 § har straffbelagts i47 § första stycket Bestämmelserna i förevarande paragraf överensstämmer i sak med förslaget till EG-direktiv.

15 § Personnummer får behandlas endast när det klart är motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller av annat beaktansvärt skäl. Personnummer får återges på datautskrifter endast när det finns särskilda skäl.

Bestämmelsen motsvarar 7 § andra stycket i den gällande datalagen. De ändringar som vidtagits är redaktionella och hänför sig till den förändring av begreppsbildningen som utredningens lagförslag innebär. Bestämmelsen om användningen av personnummer har för relativt kort tid sedan införts i den gällande datalagen. Regeringen har nyligen beslutat tillsätta en särskild utredare för att utreda frågan om en begränsning av användningen av personnummer.

Insamling av personuppgifter från den enskilde

16 § När personuppgifter samlas in från en enskild skall denne underrättas om de ändamål som uppgifterna behandlas för, grunden för uppgiftsskyldigheten, om uppgiftsskyldighet föreligger, eller i annat fall att uppgiftslämnandet är frivilligt, följdema för honom om han underlåter att lämna uppgifter, till vem uppgifterna skall lämnas ut, rätten till insyn och rättelse enligt 22, 23 och 25 §§, samt och adress på den persondataansvarige. namn Bestämmelserna i första stycket gäller dock inte i den mån ett fullgörande underrâttelseskyldigheten skulle försvåra av eller hindra myndighets verksamhet för kontroll eller annan en tillsyn.

I bestämmelsen vilken information som skall lämnas till den anges enskilde i samband med att personuppgifter som skall behandlas samlas

in från denne. Syftet med bestämmelsen är att underlätta för den enskilde att utöva de rättigheter som lagförslaget honom. I första ger hand skall han dock genom informationen möjlighet att ta ställning ges till om han vill eller måste lämna från sig uppgifter. Förslaget till EG-direktiv ålägger den persondataansvarige att tillse att den enskilde, från vilken uppgifter samlas in, underrättas om i vart fall ändamålet med den behandling som uppgifterna är avsedda för, uppgift om huruvida det är obligatoriskt eller frivilligt på de att svara frågor som ställs, vilka konsekvenser det får för den enskilde han om underlåter att svara, mottagarna eller kategorier mottagare av av uppgifterna, rätten till tillgång till och rättelse uppgifter hänför av som sig till den enskilde samt uppgift om den persondataansvariges namn och adress art. ll. l.a f. Underrättelseskyldigheten gäller dock inte i de fall information till den enskilde skulle försvåra eller förhindra utförandet av övervakande och kontrollerande funktioner hos en myndighet eller upprätthållandet av allmän ordning art. 11.2. Vid insamlandet av uppgifter från den enskilde skall denne underrättas om det eller de ändamål som uppgifterna behandlas för punkt 1. Därmed avses att den enskilde skall underrättas det om ändamål som den persondataansvarige enligt 9 § i lagförslaget skall ha bestämt för insamlingen och den vidare behandlingen av uppgifterna. I de fall den enskilde är skyldig att lämna de efterfrågade uppgifterna skall underrättelse lämnas om grunden för uppgiftsskyldigheten punkt 2. Är uppgiftslämnandet frivilligt skall detta anges. Uppgiftsskyldighet har varit föreskriven vid exempelvis de allmänna folkoch bostadsräkningarna. Den enskilde skall vidare underrättas om konsekvenserna att av underlåta att lämna uppgifter punkt 3. Vid lagstadgad uppgiftsskyldighet finns ofta angivet konsekvenserna av en underlåtenhet att lämna uppgifter. Exempelvis kan den som uppsåtligen eller oaktsamav grov het underláter att fullgöra skyldighet att avlämna kontrolluppgift straffas med böter eller fängelse i högst sex månader, 4 kap. 8 § första stycket 2 lagen 1990:325 om självdeklaration och kontrolluppgifter. Underrättelse skall också lämnas om till vem uppgifterna skall lämnas ut punkt 4. I många fall torde den persondataansvarige ha en uppfattning om till vem eller till vilka kategorier eller av personer organisationer som uppgifterna skall lämnas ut. I sådant fall skall underrättelse härom lämnas till den enskilde. Det ligger i sakens natur att i de fall uppgifter som lämnas blir allmänna handlingar hos myndigheter, myndigheten inte kan ange vem som kommer att ta del av uppgifterna med stöd av offentlighetsprincipen. Den enskilde har enligt 22 och 23 §§ i lagförslaget bl.a. rätt att få oriktiga, inaktuella, missvisande eller ofullständiga uppgifter rättade, ändrade, kompletterade eller utplånade. Enligt 25 § har den enskilde rätt till underrättelse om innehållet i personuppgift behandlas. Vid som

SOU 1993: 10 409

insamling av uppgifter från den enskilde skall denne underrättas om sina rättigheter enligt 22, 23 och 25 §§ punkt 5. Slutligen skall den enskilde underrättas om den persondataansvariges namn och adress punkt 6. Enligt andra stycket föreligger dock inte skyldighet att lämna underrättelse enligt första stycket i den mån detta skulle försvåra eller hindra en myndighets kontroll- eller tillsynsverksamhet. Med kontroll- eller tillsynsverksamhet åsyftas även sådan behandling som sker i samband med förundersökning i brottmål. Särskilt uppgift om ändamålet med behandlingen skulle i många fall kunna försvåra en kontroll- eller tillsynsverksamhet. Det bör noteras att underrättelseskyldigheten kan underlåtas bara i den utsträckning som den skulle få en negativ effekt på granskningsverksamheten. Det kan t.ex. förutsättas höra till undantagen att underrättelse enligt punkterna 5 och 6 kan underlåtas med stöd av andra stycket. Som framgått av redogörelsen torde utredningens förslag stämma överens med förslaget till EG-direktiv, utom såtillvida att undantaget i fråga om verksamhet som innefattar upprätthållande av allmän ordning inte finns med i bestämmelsens andra stycke.

Säkerhet

17 § Den persondataansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter som behandlas mot oavsiktlig förstörelse eller förlust, otillåten förstörelse eller annan otillåten behandling eller mot otillåten insyn.

Denna bestämmelse och 18 § behandlar säkerhetsaspekter på behandlingen av personuppgifter. I förevarande paragraf finns bestämmelser, som delvis motsvarar 7 § första stycket 5 i den nuvarande datalagen. De nya reglerna har emellertid byggts ut och gäller även skydd av personuppgifter mot oavsiktlig förlust och mot annan otillåten behandling och insyn. Bestämmelsen har även straffsanktionerats i 47 § första stycket Begreppet datasäkerhet används ofta som ett samlingsbegrepp för skyddet av datasystem. ADB-säkerhet är ett annat sådant begrepp. Under senare är har också begreppet informationssäkerhet kommit till användning. Frågor om driftmässig säkerhet krav på tillgänglighet till datorer och datasamlingar förenas med frågor om skydd mot obehörig åtkomst, förändring och förlust av data. Inom den offentliga sektorn ställs särskilda krav på att offentlighetsprincipen skall kunna förenas med ett effektivt skydd mot insyn. Enligt gällande rätt skall den registeransvarige särskilt iaktta att uppgifterna i ett personregister skyddas mot oavsiktlig eller otillåten förstörelse eller mot otillåten ändring eller spridning 7 § första stycket

5. Datainspektionen kan i samband med att tillstånd beviljas för personregister bl.a. ge villkor om kontroll och säkerhet 6 § första stycket 10. l mån av behov kan sådana villkor även meddelas om förandet av personregister har lett till otillbörligt intrång i personlig integritet eller det finns anledning anta att sådant intrång skall uppkomma 18 §. Den som uppsåtligen eller av oaktsamhet bryter mot Datainspektionens beslut om villkor, obehörigen lämnar ut personuppgift eller inte gallrar registret kan dömas till böter eller fängelse i högst ett år 20§ första stycket. Den som olovligen bereder sig tillgång till upptagning för ADB eller olovligen ändrar eller utplånar eller i registret för in sådan upptagning kan dömas för dataintrång till böter eller fängelse i högst två år. Brottet är straffbart även pâ försöksoch förberedelsestadiet, om det inte är ringa 21 §. Enligt Europarâdskonventionen skall lämpliga säkerhetsåtgärder vidtas för att skydda personuppgifter gentemot oavsiktligt eller otillåtet utplånande, oavsiktlig förlust, otillåten åtkomst, ändring eller spridning art. 7. I de olika Europarâdsrekommendatiønerna på dataskyddsområdet ställs också särskilda krav på datasäkerhetsåtgärder. En av principerna i OECD:s riktlinjer i fråga om lntegritetsskyddet och persondataflödet över gränserna är att rimliga säkerhetsâtgärder skall vidtas för att skydda personuppgifter mot risker för förlust eller otillåten åtkomst, förstörelse, användning, förändring eller otillåtet röjande punkt ll. OECD:s råd antog i november 1992 riktlinjer för säkerhet i informationssystem, Guidelines For the Security of Information Systems. Samtliga 24 medlemsländer har godtagit dessa riktlinjer för säkerhet. Förslaget till EG-direktiv föreskriver att lämpliga tekniska och organisatoriska åtgärder skall vidtas för att skydda personuppgifter mot oavsiktlig eller olaglig förstörelse eller oavsiktlig förlust och mot otillåten ändring eller röjande eller någon annan otillåten behandling. Sådana åtgärder skall säkerställa en lämplig nivå av säkerhet med hänsyn till arten av de uppgifter som skall skyddas och en värdering av de tänkbara riskerna. Härvid skall beaktas av Kommissionen utfärdade rekommendationer om datasäkerhet och inbördes nätkompatibilitet art 17.1. Då personuppgifter sänds i ett nätverk skall åtgärder vidtas som ger en lämplig säkerhetsnivå art 17.2. Om det finns möjlighet till direktuppkoppling skall datorn och programvaran vara utformad på ett sätt som gör att uppkopplingen kan ske på ett lagligt sätt art 17.3. Artikel 33 i direktivförslaget ger Kommissionen befogenhet att utfärda bestämmelser om datasäkerhet. Det finns redan i dag inom EG ett stort antal direktiv som påverkar databehandlingens användning och säkerhet. En stor del av dessa gäller bestämmelser rörande produkternas tekniska detaljer som måste beaktas inom respektive bransch. I vissa fall innefattar dessa normer även krav på viss teknisk datasäkerhet. l mars 1992 fattade EG:s Ministerråd beslut om en handlingsplan för datasäkerhetsarbete,

INFOSEC 92. Planen gäller för en period två år. Syftet är att om utveckla en global strategi som skall ge användare av elektroniskt lagrad, bearbetad och överförd information ett skydd av informationssystemen mot olika typer av hot. Avsikten är att det harmoniserade synsätt och de metoder som kommer fram genom INFOSEC också skall påverka övrigt EG-arbete där såkerhetsaspekter är av betydelse. Under de senaste tio åren har datasäkerhetsaspekter blivit alltmer uppmärksammade i Sverige. Staten har exempelvis under hela 1980talet i olika former låtit utreda sårbarhets- och säkerhetsfrågor och har efter hand tilldelat vissa centrala myndigheter samordnande uppgifter inom delar av säkerhetsområdet. Under åren 1981 1986 arbetade - Sårbarhetsberedningen SÅRB med frågor rörande säkerhet och sårbarhet på dataområdet. Beredningens arbete ledde till publicerandet av ett stort antal rapporter. En sammanfattning av beredningens olika utredningsresultat samt de slutsatser och rekommendationer olika som projekt gett anledning till återfinns i beredningens slutrapport SOU 1986:12 Datorer Sårbarhet Säkerhet. En arbetsgrupp i Civildepartementet, Samrådsgruppen för samhällets säkerhet inom dataområdet SAMS, har sedan år 1986 arbetat med frågor avseende ADB och samhällets säkerhet. Våren 1990 lade gruppen fram fem rapporter Ds 1990:43-47 under den gemensamma titeln ADB och samhällets säkerhet på 90-talet. Det s.k. ADB-säkerhetsrådet har gjort en inventering av säkerhetsprojekt hos myndigheter och organisationer. Resultatet av inventeringen har nyligen publicerats i rapporten "ADBsäkerhet i Sverige: Vad som gjorts och vad som pågår." Bakom rådet

stod ursprungligen Överstyrelsen för civil beredskap och Statskontoret. Uppdraget för rådet är att bistå Överstyrelsen för civil beredskap med

att praktiskt samordna arbetet med säkerhets- och sårbarhetsfrágor i fred och inför kris och krig. Målsättningen för verksamheten är att minska sårbarheten i samhällsviktiga organ, dvs. system som är nödvändiga för att pâ acceptabel nivå bedriva verksamhet som bedöms som nödvändig för att uppfylla det civila försvarets huvuduppgifter. Många myndigheter har gett ut föreskrifter eller råd om ADB-

säkerhet. Förutom Datainspektionen se härom nedan kan nämnas

Riksrevisionsverket, Statskontoret, Bokföringsnämnden, Rikspolis-

styrelsen, Överbefälhavaren och Överstyrelsen för civil beredskap.

Statistiska Centralbyrån har också gett ut föreskrifter för användningen av persondatorer inom byrån. Inom den privata sektorn har också åtskilliga åtgärder vidtagits för att öka säkerheten vad gäller ADB. Större företag och organisationer har ofta egna interna föreskrifter om datasäkerhet. Etiska råd avseende datasäkerhet finns också inom olika branscher. Datainspektionen gav år 1989 ut allmänna råd avseende ADB-säkerhet för personregister. Det huvudsakliga syftet med de allmänna råden är att ge inspektionens syn på hur persondata bör skyddas och därmed hjälpa de persondataansvariga att vidta tillräckliga säkerhetsåtgärder.

De allmänna råden distribuerades till alla licensinnehavare vilka då uppgick till ca 35 000. Alltjämt sker utskick till alla nytillkomna licensinnehavare. Under våren 1989 anordnade Datainspektionen konferenser där de allmänna råden presenterades. Utöver distribution till alla licensinnehavare har råden getts en omfattande spridning till olika intressenter. l de allmänna råden har Datainspektionen valt att beskriva kraven på ADB-säkerhet i form av krav på skyddsåtgärder. Vikten av att göra informationsklassificering framhålls. Datainspektionen rekomen menderar en indelning i tre integritetsklasser. Skyddsåtgärdema motsvarar den nivå av skydd som behövs för de olika integritetsklas- I sina detaljer är kraven på skyddsåtgärder snarast rekomserna. mendationer eller exempel. Det är den registeransvarige som själv måste välja och utforma skyddsåtgärderna. I de allmänna råden påpekas att det är många faktorer som påverkar behovet av skyddsåtgärder. Systemutformning eller driftsituation kan göra att helt andra skyddsåtgärder än de angivna ger lika bra eller bättre skydd till lägre kostnad. Riktlinjerna gäller alla kategorier av persondataansvariga. De kan användas av den som har stora system lika väl som av den som persondator. I första hand beskrivs skyddsåtgärder för bara har en större system. I ett särskilt avsnitt beskrivs vilka skyddsåtgärder som krävs för motsvarande säkerhet då man använder persondatorer. Datainspektionen har använt de allmänna råden i den egna tillståndsoch tillsynsverksamheten. I tillsynsarbetet har de allmänna råden använts som grund för frågelistor rörande säkerhet vid inspektioner. De allmänna råden har också använts vid utbildning och information ADB-säkerhetskrav vid konferenser och olika framträdanden hos om persondataansvariga. Vid meddelande av tillstånd har Datainspektionen regel i sina överväganden erinrat om de allmänna råden. Detta har som skett som ett alternativ till att meddela villkor om ADB-säkerhet. Endast i de fall det har bedömts föreligga uppenbar risk att den ansvarige inte skulle komma att vidta tillräckliga säkerhetsåtgärder till skydd för den aktuella datasamlingen eller då uppgifter i datasamlingen har varit särskilt integritetskänsliga har villkor om datasäkerhet meddelats. I de beslut om tillstånd som Datainspektionen meddelar enligt det förenklade ansökningsförfarandet erinras om de allmänna råden. Några direkta villkor om datasäkerhet ges alltså inte. Om Datainspektionen emellertid, vid granskning av befintliga datasamlingar, finner att det föreligger risk för obehörigt intrång i personlig integritet kan inspektionen komma att meddela villkor om datasäkerhet. Då läggs de allmänna råden till grund för villkoren. I syfte att undersöka de ekonomiska och andra konsekvenser som råden kunde ha medfört företog Datainspektionen under år 1990 en enkätundersökning. Svaren visade genomgående en god kännedom de allmänna råden. I stort sett samtliga tillfrågade hade kännedom om och hade läst råden. Råden hade också i många fall kommit till om

användning i deras verksamhet. Vanligast var att de användes vid utbildning. Sådan utbildning hade i vissa fall varit helt inriktad ADB-säkerhet vid behandling av personuppgifter. Många hade också datasäkerhetsutbildning lagt in avsnitt där råden presenterats. i annan Råden hade också varit ett stöd i utarbetandet av ADB-handböcker och kommit till användning när myndigheter och företag utarbetat egna regler, policies och "lathundar" för datasäkerhet. De hade då haft hjälp råden med att ange en rimlig omfattning och nivå på säkerheten för av olika datasamlingar. Under 1991/92 företog Datainspektionens tekniska enhet ett antal inspektioner med syfte att undersöka efterlevnaden av datalagen vad datasäkerheten. Speciellt undersöktes i vilken mån de persondataavser ansvariga följer de allmänna råden. Ett urval gjordes av tio persondataansvariga från olika sektorer i samhället där känslig och omfattande personuppgifter förekommer. Bl.a. inspekterades polisbehandling av myndighet, skattemyndighct, kyrkoråd, advokatbyråer och en vårdcentral. De persondataansvariga kände i allmänhet till de allmänna rådens existens. Endast i ett fall hade dock angett att de använts och då man del i utbildningen i datasäkerhet. Varken ledningen eller den s. k. som slutanvändaren ett datasystem, dvs. den som sitter vid terminalenlav persondatorn och söker i datasamling, hade kännedom om innehållet en i de allmänna råden. Däremot fick man intrycket att systemansvariga och utvecklingsansvariga kände till och hade tagit till sig rådens innehåll. Detta gällde särskilt om dessa personer var kunniga i säkerhetsfrågor. Framför allt verkade det som om indelningen i integritetsklasser hade slagit igenom. Generellt sett nådde de inspekterade inte till den nivå säkerhet som de allmänna råden upp av kräver. Endast vid tre inspektioner kunde en tillfredsställande datasäkerhet konstateras. Bland de vanligaste bristerna var att skriftliga regler för ADB-ansvariga saknades, att fileserver förvarades oskyddat, att datamedia förvarades oskyddat och att loggningen ofta var bristfällig. Lösenordshanteringen hade i många fall varit slapp. Man kunde vidare konstatera att det ofta var ett stort glapp mellan den information i tillståndsansökan och den bakomliggande som gavs verkligheten när det gäller ADB-system och säkerhetsåtgärder. I de fall villkor givits kunde konstatera att dessa inte följdes. Det kunde man också konstateras att villkor ges vid ett förenklat ansökningsförsom farande inte hade någon verkan i praktiken eftersom de inte uppmärk- I rapporten konstateras att för att villkor skall efterlevas det sammas. troligen krävs någon form av kontroll från Datainspektionens sida. Åtminstone i rapporten att villkoret bör kombineras med en anser man tidsgräns när den skall åtgärdad och att den registeransvarige bör vara anmodas att redovisa när åtgärd vidtagits. Datainspektionen har också utarbetat en teknisk rapport om hoten vid telefaxanvändning. Rapporten publicerades år 1991 under titeln ADB-säkerhet för personuppgifter vid telefaxöverföring.

Det ökande antalet datasystem och känsliga datasamlingar har gjort säkerhetsfrågorna allt viktigare. Det finns idag ett stort antal datasamlingar som innehåller mycket känsliga uppgifter. Många dessa har av en utformning som ökar riskerna för integritetsintrång. Det är exempelvis vanligt att datasamlingar via terminaler används ett stort av antal personer. Hos många persondataansvariga bearbetar också man känsliga personuppgifter persondatorer. Det gäller inte minst inom sjukvården och i övrigt i statlig och kommunal verksamhet. Datasäkerheten är särskilt låg vid användning persondatorer. av Ännu större blir problemet när persondatorer kopplas samman i lokala nät. Persondatorerna används i vanlig kontorsmiljö och den utan kontroll och ansvarsfördelning är vanlig vid centrala datoranläggsom ningar. Ett lokalt nätverk installeras ofta utan att ansvarsfrågan för nätet är klarlagd. Ännu mindre genomtänkt brukar skyddet för den information som lagras i persondatorer och s.k. fileservers Det är vara. svårt att åstadkomma en heltäckande säkerhetslösning i lokalt ett nätverk. Säkerhetsaspekterna på sådana nät behandlas bl.a. i Statskontorets skrift 1990:30 Säkerhet i lokala nät. l förevarande paragraf anges att den persondataansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda person-

uppgifter som behandlas. Åtgärderna skall till början ett skydd

en ge mot oavsiktlig förstörelse eller förlust, vilket i första hand syftar på sådant som kan inträffa inom den persondataansvariges organisaegen tion. Därefter nämns alla former otillåten behandling, vilket av tar sikte såväl interna som externa angrepp på personinformationen. Personuppgifterna bör emellertid också skyddas mot otillåten insyn, även om någon otillåten behandling inte skulle förekomma i sammanhanget. Detta har tagits sist i paragrafen. Även hos den upp persondataansvarige själv kan insynen begränsad till viss eller vissa vara befattningshavare. Vilka säkerhetsåtgärder bör vidtas beror bl.a. på systemutformsom ningen, befintliga skyddsåtgärder och de risker som finns. I 18 § anges att de säkerhetsåtgärder som skall vidtas skall bestämmas med hänsyn till arten av de personuppgifter som skall skyddas och de tänkbara risker som behandlingen innefattar. Datainspektionen kan också med stöd av 36 § ha utfärdat särskilda föreskrifter datasäkerhet. Även om om Datainspektionens föreskrifter inte skulle direkt tillämpliga på vara just den behandling som sker torde de liksom de nuvarande allmänna råden om ADB-säkerhet ändå i de allra flesta fall kunna - utgöra en utgångspunkt för bedömningen av vilka säkerhetsåtgärder bör som vidtas. Det är ogörligt att i detta sammanhang i detalj beskriva vilka säkerhetsåtgärder som kan vidtas vid behandlingen personuppgifter. av Vilka dessa åtgärder är beror naturligtvis på samtliga omständigheter i det enskilda fallet. Några av de viktigaste åtgärder som en persondataansvarig kan vidta för att öka sin datasäkerhet bör dock nämnas.

En av grundstenarna för att uppnå en hög nivå säkerhet är av identifiering/verifiering av användaren. Därutöver kan också krävas någon slags behörighetskontroll för att styra vem som får göra vad vid persondatorn och vilken information som får användas. Den lagrade informationen måste skyddas mot att någon obehörig kommer den. Datorutrustning och datamedier som innehåller personuppgifter måste skyddas mot stöld, otillåten användning och annan påverkan som kan orsaka integritetsintrång. Kryptering är ett verkningsfullt skydd särskilt för den information som lagras på disketter. Men informationen kan också behöva skyddas genom kryptering när den lagras i datorn och när den skickas över nätet. Loggning är en viktig skyddsåtgärd för att kunna göra uppföljning av behandlingen av personuppgifter. Dessutom har loggning en avskräckande verkan vad avser obehörig åtkomst till uppgifter. Loggningen bör utformas så att det är möjligt att i efterhand spåra vilken åtkomst och behandling som har skett med känsliga personuppgifter. Loggen kan alltså ha varierande detaljeringsgrad och tas fram på olika sätt i systemet. Det väsentliga för integritetsskyddet är att det är möjligt att följa upp den känsliga informationen. Att en systematisk granskning av loggen verkligen genomförs är lika viktigt. Om extern datakommunikation upprättas via uppringd förbindelse är det väsentligt att förhindra att obehöriga kan koppla sig till datorsystemet. Lika viktigt är att service av datorutrustningen kan ske sådant sätt att inte personuppgifter blir tillgängliga för obehöriga. I anslutning till 18 § berörs hur utredningens förslag förhåller sig till förslaget till EG-direktiv.

18 § De säkerhetsåtgärder som skall vidtas enligt 17 § skall bestämmas med hänsyn till arten av de personuppgifter som skall skyddas och de tänkbara risker som behandlingen innefattar.

I denna paragraf anges de utgångspunkter som skall ligga till grund för vilka säkerhetsåtgärder den persondataansvarige skall vidta enligt 17 Såvitt angår behandling av vissa slag av personuppgifter av särskilt känslig art, kan Datainspektionen enligt 36 § ha meddelat närmare föreskrifter om vilka slags åtgärder som skall vidtas. Den persondataansvarige har i sådana fall att vid behandling av sådana uppgifter utforma sina säkerhetsåtgärder på ett sätt som uppfyller Datainspektionens krav. Underlåtenhet att göra det kan medföra straffansvar enligt 47 § första stycket 5 i lagförslaget. Det är den persondataansvarige som är ansvarig för att datasäkerheten är tillräcklig och det är han om Datainspektionen inte har utfärdat några närmare föreskrifter som själv måste bedöma vilken nivå av säkerhet som behövs för att skydda de personuppgifter som

han behandlar. Den persondataansvarige måste också se till att åtgärderna verkligen vidtas. Det är många faktorer som påverkar behovet av skyddsåtgärder. Personuppgifternas känslighet, art, mängd och användning har stor betydelse. Men också riskerna för störningar av olika slag, liksom de integritetsintrång som störningarna kan medföra, har betydelse. Utformningen av de egna systemen och driften och användningen av system påverkar också valet av skyddsåtgärder. Det är vidare viktigt att i förväg bedöma sannolikheten för störningar och för olika typer av skador integritetsintrång. Det kan vara lämpligt att man gör en sådan bedömning samtidigt som man gör en sârbarhetsanalys av verksamheten och informationssystemen. Datainspektionen kan med stöd av 36 § ha utfärdat särskilda föreskrifter om datasäkerhet. Det åligger då den persondataansvarige att följa dessa föreskrifter. Datainspektionens kommande föreskrifter om säkerhet bör innehålla en beskrivning av olika integritetsklasser. Som framgått av kommentaren till 17 § innebär de allmänna râd om ADBsäkerhet som Datainspektionen tagit fram och distribuerat att personregister indelats i olika integritetsklasser. Även för sådan behandling av personuppgifter för vilken Datainspektionens föreskrifter inte är direkt tillämplig torde dessa föreskrifter i de flesta fall kunna utgöra en utgångspunkt för bedömningen av vilka säkerhetsåtgärder som bör vidtas. Den persondataansvarige bör beakta att säkerheten av andra skäl kan behöva vara högre än vad skyddet av den personliga integriteten kräver. En hög datasäkerhet kan behövas för att skydda mot avbrott i produktionen. Ekonomisk information får inte kunna ändras av misstag eller av obehöriga. Företagshemligheter får inte vara åtkomliga för konkurrenter. Försäkringsbolag kan kräva hög datasäkerhet som villkor för en försäkring. En hög säkerhetsnivå kan också vara nödvändig för att kunna bibehålla kundernas förtroende. Utöver datalagen ställer vissa andra lagar och förordningar krav på säkerhet. Då skilda krav på datasäkerhet ställs pá samma system måste det högsta kravet vara vägledande för val av skyddsåtgärder. I förhållande till vad som gäller om datasäkerhet i förslaget till EGdirektiv torde utredningens förslag gå något längre genom föreskriften säkerhetsåtgärderna skall skydd otillåten insyn. Å andra att ge mot sidan har i utredningens förslag inte tagits upp någon motsvarighet till de bestämmelser av närmast rent teknisk natur som finns i artikel 17.2. och inte heller har det ansetts nödvändigt med en bestämmelse som ålägger den som behandlar personuppgifter utan att vara persondataansvarig samma skyldigheter att vidta tillräckliga säkerhetsåtgärder som gäller för den persondataansvarige.

Gallring

19 § Personuppgifter skall gallras när de inte längre behövs för de ändamål för vilka de behandlas. Vid gallring av personuppgifter som utgör allmän handling skall dock, vid sidan av skyddet för den enskildes personliga integritet, beaktas de intressen som anges i 3 § tredje stycket arkivlagen 1990:782. Även personuppgifter inte utgör allmän handling får som lagras längre än som följer av första stycket, om uppgifterna kan anses ha historiskt intresse eller lagras för att användas för forskning och dessa intressen får anses väga tyngre än den enskildes intresse av att uppgifterna om honom gallras.

I förevarande paragraf finns den allmänna regeln om gallring av personuppgifter som behandlas. Bestämmelsen har diskuterats i avsnitt 15.1 i den allmänna motiveringen. Föreskriften i första stycket ger uttryck för den grundläggande principen att personuppgifter skall gallras när de inte längre behövs för de ändamål för vilka de behandlas. Frågan när personuppgifter inte längre behöver behandlas för sitt ändamål har berörts i avsnitt 15. l .5. Gallring kan ske genom att personuppgifterna utplänas, dvs. förstörs. Gallring kan också komma till stånd genom avidentifiering, vilket innebär att uppgifterna inte längre kan hänföras till en enskild person. Det bör observeras att enligt 2 § första stycket förslaget till datalag avidentifiering förutsätter att varje möjlighet att kunna identifiera en enskild person skall vara utesluten. I andra stycket tas upp ett undantag från huvudregeln i första stycket. Undantaget avser personuppgifter som utgör allmän handling. Vilka handlingar som är allmänna handlingar och när de blir allmänna regleras i 2 kap tryckfrihetsförordningen. Föreskriften i andra stycket utgör en sådan särbestämmelse som tar över grundreglerna om gallring av allmänna handlingar i 10 § första och andra styckena arkivlagen. Utformningen av bestämmelsen ger vid handen att utgångspunkten är att de intressen som här står mot varandra, integritetsintresset resp. de intressen som anges i 3 § tredje stycket arkivlagen, skall tillmätas samma betydelse. Vad som i det särskilda fallet fär fälla utslaget är betydelsen av integritetsintresset bevarandeintressets tyngd. Frågan har berörts i den allmänna resp. motiveringen. Personuppgifter som bevaras som arkiv med stöd av andra stycket i 19 § får inte bli föremål för annan behandling än lagring. Detta framgår vid en jämförelse med innehållet i tredje stycket i paragrafen. Finns personuppgifterna hos en arkivmyndighet gäller 8 § förslaget till datalag. Skall uppgifterna sedermera disponeras av t.ex. en forskare

och behandlas för forskningsändamål, blir givetvis datalagen i sin helhet tillämplig. Genom tredje stycket öppnas en möjlighet att bevara även personuppgifter som inte utgör allmän handling. I motsats till vad gäller som enligt andra stycket är utgångspunkten här att uppgifterna skall gallras när de inte längre behövs för de ändamål för vilka de behandlas. Endast i ett par särskilt angivna fall finns det möjlighet att bevara uppgifter, nämligen om de kan anses ha historiskt intresse eller är av intresse för den framtida forskningen. I bada fallen krävs dessutom att en intresseavvägning utfaller till förmån för bevarandeintresset. Frågan hur de föreslagna bestämmelserna förhåller sig till förslaget till EG-direktiv har berörts i den allmänna motiveringen.

Känsliga personuppgifter

20 § Endast om den enskilde skriftligen lämnar sitt samtycke på sätt som anges i 12 § eller det följer av särskilda bestämmelser i denna lag eller annan författning får sådana personuppgifter behandlas som avser ras, etniskt ursprung, politisk uppfattning, religiös eller filosofisk övertygelse, sjukdom, hälsotillstånd eller sexualliv, uppgift om att någon misstänks eller har dömts för brott eller har avtjänat straff eller undergått annan påföljd för brott eller har varit föremål för tvångsingripande enligt lagen 1990:52 med särskilda bestämmelser om vård lagen av unga, 1988:870 om vård av missbrukare i vissa fall, lagen 1991 :1128 om psykiatrisk tvångsvård, lagen 1991:1129 om rättspsykiatrisk vård, lagen 1967:940 angående omsorger om vissa psykiskt utvecklingsstörda eller utlänningslagen 1989 :529 eller att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen, eller uppgift som utgör omdöme eller värderande upplysannan ning om den enskilde eller skall läggas till grund för ett som omdöme eller annan värderande upplysning den enskilde. om

Förevarande paragraf innehåller speciella restriktioner när det gäller behandling av personuppgifter av särskilt känslig natur. Sådana personuppgifter får enligt de föreslagna bestämmelserna endast behandlas om den enskilde skriftligen samtyckt på sätt närmare anges i 12 § förslaget till datalag eller om det följer av särskilda bestämmelser i denna lag eller annan författning. Paragrafen motsvarar i princip 4§ och 6§ andra stycket i nuvarande datalag samt artikel 6 i Europarådets konvention om dataskydd och artikel 8 i förslaget till EG-direktiv.

Till skillnad från de föreslagna bestämmelserna i 12 § förslaget till datalag skall samtycket enligt förevarande paragraf lämnas skriftligen. I övrigt gäller de villkor för samtycke som framgår av 12 Enligt artikel 8.2.a förslaget till EG-direktiv är ett samtycke inte en tillräcklig grund för att man skall få behandla känsliga personuppgifter, om de nationella rättsordningarna inte godtar detta. De situationer som avses torde bl.a. vara sådana då enskildas sjukdom, trångmâl, oförstând, lättsinne, beroendeställning eller liknande utnyttjas, dvs. den typ av situationer som kan göra rättshandlingar ogiltiga jfr 3 kap. avtalslagen 1915:218. Med hänsyn till att det får antas följa av allmänna rättsgrundsatser att ett samtycke inte kan godtas om man utnyttjar någons sjukdom, trångmål osv. anser utredningen att en uttrycklig bestämmelse motsvarande den nu nämnda i direktivförslaget inte erfordras i förevarande paragraf. De särskilda bestämmelser denna lag" som det hänvisas till i förevarande paragraf, om samtycke inte lämnats, är bestämmelserna i 30 § om när personuppgifter för forsknings- eller statistikändamål får behandlas och 33 § om när personuppgifter för anställningsändamål får behandlas. Med hänvisningen till annan författning i förevarande paragraf avses bl.a. dels registerlagar, t.ex. skatteregisterlagen 1980:343 och utsökningsregisterlagen 1986:617 dels registerförordningar, t.ex. förordningen 1986:104 om registerföring vid allmänna domstolar med hjälp av automatisk databehandling. Enligt förslaget till EG-direktiv kan, om samtycke inte föreligger, ett alternativ till reglering i lag eller annan författning vara att dataskyddsmyndigheten genom beslut får medge att behandling av känsliga personuppgifter får äga rum jfr artikel 8.3. En ordning med en möjlighet för Datainspektionen att medge att känsliga uppgifter får behandlas skulle i princip motsvara nuvarande tillstândsförfarande. Av skäl som utredningen utförligt utvecklat ovan i den allmänna motiveringen under avsnitt 13 är fördelarna med att överge nuvarande tillståndsförfarande till förmån för ett system med tillsyn så betydande att utredningen anser att någon möjlighet för Datainspektionen att meddela beslut om behandling av känsliga uppgifter inte bör finnas. Möjligheterna att behandla känsliga uppgifter bör i stället enligt utredningens mening regleras i datalagen. Som framgår av 38§ förslaget till datalag skall dock alltid en anmälan till Datainspektionen innehålla bl.a. uppgift om vilken typ av uppgifter som enligt förevarande paragraf skall behandlas. Uppräkningen i punkt 1 i förevarande paragraf motsvarar i princip den typ av känsliga uppgifter som anges i 4§ andra och tredje styckena i nuvarande datalag prop. 1973:33 s. 122 prop. 1981/82 :189 s. 58 och artikel 6 i Europarådets konvention om dataskydd. I förevarande punkt har lagts till uppgift om etniskt ursprung. Skälet till att utredningen utökat uppräkningen med denna uppgift är att uppgiften

har tagits upp som känslig uppgift i artikel 8.1. förslaget till EGdirektiv. Däremot har inte uppgift om facklig tillhörighet se art. 8.1 tagits med i uppräkningen i punkt eftersom denna uppgift efter svenska förhållanden inte framstår som särskilt känslig. Uttrycket "religiös eller filosofisk övertygelse" är mera vidsträckt än motsvarande uttryck i gällande lag, "religiös tro eller övertygelse i övrigt", och täcker in skilda etiska övertygelser och livsåskådningar. Den typ av känsliga uppgifter som anges i punkt 2 i förevarande paragraf motsvarar i huvudsak den typ av uppgifter som återfinns i 4 § första stycket datalagen med tillägg av vissa uppgifter som anges i 4 § andra stycket datalagen, nämligen uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen. I artikel 6 i Europarådets konvention om dataskydd och i artikel 8.4 förslaget till EG-direktiv anges som känsliga uppgifter endast sådana personuppgifter som hänför sig till att någon dömts för brott. Enligt utredningens mening är uppgift om att någon misstänks för brott eller avtjänat straff eller undergått annan påföljd för brott eller uppgift om att någon varit föremål för tvångsingripande enligt lagen med särskilda bestämmelser om vård av unga, lagen om vård av missbrukare i vissa fall, lagen om psykiatrisk tvångsvård, lagen om rättspsykiatrisk vård, lagen angående omsorger om vissa psykiskt utvecklingsstörda eller utlänningslagen minst lika känsliga som uppgifter att någon dömts för brott. Utredningen anser därför, i likhet med vad som gäller enligt nuvarande datalag, att samma bestämmelser bör gälla för denna typ av uppgifter som för uppgifter om att någon dömts för brott. Enligt utredningens mening bör vidare i enlighet med nuvarande datalag uppgifter om att någon fått ekonomisk hjälp eller vård enligt socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen betraktas som känsliga uppgifter. Punkt 3 i förevarande paragraf motsvarar 6 § andra stycket datalagen prop. 1978/79: 109 s. 21 34. Tillägg har dock gjorts för uppgifter som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Bestämmelsen, som saknar motsvarighet i artikel 6 i Europarådets konvention om dataskydd och artikel 8 i förslaget till EG-direktiv, tar sikte personuppgifter av det slag som brukar kallas mjukdata eller uppgifter som utgör underlag för mjukdata. Till mjukdata brukar man räkna betyg, värderingar och andra subjektiva omdömen eller åsikter om en annan person eller över huvud taget värderande omdömen om människors familjeförhållanden, uppförande, samhällsanpassning, psykiska status, studieintensitet, prestationer i arbetslivet etc. När det gäller prestationer i arbetslivet och uppgifter som rör anställningsändamål har i enlighet med förevarande paragraf meddelats särskilda bestämmelser om behandling av känsliga personuppgifter för anställningsändamål i 32 35 §§ förslaget till datalag. För det fall uppgifter som avser omdömen och värderande upplysningar behandlas inom forsknings- eller statistikom-

rådet hänvisas vidare till de särskilda bestämmelser om behandling av känsliga personuppgifter för forsknings- eller statistikändamâl som finns i 30 och 31 §§ förslaget till datalag. Som framgått ovan görs vissa avvikelser i förevarande paragraf i förhållande till artikel 8 i förslaget till EG-direktiv. Det gäller främst uppräkningen vilka typer av uppgifter som skall anses vara särskilt av känsliga. Till den del katalogen över sådana uppgifter enligt förevarande paragraf är omfattande än den som finns i artikel 8 ligger en mer sådan utvidgning dock helt i linje med bestämmelserna i artikel 18.4 och Detta har närmare utvecklats i avsnitt 9 i den allmänna motiveringen.

21 § Utan hinder av 20 § får ideell förening politisk, filosofisk eller religiös natur en av behandla sådana personuppgifter om medlemmarna som utgör grunden för medlemskapet i föreningen, under förutsättning att uppgifterna inte lämnas ut utan att den enskilde har samtyckt på sätt som anges i 12 personuppgifter behandlas om behandlingen utförs under sådana omständigheter att det är uppenbart att inga kränkningar av personlig integritet äger rum.

Punkt 1 i förevarande paragraf motsvarar bestämmelsen i 2 a § tredje stycket l i datalagen prop. 1981/822189, KU 33 om att sammanslutningar utan tillstånd fâr inrätta och föra personregister som innehåller sådana uppgifter medlemmarnas politiska uppfattning, om religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskapet i sammanslutningen. Punkt l överensstämmer också i allt väsentligt med artikel 8.2.b i förslaget till EG-direktiv. Fackliga organisationer har dock inte tagits med i uppräkningen av ideella föreningar jfr 20 § i lagförslaget. Enligt punkt l i förevarande paragraf fâr således ideella föreningar politisk, filosofisk eller religiös natur utan hinder av bestämmelserav i 20 § förslaget till datalag behandla sådana personuppgifter om na medlemmarna utgör grunden för medlemskapet i föreningen. En som förutsättning är emellertid att uppgifterna inte lämnas ut utan den enskildes samtycke. Samtycke skall lämnas det sätt som anges i 12 § förslaget till datalag. Betydelsen av uttrycket filosofisk övertygelse har berörts i anslutning till 20 Bestämmelsen i punkt 2 i förevarande paragraf kan tillämpas endast i extrema undantagsfall. För att det skall vara uppenbart att inga kränkningar kommer till stånd krävs i princip att det är självklart att de berörda skulle lämna sitt samtycke till behandlingen om de tillfrågades. Som exempel pâ denna typ av behandling kan nämnas

sammanställningar av uppgifter av politisk natur beträffande offentliga företrädare eller av religiös natur beträffande kyrkliga företrädare. Bestämmelsen i förevarande punkt motsvarar artikel 8.2.c i förslaget till EG-direktiv.

Den persondataansvariges skyldigheter

22 § Om det finns anledning misstänka att en personuppgift som behandlas är oriktig, inaktuell eller missvisande, skall den persondataansvarige utan dröjsmål företa skälig utredning. En oriktig, inaktuell eller missvisande uppgift skall så snart det kan ske rättas, ändras eller utplånas. Om en uppgift som rättas, ändras eller utplånas har lämnats ut till någon annan än den som uppgiften skall den avser, persondataansvarige underrätta mottagaren rättelsen, om ändringen eller utplånandet. En enskild som har anmält misstanke att en om en personuppgift är oriktig, inaktuell eller missvisande skall underrättas om vilken åtgärd som anmälan föranleder.

Bestämmelsen motsvarar i huvudsak 8 § första tredje styckena i den gällande datalagen. Förslaget till EG-direktiv anger att den enskilde skall ha rätt i att förekommande fall fâ till stånd rättelse, utplånande eller innehållande av oriktiga eller ofullständiga uppgifter, om uppgifterna har behandlats i strid med direktivet art. 13.3. En tredje till vilken oriktiga man eller ofullständiga uppgifter har lämnats ut skall underrättas om rättelsen, utplånandet eller innehållandet för att han i sin skall tur kunna rätta, utplåna eller innehålla art. 13.4. Enligt direktivförslaget skall vidare personuppgifter riktiga och, vara när det är nödvändigt, aktuella. Varje åtgärd måste vidtas för till att se att uppgifter som är oriktiga eller ofullständiga i förhållande till det ändamål som de samlats in för utplånas eller rättas art. l .d. I förhållande till gällande rätt har den ändringen företagits att paragrafen uttryckligen har angetts omfatta även inaktuella uppgifter. Vidare skall enligt utredningens förslag åtgärder för att komma till rätta med inkorrekta uppgifter vidtas så snart det kan ske. Rättelseskyldigheten har i förevarande paragraf också utformats ett mer absolut sätt. Tidigare knöts skyldigheten att vidta rättelse till den eventuella risk för otillbörligt intrång i personlig integritet förelåg. Någon som sådan avvägning skall inte längre göras. Möjligheterna för Datainspektionen att befria en persondataansvarig från de skyldigheter som stadgas i paragrafen har också slopats. Av 8 § i lagförslaget följer att bestämmelsen inte gäller i fråga om personuppgifter som har tagits emot för förvaring arkivmyndigav en het.

SOU 1993: 10 423

I fråga om förhållandet mellan bestämmelserna i förevarande paragraf och förslaget till EG-direktiv har i paragrafen inte tagits upp någon motsvarighet till den möjlighet som direktivförslaget ger den persondataansvarige att enbart innehålla block oriktiga, inaktuella eller missvisande personuppgifter. Om personuppgifter skall innehållas, får den persondataansvarige visserligen fortfarande lagra dem men han får inte behandla dem annat sätt, i synnerhet inte lämna ut dem till tredje man. Enligt utredningens mening finns det knappast något behov av en ordning som innebär att oriktiga, inaktuella eller missvisande uppgifter får innehållas. Sådana uppgifter bör som hittills rättas, ändras eller utplánas. Den möjlighet som direktivförslaget ger den enskilde att få personuppgifter som behandlas i strid med direktivet utplánade eller innehållna, har viss motsvarighet i 41 § förslaget till datalag. Enligt den paragrafen fâr Datainspektionen, om personuppgifter behandlas i strid med vad som gäller för behandlingen och rättelse inte kan uppnås på något annat sätt, förbjuda fortsatt behandling av uppgifterna, vilket innebär att uppgifterna måste utplånas eller avidentifieras. Datainspektionen kan också interimistiskt förbjuda annan behandling än lagring.

23 § Om en personuppgift som behandlas måste anses ofullständig med hänsyn till ändamålet med behandlingen eller om personuppgifter inte omfattar någon enskild som med hänsyn till ändamålet med behandlingen av uppgifterna rimligen borde ha omfattats, skall den persondataansvarige vidta den komplettering som behövs eller utplåna uppgifterna. Om en uppgift som kompletteras eller utplånas har lämnats ut till någon annan än den som uppgiften avser, skall den persondataansvarige underrätta mottagaren om kompletteringen eller utplånandet. En enskild som har anmält en misstanke om att en personuppgift är ofullständig skall underrättas om vilken åtgärd som anmälan föranleder.

Bestämmelsens första stycke har sin motsvarighet i 9 § i den gällande datalagen. Enligt gällande lag bör den registeransvarige vidta komplettering. Om det föreligger risk för otillbörligt intrång i personlig integritet eller fara för rättsförlust skall komplettering alltid göras. Utredningens förslag innebär en mera absolut skyldighet att vidta den komplettering som behövs. I de fall den persondataansvarige inte kan vidta erforderlig komplettering, måste uppgifterna utplánas första stycket. Det kan därvid någon gång bli fråga om utplånande av hela den datasamling som framstår som ofullständig. För att förhindra vidare spridning av ofullständiga uppgifter åläggs i bestämmelsens andra stycke den persondataansvarige att, i de fall en

uppgift som lämnats ut har kompletterats eller utplánats, underrätta mottagaren om åtgärden. Den persondataansvarige skall enligt tredje stycket underrätta den enskilde om vilken åtgärd som blivit följden av en anmälan om misstanke att en personuppgift är ofullständig. Av 8 § i lagförslaget följer att bestämmelsen inte gäller i fråga om personuppgifter som har tagits emot för förvaring arkivmyndigav en het. I anslutning till 22 § har redogjorts för relevanta bestämmelser i förslaget till EG-direktiv. Utredningens förslag överensstämmer i sak med direktivförslaget.

24 § Den persondataansvarige skall eller flera utse en personer som skall bistå de enskilda vid misstanke oriktig, ofullständig, om inaktuell eller missvisande personuppgift. Uppgift om vem som har utsetts skall hållas tillgänglig för allmänheten. Den som utan att vara persondataansvarig behandlar personuppgifter skall på begäran upplysa en enskild om vem som är persondataansvarig och vem som hos den persondataansvarige bistår enskilda vid misstanke om oriktig, ofullständig, inaktuell eller missvisande uppgift.

Paragrafens första stycke har sin motsvarighet i 8 § fjärde stycket i den gällande datalagen. Bistándsskyldigheten har i utredningens förslag utvidgats till att avse även fall av misstanke om ofullständiga eller inaktuella uppgifter. Det har inte ansetts pákallat att, som i gällande rätt, särskilt föreskriva att den eller de utsedda personerna också skall underrätta den enskilde om vilka åtgärder som en anmälan om att en personuppgift kan vara inkorrekt har föranlett. Det torde ligga i sakens natur att sådan underrättelse lämnas av den eller de utsedda personerna. I paragrafens andra stycke läggs vissa skyldigheter pä den som, utan att vara persondataansvarig, behandlar personuppgifter. Han skall särskild begäran underrätta den enskilde om vem som är persondataansvarig för de personuppgifter som behandlas. En sådan underrättelse kan lämpligen innefatta uppgift om den persondataansvariges namn och adress jfr 16 § första stycket 6 i lagförslaget. Uppgift skall också lämnas om vem hos den persondataansvarige bistår den som enskilde vid misstanke om en inkorrekt personuppgift. Bestämmelsen i andra stycket har tillkommit för att motverka de nackdelar för den enskilde som det av utredningen förslagna mera centralistiska persondataansvaret kan innebära. l fleranvändarsystem med endast en persondataansvarig torde bestämmelsen underlätta för den enskilde att ta till vara sina rättigheter enligt datalagen. Be-

SOU 1993: 10 425

träffande persondataansvaret hänvisas till avsnitt 12 i den allmänna motiveringen. Bestämmelserna i förevarande paragraf har ingen motsvarighet i förslaget till EG-direktiv. De har dock tillkommit för att underlätta för den enskilde att ta tillvara sådana rättigheter som skyddas av föreskrifterna i direktivet.

25 § Den persondataansvarige skall på begäran av en enskild underrätta denne antingen om innehållet i personuppgift som behandlas och innefattar upplysning om honom eller om att en sådan uppgift inte behandlas. En underrättelse om innehållet i personuppgift skall också ange varifrån uppgiften inhämtas och innehålla en allmän beskrivning av dess användning. Första stycket gäller inte personuppgifter som enligt lag eller annan författning eller enligt myndighets beslut som meddelats med städ av författning inte får lämnas ut till den enskilde. Om med stöd av vad som nu har sagts någon underrättelse inte lämnas till den enskilde, skall på dennes begäran Datainspektionen granska att behandlingen sker i överensstämmelse med vad som gäller för sådan behandling. Första stycket gäller inte heller om det i fråga om visst slag personuppgifter är uppenbart att underrättelse kan underav låtas på gmnd av att det inte föreligger någon risk för kränkningar av personlig integritet. Underrättelse får dock underlåtas endast efter medgivande från Datainspektionen.

Här återfinns den viktiga rätt till insyn som regleras i 10§ i den gällande datalagen, rätten till s.k. §10-utdrag. Enligt förslaget till EG-direktiv har den enskilde rätt att pá begäran med rimliga mellanrum och utan överdrivet dröjsmål eller kostnad få bekräftat förekomsten av personuppgifter som hänför sig till honom och fâ till sig utlämnat sådana uppgifter i begriplig form samt uppgift om deras källa och allmän information om deras användning art. 13.1. Denna rätt får dock begränsas vissa grunder. Vilka dessa grunder är anges i sju punkter i artikel 14.1. Enligt artikel 14.2 skall dataskyddsmyndigheten ges befogenhet att pâ den enskildes begäran utföra nödvändiga kontroller av sådan behandling som med stöd av 14.1 undantagits från den enskildes insynsrätt. Myndighetens granskning skall innefatta en kontroll av om behandlingen följer bestämmelserna i direktivet. I sammanhanget bör tilläggas att de grunder pä vilka rätten till insyn kan inskränkas enligt artikel 14 i direktivförslaget torde motsvaras av sekretessgrunderna i 2 kap 2 § tryckfrihetsförordningen såvitt gäller personuppgifter. En motsvarighet till paragrafens första stycke finns i 10 § första stycket första meningen i den gällande datalagen. Underrättelsen skall

emellertid enligt utredningens förslag, som överensstämmer med förslaget till EG-direktiv i denna del, också varifrån ange personuppgifterna inhämtas och innehålla allmän beskrivning deras en av användning. Sistnämnda krav bör i allmänhet kunna tillgodoses genom en hänvisning till det eller de ändamål som uppgifterna behandlas för. l andra stycket första meningen finns en erinran om att hinder kan möta på grund av bestämmelser i lag eller annan författning eller på grund av myndighets beslut som har meddelats med stöd av författning, mot att den enskilde ges en sådan rätt till insyn stadgas som i första stycket. En motsvarande erinran återfinns i 10 § tredje stycket i den gällande datalagen. I andra stycket andra meningen ges den enskilde en möjlighet att genom Datainspektionen få granskat även behandling sådana av uppgifter som på grund av lag eller annan författning eller myndighets beslut inte får lämnas ut till den enskilde. Datainspektionen är skyldig att utföra en granskning i det fall den enskilde begär detta. Granskningen innebär en kontroll av att personuppgifterna behandlas i enlighet med de bestämmelser som gäller för den aktuella behandlingen. Eftersom den enskilde inte själv har möjlighet att kontrollera uppgifterna, kan det i vissa fall vara svårt för inspektionen att avgöra om uppgifterna är korrekta. I tredje stycket har tagits in en motsvarighet till 10 § fjärde stycket i den gällande datalagen. Enligt den bestämmelsen är det möjligt för den registeransvarige efter medgivande från Datainspektionen att - underlåta att lämna underrättelse i fråga om visst slag av personuppgifter, om det är uppenbart att det inte föreligger någon risk för otillbörligt intrång i registrerads personliga integritet. Regeln bör enligt motiven prop. 1978/79: 109 s. 25, 34 f kunna tillämpas i fråga om mycket kortvariga register som förs antingen i samband med tester för inrättande av personregister eller för vetenskaplig forskning och statistikproduktion. Vidare bör regeln kunna tillämpas i fråga vissa om delar av personregister, såsom exempelvis loggar och back-up-register. Enligt motiven bör regeln tillämpas mycket restriktivt. Frågan om regelns tillämplighet prövas från fall till fall av Datainspektionen på begäran av den registeransvarige. Den nu berörda dispensregeln går alltså något länge än som följer av artikel 14.3 i direktivförslaget. Den artikeln ger medlemsstaterna möjlighet att begränsa den enskildes rätt till insyn beträffande uppgifter som bevaras under kort tid i individuell form och som är ämnade att tjäna statistiska syften av sådant slag att de berörda inte personerna längre rimligen kan bli identifierade. Liksom enligt gällande rätt lO § tredje stycket undantas personuppgifter som tagits emot för förvaring av en arkivmyndighet från bestämmelsen om den enskildes rätt till insyn. Detta framgår 8 § i av lagförslaget.

SOU 1993: 10 427

l lO § första stycket första meningen i den nuvarande datalagen föreskrivs att utdrag skall lämnas sâ snart det kan ske. Någon motsvarande bestämmelse finns inte i utredningens lagförslag i förevarande paragraf. I stället har i 27 § angetts bestämda tider inom vilka den persondataansvarige skall lämna underrättelserna till de enskilda. Hur utredningens förslag förhåller sig till förslaget till EG-direktiv har delvis redan berörts. Enligt direktivförslaget skall underrättelserna till de enskilda lämnas i begriplig form in an intelligible form. Någon uttrycklig föreskrift om att utdragen skall kunna förstås de enskilda av torde dock inte behövas. Inte heller har det ansetts nödvändigt att i utredningens lagförslag ta med en motsvarighet till föreskriften i artikel 13.2 som ger den enskilde rätt att vägra att uppfylla en begäran från tredje man att utnyttja insynsrätten för att lämna ut personuppgifter till denne eller någon annan tredje man, om inte tredje mans krav grundas på lag eller annan författning.

26 § En begäran enligt 25 § första stycket skall framställas skriftligen och vara egenhändigt undertecknad av den enskilde. Har en underrättelse lämnats, behöver ny underrättelse inte lämnas till samme enskilde förrän tolv månader därefter. I de fall myndigheten har rätt att sälja personuppgiftema skall underrättelsen innehålla upplysning att försäljning sker med de om enskildas medgivande eller om det stöd i författning eller särskilt beslut av regeringen som finns för sådan försäljning. En underrättelse skall lämnas utan kostnad för den enskilde. Om det föreligger särskilda skäl, får dock Datainspektionen i fråga om visst slag av personuppgifter eller i fråga om underrättelse om att personuppgift om en enskild inte behandlas medge att avgift tas ut.

I paragrafen finns bestämmelser som hänför sig till den enskildes insynsrätt. Motsvarande bestämmelser finns i 10 § första och andra styckena i den gällande datalagen.

27 § En underrättelse enligt 25 § första stycket skall lämnas inom en månad från det att en begäran därom kom in till den persondataansvarige. Om personuppgifter har krypterats på ett sätt som godtagits av Datainspektionen behöver underrättelse dock lämnas endast vid tre över året jämnt fördelade tillfällen.

I förevarande bestämmelse föreskrivs att underrättelse innehållet om i personuppgift enligt 25 § f.n. benämnt §l0-utdrag skall lämnas

inom en månad från det en begäran om underrättelse kommit in till den persondataansvarige. Datainspektionen har i sin författningssamling DIFS 1982:2 utfärdat närmare föreskrifter om vilka skyldigheter den registeransvarige har att underrätta den enskilde registrerade. Av dessa föreskrifter framgår bl.a. att den registeransvarige är skyldig att besvara en sådan förfrågan snarast. Om inte besked kan lämnas inom 30 dagar efter det att förfrågan erhållits måste den registeransvarige inom den tiden lämna besked om orsaken till dröjsmålet. Utredningens förslag till delegationsbestämmelse 36 § ger inte någon rätt för regeringen eller Datainspektionen att meddela närmare föreskrifter om tillämpningen av de bestämmelser som behandlar den persondataansvariges skyldigheter. Det har också ansetts lämpligt att direkt i datalagen ange den tid inom vilken utdrag enligt 25 § skall lämnas. Den föreslagna tidsfristen, en månad, får anses vara tillräcklig. I andra meningen i paragrafen finns för personuppgifter som har krypterats en särskild bestämmelse om den tid inom vilken underrättelse enligt 25 § skall lämnas. Med kryptering förstås att en avidentifiering inte är avsedd att vara oåterkallelig, utan personanknytningen skall kunna återskapas av den eller dem som förfogar över personuppgifterna. Kryptering har som metod kommit att utvecklas av framför allt Statistiska Centralbyrån och har därmed kommit att förknippas med statistikregister men metoden har tillämpning också forskningsregister i allmänhet. Vanligen sker kryptering genom att ett igenkänningstecken som exempelvis personnummer ersätts med ett tal vars innebörd endast kan klargöras med hjälp av en annan sifferkombination, en s.k. krypteringsnyckel. Synonymt med kryptering används också begreppet chiffrering. Utan tillgång till krypteringsnyckeln kan det krypterade identitetsnumret inte återskapas. Statistiska Centralbyrån har utvecklat olika tekniska förfaringssätt för kryptering. Syftet är att säkra uppgiftsskyddet och att begränsa tillgången till krypteringsnyckeln men göra det möjligt att för legitima ändamål återskapa identitetssambandet. Kryptering innebär inte som vid avidentifiering att uppgifters karaktär personuppgifter går förlorad. Även kretsen av om av personer som kan identifiera de med uppgifterna avsedda personerna påtagligt begränsas, finns den nödvändiga kopplingen kvar mellan en uppgift och en identifierbar individ, som är en förutsättning för att personuppgifter skall föreligga. Skälet till den föreslagna specialregeln vid kryptering är att man inte kan bortse från att kryptering innebär en beaktansvärd förstärkning av integritetsskyddet. För krypterade personuppgifter har därför gjorts ett undantag från huvudregeln i första meningen om när underrättelse enligt 25 § skall lämnas. Om krypteringsmetoden har godtagits av

SOU 1993: 10 429

Datainspektionen behöver underrättelseskyldigheten inte fullgöras mer än tre gånger per är, dä underrättelserna avseende flera enskilda kan lämnas samtidigt. Undantaget för krypterade uppgifter påverkar emellertid inte tillämpningen av tolvmânadersregeln i 26 dvs. att en underrättelse inte behöver lämnas till samma enskilda förrän tolv ny månader efter den förra underrättelsen. Bestämmelserna i förevarande paragraf torde tillgodose kravet i artikel 13.1 i förslaget till EG-direktiv om att underrättelserna till de enskilda skall lämnas "without excessive delay". Innehållet i direktivförslaget i denna del har redovisats i anslutning till 25

28 § enskild anmält till den persondataansvarige att han Har en inte önskar att personuppgifter som hänför sig till honom behandlas för adresserad direktreklam, får uppgifterna inte behandlas för sådant ändamål. Föreskriften i första stycket inskränker inte myndigheternas skyldigheter att lämna ut personuppgifter enligt tryckfrihetsförordningen.

I bestämmelsen ges den enskilde en uttrycklig rätt att motsätta sig att hans personuppgifter behandlas för direktreklamändamâl. En redogörelse för Europarådets rekommendation om skydd för personuppgifter används för direktreklamändamâl finns i avsnitt som 4.3.3. Förslaget till EG-direktiv innehåller en bestämmelse som ger den enskilde vissa rättigheter i samband med behandling för direktreklamändamâl. Enligt artikel 15.3 skall den persondataansvarige se till att den enskilde uttryckligen erbjuds möjlighet att få sina uppgifter utplånade utan kostnad innan personuppgifter lämnas ut till tredje man eller används för dennes räkning för direktreklamändamâl. Enligt kommentaren syftar bestämmelsen endast på postbefordrade skrifter. Redan i dag har den enskilde möjlighet att fâ uppgifter undantagna från behandling för direktreklamändamâl. Regleringen av SPAR jfr 27 § datalagen och 4 § första stycket förordningen 198l:4 om det statliga och adressregistret ger den enskilde möjlighet att få personreklamspärr införd. Samma möjligheter finns också hos bl.a. en

postverket i adressregistret PARAD Qfr 2 b§ tredje stycket för-

ordningen l988:79 med instruktion för postverket. SPAR har hittills utgjort den dominerande källan för direktreklamadresser jfr 28 § första stycket i nuvarande datalag och en reklamspärr i SPAR har därmed kunnat få stor genomslagskraft. I utlandet har försök gjorts att upprätta särskilda spärregister, s.k. Robinsonlistor. Avsikten är att avsändaren, innan utskick sker, skall använda spärrlistan för att föra bort personer med reklamspärr frän sin egen adresslista. Erfarenheterna av systemet med sådana spärrlistor har

emellertid inte varit särskilt goda. Ett system med få adresskällor gör det självfallet enklare för den enskilde reklamspärr att genom undgå oönskad reklam. l de fall samtycke inte föreligger kan behandling av personuppgifter för direktreklamändamål ske med stöd ll § första stycket 6 i av lagförslaget. Detta gäller så länge mottagaren inte motsätter sig behandlingen. Så snart mottagaren meddelar den persondataansvarige att han motsätter sig behandlingen kan denna inte längre ske med stöd av l l Redan av bestämmelserna i ll § följer således den att enskilde har möjlighet att stoppa en behandling för direktreklamandamål. Genom förevarande bestämmelse har utredningen emellertid velat uttryckligen peka på den rättighet att motsätta sig direktreklam som den enskilde har. l det föregående har berörts specialmotiveringen till 11 § att sådan behandling av personuppgifter för direktreklamändamål består i som överlåtelse av marknadsföringslistor inte faller in under bestämmelsen i ll § första stycket Under begreppet direktreklam faller både adresserad reklam och oadresserad utburen reklam. Även reklam vidarebefordras som per telefon eller med andra medel omfattas av begreppet. Som framgår av den föreslagna lagtexten reglerar förevarande paragraf endast den direktadresserade reklamen. Detta innebär att adressaten måste vara en namngiven fysisk person eller en annat sätt är möjlig person som att identifiera. Paragrafen blir tillämplig om den persondataansvarige behandlar personuppgifterna. Utsändning av direktreklam sker med hjälp som av adressetiketter som köpts adresskälla faller således utanför av en bestämmelsen om avsändaren inte behandlar uppgifterna. Den enskilde får givetvis själv för de kostnader, närmast svara portokostnader, som kan vara förenade med anmälan. Däremot en behöver han inte betala vad det kan kosta att föra in en spärr i den aktuella datasamlingen. Om i ett visst fall personuppgifter behandlas enbart för direktreklam, leder den enskildes anmälan enligt denna paragraf till de att uppgifter som hänför sig till den enskilde måste utplånas. Om det däremot vid sidan av direktreklamändamålet finns grund för en annan behandlingen, får uppgifterna behandlas för detta ändamål även senare i fortsättningen. I bestämmelsens andra stycke har tagits en erinran att om regleringen i första stycket inte får inskränka en myndighets skyldigheter enligt tryckfrihetsförordningen. Enligt tryckfrihetsförordningen är en myndighet skyldig att lämna ut uppgifter som är tillgängliga för myndigheten för överföring i läsbar form, inte sekretesslagstiftom ningen hindrar det. En ADB-upptagning som utgör allmän handling skall på begäran utan avgift och i läsbar form tillhandahållas den som önskar ta del av handlingen. Den sökande har också rätt att mot

fastställd avgift fâ en utskrift av ADB-upptagningen. Tryckfrihetsförordningen innebär emellertid inte att sökanden har rätt att få ut uppgifter på maskinläsbart medium eller fâ en terminal ansluten till myndighetens dator och få ut uppgifter genom denna utrustning. Inte heller grundar tryckfrihetsförordningen någon rätt att få ut uppgifter från ett ADB-medium i viss form, exempelvis i form adressetiketav ter. Eftersom personuppgifter med stöd av offentlighetsprincipen kan inhämtas frän myndigheter för att användas för direktreklam är det inte möjligt att i alla sammanhang âlägga den persondataansvarige som lämnar ut uppgifter för direktreklamändamål att erbjuda den enskilde att få sina uppgifter utplánade. Inte heller i de fall den persondataansvarige innehar den enskildes personuppgifter även för andra ändamål än direktreklam, exempelvis för fakturering, torde det vara möjligt att tillämpa en bestämmelse av den innebörd i som anges artikel 15.3 i förslaget till EG-direktiv. Artikeln framstår som något svártolkad och den har också kritiserats av olika branschorganisationer. Den av utredningen föreslagna bestämmelsen får anses utgöra en rimlig kompromiss mellan den enskildes rätt att slippa direktreklam han som inte vill ha och näringslivets intresse att kunna marknadsföra sina produkter och tjänster på ett effektivt sätt.

29 § När en persondataansvarig sänder handling innehåller en som personuppgifter som behandlas till den enskilde, skall upplysning samtidigt lämnas om vem som är avsändare.

Bestämmelsen motsvarar 7 a § fjärde stycket i den gällande datalagen. Vissa redaktionella ändringar har företagits. Dessa är betingade av utredningens nya terminologi och förslaget om slopande av tillståndsoch licenssystemet.

Särskilda bestämmelser behandling känsliga

om av

personuppgifter för forsknings- eller statistikändamål.

Under förevarande rubrik finns särskilda bestämmelser om behandling av känsliga personuppgifter för forsknings- eller statistikändamâl. Bestämmelserna kan ses som en särskild registerlag för sådan behandling. I de ämnen som inte omfattas de särskilda bestämmelav serna gäller också övriga bestämmelser i förslaget till datalag.

30 § Personuppgifter som avses 120 §får behandlas för forskningseller statistikândamål utan den enskildes medgivande om det skulle vara synnerligen kostsamt eller tidsödande att inhämta samtycke,

om den enskildes hälsotillstånd eller forsknings- eller statistikändamålet är sådant att en begäran om samtycke kan antas skada den enskilde, eller om en kontakt med den enskilde skulle förrycka undersökningens resultat. En ytterligare förutsättning för behandlingen är att särskilda skäl föreligger med hänsyn till forsknings- eller statistikprojektets vikt, behovet av personuppgifter, säkerheten vid behandlingen av uppgifterna och den tid som uppgifterna skall behandlas. Föreskriften i andra stycket inskränker inte myndigheternas skyldigheter att lämna ut personuppgifter enligt tryckfrihetsförordningen.

Förevarande paragraf hänvisar till 20 § som innehåller speciella restriktioner när det gäller behandling av personuppgifter av särskilt känslig natur. Av 20 § följer att endast om den enskilde skriftligen lämnar sitt samtycke pâ sätt som anges i 12 § eller det följer av särskilda bestämmelser i denna lag eller annan författning får sådana känsliga personuppgifter behandlas. Samtliga uppgifter som nämns i 20 § kan bli aktuella i forsknings- eller statistiksammanhang. De särskilda bestämmelser denna lag" som det hänvisas till i 20 om samtycke inte lämnats, är bestämmelserna i den paragraf som nu diskuteras. Förevarande paragraf reglerar alltså de fall där känsliga uppgifter får behandlas utan den enskildes medgivande. Fallen har utförligt behandlats i den allmänna motiveringen under avsnitt 10.6. Det hänvisas därför till det avsnittet. Där har också redovisats hur utredningens förslag förhåller sig till förslaget till EG-direktiv.

31 § Ifall som avses i 30 § första stycket 1 2 får uppgifterna inte behandlas förrän information i de hänseenden som anges i 16 § första stycket 1 och 4 6 lämnats i tidning med ett sprid- ningsområde som omfattar dem som berörs av forsknings- eller statistikprojektet eller på annat liknande sätt. När insamling av personuppgifter har skett i fall som avses i 30 § första stycket 3 skall, innan fortsatt behandling får äga rum, den enskilde erhålla information i de hänseenden som anges i 16 § första stycket 1 och 4 - Av informationen enligt första och andra styckena skall också framgå att den enskilde har rätt att anmäla att han inte önskar delta i projektet. Anmäler en enskild att han inte önskar delta i projektet får de uppgifter som hänför sig till honom inte behandlas. Är uppgifterna föremål för behandling skall de utplånas.

SOU 1993: 10 433

Första stycket i förevarande paragraf ålägger en persondataansvarig att behandla personuppgifter med stöd av bestämmelsen i som avser 30 § första stycket l 2 att före behandlingen informera om forsk- nings- eller statistikprojektet antingen genom annons i tidning med ett spridningsområde som omfattar dem som berörs av projektet eller på annat liknande sätt. Med annat liknande sätt avses t.ex. information anslag eller utlagda broschyrer på vårdinrättningar vars genom patienter är föremål för ett forskningsprojekt. Informationen skall i princip ha innehåll som när personuppgifter samlas in direkt samma från enskilda. Genom kravet på information enligt förevarande paragraf de berörda möjlighet att få vetskap om behandlingen ges en och därigenom utnyttja sin rätt till insyn enligt 25 § förslaget till datalag. Bestämmelserna i andra stycket tar sikte på de fall där personuppgifter samlas in utan samtycke på grund av att en kontakt med den enskilde skulle förrycka undersökningens resultat. Den persondataansvarige åläggs i dessa fall att efter insamlingen informera den enskilde på i princip sätt om uppgifterna skulle ha samlats in direkt samma som från den enskilde. Det rör sig alltså här om individuell information, i motsats till vad som gäller enligt första stycket. l Datainspektionens praxis finns exempel på beslut för forskningseller statistikregister där inspektionen ansett att kravet samtycke från den enskilde kunnat efterges eftersom ett krav samtycke skulle kunna förrycka undersökningens resultat. Så var fallet i ett tillståndsbeslut för Brottsförebyggande rådet fört register, det s.k. samett av hällstjänstregistret beslut 1990-08-17, Dnr 2005-90. Brottsförebyggande rådet hade fått regeringens uppdrag att utvärdera en försöksverksamhet där skyddstillsyn i kombination med samhällstjänst ådömts i stället för fängelsestraff. Utvärderingen skulle belysa vilket sätt de personer som gör samhällstjänst skiljer sig från dem som ådömts kortare fängelsestraff med avseende på bl.a. typ av brott, tidigare brottslighet, missbruk och sociala bakgrundsfaktorer. Datainspektionen delade sökandens uppfattning att ett krav informerat samtycke sannolikt skulle medföra ett så stort bortfall att en rättvisande utvärdering skulle försvåras eller omöjliggöras och att kravet på samtycke därför kunde efterges. Inspektionen vägde vid sin bedömning riskerna för otillbörligt integritetsintrång mot det starka samhällsintresförelåg att utvärdering av samhällstjänsten kunde komma se som av en till stånd. En förutsättning för att samtycke skulle kunna efterges ansågs att den registeransvarige underrättade dem som kunde vara komma att registreras registrets ändamål och innehåll, vilka om uppgifter skulle bearbetas med hjälp automatisk databehandling som av och varifrån de hämtats, hur länge registret får föras, innebörd och omfattning sekretesskyddet samt den registrerades rätt till s.k. § 10av utdrag. I andra beslut om tillstånd som inneburit att kravet på samtycke grund eftergivits har inspektionen angett i vilken form inpå samma

formationen till de enskilda skall lämnas. I ett beslut om tillstånd för Brottsförebyggande rådet att föra personregistret "Droger och trafiksäkerhet" anförde inspektionen att annonsering i rikstäckande dagspress torde vara ett lämpligt sätt att informera om registret eftersom de registrerade kunde finnas spridda över hela landet beslut 1990-10-16, Dnr 2336-90. Inspektionen menade också att den undersökning som skulle genomföras torde ha ett sådant allmänt intresse att det borde vara möjligt att genom ett pressmeddelande få dagspressen att i artikelfonn redogöra för undersökningen och den registrering som avsâgs komma tillstånd. Under förutsättning att så skedde fick, menade inspektionen, kravet på information anses vara uppfyllt. Som framgår av andra stycket i förevarande paragraf skall enligt utredningens förslag information till den enskilde alltid lämnas. Av informationen enligt första och andra styckena skall också enligt tredje stycket framgå att den enskilde har rätt att avstå från att delta i forsknings- eller statistikprojektet. Anmäler den enskilde att han inte vill delta i det aktuella projektet skall de uppgifter som hänför sig till honom utplânas. Har en anmälan gjorts innan personuppgifterna har börjat samlas in, får någon behandling överhuvud taget inte ske. En sådan situation kan bli aktuell i de fall som avses i första stycket i paragrafen.

Särskilda bestämmelser om behandling känsliga

av

personuppgifter för anställningsändamål

Under förevarande rubrik finns särskilda bestämmelser om behandling av känsliga personuppgifter för anställningsändamål. Bestämmelserna kan ses som en särskild registerlag för sådan behandling. l de ämnen som inte omfattas av de särskilda bestämmelserna, gäller också övriga bestämmelser i förslaget till datalag. I avsnitt 11.6 i den allmänna motiveringen har redovisats hur utredningens förslag förhåller sig till förslaget till EG-direktiv.

32 § Bestämmelserna i 33 35 §§ gäller behandling för anställ- ningsändamål av uppgifter om sjukdom eller hälsotillstånd samt uppgifter som utgör omdöme eller annan värderande upplysning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upplysning den om enskilde. Med anställningsändamål avses förhållandet mellan arbetsgivare och arbetstagare eller arbetssökande.

Förevarande paragraf anger att 33 35 §§ gäller behandling - av uppgifter om sjukdom eller hälsotillstånd samt uppgifter som utgör

SOU 1993: 10 435

omdöme eller annan värderande upplysning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Paragrafen skall läsas mot 20§ som innehåller speciella restriktioner när det gäller behandling av denna typ av uppgifter. Av 20 § följer att endast om den enskilde skriftligen lämnar sitt samtycke sätt som anges i 12 § eller det följer av särskilda bestämmelser i denna lag eller annan författning fâr denna typ av känsliga personuppgifter behandlas. De särskilda bestämmelser denna lag" som det hänvisas till i 20 om samtycke inte lämnats, är bestämmelserna i följande paragraf.

33 § Personuppgifter som avses i 32 § får behandlas för anställningsändamâl utan den enskildes medgivande om uppgifterna rör lämplighet för arbetet samt behandlingen behövs i förfarande för anställning och normalt förekommer i sådant förfarande, om uppgifterna rör den anställdes sjukdom eller hälsotillstånd och behandlingen behövs inom företagshälsovården eller i övrigt för sådan rehabiliteringsverksamhet som föreskrivs i lag, om uppgifterna rör den anställdes arbetsinsatser och behandlingen oundgängligen och uteslutande behövs för beräkning av lön eller annan ersättning eller för kontroll, uppföljning eller utveckling av arbetsgivarens produkter eller tjänster, eller om behandlingen behövs för att fullgöra åligganden som följer av lag eller annan författning.

Förevarande paragraf reglerar de fall där aktuell typ av känsliga uppgifter får behandlas utan den enskildes medgivande. Fallen har utförligt behandlats i den allmänna motiveringen under avsnitt 11.6. Det hänvisas därför till det avsnittet. Det bör påpekas att i princip all behandling som sker med stöd av förevarande paragraf omfattas av den föreslagna anmälningsplikten till Datainspektionen.

34 § Innan arbetsgivaren samlar in personuppgifter med stöd av 33 § 1 3 skall den som personuppgifterna avser underrättas om åtgärden. Hans facklige företrädare skall också underrättas innan insamling sker med stöd av 33 § 2 och

Förevarande paragraf álägger en arbetsgivare att innan han samlar in personuppgifter med stöd av 33 § l 3 underrätta den som personupp- gifterna avser. Genom kravet pá underrättelse ges de berörda en

möjlighet att få vetskap om behandlingen och därigenom utnyttja sin rätt till insyn enligt 25 § förslaget till datalag. Även den enskildes facklige företrädare skall underrättas, i de fall insamling sker med stöd av 33 § 2 och En sådan underrättelseskyldighet får anses ligga inom ramen för vad som är vedertaget den svenska arbetsmarknaden. Bestämmelsen i denna del strider dock mot de principer som ligger bakom förslaget till EG-direktiv.

35 § Personuppgifter som rör arbetssökande och behandlas med stöd 33 § 1 skall gallras när ansökan om anställning har av avslagits. Kan den arbetssökande komma i fråga för annan anställning hos arbetsgivaren får gallring ske vid senare tidpunkt, den arbetssökande lämnar sitt samtycke på sätt om som anges i 12 Vid gallring av personuppgifter som utgör allmän handling gäller vad som sägs i 19 § andra stycket.

Förevarande paragraf innehåller särskilda bestämmelser om gallring. I övrigt gäller bestämmelserna om gallring i 19 § förslaget till datalag. Av 19 § förslaget till datalag följer att personuppgifter skall gallras då uppgifterna inte längre behövs med hänsyn till de ändamål för vilka de behandlas. Ändamålet utgör således utgångspunkten för bedömningen när uppgifter skall bevaras eller gallras. Integritetsintressen av talar generellt för att uppgifter bör gallras så snart som möjligt. Vissa typer av personuppgifter blir snabbt inaktuella och den anställde har alltid rätt att bli bedömd utifrån så fullständiga och aktuella uppgifter som möjligt. Första stycket i förevarande paragraf innehåller bestämmelser om gallring när det gäller behandling av en arbetssökandes personuppgifter. Enligt bestämmelserna skall sådana personuppgifter gallras när ansökan om anställning avslagits. Om sökanden är intressant i samband med en annan anställning hos arbetsgivaren får dock uppgifterna bevaras om den arbetssökande samtycker visst angivet sätt. I och för sig torde redan följa av 19 § förslaget till datalag att personuppgifter skall gallras i nu angiven situation. För tydlighetens skull finns dock behov av en särbestämmelse. När det gäller andra stycket i förevarande paragraf hänvisas till specialmotiveringen till 19 § andra stycket förslaget till datalag.

Bemyndigande att meddela föreskrifter

36§ Regeringen eller, efter regeringens bemyndigande, Datainspektionen får ifråga om sådan behandling av personuppgifter som avses i 20§ och som ofta förekommer inom ett visst område för ett visst ändamål, meddela närmare föreskrifter om

SIOU 1993: 10 437

tillämpningen av 9 16 samt 30 35 §§. Närmare föreskrifter - om tillämpningen av bestämmelserna om säkerhet i 17 och 18 §§ får meddelas i fråga om sådan behandling av personuppgifter som avses i 20

1 förevarande paragraf ges en möjlighet för regeringen eller, efter regeringens bemyndigande, Datainspektionen att i vissa fall meddela närmare föreskrifter i fråga om behandlingen av personuppgifter. Bakgrunden till bestämmelsen har redovisats i den allmärma motiveringen avsnitt 14. En förutsättning för delegation är att det är fråga om behandling av

känsliga personuppgifter se 20 §. En annan förutsättning är att det

rör sig om personuppgifter som ofta behandlas inom ett visst område för ett visst ändamål. Möjligheten att meddela föreskrifter har begränsats till vissa angivna områden. Således kan föreskrifter meddelas beträffande tillämpningen av bestämmelsen om anknytning till ett ändamål 9 §, god datased 10 §, förutsättningarna för behandling av personuppgifter 11 §, samtycke enligt 12 vilka personuppgifter som får behandlas 13 - 15 §§ samt insamling av personuppgifter från den enskilde 16 §. Föreskrifter kan vidare meddelas beträffande tillämpningen av de särskilda bestämmelserna om behandling av känsliga personuppgifter för forsknings- eller statistikändamâl och för anställningsändamål 30 - 35 §§. Möjligheten att meddela kompletterande föreskrifter har alltså begränsats till att avse själva behandlingen av personuppgifterna. Däremot omfattar inte delegationsmöjligheten bestämmelserna om den persondataansvariges skyldigheter 22 29 §§. Datainspektionen har heller inte behörighet, av skäl som har utvecklats i avsnitt 15, att meddela föreskrifter om gallring 19 §. Även såvitt avser bestämmelserna om säkerhet 17 och 18 §§ finns en delegationsmöjlighet. Den enda förutsättningen för delegation i detta

avseende är att det gäller behandling av känsliga personuppgifter se

20 §. Något krav på att det skall gälla personuppgifter som ofta behandlas för ett visst ändamål uppställs inte. Anledningen till att delegationsmöjligheterna gjorts vidare inom säkerhetsområdet är att vissa regler om säkerhet torde kunna bli lika för alla typer av datasamlingar som innefattar känsliga uppgifter. Som exempel på datasamlingar som faller under delegationsområdet har tidigare nämnts sjukhusens patientregister och olika forskningsregister. Utöver den möjlighet att meddela kompletterande föreskrifter som följer av 36 § i lagförslaget kan regeringen eller, efter bemyndigande, Datainspektionen med stöd av 8 kap. 13 § första stycket 2 regeringsformen den s.k. restkompetensen meddela föreskrifter om behandlingen av personuppgifter inom den statliga förvaltningsorganisationen. Denna föreskriftsrätt är inte begränsad till känsliga personupp-

gifter eller uppgifter som ofta behandlas inom ett visst område för ett visst ändamål. En viss begränsning av Datainspektionens möjligheter att efter delegation besluta om föreskrifter följer av bestämmelserna i begränsningsförordningen 1987: 1347. Genom förordningen föreskrivs att en myndighet, innan beslut fattas om en regel, skall göra en konsekvensutredning. I konsekvensutredningen skall regelns kostnadsmässiga konsekvenser och andra konsekvenser utredas. Dessutom skall företrädare för dem vars verksamhet kostnadsmässigt berörs av den tänkta regeln beredas tillfälle att yttra sig. Skulle regeln antas leda till inte oväsentligt ökade kostnader för staten, kommuner eller landstingskommuner eller för näringslivet, organisationer eller andra enskilda måste myndigheten i princip inhämta regeringens medgivande innan regeln beslutas.

Anmälan

37 § Innan personuppgifter får behandlas för ett visst ändamål skall en skriftlig anmälan ha kommit in till Datainspektionen, om behandlingen avser sådana uppgifter som nämns i 20 En anmälan behöver dock inte göras av föreningar som behandlar personuppgifter med stöd av 21 § I 2. myndigheter inom hälso- och sjukvården som för vård- eller behandlingsändamål behandlar uppgifter om någons sjukdom eller hälsotillstånd i övrigt, myndigheter inom socialtjänsten som behandlar uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten, läkare och tandläkare som behandlar sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har erfarit i sin yrkesverksamhet, arbetsgivare som behandlar sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 § andra stycket lagen 1962:381 om allmän försäkring.

Frågan om anmälningsskyldighet har diskuterats utförligt i den allmänna motiveringen avsnitt 14. Anmälningsplikt föreslås gälla för behandling av den typ av känsliga uppgifter som anges i 20 Anmälningsskyldigheten omfattar datasamlingar både inom den offentliga och den privata sektorn och även datasamlingar som har tillkommit genom statsmaktsbeslut. Av utformningen av förevarande paragraf framgår att en anmälan måste

SOU 1993: 10 439

göras för varje ändamål för vilket personuppgifter behandlas. Inget hindrar att en anmälan görs genom telefax. Arkivmyndigheter som mottagit personuppgifter för förvaring undantas genom bestämmelsen i 8 § i lagförslaget från anmälningsplikten. Vilka uppgifter en anmälan skall innehålla framgår 38 av Av l0 § förvaltningslagen 1986:223 framgår handling att en anses komma in till en myndighet den dag då handlingen, eller avi en om en betald postförsändelse som innehåller handlingen, anländer till myndigheten eller kommer en behörig tjänsteman till handa. Får myndigheten en särskild underrättelse om att ett telegram till myndigheten finns hos televerket, anses telegrammet komma in redan när underrättelsen når en behörig tjänsteman. Om det kan antas, sägs det vidare i den berörda paragrafen i förvaltningslagen, att handlingen eller en avi om denna en viss dag har lämnats i myndighetens lokal eller avskilts för myndigheten på en postanstalt, anses den ha kommit in den dagen, om den kommer behörig tjänsteman till handa en närmast följande arbetsdag. I den allmänna motiveringen har utredningen tagit avstånd från en ordning som innebär att anmälningarna kombineras med någon form av tidsfrist, räknad från anmälningsdagen, inom vilken behandlingen av personuppgifter inte fick påbörjas. Under den fristen skulle inspektionen ges möjlighet att överväga behovet ingripande. Skälet av till utredningens ställningstagande var att ett system med tidsfrister skulle kunna utvecklas till ett slags tillståndsförfarande. En anmälan enligt utredningens förslag skall inte betraktas som någonting annat än en vägledning till de känsliga datasamlingama, för Datainspektionen men också för den enskilde. I den aktuella bestämmelsen föreskrivs i stället att en anmälan skall ha kommit in till Datainspektionen, innan behandlingen av personuppgifterna får inledas. Därigenom fâr inspektionen i princip möjlighet att ta del av en anmälan innan behandlingen av personuppgifterna börjar. Det får ankomma på den persondataansvarige att förvissa sig att om hans anmälan har kommit in till inspektionen. De undantag från anmälningsskyldigheten tas i andra som upp stycket motsvaras av de undantag från tillståndsplikten i 2 som anges a § tredje stycket i den nuvarande datalagen. I den allmänna motiveringen avsnitt 5.3 har berörts hur anmälningsskyldigheten förhåller sig till anmälningsplikten enligt förslaget till EG-direktiv.

38 § En anmälan till Datainspektionen skall innehålla uppgift om den persondataansvariges namn, postadress och telefonnummer, ändamålet med behandlingen av personuppgifterna,

440 SOU 1993: 10

det stöd i lag eller annan författning som finns för behandlingen av personuppgifterna, vilken typ personuppgifter som skall behandlas, av vilka personuppgifter som skall lämnas ut och till vem, vilka säkerhetsåtgârder som skall vidtas, samt när gallring skall ske. Om ändring sker av de förhållanden som har redovisats en i en anmälan enligt första stycket, skall Datainspektionen skriftligen underrättas om förändringen.

Bestämmelsen innehåller fullständig uppräkning av de uppgifter som en anmälan till Datainspektionen måste innehålla. en Enligt gällande rätt skall en anmälan för licens innehålla följande uppgifter 2 § dataförordningen:

Den registeransvariges namn, postadress och personnummer eller organisationsnummer. 2. Namnet den person hos den registeransvarige som datainspektionen i första hand bör vända sig till i frågor som rör personregister samt dennes telefonnummer.

Datainspektionen har möjlighet att medge undantag från ett eller flera de krav ställs på en anmälan. Inspektionen tillhandahåller av som blanketter för licensanmälan. Av blanketterna framgår tydligt vilka uppgifter skall lämnas och däri lämnas också allmänna uppsom licensskyldighet enligt datalagen. lysningar om En tillstândsansökan enligt gällande ordning skall innehålla betydligt fler uppgifter anmälan. l 8 § dataförordningen uppställs följande än en krav på innehållet i en ansökan om tillstånd:

Den regiseransvariges nanm, postadress, telefonnummer och personnummer eller organisationsnummer. 2. Namnet på och telefonnumret till den person som datainspektionen i första hand bör vända sig till med frågor i ärendet. Numret på den registeransvariges licens hos inspektionen. 4. ljersonregistrets benämning. Andamálet med registret. En fullständig förteckning över de uppgifter som skall ingå i den automatiska databehandlingen och en redogörelse för varifrån och vad sätt uppgifterna skall inhämtas. 7. Vilken bearbetning som skall utföras med automatisk databehandling och förfarandet vid denna behandling. En fullständig förteckning över de uppgifter som skall göras tillgängliga och en redogörelse för till vem och vad sätt de skall lämnas ut. En beskrivning av den tekniska utrustning som huvudsakligen skall användas och uppgift om var denna finns uppställd. lO. På vad sätt en registrerad skall kunna få del av de uppgifter som innefattar upplysning om honom eller underrättas om att någon sådan uppgift inte förekommer i registret samt huruvida en sådan upplysning eller underrättelse skall vara avgiftsbelagd. 11. Hur och när rättelse av en felaktig uppgift i registret skall ske.

12. Hur upptagningar för automatisk databehandling skall bevaras och när gallring skall ske. 13. Hur upptagningar för automatisk databehandling skall förvaras. 14. Hur uppgifter skall kunna ersättas en upptagning för automatisk om databehandling förstörs. På vad sätt användningen datamaskiner och datamedier skall 15. av registreras. 16. Vilka säkerhetsåtgärder som skall vidtas i övrigt. Vilka bestämmelser sekretess kan vara tillämpliga på 17. om som uppgifter i registret. 18. Huruvida och vad sätt de registrerade skall informeras om att personregistret förs.

Datainspektionen har möjlighet medge undantag från ett eller flera att de krav uppställs på en ansökan. av som Även för tillståndsansökningar tillhandahåller inspektionen blanket-

ter. ansökan eller anmälan är ofullständig skall Datainspektionen Om en förelägga sökanden komplettera handlingarna 9 § dataförordatt ningen. I föreläggandet skall inspektionen upplysa om att ärendet kan

komma avgöras i befintligt skick om komplettering inte sker. att

Genom det förenklade ansökningsförfarandet se avsnitt 13.2 har

ansökningsförfarandet hos inspektionen rationaliserats. Inom de

föreskrifter utfärdats görs ansökningarna på särskilda områden där En särskild blankett har utarbetats i anslutning till varje blanketter. föreskrift DIFS förenklat ansökningsförfarande. Eftersom om föreskrifterna i regel innehåller relativt detaljerade bestämmelser om

registret får innehålla, under vilka förutsättningar uppgifter får vad gallring skall ske är det ett minimum av uppgifter lämnas ut, hur m.m. lämnas i de förenklade ansökningarna. som Förslaget till EG-direktiv föreskriver att anmälan till tillsynsmynen digheten skall innehålla den persondataansvariges namn och adress,

ändamålet eller ändamålen med behandlingen, de kategorier av

enskilda berörs, beskrivning vilka uppgifter eller kategorier som en av uppgifter behandlingen till vilka utomstående eller av som avser, kategorier utomstående uppgifter kan komma att lämnas ut, av som tilltänkta överföringar uppgifter till annat land samt en beskrivning av vilka åtgärder vidtagits i datasäkerhetshänseende art 18.2. De av som direktivet uppställer är minimikrav och det finns således krav som ingenting hindrar medlemsländerna uppställer ytterligare krav som att på vad en anmälan skall innehålla. Anmälningarna till Datainspektionen är i första hand avsedda att

till grund för inspektionens tillsynsverksamhet. Det är mot den ligga utredningens förslag vad anmälan skall innehålla bakgrunden om en

bör ses. Eftersom lagförslaget innehåller åtskilliga bestämmelser som

anknyter till ändamålet med behandlingen personuppgifter punkt 2 av väsentligt ändamålet med behandlingen anges i anmälan. är det att

Enligt den grundläggande bestämmelsen i 9§ får personuppgifter samlas in endast för bestämda och uttryckliga ändamål och i övrigt behandlas endast på ett sätt som är förenligt med dessa ändamål. Enligt 13 § får endast sådan personuppgifter som behövs för ett visst ändamål

behandlas. Ändamâlsangivelsen måste förhållandevis preciserad.

vara Beträffande preciseringen ändamålet hänvisas för av övrigt till specialmotiveringen till 9 Anmälningsskyldigheten omfattar bara behandling av sådana känsliga personuppgifter som anges i 20 § i lagförslaget. Enligt den paragrafen krävs det för att behandling skall ske antingen samtycke eller författningsstöd. För att Datainspektionen skall kunna kontrollera lagligheten av den behandling känsliga uppgifter framstår som avser det som nödvändigt att det författningsstöd finns för behandlingen som av uppgifterna punkt 3 i anmälan. Hänvisning anges får alltså göras till den författning stöd för behandlingen som ger av de känsliga uppgifterna, t.ex. 30 § i lagförslaget uppgifterna skall behandlas om för forskningsändamål. Sker behandlingen med de berörda enskildas samtycke får hänvisas till 20 § i lagförslaget. Upplysningar om vilka känsliga uppgifter behandlas som punkt 4 bör normalt kunna lämnas hänvisning till de bestämmelser genom en i författning som reglerar behandlingen. I den mån behandlingen grundar sig på samtycke får dock alltid närmare anges vilken typ av uppgifter som det rör sig om. Uppgift om vilka personuppgifter skall lämnas och till som ut vem skall också anges punkt 5. Om den persondataansvarige är en myndighet får myndigheten att alla inte sekretessbelagda uppge personuppgifter som utgör allmän handling kan komma lämnas att ut till den som begär att ta del uppgifterna. av Hur säkerhetsåtgärdema skall redovisas i en anmälan och hur tidpunkten för gallring kan punkterna 6 och 7 har diskuterats anges i anslutning till 17 19 och i avsnitt 15.1 i den allmänna motive- ringen. Om en ändring sker av de förhållanden har redovisats i som en anmälan, skall enligt andra stycket Datainspektionen skriftligen underrättas om förändringen. Med ändring naturligtvis också en avses att den persondataansvarige upphör att behandla personuppgifterna. Syftet med bestämmelsen är att det hos Datainspektionen alltid skall finnas en aktuell sammanställning över den behandling känslig av information som förekommer här i landet. Den föreslagna bestämmelsen om innehållet i anmälan innefattar en vissa avvikelser i förhållande till förslaget till EG-direktiv. Eftersom anmälningsskyldigheten enligt 37 § bara omfattar känsliga uppgifter, kommer behandlingen av andra personuppgifter inte redovisas till att dataskyddsmyndigheten. Inte heller kan till dataskyddsmyndigheten redovisas utlämnande sådana personuppgifter allmän av som utgör handling.

SOU 1993: 10 443

Datainspektionens tillsyn m.m.

39 § Datainspektionen utövar tillsyn över efterlevnaden av denna lag, föreskrifter meddelade med stöd av 36 § i lagen eller annat beslut riksdagen eller regeringen om behandling av av personuppgifter.

I denna paragraf och de närmast följande behandlas Datainspektionens uppgifter och befogenheter i det nya tillsynssystemet. Enligt utredningens förslag blir inspektionens framtida huvuduppgift att utöva tillsyn över efterlevnaden gällande bestämmelser inom dataskyddsav omrâdet. I avsnitten 14 och 17 i den allmänna motiveringen har utredningen närmare utvecklat sin på inriktningen och omfattningen av tillsynen syn i det systemet. Tillsynsverksamheten enligt den nya datalagen nya kommer i viss mán att få en annan inriktning än den nuvarande. Inspektionens uppgift blir nu att kontrollera efterlevnaden av en lagstiftning förhållandevis utförligt reglerar hanteringen av personsom uppgifter. Inspektionens tillsynsverksamhet har hittills varit begränsad till ett ganska litet antal inspektioner år. Inspektionema har emellertid per visat att efterlevnaden av datalagen inte alltid är särskilt god och att integritetsskyddet till följd härav i vissa avseenden är bristfälligt. Målet är därför inspektionens tillsynsverksamhet skall öka och att andelen att arbetstid avsätts för tillsyn inte skall understiga 60 procent av den som totala arbetstiden. Tanken är att tillsynen i första hand skall inriktas de känsliga, anmälningspliktiga datasamlingarna, att den inte skall vara bemen behandlingen dessa personuppgifter. Även övrig gränsad till av behandling skall kunna kontrolleras stickprovsvis. Utredningen räknar med utökad tillsyn kommer att få vissa allmänpreventiva att en effekter. I paragrafen också översiktligt de bestämmelser som reglerar anges behandling av personuppgifter. l 2 kap. 3 § andra stycket regeringsformen finns grundregeln om skyddet för den enskildes personliga integritet. Enligt bestämmelsen skall varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter honom behandlas. I anslutning till 1 § i lagförslaget finns en om redogörelse för bakgrunden till stadgandet. Den allmänt formulerade regeln i regeringsformen fylls ut med en detaljerad reglering i bl.a. datalagen. Med stöd av 36 § i mera eller, efter regeringens bemyndiganlagförslaget ges vidare regeringen de, Datainspektionen behörighet att under vissa förutsättningar meddela närmare föreskrifter tillämpningen av vissa bestämmelser i om

lagförslaget. En behandling som strider mot sådana föreskrifter är inte tillåten. Andra regler om behandling av personuppgifter kan tillkomma genom att statsmakterna fattar beslut om s.k. statsmaktsregister. Det kan vara fråga om t.ex. rcgisterlagar. Regeringen eller, efter bemyndigande, Datainspektionen kan även med stöd av 8 kap. 13 § första stycket 2 regeringsformen meddela föreskrifter om behandlingen av personuppgifter inom den statliga förvaltningen. En behandling av personuppgifter får inte heller strida mot dessa beslut. Frågan om statsmaktsregister har behandlats närmare i avsnitt 9 i den allmänna motiveringen. Enligt artikel 30 i förslaget till EG-direktiv skall självständig en myndighet utöva tillsyn över skyddet av personuppgifter. Myndigheten skall övervaka tillämpningen av de nationella föreskrifter har som antagits till följd av direktivet och utöva alla de funktioner den har som tilldelats genom direktivet. I enlighet med detta gäller enligt förevarande paragraf att Datainspektionen skall utöva tillsyn över efterlevnaden av de bestämmelser som reglerar integritetsskyddet. De svenska förvaltningsmyndigheternas självständighet i enskilda tillämpningsfall samt möjligheten att överklaga inspektionens beslut till förvaltningsdomstol 51 §, torde innebära att kravet i direktivet pâ oberoende en myndighet är uppfyllt. Enligt artikel 15 i direktivförslaget skall den enskilde ha rätt att när som helst på lagliga grunder göra invändning mot behandling av personuppgifter hänför sig till honom. Är invändningen besom rättigad, skall den persondataansvarige stoppa behandlingen av personuppgifterna. Dataskyddsmyndigheten skall, enligt artikel 30.3, handlägga klagomål från enskilda som rör skyddet av enskilda vid behandling av personuppgifter och underrätta vederbörande om utgången i ärendet. Någon motsvarighet till dessa föreskrifter finns inte i utredningens förslag. Enskilda kan i Sverige vända sig till den persondataansvarige eller Datainspektionen utan stöd särskilda av bestämmelser därom i datalagen.

40 § Om personuppgifter behandlas eller det framgår av en anmälan att personuppgifter avses bli behandlade i strid med vad som gäller för behandlingen, får Datainspektionen för att åstadkomma rättelse meddela villkor för denna. I fråga om behandling andra personuppgifter än av som avses i 20§ och som utgör allmän handling får dock inspektionen meddela villkor om gallring endast synnerliga om skäl föreligger. Villkor som rör utlämnande av personuppgift får inte inskränka en myndighets skyldigheter enligt tryckfrihetsförordningen.

SOU 1993: 10 445

I paragrafen ges Datainspektionen en rätt att meddela särskilda villkor för att åstadkomma rättelse i de fall personuppgifter behandlas på ett otillåtet sätt. De villkor inspektionen kan meddela har sin motsvarighet i de föreskrifter som i dag meddelas med stöd av 5 och 6 §§ i den gällande datalagen. Ett ingripande från Datainspektionen blir normalt aktuellt när man anmälan, en inspektion eller på annat sätt upptäcker att en genom en otillåten personuppgiftshantering pågår. I vissa fall kan dock villkor meddelas redan innan behandlingen har påbörjats. Läget kan nämligen det att en persondataansvarig av någon anledning dröjer med att vara påbörja behandlingen av uppgifterna sedan han gett in en anmälan. Ett ingripande får då ske redan när det av anmälan framgår att personuppgifterna avses bli behandlade på ett otillåtet sätt. I fråga karaktären av de villkor som meddelas finns en skillnad om i förhållande till gällande rätt. De föreskrifter som Datainspektionen i dag meddelar får materiell utfyllnad av en mera generellt ses som en utformad datalag. Med utredningens förslag, som innebär en förhållandevis detaljerad reglering av behandlingen av personuppgifter, är syftet inte att Datainspektionens villkor skall bli en utfyllnad av datalagens materiella reglering. Syftet med de villkor som kan meddelas med stöd av förevarande paragraf är endast att åstadkomma rättelse. I motsats till gällande rätt innehåller utredningens förslag inte någon detaljerad reglering av i vilka avseenden villkor kan meddelas. Utredningen har övervägt att göra en sådan detaljerad uppräkning i lagtexten stannat för att den avgränsning som görs, att villkoren men skall ut att åstadkomma rättelse, bör vara tillräcklig. Utgångspunkten är de materiella regler som finns för en viss personuppgiftshantering och villkoren får inte innebära annat än att bringa en viss behandling i överensstämmelse med de materiella reglerna. Om t.ex. Datainspektionen anser att ett uppgivet ändamål för behandlingen inte är tillräckligt preciserat, kommer villkoret att innebära att behandlingen skall ske för ett mera preciserat ändamål jfr 9 §. Anser Datainspektionen att vissa personuppgifter inte behövs för ett visst ändamål, blir villkoret att dessa personuppgifter inte får behandlas jfr 13 §. De villkor meddelas får givetvis inte strida mot bestämmelser som i datalagen eller andra författningar. Villkoren får t.ex. inte innebära att offentlighetsprincipen begränsas. En erinran om det sistnämnda har gjorts i tredje stycket av paragrafen. Om det visar sig att en persondataansvarig inte ställer sig till efterrättelse ett villkor från Datainspektionen har inspektionen möjlighet att med stöd 41 § förbjuda fortsatt behandling av de berörda uppav gifterna. En persondataansvarig som bryter mot ett villkor kan också dömas till straff 47 §.

Bestämmelserna i första stycket innefattar också rätt för en Datainspektionen att meddela villkor om gallring. l enlighet med vad som har sagts i den allmänna motiveringen avsnitt 15.2.6 gäller första stycket dels gallring av alla personuppgifter som behandlas av enskilda, dels gallring av de mer integritetskänsliga datasamlingarna som utgör allmän handling. Den allmänna gallringsnormen för personuppgifter finns i 19 Registerförfattningarna kan innehålla särskilda materiella gallringsregler. I paragrafens andra stycke regleras Datainspektionens möjligheter att meddela villkor om gallring i fråga om de datasamlingar som utgör allmän handling och som inte innehåller känsliga uppgifter enligt 20 § i lagförslaget. Datainspektionen har, i likhet med vad som gäller enligt 18 § i den nuvarande datalagen, getts en möjlighet att i undantagsfall meddela villkor för gallringen. Genom kravet pá synnerliga skäl har utredningen velat betona att möjligheten att meddela villkor skall användas restriktivt och endast i de fall det framstår som nödvändigt med hänsyn till risken för integritetsintrâng. Enligt artikel 30.2 i förslaget till EG-direktiv skall dataskyddsmyndigheten ha möjligheter att undersöka och effektivt ingripa mot behandling av personuppgifter. För att kunna fullfölja sina uppgifter skall myndigheten ha rätt till tillgång till uppgifter vars behandling täcks av direktivet och behörighet att samla in all information är som nödvändig för att dess övervakande funktion skall kunna fullgöras. Dataskyddsmyndighetens möjligheter till ingripande skall innefatta rätt att besluta om innehållande eller utplânande av personuppgifter, tillfälligt eller definitivt förbud att behandla personuppgifter, förstörelse av datamaterial eller om varning till den persondataansvarige. Dataskyddsmyndigheten skall vidare ha möjlighet att väcka talan vid domstol vid överträdelse av dataskyddsbestämmelserna. Förevarande och följande paragrafer ger enligt utredningens mening Datainspektionen de befogenheter som behövs för en effektiv tillsyn. Utredningens förslag ger dock inte inspektionen möjlighet att besluta om innehållande av personuppgifter, förstörelse av datamedium jfr dock vad som sägs i anslutning till 41 § i lagförslaget eller om varning till den persondataansvarige. Av skäl som har utvecklats i avsnitt 17.4 har Datainspektionen inte heller getts befogenhet att väcka talan vid domstol.

41 § Kan rättelse inte åstadkommas på annat sätt, får Datainspektionen vid vite förbjuda den persondataansvarige att i fortsättningen behandla personuppgifterna. Om det är sannolikt att en enskild tillfogas betydande skada vid en fortsatt behandling, får Datainspektionen vid vite förbjuda annan behandling än lagring att gälla för tiden intill dess frågan om fortsatt behandling slutligt har avgjorts eller

SOU 1993: 10 447

annat har förordnats. Innan ett sådant beslut meddelas skall den persondataansvarige ha fått tillfälle att yttra sig, det om inte är fara i dröjsmål. Bestämmelserna i första och andra styckena gäller inte sådan behandling av personuppgifter riksdagen eller som regeringen har beslutat om.

Trots den möjlighet som Datainspektionen har att med stöd 40 § av första stycket i förslaget meddela villkor för att åstadkomma rättelse vid en otillåten behandling av personuppgifter, kan det tänkas uppkomma fall där det inte går att åstadkomma rättelse att genom meddela villkor. Om t.ex. någon av förutsättningarna enligt ll § för behandling av personuppgifter inte föreligger i ett visst fall, måste ingripandet från Datainspektionen få formen av ett förbud att behandla uppgifterna. Det kan också finnas fall där den persondataansvarige vägrar att följa de villkor som inspektionen meddelat. Vid sidan av möjligheten att meddela villkor har Datainspektionen därför i förevarande paragraf givits möjlighet att vid vite förbjuda den persondataansvarige att fortsättningsvis behandla personuppgifter. Även enligt gällande rätt har inspektionen befogenhet att förbjuda fortsatt förande av personregister l8§ andra stycket datalagen. Någon möjlighet att förena ett sådan förbud med vite ger dock inte den nuvarande datalagen. Det nya förslaget är avsett att ge inspektionen större möjligheter att komma tillrätta med behandling personuppgifav ter som strider mot vad som gäller för behandlingen. Fördelen med ett vitesförbud i förhållande till enbart straffsanktion eller möjlighet att kräva skadestånd är att varken uppsåt eller oaktsamhet behöver styrkas. Det räcker med att en otillåten personuppgiftshantering kan konstateras objektivt sett och att rättelse inte kan åstadkommas genom villkor. Med den definition av behandling som finns i 3 § i utredningens förslag innebär ett förbud i enlighet med första stycket i denna paragraf att de personuppgifter som finns måste utplånas. En persondataansvarig kan dock ställa sig till efterrättelse ett förbud även på det sättet att personuppgifterna avidentifieras. Vad som avses med avidentifiering har berörts i anslutning till 2 Däremot är det inte tillräckligt att personuppgifterna krypteras. I vissa fall torde ett förbud föra med sig att ett datamedium måste förstöras, t.ex. en CD-ROM-skiva. Enligt en allmän princip som kommit till uttryck bl.a. i NJA 1982 s. 633 kan vite inte föreläggas när straff är utsatt, om inte undantag från principen följer av en särskild föreskrift. Samma gärning får inte heller föranleda både vite och straff. Eftersom en överträdelse av ett förbud som Datainspektionen meddelat med stöd förevarande av paragraf har straffsanktionerats i 47 § första stycket har i 47 § tredje stycket tagits in en erinran att den överträtt ett om som

vitesförbud meddelat med stöd av 41 § inte får dömas till straff för överträdelse som omfattas av förbudet. Ett vitesföreläggande kan riktas både till fysiska och juridiska Någon högsta gräns för vitesbeloppets storlek finns inte personer. föreskrivet. Vitesbeloppet skall därför enligt vad som följer av 3 § lagen 1985:206 om viten bestämmas till ett belopp som med hänsyn till vad som är känt om adressatens ekonomiska förhållanden och till omständigheterna i övrigt kan antas förmå honom att följa det föreläggande som är förenat med vitet. Frågan om utdömande av vitet prövas av länsrätten på ansökan av Datainspektionen. I andra stycket ges Datainspektionen en möjlighet att förbjuda annan fortsatt behandling än lagring i de fall det framstår som sannolikt att fortsatt behandling förorsakar en eller flera personer betydande en skada. Även här förutsätts att det är fråga otillåten behandling av om personuppgifter och att rättelse inte kommer till stånd på något annat sätt. Eftersom det är frågan om ett interimistiskt förbud med därmed följande lägre beviskrav i fråga om den skadliga effekten, har det ansetts rimligt att personuppgifterna får lagras till dess frågan om den fortsatta behandlingen slutligt har avgjorts. Personuppgifterna behöver således inte, till skillnad från vad som gäller vid ett förbud enligt första stycket, utplånas eller avidentifieras. Beslutet om ett vitesförbud enligt andra stycket skall i princip föregås av ett kontradiktoriskt förfarande. Om det föreligger fara i dröjsmål kan emellertid inspektionen underlåta att höra den persondataansvarige innan beslutet fattas. Möjligheterna att förbjuda viss behandling gäller enligt tredje stycket inte sådan behandling personuppgifter som beslutats av riksdagen av eller regeringen. Ett sådant förbud skulle kunna få karaktären av en överprövning av statsmakternas beslut. Finner Datainspektionen att en föreskrift som meddelats av riksdagen eller regeringen bör ändras, eller att ett s.k. statsmaktsregister inte bör få föras, åligger det i stället inspektionen att göra framställning härom jfr prop. 1973:33 s 144. en

42 § Datainspektionen skall utöva tillsynen så att den inte vållar större kostnad eller olägenhet än som är nödvändig.

I förhållande till gällande rätt har paragrafen endast ändrats redaktio- 15 § andra stycket i den gällande datalagen. nellt. Den motsvaras av

SOU l993: 10 449

43 § Datainspektionen har rätt att för tillsynen få tillträde till lokal där automatisk databehandling utförs eller där datamaskin eller utrustning eller upptagning för automatisk databehandling förvaras. Inspektionen har vidare rätt att få tillgång till handling som rör automatisk databehandling samt föranstalta om uttag, sökningar eller sammanställningar genom automatisk databehandling.

Paragrafen har sin motsvarighet i 16 § i den gällande datalagen. Inga sakliga ändringar har företagits. Den möjlighet som i dag finns för inspektionen att med stöd av 24 § i den gällande datalagen förelägga vite i de fall registeransvarig underlåter att lämna tillträde till lokal en eller tillgång till handling som rör behandling har i utredningens förslag tagits upp i 50 Inspektionen har i dag inga möjligheter att för sin tillsyn tvångsvis bereda sig tillträde till lokal där man misstänker att det förekommer automatisk databehandling eller att det finns viss datorutrustning. Utredningen har övervägt att ge inspektionen möjlighet till handräckning för att bereda sig tillträde till lokal i de fall inspektionen kan göra sannolikt att så är förhållandet. Datainspektionen menar, att det goda grunder kan misstänkas att ett antal företag lämnar oriktiga uppgifter i samband med inspektionens licenskampanjer. Ett antal företag, är sådan storlek att de uppenbarligen måste använda som av en ADB i sin verksamhet, svarar på inspektionens förfrågningar att de inte har någon datorutrustning. I dessa fall har inspektionen ingen möjlighet att tvângsvis bereda sig tillträde till lokalerna för att kontrollera uppgifterna. Problemen för Datainspektionen riktigheten av i detta avseende emellertid inte ha varit så stora att de påkallar synes några omedelbara åtgärder och utredningen har därför avstått från att lämna något förslag om handräckning. Skulle det visa sig att inspektionen i sin nya tillsynsorienterade verksamhet får svårigheter att bereda sig tillträde till lokaler för att utöva tillsyn, kan detta givetvis utgöra skäl att på nytt ta upp frågan om inspektionens behov av tvångsmedel.

44§ Den persondataansvarige skall lämna Datainspektionen de uppgifter om den automatiska databehandlingen som inspektionen begär för sin tillsyn. En sådan uppgiftsskyldighet har även den för den persondataansvariges räkning som behandlar personuppgifter.

Bestämmelsen överensstämmer i sak med 17 § i den gällande datalagen. Om den persondataansvarige eller den som för den persondataansvariges räkning behandlar personuppgifter underlåter att lämna information enligt 44 § får Datainspektionen förelägga vite enligt 50 §

i förslaget. Den som uppsåtligen eller oaktsamhet lämnar av osann uppgift i fall som avses i 44 § kan straffas enligt 47 § första stycket

Övriga bestämmelser

Överföring till utlandet

45 § Om det finns anledning anta att personuppgifter skall behandlas i utlandet, får uppgifterna lämnas ut endast efter medgivande av Datainspektionen. Sådant medgivande får lämnas endast om det kan antas att i motsvarande fall personuppgifterna hade fått behandlas här i landet. Något medgivande behövs dock inte, om personuppgifter skall behandlas enbart i en stat som har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter eller i en stat som har ett motsvarande skydd. Regeringen får föreskriva vilka stater som skall anses ha ett skydd motsvarande det som anges i konventionen. I det allmännas verksamhet tillämpas i stället bestämmelserna i sekretesslagen 1980:100.

I paragrafen regleras möjligheterna att lämna ut personuppgifter för behandling utanför Sverige. Den gällande datalagen ll § innehåller en regel om särskilt medgivande från Datainspektionen för att lämna ut personuppgifter i enskild verksamhet för ADB i utlandet. Bestämmelsen är tillämplig pâ personuppgifter vare sig uppgifterna ingår i personregister i datalagens mening eller inte. Datainspektionens medgivande behövs oavsett om uppgifterna lämnas på ADB-medium, skriftligen eller på sätt. annat För det allmännas verksamhet finns motsvarande bestämmelser i 7 kap 16 § sekretesslagen. Undantag från kravet på medgivande gäller om uppgifter skall lämnas ut för ADB enbart i stat anslutit sig till en som Europarâdets konvention skydd för enskilda vid automatisk om databehandling av personuppgifter. Konventionen bygger, liksom förslaget till EG-direktiv, att gränskontroll av dataflöde inte behövs för länder som har en gemensam nivå på integritetsskyddet. Det önskvärda i att underlätta gränsöverskridande informationsflöden ligger också bakom direktivförslagets krav på ett fullgott integritetsskydd. Datainspektionens möjlighet dispens från förbudet utlämatt ge mot nande kan lämnas såväl i ett särskilt fall som mera generellt, t.ex. beträffande ett visst register prop. 1973:33 140. s. Enligt 0ECD:s riktlinjer på området skall medlemsländerna vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall medlemsländerna avhålla sig från att göra inskränkningar i fråga flödet om av personuppgifter från det egna landet till andra medlemsländer. Sådana

inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om personuppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integritetslagstiftning därigenom kringgås. Ett medlemsland får också göra inskränkningar i fråga om personuppgifter för vilka den inhemska integritetslagstiftningen innehåller särskilda skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlandet. I förslaget till EG-direktiv åläggs medlemsstaterna att föreskriva att överföring av personuppgifter till ett icke-medlemsland endast får förekomma om det landet har en tillfredsställande skyddsnivå an adequate level of protection, art. 26.1. Bestämmelsen är emellertid inte utan

undantag. Överföring till ett icke-medlemsland som inte tillförsäkrar

en tillfredsställande skyddsnivå får bl.a. ske om den enskilde samtyckt till överföringen i syfte att företa vissa förberedande åtgärder för att ingå ett avtal eller om överföringen är nödvändig för viktiga allmänna intressen. Det är medlemsstaten som kan godkänna överföringen till ett land som inte har en tillfredsställande skyddsnivå an. 27.1. Medlemsstaten skall i god tid underrätta Kommissionen och övriga medlemsstater om att den planerar att tillåta en överföring art. 27.2. Om en annan medlemsstat eller Kommissionen protesterar mot tillåtandet av överföringen, skall Kommissionen vidta lämpliga åtgärder. Enligt kommentaren kan Kommissionen bl.a. ställa upp ytterligare villkor eller förbjuda överföringen art. 27.3. Bedömningen av om ett icke-medlemsland upprätthåller en tillfredsställande skyddsnivå the adequacy of the level of protection skall ske i ljuset av alla omständigheter kring en överföring. Särskilt skall beaktas vilket slag av uppgifter överföringen gäller, ändamålet med behandlingen, behandlingens varaktighet samt den lagliga reglering och de yrkesetiska regler som finns i icke-medlemslandet art. 26.2. Om en medlemsstat anser att ett icke-medlemsland inte upprätthåller en tillfredsställande skyddsnivå skall EG-kommissionen underrättas härom. Det blir sedan Kommissionens uppgift att ingå förhandlingar med tredje land för att försöka avhjälpa situationen art. 26.3 och 4. Direktivförslaget ger också Kommissionen möjlighet att besluta att ett icke-medlemsland har en tillfredsställande skyddsnivå, detta på grundval av dess inhemska lag eller internationella åtaganden art 26.5. De åtgärder som vidtas till följd av artikel 26 i direktivförslaget skall enligt artikel 26.6 stå i överensstämmelse med de skyldigheter som åligger gemenskapen på grund av internationella överenskommelser. En konflikt kan uppstå på grund av skillnader mellan bestämmelserna i ett framtida EG-direktiv och Europarådets dataskyddskonvention. Kan exempelvis Frankrike med stöd av EG-direktivet vägra utlämnande till Sverige, trots att Frankrike ratificerat dataskyddskonventionen och därmed accepterat ett fritt dataflöde i förhållande till

bl.a. Sverige Förslaget till EG—direktiv reglerar inte frågan om förhållandet till Europarâdskonventionen. Under sitt tidigare utredningsarbete noterade utredningen att det i praktiken inte synes vara så vanligt att medgivande enligt datalagen inhämtas. Utredningen menade att det på goda grunder kunde antas att överföring av uppgifter äger rum i strid med bestämmelserna även till länder som inte är konventionsanslutna. Liknande erfarenheter har gjorts i utlandet, bl.a. i Storbritannien. Frågan om utlandsöverföring bör i första hand ses mot bakgrund av den pågående lagharmoniseringen på dataskyddsområdet som i sig skulle onödiggöra särskilda skyddsbestämmelser vid gränsöverskridande kommunikation. Det får förutsättas att ett likartat skydd inom en inte alltför avlägsen framtid antagits, inte bara för Europas del, utan för hela OECD-omrâdet. Syftet med gränskontroll av personuppgifter är naturligtvis att uppgifterna inte används utanför Sverige på ett sätt som innebär integritetskränkning eller i länder där integritetsskyddet är svagare. I avvaktan på att den nödvändiga internationella harmoniseringen genomförts bör därför en viss kontroll behållas. När det gäller personuppgifter som faller inom de områden där utredningen föreslagit att någon anmälan inte behövs, övervägde utredningen att låta informationsöverföringen ske helt fritt. Uppgifter som i Sverige skulle föranleda anmälan, dvs. främst uppgifter av känsligt slag och uppgifter som utgör omdöme om den enskilde, skulle Datainspektionen däremot först pröva innan det medgavs att de fördes utomlands. En nackdel med en sådan uppdelning i "privilegierade" och "icke-privilegierade" uppgifter är att sambearbetningsmöjligheter utomlands inte kan beaktas. Uppgifter som i Sverige endast är av mindre känsligt slag skulle likväl efter bearbetning kunna vara känsliga och integritetskränkande. Motsvarande gäller enstaka uppgifters karaktär. Uppgifter som endast tagna för sig i Sverige hänförs till kategorin icke-känsliga kan i ett annat land anses vara känsliga. Mot denna bakgrund valde utredningen att föreslå att all informationsöverföring som sker till länder som inte omfattas av konventionen på området skulle omfattas av kontrollen och kräva medgivande av Datainspektionen. En sådan lösning synes också ligga i linje med direktivförslagets krav när det gäller överföring till tredje land. Om länder, som inte är konventionsanslutna, likväl bedöms ha en tillfredsställande skyddsnivå på sin lagstiftning, bör överföring mera allmänt kunna tillåtas också till dessa länder. Regeringen bör i en förordning kunna ange vilka länder som kan komma i fråga. Nästan alla remissinstanser som tagit upp frågan i sina yttranden har ställt sig positiva till utredningens förslag angående utlandsöverföringar. Till dessa remissinstanser hör Kammarrätten i Stockholm, Datainspektionen, Svenska kommunförbundet och Landstingsförbundet. Hovrätten över Skåne och Blekinge delar också i huvudsak utredningens uppfattning att utlämnande av personuppgift för automatisk

SOU 1993: 10 453

databehandling i stat som inte anslutit sig till Europarådets konvention eller har motsvarande skyddsnivå skall få ske endast efter tillstånd. Hovrätten menar emellertid att de effekter utredningens förslag kan få för möjligheten att utnyttja den moderna kommunikationstekniken bör analyseras noggrarmare. Sveriges Industnförbund och Svenska Arbetsgivareföreningen finner det otillfredsställande att utredningen förslagit att Datainspektionens medgivande även i fortsättningen måste inhämtas vid informationsöverföring till länder som inte anslutit sig till Europarådets dataskyddskonvention. Man påpekar att förslaget innebär att företag, verksamma

i Sverige men inte nödvändigtvis svenskägda som ingår i koncerner

med moder- och dotterbolag i andra länder, i vissa fall inte utan att begå lagbrott kan överföra uppgifter från personal- och olika ekonomiadministrativa system till utlandsföretagen utan att ansöka om medgivande och avvakta beslut härom från den svenska tillstånds- och tillsynsmyndigheten. Det föreslås att utredningen överväger möjligheterna att verka för att överföringar till den krets av länder som tillhör OECD och följer organisationens riktlinjer på området undantas från kravet på tillstånd från Datainspektionen. I sina fortsatta överväganden har utredningen på nytt tagit upp informationsflödet över gränserna och konstaterat att det har frågan om visat sig svårt att genom lagstiftning reglera frågan. Den tekniska vara utvecklingen gör det, som en remissinstans påpekat, svårt att avgöra personuppgift under transport blir föremål för automatisk var en databehandling. Efterlevnaden av bestämmelserna är också svår att kontrollera. Vissa problem med informationsflödet inom internationella koncerner har också förts fram under remissbehandlingen. Enligt utredningens mening kan man komma till rätta med de nu angivna svårigheterna endast genom att fler länder efter hand undantas från tillståndskravet. Behovet av reglering av det internationella informationsutbytet torde också komma att minska i takt med att alltfler länder inför lagreglering som innebär ett acceptabelt integritetsskydd. en De länder f.n. har anslutit sig till Europarådskonventionen är, som förutom Sverige, Frankrike, Spanien, Norge, Tyskland, Storbritannien, Luxemburg, Österrike, Danmark, Finland, Irland och Island. De länder skulle kunna bli aktuella i en förordning om stater som som skall ha ett skydd motsvarande det som anges i Europarådets anses konvention är t.ex. Nederländerna, Belgien, Portugal och Schweiz. I sak torde utredningens förslag om överföring till utlandet inte innebära någon skillnad i förhållande till gällande rätt. Enligt den nuvarande datalagen får Datainspektionen lämna medgivande till utlämnande endast om det kan antas att utlämnandet inte kommer att medföra otillbörligt intrång i någons personliga integritet. Eftersom utredningen valt att utmönstra begreppet otillbörligt intrång i personlig integritet lagen, krävs i stället att det kan antas att behandlingen i ur motsvarande fall hade kunnat äga rum här. Vid sin prövning har

således Datainspektionen att utgå från de kriterier gäller för som personuppgifter som behandlas inom landet. De skyddsregler finns som i den främmande staten kan givetvis ha utformning, det en annan men skydd som lämnas skall i huvudsak motsvara integritetsskyddet i Sverige. Liksom för närvarande bör gälla att Datainspektionen får lämna medgivande till utlämnande såväl i ett särskilt fall som mera generellt. Den som uppsåtligen eller oaktsamhet lämnar personuppgift av ut i strid mot 45 § kan dömas till böter eller fängelse 47 § första stycket 2. I andra stycket hänvisas till sekretesslagens bestämmelser. För myndigheter gäller enligt 7 kap. 16 § andra stycket sekretesslagen att personuppgift personregister som avses i datalagen är sekretessbelagd om det kan antas att ett utlämnande skulle medföra uppgiften att används för automatisk databehandling i utlandet och detta medför att otillbörligt intrång i personlig integritet. Även för myndigheter är det Datainspektionen som prövar frågor utlämnande. Sekretess gäller om dock inte om uppgiften skall användas för automatisk databehandling enbart i en stat som har anslutit sig till Europarådets dataskyddskonvention. Eftersom förbudet för myndigheter att i vissa fall lämna ut uppgifter är att anse som en inskränkning i offentlighetsprincipen har bestämmelsen tagits in i sekretesslagen, där det sådana anses att inskränkningar bör samlas. Bestämmelsen i 7 kap 16 § andra stycket sekretesslagen har ändrats

så att den i sak överensstämmer med 45 § i förslaget till datalag se

avsnitt 22.6.

Tystnadsplikt

46 § En persøndataansvarig eller annan som deltagit vid behandling av personuppgifter får inte obehörigen röja vad han till följd därav fått veta om en enskilds personliga förhållanden. I det allmännas verksamhet tillämpas i stället för vad har som nu sagts bestämmelserna i sekretesslagen 1980:100.

Paragrafen har sin motsvarighet i 13 § första stycket i den gällande datalagen. Någon saklig förändring är inte avsedd. Bestämmelser om påföljd för brott mot tystnadsplikten finns i 20 kap 3 § brottsbalken. Förslaget till EG-direktiv föreskriver i sitt arbete att personer som har tillgång till personuppgifter inte får lämna uppgifter till ut utomstående utan den persondataansvariges tillstånd, såvitt inte det krävs enligt lag eller annan författning art. 17.5.

SOU 1993: 10 455

Straff och skadestånd m.m.

47 § Till böter eller fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet bryter mot bestämmelserna i II, 13 20 eller 30 35 §§ - om behandling av personuppgifter, 2. lämnar ut personuppgift i strid mot 45 lämnar osann uppgift vid fullgörande av skyldighet att lämna underrättelse enligt 25 4. lämnar osann uppgift i fall som avses i 44 bryter mot bestämmelser som regeringen eller Datainspektionen med stöd av 36 § i denna lag har meddelat om tillämpningen av 11, 13 20 och 30 35 §§, - bryter mot villkor eller förbud som meddelats enligt 40 eller 41 eller underlåter att göra anmälan enligt 37 § när sådan skyldighet föreligger. Till böter döms den som uppsåtligen eller av oaktsamhet bryter mot 29 Den som har överträtt ett vitesförbud enligt 41 § får inte dömas till straff för sådan behandling av personuppgifter som omfattas av förbudet.

Frågor om straffbestämmelser m.m. har behandlats i avsnitt 19.1 iden allmänna motiveringen. Straffbestämmelserna har införts i förevarande paragraf. Både uppsåtliga gärningar och oaktsamhet har straffbelagts. Strafthöjningen motiveras, som tidigare utvecklats, av både en strävan att ge det föreslagna tillsynssystemet önskad effekt och en förändrad syn på straffvärdet av brott som innebär risker för integritetsintrâng. I första stycket punkt 1 straffsanktioneras brott mot reglerna om behandling av personuppgifter. Det är exempelvis straffbart att behandla personuppgifter för något annat ändamål än det som bestämts den persondataansvarige. Regler om anknytning till ett ändamål av finns i 9 Straffoelagd är också sådan behandling som sker utan att någon de grundläggande förutsättningarna för behandling som anges av i 11 § föreligger Om behandlingen sker med stöd av 11 § första stycket 1 måste samtycke ha lämnats i enlighet med vad som stadgas i 12 § för behandlingen skall laglig. Även behandling att vara en av uppgifter som inte behövs för ett visst ändamål 13 § eller av oriktiga personuppgifter straffsanktionerad. Av 14 § följer att personuppgifter behandlas skall riktiga, fullständiga och aktuella. som vara Personnummer får enligt 15 § inte behandlas om det inte är klart motiverat med hänsyn till ändamålet eller, om det behövs för att säkerställa en identifiering eller av andra beaktansvärda skäl. Före-

456 SOU 1993: 10

ligger inte något av dessa fall är en behandling av personnummer straffbar. I 16§ anges vilka uppgifter skall lämnas till den som enskilde i samband med insamling av personuppgifter från denne. En insamling av personuppgifter från den enskilde sker utan att den som enskilde lämnas underrättelse enligt 16 § har straffsanktionerats. I 17 och 18 §§ finns bestämmelser om vilka säkerhetsâtgärder som den persondataansvarige är skyldig att vidta. Säkerhetsbestämmelserna är av avgörande betydelse när det gäller att skapa ett gott integritetsskydd. Brott mot säkerhetsbestämmelserna har därför straffsanktionerats. Den tekniska utvecklingen kan förutsättas skapa ett behov av en kontinuerlig revidering av säkerhetsbestämmelser. Det har därför varit nödvändigt att ge datalagens bestämmelser om säkerhet en övergripande, generell utformning. Avsikten är att Datainspektionen med stöd av 36 § skall utforma mera detaljerade bestämmelser om säkerhet för sådan behandling som avser känsliga personuppgifter. Brott mot bestämmelser om tillämpningen av säkerhetsbestämmelserna i 17 och 18 §§ som Datainspektionen kan komma att meddela straffsanktioneras i första stycket 5 i förevarande paragraf. Regler om gallring finns i 19 § i lagförslaget. En underlåtenhet att gallra personuppgifter när detta skall ske har straffbelagts. Straffsanktioneringen motiveras med att gallringsregeln riktar sig till alla persondataansvariga och inte endast myndigheter och vissa andra organ som fallet är med arkivlagen. Ur integritetsskyddssynpunkt är det också angeläget att personuppgifter inte bevaras under längre tid än vad behandlingens ändamål kräver eller vad som är motiverat med hänsyn till de motstäende intressen som anges i 19 Beträffande kompetensfördelningen inom gallringsomrâdet och förhållandet till arkivlagen hänvisas till avsnitt 15 i den allmänna motiveringen. Den typ av känsliga uppgifter som anges i 20 § i lagförslaget får inte behandlas om inte den enskilde lämnat sitt samtycke eller beom handlingen har stöd i lag eller författning. De uppgifter annan som anges i 20 § har bedömts som särskilt känsliga ut integritetssynpunkt och en behandling i strid mot 20 § har därför straffsanktionerats. Som tidigare diskuterats förutsätter utredningens förslag att ett antal nya registerförfattningar tillkommer. Brott mot bestämmelserna i "miniregisterlagarna", d.v.s. 30 35 §§ har straffsanktionerats. l ett forskningsprojekt är det exempelvis straffbart att behandla känsliga personuppgifter utan att ha inhämtat den enskildes samtycke om inte någon av förutsättningarna i 30 § första stycket l - 3 föreligger. I paragrafens första stycke punkt 2 straffsanktioneras utlämnande av uppgifter till utlandet som sker utan att erforderligt medgivande inhämtats från Datainspektionen. Något medgivande frän inspektionen erfordras inte när uppgifter lämnas ut till stat har anslutit sig en som till Europarådets dataskyddskonvention eller till en stat som har ett motsvarande skydd. Tanken är att regeringen i en särskild förordning

SOU 1993: 10 457

skall ange till vilka stater som står utanför konventionen uppgifter kan lämnas utan inspektionens tillstånd. Den enskildes rätt att ta del av de uppgifter om honom som behandlas, s.k. 10 terminologi, i § utdrag enligt nuvarande utgör många fall en förutsättning för att den enskilde skall kunna utöva de rättigheter som förslaget till datalag ger honom. Motsvarigheten till 10 § i den gällande datalagen finns i 25 § i lagförslaget. Liksom enligt gällande rätt är det straffbart att lämna osann uppgift i samband med fullgörandet av sin uppgiftsskyldighet första stycket punkt 3. Liksom enligt gällande rätt är det straffbart att lämna osann uppgift till Datainspektionen, när inspektionen begär att få uppgifter för sin tillsyn första stycket punkt 4. I första stycket punkt 5 straffbeläggs brott mot bestämmelser som regeringen eller Datainspektionen med stöd av 36 § kan komma att meddela om tillämpningen av 11, 13 20 och 30 35 §§. Som - närmare utvecklats i avsnitt 14.4 i den allmänna motiveringen förutsätter utredningens förslag till datalag en regelutfyllnad lägre konstitutionell nivå. De bestämmelser som straffsanktioneras i punkt 5 korresponderar med straffbestämmelsen i punkt Enligt 40 § i lagförslaget fâr Datainspektionen, om personuppgifter behandlas eller avses bli behandlade i strid mot gällande bestämmelser, meddela villkor för att åstadkomma rättelse. Brott mot sådana villkor har straffbelagts i första stycket punkt l samma punkt straffsanktioneras också behandling som sker i strid mot vitesförbud som Datainspektionen meddelat med stöd av 41 Vite och straff fâr dock inte kumuleras. En erinran om detta har tagits in i paragrafens tredje stycke. Av 37 § framgår att vissa känsliga personuppgifter inte fâr behandlas förrän en anmälan kommit in till Datainspektionen. En underlåtenhet att göra anmälan enligt 37 § har belagts med straff i första stycket punkt I andra stycket stadgas böter som sanktion för underlåtenhet att i samband med utsändande av handling med personuppgifter till den enskilde, ange vem som är avsändare 29 §. I paragrafens tredje stycke har tagits in en erinran om att de som överträtt ett vitesförbud som Datainspektionen meddelat med stöd av 41 § inte får dömas till straff för överträdelse som omfattas av vitesförbudet.

48 § Om personuppgifter har behandlats innan en anmälan enligt denna lag har kommit in till Datainspektionen, när anmälningsskyldighet föreligger, skall personuppgifterna förklaras förverkade, om det inte är uppenbart obilligt.

458 SOU 1993: 10

Bestämmelsen har sin motsvarighet i 22 § första meningen i den gällande datalagen. Enligt 37 § i lagförslaget skall i fråga om känsliga uppgifter en anmälan ha kommit in till Datainspektionen, innan den persondataansvarige får börja att behandla uppgifterna. Det är, som har berörts i anslutning till 37 den persondataansvariges sak att förvissa sig om att hans anmälan har kommit in till inspektionen. Påbörjas behandlingen av personuppgifterna dessförinnan, kan straff följa enligt 47 § första stycket Av förevarande paragraf följer att de aktuella personuppgifterna dessutom kan förverkas. Bestämmelsen tar sikte på två fall, nämligen dels att en anmälan visserligen görs men efter det att behandlingen av personuppgifterna har inletts, dels att någon anmälan inte görs alls. Vad som enligt paragrafen kan förverkas är personuppgifterna, dvs. informationen som sådan. Däremot kan inte förverkandet avse det datamedium på vilket personuppgifterna finns. I vissa fall torde dock inte personuppgifterna kunna förverkas utan att datamediet förstörs, t.ex. en CD-ROM-skiva. Förverkande kan ske även om personuppgifterna för den persondataansvariges räkning behandlas av en servicebyrå och servicebyrån därvid använder sin egen utrustning. Innebörden av ett förverkande av personuppgifter är att uppgifterna utplånas, dvs. datamediet avmagnetiseras i berörda delar. Ett beslut om förverkande bör också kunna verkställas genom en avidentifiering. Om uppgifterna har något värde även efter en avidentifiering skulle detta kunna vara en möjlighet. Förverkande kan underlåtas om detta skulle vara uppenbart obilligt. Frågan om ett förverkande är att bedöma som uppenbart obilligt eller inte får avgöras på grundval av omständigheterna i det enskilda ärendet. Utrymmet för att underlåta förverkande när anmälningsskyldigheten åsidosätts helt och hållet bör vara begränsat, detta med tanke på den grundläggande betydelse som anmälningsskyldigheten har i det nya systemet. En mindre restriktiv bedömning bör däremot kunna ske i de fall en anmälan kommer in först efter det att personuppgifterna börjat behandlas. En faktor av betydelse är om den påbörjade behandlingen har lett till någon integritetsskada eller risk för sådan skada. De allmänna bestämmelserna om förverkande i 36 kap. brottsbalken är tillämpliga även på förverkande som föreskrivs i annan författning än balken. Enligt 22 § andra meningen i den gällande datalagen kan förverkande också ske när personregister har förts i strid med ett förbud som har meddelats av Datainspektionen. I motsats till vad gäller som i dag skall ett förbud att behandla personuppgifter enligt utredningens förslag 41 § förenas med vite. Det torde inte vara nödvändigt att vid sidan av vitessanktionen ha en möjlighet att förverka de berörda personuppgifterna.

SOU 1993: 10 459

Bland dataskyddsmyndighetens befogenheter finns enligt artikel 30 i förslaget till EG-direktiv även möjligheten att besluta att datamaterial skall förstöras the destruction of data material. Som har framgått finns bara i undantagsfall en motsvarande möjlighet enligt utredningens förslag.

49 § Om en enskild tillfogas skada genom att personuppgift som behandlas är oriktig, ofullständig, inaktuell eller missvisande, skall den persondataansvarige ersätta skadan. Om någon tillfogas skada genom brott som avses i 47§ första stycket, skall den som har gjort sig skyldig till brottet ersätta skadan. Vid bedömandet om och i vad mån skada enligt första eller andra stycket har uppstått skall hänsyn även tas till lidande och andra omständigheter av annan än rent ekonomisk betydelse.

Frågor om skadestånd har behandlats i avsnitt 19.2 i den allmänna motiveringen.

50§ Om en persondataansvarig eller den som för den persondataansvariges räkning behandlar personuppgifter underlåter att lämna tillträde till lokal eller tillgång till handling i fall som avses i 43§ eller att lämna uppgift enligt 44 får Datainspektionen förelägga vite. Detsamma gäller om en persondataansvarig inte fullgör vad som åligger honom enligt 22 eller 23 24 § första stycket, 25, 26 eller 27

Paragrafen har sin motsvarighet i 24 § i den gällande datalagen.

Överklagande

51 § Datainspektionens beslut som avser annan persondataansvarig än Högsta domstolen, Regeringsrätten och en kammarrätt får överklagas hos kammarrätten. Beslut som avser Högsta domstolen eller Regeringsrätten överprövas av domstolen själv. Avser Datainspektionens beslut en kammarrätt, får beslutet överklagas hos Regeringsrätten. Justitiekanslern får överklaga inspektionens beslut för att tillvarata allmänna intressen. Datainspektionens beslut om föreskrifter som avses i 8 kap. regeringsformen och som har meddelats med stöd beav myndigande i 36 § får inte överklagas. Om en myndighet som är persondataansvarig avslår en begäran om underrättelse enligt 25 överklagas beslutet på

460 SOU 1993: lO

samma sätt som gäller ett beslut av myndigheten att avslå en begäran om utlämnande av allmän handling. Med myndighet jämställs därvid ett annat organ iden utsträckning som anges i 1 kap. 8 § sekretesslagen 1980:100.

Frågor om överklagande enligt första och andra styckena har behandlats i avsnitt 19.3 i den allmänna motiveringen. De beslut som kan överklagas med stöd av förevarande paragraf är beslut som rör villkor enligt 40 § i lagförslaget, vitessanktionerade förbud enligt 41 § i lagförslaget, överföring av personuppgifter till utlandet enligt 45 § i lagförslaget och vitesföreläggande enligt 50 § i lagförslaget. - De beslut som avser Högsta domstolen eller Regeringsrätten skall enligt utredningens förslag första stycket andra meningen prövas av respektive domstol. Beslutet torde regelmässigt gälla domstolens administrativa avdelning. Vid en överprövning fâr målet tas upp pá en av de dömande avdelningarna. Detta förutsätter en ändring i domstolarnas instruktion. ‘ När Datainspektionens beslut avser en kammarrätt, överklagas enligt första stycket tredje meningen beslutet hos Regeringsrätten. I en sådan situation behövs inget prövningstillstånd. Reglerna om prövningstillstånd bör vidare inte tillämpas i fråga om talan som Justitiekanslern för enligt första stycket fjärde meningen. Utredningen föreslår att en bestämmelse om detta tas in i 35 § förvaltningsprocesslagen 1971 1291. Den föreslagna klagorätten medför inte att det, lika lite som för närvarande, finns något hinder mot att väcka talan vid allmän domstol. Med tanke på de kostnader som är förenade med ett domstolsförfarande och de svårigheter det innebär för en enskild att ensam föra sin talan, framstår det emellertid som mest praktiskt för den enskilde att vända sig till Datainspektionen med eventuella klagomål. Bestämmelsen i tredje stycket i paragrafen motsvarar 25 § andra stycket i den nuvarande datalagen.

Övergångsbestämmelser

Denna lag träder i kraft den 1 januari 1995 då datalagen 1973:289 upphör att gälla. 2. Beslut om tillstånd att inrätta och föra personregister skall dock anses som en anmälan enligt den nya lagen, om enligt den nya lagen anmälningsskyldighet föreligger för sådan behandling personuppgifter med beslutet. Ändamål av som avses har bestämts i beslutet får fram till den 31 december 1998 som anses som ändamål enligt 9 § i den nya lagen.

3. Har ansökan om tillstånd att inrätta och föra persønregister gjorts inte slutligt prövats före ikraftträdandet, skall men ansökningen anses som en anmälan enligt den nya lagen.

Enligt punkt 1 i övergångsbestämmelserna träder den nya lagen i kraft den l januari 1995, då den nuvarande lagen upphör att gälla. Det innebär att gamla tillstånd och gamla beslut av Datainspektionen som rör statsmaktsregister i princip upphör se dock punkt 2. Motsvarande gäller separata beslut om villkor i tillståndsärenden och beslut om villkor enligt 18 § i den nuvarande datalagen. Däremot torde gamla beslut tillstånd att lämna ut personuppgifter för behandling utanför om Sverige vara giltiga även efter ikraftträdandet. Den lagens bestämmelser kommer att genast vid ikraftträdandet nya gälla för all behandling personuppgifter som faller inom tillav lämpningsområdet för lagen. Från denna huvudregel görs undantag endast i några hänseenden, punkterna 2 och Som har berörts i se bl.a. avsnitt 14.4 torde det i allmänhet inte bli några svårigheter för de persondataansvariga att avgöra var enligt lagen gränserna går för olika slags behandling av personuppgifter. De nya strängare reglerna om ändamålsangivning kan dock leda till vissa problem. Detta har föranlett den särskilda övergângsregeln i punkt 2 andra meningen.

Övergångsfrågor som avser den årliga avgiften har tagits upp i

avsnitt 20. De regler som behövs får tas in i en ny avgiftsförordning. Enligt punkt 2 första meningen i övergångsbestämmelserna skall tillståndsbeslut anses som en anmälan enligt den nya lagen, dock bara i sådana fall då tillståndsplikten och anmälningsskyldigheten sammanfaller. Som har utvecklats i avsnitt 20 i den allmänna motiveringen är denna bestämmelse föranledd främst av kostnadsskäl och för att ge Datainspektionen möjlighet att genast vid ikraftträdandet komma i gång med den viktiga tillsynen. De berörda besluten har inga andra rättsverkningar efter ikraftträdandet än att fungera som en anmälan och, enligt andra meningen i punkt som en ändamålsangivelse under övergångsperiod. I övrigt upphör besluten att gälla enligt huvuden regeln i punkt Om inte samtycke till behandlingen föreligger från de enskilda, måste det enligt 20 § i lagförslaget finnas ett särskilt stöd i författning för den anmälningspliktiga behandlingen. Vid sidan av den särskilda författningsregleringen gäller datalagens allmänna bestämmelser. Det bör i sammanhanget framhållas att tillståndsplikten enligt äldre bestämmelser och anmälningsskyldigheten enligt den nya lagen inte sammanfaller till alla delar. Anmälningsskyldigheten riktar sig mot betydligt färre persondataansvariga än tillståndsplikten. De tillståndsinte har någon motsvarighet i anmälningsskyldigheten i den beslut som lagen upphör enligt huvudregeln i punkt 1 helt att gälla. nya För statsmaktsregister behövs inte tillstånd av Datainspektionen. Ett statsmaktsregister skall dock enligt 7 § dataförordningen anmälas till

462 SOU 1993: 10

inspektionen av den myndighet som är registeransvarig. Normalt torde i ett beslut av statsmakterna bestämmas vad skall registrets som vara ändamål. Om så inte sker är det Datainspektionens sak att bestämma ändamålet. Även i övrigt får Datainspektionen ställa villkor upp för registret, i den mån inte regeringen eller riksdagen har meddelat något villkor i samma hänseende 6 a § i den gällande datalagen. Om statsmakternas beslut om inrättande av personregister har skett genom en författningsreglering upphör i och för sig inte författningen att gälla på grund av att datalagen upphör. Om däremot inrättandet har skett på annat sätt, krävs vid den nya lagens ikraftträdande en författningsreglering för att behandlingen, den innefattar känsliga om uppgifter, skall få fortsätta 20 § i lagförslaget. Enligt andra meningen i punkt 2 får ändamål som har bestämts i tillstândsbeslut under en övergångsperiod godtas ändamål enligt som den nya lagen. Det anstånd som därmed ges den persondataansvarige bör givetvis inte utnyttjas längre än behövs. l den allmänna som motiveringen har berörts avsnitt 20 att denna övergângsregel om möjligt bör preciseras efter remissbehandlingen. Även i fråga om statsmaktsregister som grundar sig på författning bör ambitionen vara att så snart som möjligt anpassa dem till den regel ändamål om som finns i den nya datalagen. I punkt 3 regleras vissa övergängsfrågor av processuell natur. Bestämmelsen anger hur man skall förfara med tillstândsansökningar som getts in men inte slutligt prövats före ikraftträdandet. Enligt föreskriften skall ansökningen betraktas som en anmälan enligt den nya lagen. Om en ansökan om tillstånd avser en behandling personuppgifter av som är anmälningspliktig enligt den nya lagen, fâr handlingen pâ vanligt sätt läggas till grund för Datainspektionens tillsyn. Om ansökningen avser en behandling inte är förenad med anmälningssom skyldighet, har inspektionen att avskriva ärendet från vidare handläggning. Om ett beslut i ett tillstândsärende har överklagats till regeringen före ikraftträdandet får ärendet lämnas tillbaka till Datainspektionen.

22.5 till

Förslaget lag om ändring i förvaltningsprocesslagen 1971:291

Utredningen föreslår en ändring skall göras i 35 § förvaltningsprocesslagen 1971:291. Andringen skall enligt förslaget träda i kraft den l januari 1995.

SOU 1993: 10 463

Nu varande lydelse Föreslagen lydelse

35 §

Besvär över kammarrättens beslut i ett mål som har anhängiggjorts hos kammarrätten genom överklagande eller underställning prövas av regeringsrätten endast om regeringsrätten har meddelat prövningstillstånd. Meddelas prövningstillstånd, står kammarrättens beslut fast. Erinran därom skall intagas i regeringsrättens beslut. Vad som sägs i första stycket gäller talan i mål om utlämnande av allmän handling, 2. talan som riksdagens ombudsmän eller justitiekanslern för i mål om disciplinansvar eller om återkallelse eller begränsning av behörighet att utöva yrke inom hälso- och sjukvården, tandvården eller detaljhandeln med läkemedel eller om återkallelse av behörighet att utöva veterinäryrket, talan som justitiekanslern talan som justitiekanslern för i mål enligt lagen 1990 för i mål enligt lagen 1990 :484 om övervakningskameror 2484 om övervakningskameror m.m. m.m. eller enligt datalagen 1994:000.

Som framgår av 51 § förslaget till ny datalag får Justitiekanslern överklaga Datainspektionens beslut för att tillvarata allmänna intressen. Något prövningstillstånd bör enligt utredningens mening inte krävas när Justitiekanslern för talan i Regeringsrätten. En ändring av denna innebörd har gjorts i förevarande paragraf.

Förslaget till lag om ändring i sekretesslagen 1980: 100

Utredningen föreslår dels att ändringar skall göras i sekretesslagens 7 kap. 16 9 kap. 7 14 kap. 3 §samt 15 kap. ll och 13 §§, dels att

det i lagen skall införas en ny paragraf, 15 kap 14 Ändringarna

skall enligt förslaget träda i kraft den 1 januari 1995.

Nuvarande lydelse Föreslagen lydelse

7 kap. 16 §

Sekretess gäller för personupp- Sekretess gäller för personuppgift i personregister som avses gift som behandlas enligt datai datalagen 1973:289, om det lagen 1994:000, om det kan kan antas att utlämnande skulle antas att utlämnande skulle medföra att uppgiften används medföra att uppgiften behandför automatisk databehandling las i strid med datalagen. i strid med datalagen. Sekretess för uppgift som Sekretess för uppgift som anges i första stycket gäller anges i första stycket gäller också, om det kan antas att ocksâ, om det kan antas att utlämnande skulle medföra att utlämnande skulle medföra att uppgiften används för auto- uppgiften behandlas i utlandet matisk databehandling i ut- och att i motsvarande fall landet och att detta medför uppgiften inte hade fått beotillbörligt intrång i personlig handlas här i landet. Vid integritet. Vid tillämpning av tillämpning av denna bestämdenna bestämmelse ankommer melse ankommer det pá dadet på datainspektionen att tainspektionen att pröva frågor pröva fråga om utlämnande. om utlämnande. Sekretess Sekretess enligt detta stycke enligt detta stycke gäller dock gäller dock ej, om uppgiften om uppgiften skall behandskall användas för automatisk las enbart i en stat som har databehandling enbart i en stat anslutit sig till Europarådets som har anslutit sig till Euro- konvention om skydd för enparâdets konvention om skydd skilda vid automatisk databeför enskilda vid automatisk handling av personuppgifter databehandling av personupp- eller i en stat som har ett motgifter. svarande skydd. Regeringen får föreskriva vilka stater som skall anses ha ett skydd motsvarande det som anges i konventionen.

Utredningens förslag till ny datalag innebär att personregisterbegreppet slopas. Lagen reglerar i stället behandling av personuppgifter jfr avsnitt 6.6 och 8.7 i den allmänna motiveringen. Förevarande paragrafs första stycke har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag. Andra stycket har ändrats för att stämma överens med den reglering av utlandsöverföringar som föreslås i 45 § förslaget till ny datalag.

SOU 1993: 10 465

Nuvarande lydelse Föreslagen lydelse

9 kap. 7 §

Sekretess gäller i myndighets Sekretess gäller i myndighets verksamhet för enbart teknisk verksamhet för enbart teknisk bearbetning eller teknisk lag- bearbetning eller teknisk lagring för räkning av ring för annans räkning av annans personregister i personuppgifter som behandlas som avses datalagen 1973:289, för enligt datalagen 1994:000, uppgift enskilds personliga för uppgift om enskilds personom eller ekonomiska förhållanden. liga eller ekonomiska förhållanden.

Paragrafen har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag.

Nuvarande lydelse Föreslagen lydelse

14 kap. 3 §

Utöver vad följer 1 och 2 §§ får sekretessbelagd uppgift som av lämnas till myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen skall skydda. Första stycket gäller inte i Första stycket gäller inte i fråga sekretess enligt 7 fråga om sekretess enligt 7 om kap. l 6 och 33 §§, 8 kap. kap. 1 6 och 33 §§, 8 kap. - - 8 § första stycket och 9 och 8 § första stycket och 9 och 15 §§ 9 kap. 4 och 7 §§, 15 samt 9 kap. 4 och 7 §§, samt 8 § första och andra styckena 8 § första och andra styckena och 9 Inte heller gäller och 9 Inte heller gäller första stycket, utlämnandet första stycket, om utlämnandet om strider mot lag eller förordning strider mot lag eller förordning eller, såvitt angår uppgift i eller, såvitt angår personupppersonregister enligt datalagen gift som behandlas enligt data- 1973:289, föreskrift som har lagen 1994:000, villkor som meddelats med stöd datala- har meddelats med stöd av av datalagen. gen.

Paragrafen har ändrats redaktionellt för att stämma överens med terminologin i förslaget till ny datalag.

Nuvarande lydelse Föreslagen lydelse

15 kap. ll §

Varje myndighet skall för all- Varje myndighet skall för allmänheten hålla tillgänglig be- mänheten hålla tillgänglig beskrivning av de register, för- skrivning det slag av av uppteckningar eller andra anteck- gifter hos myndigheten som ningar hos myndigheten som förs med hjälp automatisk av förs med hjälp av automatisk databehandling ADB-samling. databehandling ADB-register. Sådan skyldighet föreligger Sådan skyldighet föreligger dock inte i fråga ADBom dock inte i fråga om ADB- samlingar inte till någon som register som inte till någon del del allmän handling anses som anses som allmän handling hos hos myndigheten. Myndigheten myndigheten. Myndigheten är är inte heller skyldig att tillinte heller skyldig att tillhanda- handahålla beskrivning som hålla beskrivning som upp- uppenbarligen skulle vara av enbarligen skulle vara av ringa ringa betydelse för enskildas betydelse för enskildas rätt att rätt att ta del av allmänna ta del av allmänna handlingar handlingar hos myndigheten. hos myndigheten. Beskrivning som avses i Beskrivning i som avses första stycket skall ge upp- första stycket skall upplysge lysning om ning om ADB-registrets benämning, ADB-samlingens ändamål ADB-registrets ändamål, och, i förekommande fall, bevilka typer av uppgifter i nämning, ADB-registret som myndig- vilka typer av uppgifter i heten har tillgång till och på ADB-samlingen myndigsom vilket sätt dessa uppgifter heten har tillgång till och på normalt inhämtas, vilket sätt dessa uppgifter hos vilka andra myndigheter normalt inhämtas, ADB-registret är tillgängligt hos vilka andra myndigheter för överföring till läsbar form, ADB-samlingen är tillgänglig 5. vilka terminaler eller andra för överföring till läsbar form, tekniska hjälpmedel som en- 4. vilka terminaler eller andra skild själv kan utnyttja hos tekniska hjälpmedel som enmyndigheten, skild själv kan få utnyttja hos 6. vilka bestämmelser om sek- myndigheten, retess som myndigheten van- vilka bestämmelser sekom ligen skall tillämpa på upp- retess som myndigheten vangifter i ADB-registret, ligen skall tillämpa på upp- 7. vem som hos myndigheten gifter i ADB-samlingen, kan lämna närmare upplys-

SOU 1993: 10 467

ningar om ADB-registret och vem som hos myndigheten dess användning i myndig- kan lämna närmare upplysninghetens verksamhet, ar om ADB-samlingen och dess rätt till försäljning av per- användning i myndighetens sonuppgifter i personregister verksamhet, som avses i datalagen 1973 rätt till försäljning av per- :289. sonuppgifter som behandlas enligt datalagen 1994:000. I beskrivningen skall dock uppgift enligt andra stycket utelämnas, om det behövs för att beskrivningen i övriga delar skall kunna företes för allmänheten.

Ändringen i första stycket är betingad av utredningens förslag till ny

datalag som innebär att registerbegreppet slopas. Hänvisningen till register m.m. har utgått även på den grunden att i kravet på att databehandlingen skall vara automatisk finns átcrkopplingen till en viss logisk uppbyggnad av och struktur på uppgifterna. Även i andra stycket har ändringar gjorts i fråga registerbegrepom pet. I förslaget till ny datalag finns ingen motsvarighet till kravet att en ADB-samling skall ha en särskilt benämning. Till följd härav anges i punkt l att en beskrivning enligt första stycket skall innehålla upplysning om ADB-samlingens ändamål och, i förekommande fall, benämning.

Nuvarande lydelse Föreslagen lydelse

15 kap. 13 §

Om upptagning för automatisk Om upptagning för automatisk databehandling förs in i ett databehandling förs in i en ADB-register som är tillgäng- ADB-samling som är tillgänglig ligt för flera myndigheter för för flera myndigheter för överöverföring i läsbar form, är föring i läsbar form, är endast endast den myndighet som gör den myndighet som gör ininföringen registreringsskyldig föringen registreringsskyldig enligt 1 enligt 1

Ändringen är betingad av utredningens förslag till ny datalag som

innebär ett slopande av det nuvarande registerbegreppet.

468 SOU 1993: 10

Nuvarande lydelse Föreslagen lydelse

15 kap. 14 §

Om myndighet för handläggning av mál eller ärende använder sig av upptagning för automatisk databehandling, skall upptagningen tillföras handlingarna i målet eller ärendet i lösbar form, om särskilda skäl föranleder annat.

Bestämmelsen motsvarar 14 § i den gällande datalagen. Eftersom bestämmelsen får anses höra mer hemma i sekretesslagen än i datalagen har den förts över till sekretesslagen.

22.7 Förslaget till lag om upphävande av lagen 1987: 1231 om automatisk databehandling vid taxeringsrevision, m.m.

Utredningen föreslår att lagen 1987: 1231 om automatisk databehandling vid taxeringsrevision, m.m. skall upphöra vid utgången av är 1994. Bakgrunden till förslaget om upphävande av lagen har redovisats i avsnitt 12.6 i den allmänna motiveringen.

22.8 Förslaget till lag om ändring i arkivlagen

1990:782

Utredningen föreslår att en ändring skall göras i 10 § arkivlagen

1990:782. Andringen skall enligt förslaget träda i kraft den 1 januari 1995.

Nuvarande lydelse Föreslagen lydelse

Allmänna handlingar får gallras. Vid gallring skall dock alltid beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår skall kunna tillgodose de ändamål som anges i 3 § tredje stycket. Om det finns avvikande be- Om det finns avvikande bestämmelser om gallring av stämmelser om gallring av vissa allmänna handlingar i vissa allmänna handlingar i lag eller i förordning annan lag eller i förordning annan gäller dessa bestämmelser, gäller dessa bestämmelser. dock med undantag för bestämmelserna i 12 § datalagen 1973:289.

I förevarande paragrafs tredje stycke har den ändringen skett att hänvisningen till datalagen tagits bort. Den föreslagna bestämmelsen om gallring personuppgifter utgör allmän handling som finns i av som 19 § andra stycket förslaget till datalag är en sådan särbestämmelse över de gallringsregler finns i arkivlagen. Den nu berörda som tar som frågan har behandlats i avsnitt 15 i den allmänna motiveringen.

SOU 1993: 10 471 Reservation

Reservation

ledamöterna Helge Hagberg s, Eva Johansson s, Kurt Ove av

Johansson s, Bengt Kindbom c och Arne Mellqvist s

6 § 3 datalagen

Vi har en annan uppfattning än utredningens majoritet när det gäller i vilken utsträckning datalagen skall vara tillämplig på de s.k. klipparkiven. Utredningen har föreslagit att datalagen inte skall gälla vid behandling av personuppgifter om ändamålet är att behandlingen eller uppgifterna skall utgöra arkiv för material som har varit publicerat i periodisk skrift eller som har förekommit i program i ljudradio eller television. Vi har inga invändningar mot att klipparkiven undantas från datalagen i den del de används för tidningarnas och programföretagens journalistiska verksamhet. Däremot anser vi att förslaget går för långt när det också undantar klipparkiven från datalagen när de används för andra ändamål. Vad frågan närmast gäller är om utomstående skall obegränsad tillgång till arkiven. Det avgörande skälet för kunna ha en utredningens ställningstagande är att datasamlingarna endast innehåller ett återgivande tryckta skrifter, som allmänheten rimligen bör ha av rätt att ta del av. Utredningen har till uppgift att lägga fram förslag till lagstiftning som skall skydda varje medborgare mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Enligt vår mening låter emellertid utredningen integritetsskyddsintressena träda tillbaka genom förslaget att utomstående skall kunna ha en obegränsad tillgång till klippom arkiven. Som utredningen anför kommer arkiven med tiden att bestå av en stor mängd personuppgifter, varav inte så få av känslig natur. De kommer att bevaras under en lång tid. Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas med stor lätthet. Genom att olika uppgifter använts som sökbegrepp kan oönskade och oförutsedda följder uppstå. Även uppgift i sig kan harmlös, kan urval om en vara och sammanställningar av flera sådana uppgifter framstå som integritetskränkande. Och om det i en sådan sammanställning ingår någon eller några uppgifter av mera känslig natur, kan sammanställningen komma att upplevas som mycket integritetskränkande. Utredningen anför själv som exempel en sammanställning av artiklar rör en persons brottsliga förehavanden och finner att den kan som jämställas med ett kriminalregisterutdrag. Som utredningen anför är

Reservation 472 SOU 1993: 10

sammanställningen betydligt känsligare bl.a. därför att kriminalregistret gallras. Vi anser att integritetsskyddsintressena inte kan eftersättas på sätt ett som utredningen föreslår. Enligt vâr mening bör datalagen således liksom hittills vara tillämplig på klipparkiven när de används för andra ändamål än tidningarnas och programföretagens journalistiska verksamhet. Integritetsskyddet bör därvid utformas i huvudsak enligt den praxis som regeringen har utbildat och som utredningen redovisar i avsnitt 7.

SOU 1993: 10 473 Reservation

Reservation

av Chris Heister m, Ulrika Landergren fp, Ingela Mårtensson

fp och Inger René m

Kap. 7

Förhållandet mellan datalagen samt tryckfrihetsförordningen och yttrandefrihetsgrundlagen

Vi ställer oss bakom utredningens allmänna överväganden i avsnitt 7 när det gäller förhållandet mellan tryckfrihetsförordningen samt yttrandefrihetsgrundlagen och datalagen. Vi anser emellertid att dessa överväganden på en väsentlig punkt inte kommer till uttryck i det förslag till undantag från datalagens tillämpningsområde som utredningen lägger fram 6 §. Bestämmelsen om undantag är nämligen för snävt utformad. Den omfattar inte sådant material som samlas in för att det skall ingå i eller ligga till grund för innehållet i tryckt skrift eller för yttranden som skyddas av yttrandefrihetsgrundlagen. Innebörden av utredningens förslag är att datalagen blir tillämplig på material som en journalist samlar in som underlag för en planerad artikel. Bestämmelserna om insyn och rättelse i 22, 23 och 25 §§ samt om Datainspektionens tillsyn i 39 44 gäller därmed i fråga om journalistens behandling av de personuppgifter som finns i materialet. En sådan ordning kan medföra en inblandning i den redaktionella verksamheten och riskera att skyddet för nyhetskällorna utsätts för påfrestningar. I sina motiv till förslaget om undantagsreglering i denna del använder sig utredningen av begreppen produktionsregister och källregister. Vad som skall innefattas i begreppet källregister är inte helt klart. Utredningens ställningstagande förefaller främst vara grundat på svårigheterna att tolka detta begrepp. Att utredningens egen begreppsbildning leder till att regleringen får den angivna innebörden väger dock enligt vår uppfattning inte särskilt tungt. Vi vill dessutom peka på att utredningen föreslår att personregisterbegreppet skall slopas i den nya datalagen och att uttrycken produktionsregister och källregister således inte förekommer i utredningens lagförslag. Enligt vår mening måste den redaktionella verksamheten hos tidningar och programföretag få vara fria från inblandning från utomstående. Särskilt viktigt är att nyhetskällorna garanteras sin rätt till anonymitet. Utredningen föreslår visserligen att personuppgifter som utgör förteckningar över anonymitetsskyddade personer skall undantas från datalagens tillämpningsområde. Enligt vår mening kan man emellertid inte utesluta möjligheten att uppgifter som kan röja

Reservation 474 SOU 1993: 10

nyhetskällor också kan finnas i journalistiskt material inte utgörs som av sådana förteckningar. Detta gäller också författare som på motsvarande sätt samlar in och bearbetar material. Av dessa skäl anser vi att från datalagens tillämpningsområde även bör undantas material som samlas in för att det skall ingå i eller ligga till grund för innehållet i tryckt skrift eller för yttranden skyddas som av yttrandefrihetsgrundlagen. Vi föreslår därför att 6 § l förslaget till datalag får följande lydelse:

"Denna lag gäller inte vid behandling av personuppgifter, om ändamålet med behandlingen är att behandlingen eller uppgifterna skall användas för framställning av tryckta skrifter eller yttranden som avses i yttrandefrihetsgrundlagen."

Tidningarnas klipparkiv är i utredningens förslag undantagna från datalagen. Det är däremot inte entydigt klarlagt hur sådant material, som de facto utgör publicistisk verksamhet men publicerats i annan form än i periodisk skrift, skall bedömas. Det är vår mening att datalagen inte bör förhindra sådana databaser, som TT-nyhetsbanken utgör eller som kan tillkomma t.ex. genom att Nyhetsbyrån Direkts publicistiska material lagras för att kunna återsökas också av externa kunder. Dessa publicistiska databaser bör därför jämställas med klipparkiv.

Kap. 11

Behandling av känsliga personuppgifter för anställningsändamål

Utredningen föreslår att innan arbetsgivaren samlar in personuppgifter med stöd av 33 § 2 3 även den enskildes facklige företrädare skall underrättas om åtgärden. Till stöd för detta förslag hänvisas bl.a. till att en sådan underrättelseskyldighet får anses ligga inom ramen för vad som är vedertaget på den svenska arbetsmarknaden. Datalagens syfte är att skydda den enskildes integritet mot kränkningar. I lagen bör därför, som utredningen föreslår, föreskrivas en skyldighet att informera den som uppgifterna insamlingen. avser om Däremot bör av principiella skäl inte i datalagen stadgas att den enskildes fackliga företrädare, utan dennes samtycke, informeras om insamlingen. Som skäl för att informera den facklige företrädaren har bl.a. anförts att den fackliga organisationen har ett intresse att få av information om t.ex hur många av de anställda som på viss en arbetsplats är föremål för rehabilitering. Sådan information anses nödvändig för att kunna ta tillvara medlemmarnas intressen i arbetsmiljöfrågor.

SOU 1993: 10 475 Reservation

Av 22 kap. 3 § femte stycket lagen 1962:362 om allmän försäkring framgår klart att det är den försäkrade som beslutar om han eller hon vill att en rehabiliteringsutredning skall genomföras i samråd med sin arbetstagarorganisation. Något behov av den föreslagna skyldigheten att informera fackliga företrädare föreligger därför inte i dessa fall. Den svenska arbetsmiljölagstiftningen har till ändamål att säkerställa en god arbetsmiljö och att främja att arbetsgivare och arbetstagare samverkar för att åstadkomma en god arbetsmiljö. l lagstiftningen regleras ingående förhållandet mellan arbetsgivare och arbetstagarorganisationerna vad avser rättigheter, skyldigheter och ansvar. Som stöd för sitt ställningstagande i denna del hänvisar utredningen till arbetsrättskommitténs direktiv. Vi anser att detta ytterligare visar på att frågan om en informationsskyldighet som motiveras av arbetsmiljöskäl bör prövas inom ramen för nämnda kommittés arbete. Om det föreligger behov av att informera den registrerades facklige företrädare, bör detta således enligt vår mening regleras i den arbetsrättsliga lagstiftningen. Vi förslår att 34 § får följande lydelse:

"Innan arbetsgivaren samlar in personuppgifter med stöd av 33 § 2 3 skall den som personuppgifterna avser underrättas om åtgärden".

Med tanke på de känsliga personuppgifter som regleras inom detta område anser vi att man bör överväga en särskild registerlag.

SOU 1993: 10 477 Reservation

Reservation

av ledamöterna Ulrika Landergren och Ingela Mårtensson båda fp

Manuella uppgifter 3 §

Utredningen föreslår att den nya datalagen ska reglera "behandling av personuppgifter genom automatisk databehandling". Vi anser att lagen bör vara konstruerad sâ att den är oberoende av teknik. Lagen bör inriktas pâ personlig integritet och inte huruvida personuppgifter är ADB-baserade. Utredningen har dessutom funnit att begreppet automatisk databehandling varken kan eller bör definieras i lagen med hänsyn till den tekniska utvecklingen. Det talar också för att lagen bör vara teknikoberoende. Datatekniken utvecklas för närvarande lika snabbt som under det gångna decenniet. Med all sannolikhet kommer nya behandlingsmetoder att användas, som alltmer underlättar såväl inmatning av data som bearbetning och distribution av resultat. Det faktum att inmatningen utvecklas kan få betydelse för dataskyddet. Det blir inom kort lika lätt att läsa bokstavstext som handstil automatiskt. Det kan skilja i metodik och i kostnader, men i princip bör vi kunna utgå från att inmatning av handskrivna data snart kommer att vara vanlig. Därmed uppstår frågan om lämpligheten att avgränsa datalagen till att gälla automatisk databehandling. Bearbetning av data från kartotek, pärmar, m.m. kommer att kunna vara nära nog lika möjlig som bearbetning av data från disketter eller magnetband. Avgränsningen av lagens giltighet till konventionella datamedier kan komma att bli en suboptimering. Det är inte olämpligt bruk av personuppgifter som lagrats på datamedium som bör regleras utan olämpligt bruk av personuppgifter överhuvud taget. Därför anser att även manuell databehandling bör omfattas av lagen. Vi är medvetna om att en utökning av lagens giltighetsomrâde kan medföra ökad belastning för Datainspektionen. Å andra sidan är en en alltmer omfattande del av uppgifter registrerade genom automatisk databehandling. En närmare uppskattning av merarbetet är därför svår att göra speciellt som utredningen inte haft möjlighet att studera dessa eventuella effekter. Vi kan dock erinra om att Finland har en sådan lagstiftning. Förslaget till EG-direktiv omfattar även manuell behandling av personuppgifter. Enligt vår mening bör starka skäl till för att undvika att i detta sammanhang skapa en lag som inte överensstämmer med

Wi Reservation 478 SOU 1993: 10

EG-direktiv eftersom det kan innebära att vi tvingas ändra senare lagen. Det kan hävdas att EG-direktivet ännu inte är fastställt. Det faktum att förslaget emellertid omfattar även manuell behandling vittnar dock om att det finns många institutioner på den europeiska arenan som hävdar det medieoberoende som vi här förordar. Vi anser således att lagen bör vara generell och inte bunden till en viss teknisk utvecklingsnivå, nivå sannolikt kommer en som att förändras över den kommande tiden. Vårt ställningstagande får konsekvenser i så väl den föreslagna datalagen som förslag till författningsändringar.

God datased 10 §

Utredningen föreslår att det i lagen ska finnas paragraf att all en om behandling av personuppgifter skall ske i överensstämmelse med god datased. Vi ställer oss tveksamma till att det i lagen ska införas generalen klausul av detta slag. Utredningen finner det inte möjligt att ens ange i vilka fall som regeln ska kunna leda till ingripande överlämnar utan till rättstillämpningen att definiera begreppets innebörd. Bestämmelsen motiveras av den snabba utvecklingen på dataområdet som gör det svårt att förutse alla de olika situationer kan bli som aktuella. Det är viktigt att de som ska följa lagen också kan utläsa vad som är lagligt och vad som inte är det. Därför bör god datased inte regleras i lagtext. Om det uppstår situationer som borde regleras bör det ge upphov till justering av lagen. Enligt vår mening bör således 10 § utgå.

Känsliga uppgifter 20 §

Vi anser att även personnummer är känslig uppgift framför allt en eftersom det används som identifiering i en mängd känsliga register. Risken för samkörning är också stor när samma identifiering gäller för många register. En del människor upplever detta så känsligt nummer att de vägrar att lämna ut det i vissa sammanhang. Vidare kan man ur personnumret utläsa har utländsk om en person härkomst vilket är en känslig uppgift. Numera har dock tilldelningen av personnummer på denna punkt ändrats, men det hindrar inte att man fortfarande kan utläsa uppgift om utländskt medborgarskap. Vi inser svårigheterna att kräva att alla databaser är som nu uppbyggda på personnummer enbart denna orsak ska klassificeras av som känsliga och därmed behäftas med anmälningsplikt. Gamla register bör således få dispens under en övergångsperiod men på sikt bör personnummer i alla sammanhang hanteras känslig uppgift. som

SOU 1993: 10 A79 Reservation

Det skulle i sig kunna leda till att personnummer används i minskad omfattning, vilket vore en positiv effekt enligt vår mening. Vi föreslår således att personnummer ingår i 20

Personuppgifter för anställningsändamål 32 34 §§ -

Utredningen föreslår särskilda bestämmelser vad gäller behandling för anställningsändamál av uppgifter om sjukdom eller hälsotillstånd samt uppgifter som utgör omdöme eller annan värderande upplysning om den enskilde eller som skall läggas till grund för ett omdöme eller annan värderande upplysning om den enskilde. Frågan gäller om denna typ av uppgifter ska kunna registreras genom automatisk databehandling eller ej. Eftersom vi tagit ställning för att lagen ska vara oberoende av teknik så behövs enligt vár mening inte dessa bestämmelser. Arbetsgivarens möjligheter att samla in och behandla personuppgifter bör följa de generella regler som finns i datalagen. I de fall datalagen i sin utformning kommer att bli teknikberoende så hänvisar vi till vårt ställningstagande i annan reservation, vad gäller information till facklig företrädare och behov av registerlag.

SOU 1993: 10 481 Reservation

Reservation

av ledamoten Stig Sandström v

Särskilda bestämmelser behandling av känsliga personuppgifter om for anställningsändamål 32-35 §§.

Avsnittet kan ses som en liten lag i lagen. Enligt min mening skiljer detta sig från en i övrigt balanserad och stringent datalag till skydd för den enskildes personliga integritet. Det är framförallt 33 § 3 som öppnar möjlighet till icke önskvärda integritetskränkningar och utnyttjande av datateknikens effektiva kontrollmöjligheter. I förlängningen kan man föreställa sig att mindre nogräknade arbetsgivare kan tänkas utnyttja den öppning som denna punkt i paragrafen ger, till att sortera och klassificera de anställda med olika öppna eller dolda mätmetoder som finns inbyggda i moderna datasystem. De flesta moderna materialplaneringssystem MPS ger sådana möjligheter. Att paragrafen är förenad med anmälningsplikt och att 34 § kräver att facklig företrädare underrättas torde vara ett bräckligt skydd mot överträdelser. Inte heller torde skrivningen i allmänna motiveringen att "Behandlingen får alltså inte t.ex. syfta till en kontroll av de enskilda arbetstagarna" utgöra någon större hinder för den som vill göra en kartläggning av de enskildas prestationer. Ty om det står i klartext i lagen att personuppgifter får behandlas för anställningsändamâl utan den enskildes medgivande "om uppgifterna rör den anställdes arbetsuppgifter och behandlingen oundgängligen behövs för kontroll, uppföljning eller utveckling av - - arbetsgivarens produkter eller tjänster" kommer det säkert att tolkas på många håll som att nu är det fritt fram att registrera och kontrollera. Datalagens skrivning kommer säkert att uppfattas som tyngre vägande än en formulering i allmänna motiveringen. Och vilka data och vilken information kan avfärdas som obehövlig eller ointressant när det gäller ovanstående ändamål Dessutom kommer många persondataansvariga, vid ev. överträdelser, att med gott skäl, kunna åberopa att handlat i god tro om ovanstående är inskrivet i man datalagen. Min mening är alltså att ovanstående avsnitt strykes i 33 § Ett annat skäl som nämnts för att ta med ovanstående avsnitt har datalagen inte i onödan ska blockera effektivisering sagts vara att en produktionen. Jag delar helt den uppfattningen men menar att av ovanstående ändamål leder fel. En effektivisering av produktionen åstadkommes knappast genom utökade kontrollâtgärder bakom ryggen

Reservation 482 SOU 1993: 10

på den anställde. Tvärtemot, och det gäller även avsnittet om rehabilitering, så uppnås de bästa resultaten genom de anställdas aktiva medverkan och inflytande. Det finns gott om exempel där en ökad demokratisering och ökat inflytande för de anställda haft positiva effekter på produktionen. Och lika många exempel på motsatsen. Att hård regim och utökad kontroll är dålig ekonomi.

Därför bör skälen för att göra avvikelser från informerat samtycke

vara synnerligen välmotiverade för att tillåtas. § 34 har i huvudsak tillkommit för att balansera det avsnitt som undertecknad vill stryka från lagtexten. Om mitt önskemål i denna del bifalles så blir till stor del § 34 obehövlig, annars inte, eftersom fackets insyn i övrigt kan hävdas med stöd av de lagar som berör de frågor som i övrigt avhandlas i § 33. Vid en strykning av § 34 undanröjs också risken för korporativism. Med de föreslagna förändringarna vinner datalagen i stringens och får en bättre balans. Dessutom undviks många missförstånd och framtida tolkningstvister.

SOU 1993: 10 483 Särskilt yttrande

Särskilt yttrande

av experten Erik Göransson

Jag delar inte utredningens uppfattning att Datainspektionens beslut skall överklagas till kammarrätt som första instans. Dessa beslut bör i första instans prövas av länsrätt. Den grundläggande principen bör vara att tyngdpunkten i rättsskipningen skall ligga i den första domstolsinstansen. Det bör krävas mycket starka skäl för att frângâ denna princip. Datalagsmålen kommer att utgöra en ny mâltyp för förvaltningsdomstolarna och målen kan också i vissa fall bli komplicerade. Man kan dock knappast påstå att datalagsmâlen kommer att gälla mer komplicerade frågor än andra mål som handläggs i länsrätt. Som exempel kan nämnas skattelagstiftningen, som är betydligt mer komplicerad och omfattande än datalagstiftningen. Jag vill också peka på att Domstolsutredningen i sitt betänkande SOU 1991: 106 Domstolarna inför 2000-talet s. 407 ff föreslagit att Sekretessmâlen skall avgöras i länsrätt som första domstolsinstans. Domstolsutredningen har därvid gjort den bedömningen att sekretessmâlen i första domstolsinstans inte längre kräver juristkollegial sammansättning. Sekretessmâlen kan vara nog så omfattande och komplicerade som datalagsmálen. Enligt min mening finns det därför inte anledning att göra andra bedömningar beträffande datalagsmâlen än vad som blir resultatet av de överväganden om instansordningen som kommer att göras i anledning av Domstolsutredningens förslag. Enligt forumreglerna kommer samtliga datalagsmâl som prövas av länsrätt att prövas av Länsrätten i Stockholms län. Domstolen kommer därför snart få den erfarenhet och det kunnande som behövs för att hantera målen. l övrigt vill jag hänvisa till de uttalanden som gjordes om instansordningen i de allmänna förvaltningsdomstolarna i prop. 1992/932100, Bil. avsnitt 4.1.

SOU 1993: 10 485 Särskiltyttrartde

Särskilt yttrande

ledamöterna Chris Heister m, Inger René m och Jerker

av Sjögren kds

Personnummer

Personnumret har för många kommit att bli symbolen för ett datasamhälle där den enskilde anonymiseras och blir till ett nummer utan ständigt utsatt för myndigheternas kontroll och insyn. Förenamn, denna känsla behöver inte överdrivas. Den är ändå ett skäl komsten av till försiktighet med personnummeranvändningen. Personnumret är i sig inte känslig uppgift, men kan i kombien nation med personuppgifter känslig natur som möjliggör en insyn, av kontroll och spårning enskilda personer få oacceptabla konsekvenser av med hänsyn till den personliga integriteten. Enligt vår mening är det viktigt att man ser över användningen av för att begränsa användningen av dessa. Vad utpersonnummer redningen erfarit så regeringen också att inom kort tillsätta en avser utredning med detta syfte. Personnummer skall användas när säker identifikation är nödvändig. Denna uppfattning utredningen uttryck för i förslaget till datalag ger 15

SOU 1993: 10 487 Särskilt yttrande

Särskilt yttrande

ledamöterna Eva Johansson s och Jerker Sjögren kds

av Anmälningsplikten Vi delar i hög grad de synpunkter experten Bertil Persson för fram i sitt särskilda yttrande när det gäller anmälningsplikten. Vår förhoppning är att remissbehandlingen ger ytterligare underlag för de fortsatta övervägandena i denna del.

SOU 1993: 10 489 Särskilt yttrande

Särskilt yttrande

av experten Bertil Persson

Anmälningsplikten

Den nuvarande licens- och tillståndsplikten bör som utredningen föreslår avskaffas. Jag anser dock inte att denna bör ersättas av en anmälningsskyldighet. Skälen är de följande.

Byrákrati

En minskad byråkrati hos Datainspektionen är ett absolut krav för att inspektionen ett tillfredsställande sätt skall kunna fullgöra sin tillsynsskyldighet enligt utredningens förslag till ny datalag. För att minska byråkratin krävs bl.a. stor restriktivitet när det gäller att belasta Datainspektionen med blankettadministration, ärendebehandling, avgiftsdebitering 0.d. Utredningens förslag att slopa tillståndsprocessen till förmån för ett begränsat anmälningsförfarande är därför ett steg i rätt riktning. Enligt min mening utgör dock även en sådan anmälningsskyldighet onödig byråkratisk omgång som inte innebär någon en förstärkning av integritetsskyddet. Visserligen kräver inte anmälningar beslut på samma sätt som tillståndsansökningar, men ett anmälningsförfarande kräver arbete från Datainspektionens sida och därmed som i stället skulle kunna användas i dess tillsynsverksamhet. resurser Om någon anmälningsskyldighet inte införs innebär det även minskad byråkrati för de persondataansvariga. De måste naturligtvis ha den dokumentation som krävs för att visa att deras användning av ADB sker enligt reglerna i den nya datalagen. En sådan dokumentation måste de kunna förete om Datainspektionen företar en inspektion hos dem ett led i sin tillsynsverksamhet. Dokumentationen behöver som dock inte omformas till en anmälan till Datainspektionen och några åtgärder behöver inte heller vidtas för en registrering hos inspektionen.

Information och insyn

Utredningen har särskilt pekat på två syften med ett anmälningsförfarande. Det ena är att Datainspektionen därigenom får information om vilka integritetskänsliga datasamlingar som finns i landet och kan använda sig av denna information i sin tillsynsverksamhet. Det andra är att en anmälningsskyldighet underlättar för den enskilde att få den insyn han eller hon har rätt till. En aktuell sammanställning över som den behandling av känslig information som förekommer här i landet bör enligt utredningen finnas hos Datainspektionen.

ri . Särskilt yttrande 490

Datainspektionen får anses vara den myndighet i dag har den som bästa överblicken över den behandling av personuppgifter som sker med hjälp ADB i Sverige. Även anmälningsförfarande har av utan ett Datainspektionen möjlighet att behålla denna Överblick. I dag kommer trots allt endast en bråkdel av de existerande persondatasamlingarna till inspektionens kännedom genom tillstånds- och licensansökningar. Praktiskt taget alla delar av det svenska samhället använder i dag datorer eller kommer att göra det i en nära framtid. Inspektionens tillsyn måste därför bygga på en allmän kunskap om informationsteknologins utveckling och möjligheter samt dess användning av enskilda, myndigheter, företag, föreningar och andra organisationer i samhället. Anmälningar från dem som kan tänkas följa reglerna i en ny datalag skulle ge ett alltför begränsat underlag. Genom bl.a. sina hittillsvarande erfarenheter, en intensifierad tillsynsverksamhet och sina kontakter med enskilda, myndigheter och näringsliv samt en kvalificerad teknisk enhet borde Datainspektionen rimligen kunna erhålla den kunskap som är nödvändig för att kunna bedriva effektiv en tillsyn. Något behov av en anmälningsskyldighet för en effektiv tillsyn finns därför inte. Datainspektionen skall på lämpligt sätt sprida kunskap om den behandling av personuppgifter som äger rum i landet. Detta kan ske bl.a. genom att inspektionen ger ut informationsskrifter som beskriver behandlingen. Inspektionen bör särskilt informera om var de datasamlingar finns som innefattar särskilda risker för integriteten och hur man kan insyn i dem. Genom sådan information kan den enskilde på ett enkelt sätt erhålla de uppgifter han eller hon behöver för att kunna utnyttja sina rättigheter. Ett centralt fört register över gjorda anmälningar skulle knappast fylla ett sådant syfte. Erfarenheter från utlandet bl.a. Storbritannien och Kanada visar att ett sådant register, förutom att vara svåröverskådligt, till stor del skulle komma att innehålla inaktuella uppgifter och sakna vissa datasamlingar som borde finnas i det. Administrationen av registret och den därmed sammanhängande informationsskyldigheten till allmänheten skulle med all sannolikhet ta i anspråk en stor andel av Datainspektionens resurser. Detta utan att på något väsentligt sätt stärka skyddet för den personliga integriteten.

Övergångsproblem

Det finns en avsevärd risk för att Datainspektionen under viss en övergångsperiod måste ägna onödigt mycket tid att informera om skillnaden mellan det tidigare systemet och det anmälningsnya systemet. Om inte tillräcklig information ges finns nämligen en risk för förväxling med det nuvarande tillståndsförfarandet. Vidare kan man inte helt bortse från att en del persondataansvariga kommer att behöva hjälp med att avgöra om en viss datasamling skall anmälas till

SOU 1993: 0 l 491 Särskilt yttrande

Datainspektionen eller inte. Härtill kommer problemet med de persondataansvariga som har gällande tillstånd vid lagens ikraftträdande. Datainspektionens initiala informationsbörda innebär att dess möjligheter att direkt i samband med lagens ikraftträdande påbörja sin tillsynsverksamhet minskar väsentligt. Detta är beklagligt eftersom en kraftfull start från inspektionens sida onekligen skulle ha positiva effekter för den framtida tillämpningen av lagen.

Finansiering

Finansiella aspekter kommer naturligtvis med i bilden dâ man avgör om en anmälningsskyldighet bör ersätta den nuvarande tillståndsplikten. Datainspektionens verksamhet är i dag helt självfinansierad och med ett anmälningssystem skulle dess finansiering kunna lösas. Utredningen förordar också att med amnälningssystemet bör följa en årlig avgift till inspektionen. Utformningen av integritetsskyddet bör dock inte som utgångspunkt ha frågan hur Datainspektionen skall finansiera sin verksamhet. Den frågan skall ställas först sedan man avgjort hur skyddet för den enskildes integritet lämpligen bör vara utformat. Min principiella inställning är att Datainspektionen med sin för medborgarna viktiga uppgift, inte bör ägna sin tid att inkassera obetalda räkningar, driva processer mot ovilliga betalare etc. En alternativt sätt att finansiera inspektionens verksamhet skulle vara att införa en skatt eller en annan generell avgift som tas ut av myndigheter, företag och andra organisationer. En sådan lösning skulle emellertid medföra en administration som inte är försvarbar. En finansiering över statsbudgeten är en bättre och billigare väg. Enligt utredningens beräkningar kommer en årlig avgift att ge en intäkt om ca 20 miljoner kronor per år. Vill man täcka inkomstbortfallet pá detta belopp kan det ske genom en s.k. omfördelning. Den bör i så fall lämpligen beröra alla departement med myndigheter som har stora ADB-system. Även omfördelningen skulle göras enbart inom andra om huvudtiteln justitiedepartementets område är det fråga om ett litet ingrepp. Summan av anslagen under andra huvudtiteln för budgetåret 1993/94 enligt 1993 års budgetproposition är drygt 19 miljarder - kronor. En omfördelning av 20 miljoner kronor skulle innebära att övriga anslag under den andra huvudtiteln skulle behöva räknas ned med en promille.

Organisation

Utredningen har i avsnitt 17.4 pekat på behovet av en översyn av Datainspektionens verksamhet i samband med införandet av den föreslagna datalagen. Jag delar till fullo denna uppfattning. För det fall

Särskilt yttrande 492 SOU 1993: 10

någon anmälningsskyldighet inte skulle komma att ersätta tillståndsoch licenssystemet, finns desto större anledning att företa en sådan översyn. Eftersom dataskyddsmyndigheten då blir en ren tillsynsmyndighet bör den erhålla den form som utredningen skisserat, nämligen en dataombudsman med kansli.

Några 0rd om utländsk rätt och EG

Sverige var den första stat som införde en nationell dataskyddslag. Det var år 1973. De länder, t.ex. Danmark, Frankrike, Norge, Storbritannien och Österrike, under 1970-talet följde Sveriges som senare exempel och införde dataskyddslagar hade i de flesta fall den svenska datalagen som sin förebild. Detta innebar att även dessa länders lagar kom att innehålla krav på allmän registrering tillstånd av personregister. Utvecklingen visade emellertid att det var omöjligt att upprätthålla en sådan allmän registreringsskyldighet och de länder som införde dataskyddslagar under 1980-talet den andra generationen dataskyddslagar, t.ex. Finland, Irland och Nederländerna, valde därför att införa endast en begränsad registreringsskyldighet. I Sverige ändrades också datalagen år 1982 då tillståndsplikten uppluckrades och en licensplikt infördes. Den tekniska utvecklingen har emellertid inte avstannat och snart nog används kraftfulla datorer på de flesta arbetsplatser och i varje hem. I början av 1970-talet ansåg man sig genom registrering kunna kontrollera datoranvändningen och på så sätt skydda den enskilde mot övergrepp. Denna inställning var mot bakgrund av dåvarande förhållanden förståelig. Om man i dag skulle följa samma linje innebär det endast att man slösar bort resurser utan att på något väsentligt sätt stärka den enskildes integritet. Alla erfarenheter visar på detta. EG-kommissionens förslag till direktiv på dataskyddsområdet innehåller som framgår av bl.a. redovisningen i avsnitt 4.5 krav på en omfattande amnälningsskyldighet. Förslaget har i denna del inte någon som helst förankring i verkligheten och de föreslagna bestämmelserna är omöjliga att tillämpa i praktiken. Kraftig kritik har också riktats mot förslaget i denna del och det är svårt att tro att EGs ministerråd accepterar de nu aktuella bestämmelserna. Ett effektivt skydd för den enskildes integritet kan inte, såsom EG-kommissionen tycks anse,

bygga på tankar på hur det ideala skyddet m vara uppbyggt utan

måste utgå från de reella förhållandena i samhället och hittillsvarande erfarenheter av dataskyddslagstiftningen. För mig framstår då ett skydd byggt på en om än begränsad anmälningsskyldighet som helt - otidsenligt och i stort sett meningslöst. Sverige bör därför helt göra sig av med registreringsoket och därmed visa vägen för en tredje generation av dataskyddslagar som utgör ett verkligt skydd för den enskildes integritet.

SOU 1993: 10 493 Särskilt yttrande

Information om direktreklam m.m.

l specialmotiveringen till 11 § har utredningen nämnt behandling för direktadresserad reklam ett exempel sådan behandling som kan som ske med stöd bestämmelsen i paragrafens sjätte punkt. Det gäller av enligt utredningen dock endast då den kundinformation som behandlas hämtas från kundregister, SPAR eller med stöd av offentlighetsegna principen. Inhämtande kundinformation från s.k. marknadsav föringslistor blir enligt utredningens mening endast möjlig om den sker med den enskildes uttryckliga samtycke. Några direkta skäl för sitt ställningstagande förutom hänvisning till amerikanska förhållanden - en ger inte utredningen. - Jag delar inte utredningens åsikt denna punkt. Införande av en plikt för den persondataansvarige att informera den enskilde innan marknadsföringslistor sker är enligt min mening ett sätt överlåtelse av bättre tar tillvara både den enskildes och näringslivets berättigade som intressen. En sådan lösning står också i överensstämmelse med den

internationella utvecklingen. Europarådets rekommendation direktreklam se avsnitt 4.3.3 om godtar uttryckligen att överlåtelse s.k. marknadsföringslistor av marketing lists En förutsättning är dock att den äger rum. som förekommer på sådan lista informeras om att överlåtelse kan en komma att ske och att han eller hon inte motsätter sig sådan överlåtelse art 3.1. EG-kommissionens reviderade förslag till dataskyddsdirektiv avsnitt 4.5 innehåller också möjlighet att överlåta marknads-

se en

föringslistor under förutsättning att den enskilde underrättas om ett sådant utlämnande art 15.3. Utanför Sveriges gränser grundas största delen av direktreklamutskicken förutom på kundregister på dessa s.k. marknadsegna föringslistor. I avsaknad SPAR och offentlighetsprincip har det växt av industri s.k. listförmedlare list brokers. Många av de upp en av adresser och övriga uppgifter som återfinns deras listor är namn, felaktiga och inaktuella. De finns med på listorna har personer som svårigheter att få rättelser till stånd och det är svårt att veta vart man skall vända sig för att spärra vidare reklamutskick. I Sverige har förekomsten SPAR inneburit att behovet av dylika marknadsav föringslistor inte varit särskilt stort. I dag krävs tillstånd att uppta kunder i register skall användas för direktreklamandra än egna som ändamål. Sådana tillstånd begränsas regelmässigt till tre månader. Personuppgifter till dessa direktreklamregister hämtas i de flesta fall från SPAR. Något egentligt behov eller ens möjlighet att försälja av personuppgifter ADB-baserade marknadsföringslistor har hittills inte ur funnits. I viss utsträckning har emellertid utlämnande skett från andras kundregister till sådana tillståndspliktiga register. För det fall SPAR skulle komma att försvinna källa för direktreklam kan man som en

,,,, Särskilt yttrande 494

dock förutse en explosionsartad utveckling andra direktreklamkällor av och olika slags listförmedlare, vissa av mindre seriöst slag. Utredningens krav på uttryckligt samtycke i varje enskilt fall går för långt och kommer förmodligen inte att leda till någon större efterrättelse. Troligen kommer marknadsföringslistor att fortsätta att cirkulera eftersom en stor mängd av dem finns på sådana listor är som presumtiva kunder. Möjlighet finns också att förlägga ADB-hanteringen till utlandet där något motsvarande krav på samtycke inte ställs. Direktreklamutskick från utlandet skulle därför komma att öka i omfattning. Under alla förhållanden skulle den enskildes möjligheter att undanbe sig direktreklam bli mycket sämre. Enligt min mening borde istället för krav på samtycke i varje enskilt fall, den kommande datalagen kompletteras med en bestämmelse som innebär en skyldighet för den persondataansvarige att informera den enskilde om han avser att utge personuppgifter till någon för att användas av denne i reklamsyfte. En sådan bestämmelse skulle dock inte behöva omfatta myndigheternas utlämnande enligt offentlighetsprincipen eller det redan lagreglerade SPAR. Den enskilde som erhåller information om utlämnande för direktreklamändamål kan med stöd av 28 § i förslaget till datalag ny motsätta sig utlämnande och därigenom förhindra behandlingen. Sådan information, naturligtvis väl synlig, skulle kunna lämnas på ett smidigt och enkelt sätt, t.ex. på en beställningssedel, ett inbetalningskort eller i en försäljningskatalog. En sådan ordning skulle med största sannolikhet leda till efterrättelse och innebära en ökad möjlighet för dem som så önskar att förhindra att de erhåller direktadresserad reklam. Genom att anmäla att man önskar reklamspärr i SPAR finns det i dag ett enkelt och effektivt sätt för den enskilde att hindra oönskad direktadresserad reklam. Ett sätt skulle den enskilde ökad som ge en möjlighet att förhindra all slags direktadresserad reklam att införa vore en skyldighet för den persondataansvarige att innan behandling av personuppgifter för direktreklamändamäl sker kontrollera det finns om en reklamspärr avseende någon registrerad i SPAR, dvs person "tvätta" uppgifterna mot SPAR. Reklamspärren i SPAR skulle alltså

kunna användas på samma sätt som s.k. "Robinson-listor" se härom

specialmotiveringen till 28 §. Den enskilde skulle alltså bara behöva anmäla reklamspärr ett ställe. I samband med flyttningsanmälan en skulle man t.ex. kunna beredas möjligheten att spärra för direktreklam i SPAR. Redan i dag kan man i annan ordning sätta reklamspärr hos folkbokföringen vilken vidarebefordras till SPAR.

Underrättelseskyldighet till facklig företrädare

Vad angår den underrättelse som enligt 34 § i lagförslaget skall ske till den enskildes facklige företrädare ansluter jag mig till vad som sägs i

SOU 1993: 10 495 Särskilt yttrande

Chris Heistcr, Inger René, Ulrika Landergren och Ingela den av Mårtensson gjorda reservationen.

SOU 1993: 10 497 Särskilt yttrande

Särskilt yttrande

experten Gert Persson av

Den framtida datalagens tillämpningsområde och vissa

organisatoriska frågor

1 Inledning och sammanfattning

Datalagsutredningen har på förtjänstfullt sätt genomfört sitt svåra ett uppdrag utarbeta förslag till datalag enligt de förändrade att ett en ny förutsättningar inträffat sedan den nuvarande tillkom för ca 20 år som sedan. Föreliggande slutbetänkande är ett stort och viktigt framsteg. Jag delar i allt väsentligt de överväganden och slutsatser utredningen kommit fram till, att utredningen inte "nått riktigt ända men anser fram" i vissa avseenden. Den lagen bör göras oberoende av ADB. Helst bör ADBnya begreppet helt utmönstras lagen. Därigenom blir den en generell ur personregisterlag omfattar all persondatabehandling oavsett vilka som används, dvs. i princip även manuella. Den kommer då metoder som tillämpas under längre tidsperiod utan ständiga också att kunna en anpassningar till den tekniska utvecklingen. En sådan lag överensstämmer även bättre med aktuellt EG-direktiv. nu En "datalag" med denna inriktning får tydligare den karaktär av "integritetsskyddslag" alternativ benämning kan "dataskydds-

en vara

lag" överensstämmer med lagstiftningens anda. som Den nuvarande licensplikten och tillståndsprövningen bör, som utredningen föreslår, upphöra och ersättas ett renodlat tillsynsav Datainspektionens inriktning och verksamhet kommer bl.a. system. därav förändras radikalt i förhållande till vad som varit förhanden att under de 20 år inspektionen funnits. Därtill kommer att den ca som tekniska utvecklingen har gått mycket snabbt under denna tidsperiod. De och databehandlingsmiljöer var utgångspunkten för system som Datainspektionen då den bildades har förändrats drastiskt. Datainspekkompetens och organisation står idag inte i överensstämmelse tionens med "state-of-the-art" i användningen informationsteknologi och är av inadekvat för det integritetsskydd föreslås av datalagsutredhelt som ningen och föreslås gälla inom den europeiska gemenskapen. som De arbetsformer och den nya "myndighetskultur" som utnya redningen förutsätter explicit uttalat i avsnitt 17.4 kan, enligt min mening, inte komma till stånd utan att en helt ny myndighet skapas. Även utredningen är inne på dessa tankar, men jag finner skäl att

förstärka dess uttalanden på denna punkt.

Särskilt yttrande 498

Datainspektionen bör, enligt min mening, läggas ned och en ny tillsynsmyndighet skapas. Denna förändring bör genomföras av en särskild utredare.

2 Den framtida datalagens tillämpningsområde

2.1 Allmänt

En datalags yttersta uppgift måste vara att förhindra att otillbörligt intrång görs i enskild persons integritet vid registrering och behandling av data/uppgifter/information om denne. Det är innehållet i och betydelsen av uppgifterna som konstituerar riskerna för intrång, och inte främst de metoder som används vid databehandlingen. Ostridigt är dock att informationsbehandling med hjälp av modern ADB kan på ett effektivare sätt förorsaka olägenheter och skador hos registrerade än vad som normalt kan ske med andra, mindre automatiserade, informationsbehandlingstekniker. Den nuvarande datalagen har genom sin starka knytning till ADB, som är endast en av flera möjliga behandlingstekniker, mera fått karaktären att vara en "ADB-lag" än att vara en "datalag". Detta har medfört onödigt arbete och diskussioner om "vad som är ADB". Oklarheter uppstår vid tolkning av lagens tillämpning i fall då flera behandlingstekniker används i mer komplicerade behandlingssituationer. Utredningen har konstaterat att det inte torde vara möjligt att närmare definiera begreppet ADB. Jag delar denna uppfattning. Utredningen anser dock att detta inte bör föranleda några nämnvärda olägenheter. Jag anser däremot att en fortsatt stark anknytning till ADB är olämplig.

2.2 En teknikoberoende datalag behövs

I komplicerade databehandlingsmiljöer, t.ex. uppbyggda med distribuerade databaser eller nätverksbaserade systemstrukturer baserade på integration av telematik och ADB är den nuvarande datalagen svår att tillämpa. Även vid förhållandevis enkla databehandlingssituationer kan svårigheter uppstå då moderna hjälpmedel används, med integritetsintrâng som följd. Integritetsintrång kan ske utan hinder av datalagen bara man undviker att använda verktyg som kan definieras som en "dator". Exempelvis kan det vara brott mot datalagen att skicka personuppgifter med en modern telefax därför att dagens telefaxar kan lagra data i sitt interna minne, medan det är helt lagligt att skicka samma uppgifter med en något äldre telefax som saknar minneskapacitet.

SOU 1993: 10 499 Särskilt yttrande

Det är också fullt lagligt att göra i stort sett vilka helst integrisom tetskränkningar om man använder lagrings- och databehandlande metoder som kan betraktas som helt "manuella". I betänkandet beskrivs informationshanteringens framtidsperspektiv på ett bra sätt. Den förutses bli baserad på multi-mediala tekniker där information i olika former, såsom data, text, bild och ljud, integreras. Den snabba utvecklingen inom det informationsteknologiska området gör att begreppet ADB, i den mening som det utgör en grund för datalagen, är alltför begränsat. Samtidigt är en avgränsning av ADB mot annan hantering av information närmast omöjlig teknikens genom utveckling och genom att digitala tekniker används inom allt fler områden där personinformation behandlas. Det är, enligt min mening, självklart att en lag som skyddar den personliga integriteten vid behandling av personuppgifter måste vara oberoende av den teknik som används. Begreppet ADB måste således tas bort ur datalagen om denna skall kunna bli "hållbar" under några år kännetecknade av en snabb teknisk utveckling. En logisk följd av att lagen görs oberoende ADB-begreppet blir av att även persondatabehandling som förs med annan teknik än "ADB" och som hanterar integritetskänsliga personuppgifter skulle omfattas av lagen. Detta medför automatiskt en höjning av integritetsskyddet. En sådan lag skulle då få karaktären av en generell persondatalag som inte begränsas till ADB-tillämpningar och blir mindre känslig för den tekniska utvecklingen. svårigheterna att definiera begreppet ADB och därmed sammanhängande tolknings- och gränsdragningsproblem bortfaller även helt. De här aktualiserade problemställningarna är även relevanta i samband med sekretesslagens 15 kap 9-13 §§, som en gång tillkommit som en följd av dåtida skarpa gränser mellan automatisk och annan databehandling. Denna fråga ligger dock utanför datalagsutredningens område att behandla.

2.3 Manuellt behandlade personuppgifter

Förslaget till ny datalag utgår från förutsättningen att lagen inte bör omfatta även manuellt förda personuppgifter. Uppgifter hanteras som manuellt kommer därför generellt sett att falla utanför lagens tilllämpningsområde. I vissa fall kan dock även manuellt hanterade personuppgifter komma att omfattas av lagen. Dessa fall regleras främst i lagförslagets 3 § och 4 Vissa mer harmlösa typer av databehandling faller utanför lagens tillämpningsområde grund av de föreslagna reglerna i 6 § 4-5 p samt 7 Utredningen avviker från föreliggande utformning av EG-direktivet vad avser personuppgifter som samlas i manuellt förda "personregister".

Särskilt yttrande 500 SOU 1993: 10

Med "personregister" avses i förslaget till EG-direktiv varje strukturerad mängd persondata, vare sig den är centraliserad eller av geografiskt spridd, som är tillgänglig enligt speciella kriterier och ändamål eller effekt är att underlätta sökning av personuppgifter. vars l EG-direktivförslaget inbegriper begreppet behandling av personuppgifter Processing of Personal Data alla åtgärder som kan vidtagas med persondata; från insamling till radering med eller utan auto- matiska hjälpmedel. Direktivförslaget är således tillämpligt på såväl automatisk behandling av personuppgifter som på sådan manuell behandling personuppgifter som ingår i "personregister" som av uppfyller dessa kriterier. Undantag ges för behandling som faller utanför gemenskapsrätten t.ex. för Säkerhetstjänster och för rent privat behandling. Enligt min mening bör en framtida svensk datalag ha samma principiella uppbyggnad förslaget till EG-direktiv; i första hand som helt utan basala utgångspunkter i ADB-begreppet. I diskussionen "manuella register" har befarats att Datainspekom tionen skulle komma att få en orimlig mängd anmälningar och ärenden att behandla om även en motsvarighet till manuellt förda "personregister" direktivförslagets karaktär skulle tillföras dess tillsynsav omrâde. Dessa argument har då bl.a. utgått ifrån den nuvarande situationen då inspektionen kanske inte har registrerade uppgifter om än 5-10 % den uppskattade mängden datoriserade personmer av register. Jag hävdar att den omständigheten att hantering av information om till största delen och i framtiden sker med digitalteknik personer nu obs; enbart ADB i nuvarande datalagens mening i sig icke gör att antalet tillkommande register som kräver Datainspektionens aktiva tillsyn skulle bli "oändligt" även integritetskänsliga "manuella om register" fördes dit. Den mängd som kräver aktiva insatser från inspektionen kan begränsas. Datainspektionen kan nämligen i sitt tillsynsarbete, t.ex. vid inspektioner, koncentrera sig på vilka integritetshot finns i olika konstellationer av de registrerade som uppgifterna och ägna mindre tid åt gränsdragningstekniska frågor. Den manuella persondatabehandling som är harmlös kan givetvis helt avföras från datalagens tillämpningsområde och inspektionens insatser harmlös ADB sker enligt 6 § och 7 likartat sätt som Ett f okänt antal manuella register med integritetskänsligt n innehåll tillkommer dock sannolikt, vilket får anses stå i överensstämmelse med datalags anda, om integritetsskyddet därigenom en förbättras.

SOU 1993: 10 501 Särskilt yttrande

3. Vissa organisatoriska frågor

3.1 Bakgrunden till nuvarande datalag och Datainspektion

Offentlighets- och sekretesslagstiftningskommittén OSK avlämnade i juni 1972 delbetänkandet SOU 1972:47 Data och integritet, innehållande förslag till datalag och ändringar i bl.a. tryckfrihetsförordningen TF. I prop 1973:33 föreslogs inrättandet av Datainspektionen samt arbetsuppgifter och organisation för denna nya förvaltningsmyndighet på datateknikens omrâde. Av förarbetena till datalagen och Datainspektionen framgår att man föreställde sig att alla integritetshotande data skulle finnas i stora, avgränsningsbara s.k. register, och skulle behandlas av stora, centralt placerade datorer. Så var naturligtvis förhållandena till betydande del vid dekadskiftet 1960-70; främst inom de offentliga myndigheterna där, då såväl de mest integritetskänsliga persondata finns. som nu, Fantasi och teknologiska kunskaper räckte dock inte till för att förstå att detta var enbart en ögonblicksbild av ett snabbt föränderligt utvecklingsförlopp. Trots att det fanns remissvar som påtalade detta så gick man den enklaste av vägar man stiftade en lag som reglerade sättet att använda den teknik som då fanns, men som undvek kärnfrågorna. Datalagen blev en tekniklag, helt relaterad till begreppet ADB och formad efter hur ADB såg ut för 20 år sedan. Intrång i den personliga integriteten blev, och är fortfarande, tillåtna bara man undviker att använda verktyg som kan uppfattas som en "dator" eller en databehandlingsteknik som är "automatisk". Det är således fullt lagligt att göra i stort sett vilka som helst integritetskränkningar om man använder lagrings -och/eller databehandlande metoder som kan betraktas som "manuella". Datainspektionens utformning präglades även av detta synsätt. När det gällde t.ex. dess styrelsemedlemmars kvalifikationer anförde föredragande statsrådet i prop 1973:33 att han delade "den från flera häll framförda uppfattningen att ordföranden bör vara lagfaren Vidare anfördes i propositionen: "Vad beträffar övriga styrelsemedlemmar är

det, som OSK framhållit, angeläget att flertalet av dem har nära

kontakt med den allmänna opinionen genom arbete i riksdagen eller i någon större organisation. Vidare är det lämpligt att styrelsen innehåller ledamot med särskild sakkunskap i datateknik och en informationsbehandling samt att även personer med erfarenhet av offentlig förvaltning resp. enskild näringsverksamhet är företrädda i styrelsen. Kraven på ordförandens lagfarenhet och vissa ledamöters anknytning till riksdag, offentlig verksamhet och den allmänna opinionen har noga beaktats under Datainspektionens tillvaro, medan kravet särskild sakkunskap i datateknik och informationsbehandling har âsidosatts.

Särskilt yttrande 502

Detta har medverkat till att Datainspektionen i allt högre grad har fjärmats från den verklighet där man skall verka och har som man ansvaret att utöva tillsyn över.

3.2 En kommande datalag och Datainspektion en ny

Den lag som nu föreslås bör kunna fungera åtminstone 1900-talet ut. Utvecklingen inom det informationsteknologiska området går förvisso inte långsammare 1992-2000 än den har gjort 1972-1993. Den nya lagen och den framtida teknologiska miljön ställer helt nya krav på tillsynsmyndigheten. Datainspektionen måste arbeta helt annorlunda. Dess huvudinriktning blir tillsyn och inte det tillståndsarbete som hittills kännetecknat Datainspektionen. Detta kräver att man har sådan sakkunnighet och kompetens om teknologin att man känner igen ett integritetshot/- -intrâng när man kommer på det, och inte bara konstaterar en ev. avvikelse från ett i framtiden obefintligt tillstånd eller från ett angivet ändamål. Dessutom måste man skapa förutsättningar för att på ett aktivt sätt söka upptäcka de integritetshot och -intrång föresom kommer. Man måste med andra ord ut fältet och umgås på lika - villkor med dem som arbetar professionellt med databehandling; automatisk och/eller "manuell". Dessa förutsättningar skapas delvis genom en adekvat prioritering: man behöver inte ägna stor tid sådant som inte är eller kan bli särskilt integritetskänsligt, medan man måste ägna betydande omsorg utåtriktad information och påverkan pä omvärlden. Man måste ägna sig inspektioner, med vissa inslag i arbetet som har karaktären av "svarta gänget är ute och sniffar efter integritetsintrång " . Det finns en viss paradox i detta resonemang: för att kunna "avteknifiera" datalagen krävs en teknologiskt högkompetent datainspektion. Å andra sidan är detta inte ovanligt; motsvarande problemställning finns hos andra tillsynsmyndigheter såsom kärnkraftsinspektionen, trafiksäkerhetsverket, kemikalieinspektionen, luftfartsinspektionen, statens elektriska inspektion, Svensk Bilprovning bolag med myndighetsroll, m. fl. Deras huvudkompetens finns inom deras resp sakområden inte inom juridiken. Juridiken är ett verktyg för att stödja deras arbete inom sakområdet. Datainspektionens framtida inriktning kräver sålunda en helt annan sakkompetens om informationsteknologiområdet än den finns. som nu Det kan ifrågasättas om inte den informationsteknologiska kompetensen är viktigare i framtiden än lagkunskapen, beaktat att den juridiska materian inom området är osedvanligt komplicerad, vad gäller inspektionens resursmässiga tyngdpunkt. Datainspektionens framtida verksamhet kräver även en helt annan organisation än den som nu finns.

SOU 1993: 10 503 Särskilt yttrande

3.3 Uppgifter och organisation

Datainspektionens framtida uppgifter och verksamhet kan förenklat sammanfattas i följande punkter:

A. Normgivning

B. Dataombudsmannafimktioner

C. Inspektioner och övrig tillsyn

D. Omvärlds- och teknikbevakning

E. Information

F. Anmälningshantering och annan administration

Utredningen har berört dessa områden och jag finner ingen anledning att upprepa eller i detalj fördjupa vad utredningen framfört. Utredningen har även i kap 17.4 berört de problem som kan finnas för en myndighet med personal som är van att utföra sitt arbete i vissa former att ställa om sig till en ny inriktning, samt hur den nuvarande Datainspektionen skulle kunna omvandlas till sin nya roll och uppgifter. Jag delar utredningens uppfattning att en genomgripande översyn av Datainspektionen bör göras. Redan i utredningsdirektiven förutses att "En omläggning av datainspektionens verksamhet mot ökad tillsyn kan ge anledning till en översyn av inspektionens organisation. Utredningen har dock, främst av tidsskäl, inte kunnat behandla dessa frågor annat än ytligt och konstaterar att den berörda översynen inte omfattas av utredningens direktiv. Enligt min mening talar all erfarenhet för att en så omfattande förändring, även om Datainspektionens resursmängd och organisation är av tämligen blygsam omfattning, inte kan ske utan att man lägger ner den nuvarande myndigheten och skapar en ny. Erfarenheter talar även mycket starkt för att detta arbete bör utföras av ett särskilt tillskapat översyns-/organisationsprojekt som behandlar och resursmässigt prioriterar samtliga verksamhetsområden. Projektet bör ledas av en särskilt utsedd utredningsman. Särskild omsorg bör vid översynsarbetet ges ombudsmannarollen

som diskuterats i riksdagen vid flera olika tillfällen sedan 1973,

informationsverksamheten samt administrativa rutiner för att förenkla, uppsnabba och rationalisera anmälningsförfarandet.

SOU 1993: 10 505 Särskilt yttrande

Särskilt yttrande

av ledamoten Stig Sandström v

Vad som är bra och styrkan i föreliggande förslag till datalag är att den utgår från vår egen svenska verklighet och våra egna rättstraditioner. Den slår vakt om offentlighetsprincip, tryckfrihet, meddelarfrihet och forskningens möjlighet att fungera. Samtidigt försöker den undanröja vissa byråkratiska begränsningar och tillåta en smidig användning av de nya tekniska möjligheterna utan att den personliga integriteten får kränkas. Frihet under ansvar kan sägas vara rättesnöret. Som framgår av motiveringarna så har utredningen, trots ambitiösa försök, på punkt efter punkt misslyckats med att förena sig med utkastet till EG-direktiv. Enligt min mening är detta ett friskhetstecken. Ett brott mot den alltför överdrivna och kravlösa EG-anpassningen som pågått under de senaste åren. Ty det kan inte vara rimligt att Sverige med världens längsta traditioner på datalagstiftningens område ska anpassa sig till och underordna sig ett EG-direktiv som syftar till att lyfta och ge de länder inom EG som i dagsläget saknar lagstiftning pâ dataområdet ett fungerande regelverk. Detta innebär dock inte att föreliggande förslag är utan komplikationer och löser alla problem ett helt tillfredsställande sätt. Experten Bertil Persson pekar t.ex. på att den snabba utvecklingen på dataområdet borde motivera att vi går ett steg längre och även slopar anmälningsplikten. Experten Sten Wahlqvist pekar på komplikationerna med klipparkiven. Ytterligare ett problem i tiden är att annan lagstiftning, som sanktionerar integritetskränkningar, ex.vis inkassolagen, kan komma att överutnyttjas på ett för samhället skadligt sätt i ekonomiska kristider. En annan tendens som enligt min mening bör uppmärksammas är att utvecklingen från industrisamhälle till informations- och tjänstesamhälle innebär att arbetskraften värderas ett annat sätt. Mjukdata ersätter hårddata. Formell kompetens i form av betyg och andra mätbara kvalifikationer mister i betydelse och i stället värdesätts andra

egenskaper är svårmätbara t.ex. personkemi, trevlighet,

som mer vinnande sätt osv. Detta innebär i sin tur att det blir viktigare med omdömen, värderingar och referenser vid anställningsförfaranden. l sig innebär det en ökad integritetskänslighet som kan vara svår att hantera på ett rättvist sätt. En dålig referens, kanske byggd på felaktiga grunder eller illvilja, kan ex.vis skada en människa för livet. Några av ovanstående problem skulle eventuellt kunna lösas med en generell integritetslag. Då skulle också en speciell datalag bli överflödig. Egentligen är det något absurt med en lag som i sitt utgångsläge försöker tygla en teknik. Vi har ingen speciell

Särskilt yttrande 506

skrivmaskinslag eller mobiltelefonlag. Jag inser dock att en sådan lag inte är helt lätt att ta fram eftersom integritetskränkningar uppfattas väldigt subjektivt. Troligen skulle det behövas en hel del forskning för att reda ut vad som uppfattas som integritetskränkningar. Att få fram en minsta gemensam nämnare som kan accepteras i en lagtext. Sedan gäller det också att göra reda för sig när integritetskränkningar ska tillåtas och av vem I kommande lagstiftning på integritetsomrâdet skulle det därför enligt min mening vara önskvärt att man tog ett bredare grepp på hela frågan om personlig integritet och även initierar forskning kring detta. Och även undersöker möjligheten att skapa en generell integritetslag.

SOU 1993: 10 507 Särskilt yttrande

Särskilt yttrande

av experten Sten Wahlqvist

Sammanfattning

Inga undantag bör göras i en ny datalag för massmediemas klipparkiv. Genomförs utredningens förslag att undanta klipparkiven helt från datalagens tillämpningsområde, kan det enligt min mening t.o.m. bli svårt att hävda behovet av integritetsskyddsregler andra områden i samhället, t.ex. inom forskningsområdet. Arbetsgivares möjligheter att utan samtycke behandla personuppgifter om anställda som rör sjukdom eller hälsotillstånd eller utgör omdömen eller värderande upplysning bör omgärdas med utförliga och restriktiva regler, grundade på en noggrann avvägning mellan arbetsgivares behov och arbetstagares rätt till integritetsskydd i arbetslivet. Den av utredningen förslagna regleringen uppfyller inte det kravet. Enligt min mening talar starka skäl för att reglera arbetsgivares behandling av personuppgifter om anställda, som behövs inom företagshälsovården eller i övrigt för rehabiliteringsverksamhet, i en särskild registerlag. Behov kan föreligga av en samordning med den planerade registerlagstiftningen på socialförsäkringsområdet. En klar brist med utredningens förslag är att Datainspektionen inte ges behörighet att meddela generella föreskrifter gallring. Från om integritetssynpunkt är en befogenhet att meddela sådana föreskrifter av central betydelse. Genom att inte medges denna möjlighet kan Datainspektionen inte ett effektivt sätt reglera gallringsfrågan för en hel bransch eller ett helt område. En stor del av vinsten med en bransch- eller sektorsreglering går därigenom förlorad. För att klargöra att en begränsning genom en ändamålsbestämning som en myndighet själv beslutat om skall utgöra också motsvarande en begränsning för vad som utgör allmän handling bör enligt min mening 2 kap. 3 § andra stycket tryckfrihetsförordningen ändras. Genom en sådan ändring kan man i en specialmotivering behandla denna inte minst av rättspolitiska skäl viktiga fråga. Myndigheterna kommer enligt utredningens förslag i fortsättningen att i princip själva bestämma omfattningen av offentlighetsprincipen. I det nya förslaget till EG-direktiv har i den artikel, behandlar som känsliga uppgifter, tagits in en regel att medlemsstaterna skall om bestämma de villkor under vilka personnummer får användas. Detta väcker frågan om regleringen i 15 § förslaget till datalag är tillräckligt konkret. Det är naturligt att den förutskickade personnummerutredningen överväger denna fråga.

Särskilt yttrande 508 SOU 1993: 10

För att begränsa en fortsatt spridning av felaktiga eller ofullständiga personuppgifter bör persondataansvarig, som rättat, ändrat, en kompletterat eller utplånat en felaktig eller ofullständig uppgift, åläggas att underrätta den som eventuellt har lämnat ut uppgiften till honom datasamling. Utredningen föreslår ingen sådan skyldighet. från en

Massmediemas klipparkiv

Tryckfrihetsförordningen m.m. och datalagstzfiningen

Bland de grundlagsskyddade fri- och rättigheterna i 2 kap. regeringsformen RF intar yttrandefriheten en central ställning. Tryckfriheten är del yttrandefriheten. Tryckfrihetens betydelse för en fri en av samhällsdebatt och ett fritt samhällsskick kan inte nog understrykas. Tryckfriheten skyddas därför mot ingrepp från det allmänna genom detaljerade bestämmelser i tryckfrihetsförordningen TF. Beträffande tryckfriheten hänvisar 2 kap. l § RF därför till TF. Genom att TF är grundlag den utförliga regleringen där ett gott skydd för det en ger tryckta ordet. Samtidigt står det klart att den enskildes personliga integritet måste skyddas i ett demokratiskt samhälle. RF slår därför vakt om integriteten. Den grundläggande bestämmelsen finns i l kap. 2 § tredje stycket RF. Där sägs att det allmänna skall värna den enskildes privatliv och familjeliv. Av förarbetena framgår att integritetsskyddet vid dataregistrering stod i blickpunkten vid bestämmelsens tillkomst. En motsvarande bestämmelse finns i artikel 8 i europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. I den praxis som utvecklat sig vid tillämpningen av konventionen har slagits fast att det skydd för privatlivet som denna artikel ger omfattar även dataskydd. Den l januari 1989 infördes i RFs fri- och rättighetskatalog en grundregel skydd för den enskildes personliga integritet vid om dataregistrering 2 kap. 3 §. Regeln innebär att varje medborgare i den utsträckning närmare anges i lag skall skyddas mot att hans som personliga integritet kränks genom att uppgifter om honom registreras databehandling ADB. Genom grundregeln med hjälp av automatisk åläggs lagstiftaren att vara aktiv genom att stifta och vidmakthålla en datalagstiftning. Regeln kräver alltså att det skall finnas en datalag som skyddar varje medborgare mot integritetskränkningar. Av det anförda framgår att både tryckfriheten och den enskildes personliga integritet har stora skyddsvärden och därför är omgärdade med starkt rättsligt skydd. Föreligger motstâende intressen mellan tryckfriheten och integriteten, ankommer det på lagstiftaren att ta ställning till hur konflikten bör lösas. Massmedierna samlar in uppgifter om människor och sprider information människor. Uppgifter sparas också för framtida behov. om

SOU 1993: 10 509 Särskilt yttrande

Det ligger i sakens natur att sådana uppgifter inte alltid är korrekta. Många gånger kan det också vara fråga om känsliga uppgifter t.ex. omdömen människor samt uppgifter om brott och sjukdomar. om Sådana uppgifter har i den nuvarande datalagen bedömts vara av så integritetskänsligt slag att särskilda skäl och i vissa fall synnerliga skäl måste föreligga för att tillstånd skall få meddelas att registrera dem. Uppgifterna kan också många gånger vara sekretesskyddade enligt sekretesslagen. Till bilden hör också att den omfattande användningen personnummer i vårt samhälle i förening med TFs offentlighetsav princip i hög grad underlättar insamlingen av uppgifter om enskilda. Av det anförda framgår att personregister som förs inom nu massmediaområdet mycket integritetskänsliga. Det bör även kan vara framhållas att datalagen utgår från att redan registreringen av uppgifter kan medföra risk för otillbörligt integritetsintrång. Det skydd som utredningen att de pressetiska reglerna ger mot spridning genom anser publicering ömtåliga uppgifter motsvarar således bara en del av av skyddet för den enskildes personliga integritet. Till detta kommer att vikten att värna den enskildes personliga integritet ökar i ett allt av informationsintensivt samhälle där massmedierna redan nu spelar mer en framträdande roll. Mot denna bakgrund anser jag att det är ett samhällsintresse av största vikt att det görs rimlig avvägning mellan tryckfriheten och en människors rätt till en fredad sektor. Det är också ett vitalt intresse att den enskilde medborgaren kan förlita sig på att samhället har förmåga upprätthålla skyddet för hans personliga integritet på alla samhällsatt områden.

Mina överväganden

Vad först gäller produktionsregistren, dvs. i normalfallet kortlivade register står i direkt tekniskt samband med sättnings- och som tryckningsprocessen, delar jag utredningens uppfattning att en reglering med möjlighet till ingripanden från Datainspektionens sida som i sista hand kan innebära ett förbud att behandla personuppgifter med stor sannolikhet skulle komma i konflikt med l kap. 2 § TF och l kap. 3 § yttrandefrihetsgrundlagen YGL. Med hänsyn till att registren är kortlivade är jag också tveksam till värdet av en begränsad tillämpning datalagen på sådana register. Jag kan därför ställa mig bakom av utredningens förslag att produktionsregistren skall undantas helt från datalags tillämpningsområde. Stor vikt har jag härvid fäst vid en ny förslaget till EG -direktiv som ålägger medlemsstaterna att göra undantag för audiovisuella massmedia och journalister som pressen, behandlar personuppgifter för journalistiska ändamål art. 9. Artikeln syftar till avvägning mellan tryckfriheten och integritetsskyddsen regler.

Särskilt yttrande 510 SOU 1993: 10

Jag kan också ställa mig bakom utredningens förslag att undanta sådana källregister som utgör renodlade register över anonymitetsskyddade personer från en ny datalags tillämpningsområde, även om mycket talar för att t.ex. reglerna om insynsrätt och rättelse också bör gälla för anonymitetsskyddade personer. Mitt ställningstagande grundar sig det starka anonymitetsskydd som finns i TF och YGL samt på bestämmelserna i art. 9 förslaget till EG-direktiv. Det är viktigt att påpeka att det skall vara fråga om renodlade register över anonymitetsskyddade personer. Jag instämmer vidare till fullo i utredningens ställningstagande att inga undantag skall göras i en ny datalag för källregister i övrigt "Braatt-ha-register". Frågan om hur den nya datalagen förhåller sig till föreskrifterna i TF och YGL får som hittills lösas av praxis. För att undanta klipparkiven måste det däremot kunna anföras tungt vägande skäl. Om massmediernas klipparkiv undantas från datalagstiftningen medför detta att enskilda berövas sin rätt till insyn och fråntas sina möjligheter och sin rätt att få rättelse av oriktiga eller missvisande uppgifter samt skadestånd när sådana uppgifter har medfört skada för honom. Även det inte går få rättelse oriktiga eller missom att av visande uppgifter i redan publicerat material kan massmedierna idag åläggas att göra markeringar när materialets riktighet har ifrâgasatts. Därigenom undviker man att felaktigheter publiceras ånyo. Om klipparkiven undantas kommer reglerna om gallring av känsliga uppgifter som utgör en viktig del av integritetsskyddet inte heller - att gälla. Krav kommer inte att kunna ställas pâ ADB-säkerhet i syfte att hindra obehörig åtkomst till eller spridning av uppgifter från massmediernas klipparkiv. Jag motsätter mig därför bestämt att klipparkiven undantas från en ny datalags tillämpningsområde. Det är särskilt svårt att förstå logiken bakom utredningens förslag att undanta klipparkiv från en framtida datalag även för andra ändamål än att tjäna massmediernas journalistiska verksamhet. Detta strider också mot förslaget till EG-direktiv. Klipparkiven har inte med den direkta produktionen av en skrift att göra. Konflikter med föreskrifterna i TF om censurförbud och andra hindrande åtgärder torde därför bli sällsynta. Anledning att frånta Datainspektionen möjligheter att meddela föreskrifter, villkor eller utöva tillsyn synes således föreligga. Givetvis har Datainspektionen att beakta eventuella konflikter med TF vid utfärdandet av föreskrifter eller villkor. Ett särskilt problem uppstår med utredningens förslag. Hur skall man skilja ut seriös tidningsproduktion från oseriös sådan, dvs. när tidningsutgivning används som täckmantel av mindre nogräknade personer för att kringgå en ny datalag Sammanfattningsvis anser jag således att inga undantag skall göras i en ny datalag för klipparkiven. Genomförs utredningens förslag blir

SOU 1993: 10 5 1l Särskilt yttrande

det svårt att hävda behovet av integritetsskyddsregler på också andra områden i samhället, t.ex. inom forskningsområdet.

Arbetsgivares behandling av känsliga personuppgifter anställda om inom företagshälsovården eller i övrigt for rehabiliteringsverksamhet

Bakgrund

Genom ändringar i lagen 1962:381 om allmän försäkring och arbetsmiljölagen 1977:1160 har arbetsgivaren fått ett ökat för ansvar arbetsmiljön och de anställdas rehabilitering. Arbetsgivaren skall bl.a. svara för att behovet av rehabiliteringsâtgärder utreds när den anställde pâ grund av sjukdom har varit borta från arbetet under viss angiven tid. Rehabiliteringsutredningen skall tillställas försäkringskassan. Arbetsgivaren skall vidare svara för att sådana arbetslivsinriktade rehabiliteringsåtgärder vidtas som kan genomföras inom eller i anslutning till den egna verksamheten. Under rehabiliteringen kan den anställde få rehabiliteringsersättning från försäkringskassan. Försäkringskassan har ett övergripande samordningsansvar för rehabiliteringsverksamheten, innefattande för regionalt och ansvar lokalt samarbete mellan olika myndigheter och organ med uppgifter på rehabiliteringsontrâdet. Gentemot den försäkrades arbetsgivare har försäkringskassan ett tillsynsansvar för att denne fullgör sina rehabiliteringsuppgifter. . Sedan flera är tillbaka har riksförsäkringsverket i samarbete med försäkringskassoma bedrivit ett utrednings- och utvecklingsarbete samt praktiska försök för att fâ underlag för ett ställningstagande till frågan hur ADB-verksamheten skall utformas för att stödja den pågående verksamhetsutvecklingen FAS 90. Mot bakgrund att den planerade av förändringen av socialförsäkringsorganens verksamhet och den därmed sammanhängande utvecklingen av ADB-stödet aktualiserade rad en frågor av central betydelse för integritetsskyddet i samhället tillsattes en utredning med uppdrag att lägga fram ett förslag till en registerlag för socialförsäkringsorganens personregister. Utredningen har hittills lagt fram ett förslag till registerlag för lokala sjukförsäkringsregister SOU 1991 :9. Som grund för förslaget har utredningen bl.a. lagt viss underhandsinformation om det propositionsarbete ledde fram till som de ovannämnda ändringarna i lagen om allmän försäkring och arbetsmiljölagen. Förslaget, som varit föremål för omfattande debatt en FAS 90 debatten, bereds för närvarande i regeringskansliet. -

Mina överväganden

Inte minst av humanitära skäl är det viktigt att man, pä sätt skett som genom ändringarna i lagen om allmän försäkring och arbetsmiljölagen,

Särskilt yttrande 512

på olika vägar dels söker komma till rätta med bristfälliga arbetsmiljöer för förhindra att arbetsskada eller arbetssjukdom drabbar de att anställda, dels effektiviserar rehabiliteringsverksamheten för dem som sjukdom. Men samtidigt måste skyddet för de anställdas drabbas av personliga integritet beaktas i detta sammanhang. Att detta skydd kan garanteras är faktor som har stor betydelse inte minst för den en psykiska arbetsmiljön. Datalagsutredningen föreslår att personuppgifter, som avser sjukdom eller hälsotillstånd eller utgör omdöme eller annan värderande upplysning den anställde, skall få behandlas för anställningsom ändamål arbetsgivaren utan den anställdes medgivande bl.a. om av uppgifterna rör den anställdes sjukdom eller hälsotillstånd och behandlingen behövs inom företagshälsovården eller i övrigt för sådan rehabiliteringsverksamhet föreskrivs i lag 33 § 2. Även som om bestämmelserna i förslaget till datalag i övrigt gäller för arbetsgivares behandling sådana personuppgifter, anser jag att regleringen är av alltför bristfällig. Enligt min mening är risken uppenbar att anställdas personliga integritet kan komma att kränkas om man inte omgärdar arbetsgivarens möjligheter att utan samtycke behandla personuppgifter anställda rör sjukdom eller hälsotillstånd eller utgör omdömen om som eller värderande upplysning med utförliga och restriktiva regler. Nu föreslagen reglering hindrar inte arbetsgivare att utan samtycke t.ex. behandla diagnosuppgifter om anställda eller uppgifter som utgör egna omdömen varför anställd är sjuk. Inte heller finns någon om en begränsning varifrån uppgifter, skall läggas till grund för ett som omdöme anställd, får hämtas. En sådan ordning är inte om en acceptabel från integritetsskyddssynpunkt. Jag motsätter mig därför bestämt förslaget i denna del. Enligt min mening talar starka skäl för att bryta ut ifrågavarande förslag 33 § 2 från förslaget till datalag och reglera arbetsgivares behandling personuppgifter anställda, som behövs inom av om företagshälsovården eller i övrigt för rehabiliteringsverksamhet, i en särskild registerlag. Det är naturligt att arbetsgivares behandling av känsliga personuppgifter för rehabiliteringsverksamhet blir lika reglerad avsikten är att försäkringskassornas verksamhet noggrant som skall bli. Lagen bör på sedvanligt sätt innehålla konkreta föreskrifter bl.a. varifrån uppgifter får inhämtas, vilka uppgifter som får om behandlas, de bearbetningar får göras, den information som skall som lämnas till berörda, utlämnande, bevarande och gallring. Det kan också finnas behov att samordna ett arbete med att ta av fram registerlag för arbetsgivarnas behandling av rehabiliteringsen uppgifter med den planerade registerlagstiftningen socialförsäkringsområdet. Den rehabiliteringssamverkan mellan försäkringskassorna och arbetsgivarna beslutats ändringarna i lagen om allmän som genom försäkring torde för övrigt innebära att gränsdragningen mellan vad

SOU 1993: 10 513 Särskilt yttrande

som kan anses vara socialförsäkringsändamål och anställningsändamål kan bli flytande.

Gallring av personuppgifter

Inledning

Förslaget till ny datalag innehåller fylligare och mer precisa bestämmelser än nuvarande datalag. Trots detta är lagen en s.k. ramlag. I 36 § förslaget till datalag har därför tagits in ett bemyndigande för regeringen eller, efter regeringens bemyndigande, Datainspektionen att i vissa fall meddela närmare föreskrifter i fråga om behandlingen av personuppgifter. Förutsättningar för delegation är att det är fråga om behandling av känsliga personuppgifter och att det rör sig om personuppgifter som ofta behandlas inom ett visst område för ett visst ändamål. Genom bemyndigandet kan olika branscher och sektorer specialregleras. Att specialreglera olika branscher och sektorer ligger i linje med Europarådets arbete att ta fram rekommendationer inom olika områden och Datainspektionens arbete att utfärda författningar om förenklade ansökningsförfaranden såsom skett inom t.ex. det kommunala och landstingskommunala omrâdet. Den bärande tanken bakom Datainspektionens inriktning att arbeta fram förenklade ansökningsförfaranden är att integritetsskyddet främjas bäst genom att reglerna för personregistrering anpassas till de specifika förhållanden som råder inom olika branscher eller områden i samhället. Därigenom skapas också förutsättningar för att fördelarna med tekniken kan tas till vara utan att integritetsskyddet åsidosätts. Genom att engagera bransch- och omrâdesföreträdare i utvecklingen av normer för personregistreringen på olika områden i samhället sprids en fördjupad kunskap om och en större förståelse för integritetsfrågorna. Erfarenheterna ger också vid handen att det i ett sådant utvecklingsarbete går att locka fram ett påtagligt intresse för de etiska aspekterna personregistrering i den egna verksamheten. Enligt 36 § förslaget till datalag har möjligheten att meddela föreskrifter begränsats till vissa angivna områden. Föreskrifter kan meddelas beträffande bl.a. tillämpningen av bestämmelsen om anknytning till ett ändamål 9 §, god datased 10 §, förutsättningarna för behandling av personuppgifter ll §, samtycke enligt 12 vilka personuppgifter som får behandlas 13 15 §§ samt insamling av personuppgifter från den enskilde 16 §. Däremot ges Datainspektionen ingen möjlighet att meddela föreskrifter om gallring. Utredningen har motiverat detta med att känsliga personuppgifter i princip inte fâr behandlas om inte behandlingen åtminstone i vissa hänseenden har reglerats genom särskilda bestämmelser i lag eller annan författning. Skulle behov finnas av en särskild gallringsbe-

Särskilt yttrande 514 SOU 1993: 10

stämmelse på ett visst område förefaller det, framhåller utredningen, naturligt att denna gallringsbestämmelse tas in i den författning som ändå måste beslutas. I fråga om de känsliga personuppgifterna finns det därför, enligt utredningen, knappast någon anledning att ge Datainspektionen befogenhet att meddela generella föreskrifter om gallring.

Mina överväganden

Enligt min mening är det en klar brist att inte Datainspektionen ges behörighet att meddela föreskrifter om gallring. Från integritetssynpunkt är en befogenhet att meddela sådana föreskrifter av central betydelse. Genom att inte medges denna möjlighet kan Datainspektionen inte på ett effektivt sätt reglera gallringsfrágan för en hel bransch eller ett helt område. En stor del av vinsten med en branscheller sektorsreglering går därigenom förlorad. Den möjlighet som står till buds är att Datainspektionen kan meddela villkor om gallring i de enskilda fallen. En sådan ordning är resurskrävande och står i strid med utredningens målsättning att Datainspektionen i största möjliga utsträckning skall ägna sin kraft tillsyn. Utredningens motivering att inte ge Datainspektionen befogenhet att meddela gallringsföreskrifter är inte heller hållbar. Som framgått ovan kan enligt förslaget Datainspektionen efter bemyndigande meddela föreskrifter beträffande bl. a. tillämpningen av bestämmelsen om anknytning till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka uppgifter som får behandlas samt insamling av personuppgifter från den enskilde. Skulle behov finnas av särskilda föreskrifter av nu nämnt slag inom ett visst område, förefaller det minst lika naturligt som beträffande en särskild gallringsföreskrift att sådana föreskrifter tas in i den författning som ändå måste beslutas. Mot bakgrund av det anförda anser jag att Datainspektionen skall ges behörighet att även meddela föreskrifter om gallring.

Offentlighetsprincipen

Begreppet handling förutom framställningar i skrift eller bild avser av vanligt slag också s.k. tekniska upptagningar dit ADB-upptag- ningar räknas. En handling är allmän om den förvaras hos en myndighet och enligt särskilda regler anses inkommen dit eller upprättad där. En ADB-upptagning anses enligt 2 kap. 3 § tryckfrihetsförordningen förvarad hos en myndighet, om upptagningen är tillgänglig för myndigheten i sådan form att man där kan läsa den, avlyssna den eller på annat sätt uppfatta den. Innebörden av begreppet "tillgänglig" är att varje sammanställning av sakligt sammanhängande uppgifter som en myndighet kan göra med hjälp av tillgängliga program är att anse som

SOU 1993: 10 515 Särskiltyttrande

en handling som förvaras hos myndigheten. Förutsättningen är endast att sammanställningen skall kunna göras med rutinbetonade åtgärder. Förvarsrekvisitet är således uppfyllt oberoende av om myndigheten själv har haft eller anser sig ha behov av att söka efter eller sammanställa informationen i fråga. Det räcker dock inte alltid med att en myndighet har en sådan faktisk tillgång till en ADB-upptagning som nu beskrivits för att upptagningen skall förvarad hos myndigheten. Är det fråga anses om en upptagning som ingår i ett personregister enligt datalagen krävs också att myndigheten har rättslig befogenhet att göra en överföring av upptagningen till läsbar form. Har riksdagen, regeringen eller Datainspektionen meddelat föreskrifter som förbjuder en myndighet att överföra en ADB-upptagning till läsbar form för eget bruk, har allmänheten nämligen inte heller rätt att ta del av upptagningen hos myndigheten. I 2 kap. 3 § andra stycket tryckfrihetsförordningen uttrycks kravet på så sätt att någon överföring inte får göras, "om myndigheten enligt lag eller förordning eller särskilt beslut, som grundar sig på lag, saknar befogenhet att göra överföringen". Eftersom tillståndsförfarandet slopas enligt utredningens förslag, kommer Datainspektionen inte i fortsättningen att bestämma ändamålet för behandlingen av personuppgifter. Det ankommer i stället i första hand på den myndighet som ansvarar för personuppgifterna att göra

detta. Ändamâlsbeskrivningen är av avgörande betydelse för vilka

bearbetningar som myndigheten får göra. Fråga uppkommer om ett på visst sätt bestämt ändamål genom beslut av en myndighet själv också medför en sådan begränsning i myndighetens befogenhet att göra överföringar, vilka avviker från ändamålet, som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen. Utredningen har kommit fram till att så är fallet. Enligt min mening är denna tolkning tveksam. Utredningens tolkning har inte heller stöd i förarbetena i vilka man med "särskilt beslut" närmast har åsyftat beslut meddelade av Datainspektionen. För att klargöra att en begränsning genom en ändamålsbestämning som en myndighet själv beslutat om skall utgöra också en motsvarande begränsning för vad som utgör allmän handling bör enligt min mening 2 kap. 3 § andra stycket tryckfrihetsförordningen ändras på så sätt att någon överföring inte får göras "om myndigheten enligt lag eller förordning eller enligt beslut, som grundar sig på särskild lag, saknar befogenhet att göra överföringen". De beslut som åsyftas enligt mitt förslag till skrivning är dels sådana som myndigheten själv fattar om ändamålet, dels sådana som Datainspektionen med stöd av 36 § eller 40 § förslaget till datalag kan komma att fatta. Genom en ändring i lagtexten vinner man också det att man i en specialmotivering kan behandla denna inte minst av rättspolitiska skäl viktiga fråga. Myndigheterna kommer enligt utredningens förslag att i princip själva

Särskilt yttrande 516

bestämma omfattningen av offentlighetsprincipen när det gäller ADB-upptagningar.

Personnummer

Användningen av personnummer innebär både fördelar och nackdelar. Den största fördelen består i att personnumret är ett enhetligt och för varje person unikt identifikationsbegrepp. Personnumret är alltså ett hjälpmedel när det gäller att förebygga förväxlingar mellan personer, vilket är av betydelse från bl.a. rättssäkerhetssynpunkt. I den meningen kan personnumret vara ett skydd för den personliga integriteten. Men användningen av personnummer innebär också vissa nackdelar. Det är ett faktum att många människor i dag är kritiska mot den utbredda användningen av personnummer. En del är oroliga för att personnumret kan utnyttjas så att det medför otillbörligt intrång i den personliga integriteten, t.ex. genom att personnumret på ett enkelt sätt kan användas som kopplingsnyckel i ADB-stödda datasamlingar för samkörning med andra datasamlingar, vilket skapar ökade möjligheter till kontroll av den enskilde individen i olika hänseenden. Andra reagerar mot vad de upplever som onödig användning av personnummer, t.ex. att man måste uppge personnummer för att få låna en bok från ett bibliotek. Personnumret kan inbjuda till övertro på dess tillförlitlighet som enda identifikationsbegrepp. I 15 § förslaget till datalag har tagits in en bestämmelse om personnummer. Bestämmelsen motsvarar den som finns i 7 § andra stycket i nuvarande datalag, vilken bestämmelse trädde i kraft så sent som den 1 januari 1992. Mot bakgrund av att riksdagen så nyligen beslutat om regleringen av personnummer har det varit naturligt för utredningen att inte föreslå några ändringar. I detta sammanhang finns dock anledning att framhålla att personnummer bör betraktas som en känslig uppgift och särbehandlas med hänsyn till att många människor rent faktiskt känner oro för användningen av personnummer. Därmed är inte sagt att en sådan uppgift skall regleras på samma sätt som sådana känsliga uppgifter som avses i 20 § förslaget till datalag. Att man bör särbehandla personnummer vinner också stöd i det nya förslaget till EG-direktiv. I artikel som behandlar känsliga personuppgifter, finns numera en regel om att medlemsstaterna skall bestämma de villkor under vilka personnummer får användas. Detta väcker frågan om regleringen i 15 § förslaget till datalag är tillräckligt konkret. Det är naturligt att den förutskickade personnummerutredningen överväger denna fråga.

Rättelse m.m.

Enligt 22 och 23 §§ förslaget till datalag skall, om en uppgift som rättas, ändras, kompletteras eller utplånas har lämnats ut till någon

SOU 1993: 10 517 Särskilt yttrande

annan än den uppgiften avser, den persondataansvarige underrätta mottagaren om rättelsen, ändringen, kompletteringen eller utplânandet. Enligt min mening bör en persondataansvarig också åläggas att underrätta den som ev. lämnat ut en felaktig eller ofullständig uppgift till honom från en datasamling. Härigenom begränsar man en fortsatt spridning av felaktiga eller ofullständiga uppgifter.

SOU 1993: 10 519 Summary

Summary

The Commission on Data Protection was appointed in 1989 and its task has been to fully revise the Data Protection Act of 1973. When the Swedish Data Protection Act was passed by Parliament in 1973, was the first national Act of its kind in the world. Twenty years, a long time considering the developments of information technology, have passed since 1973 without any major amendments to the basic structure of the Act. Today the Act fairly out of date. This summary will first present the main features of the Act of 1973 and then discuss the draft for the new Act. The Act of 1973 regulates the use of personal data files. "Personal data files" are such files, lists and other notes, which automatic data processing ADP used and which contain personal data on an identifiable physical person. Manual files are not covered by the Act. The present Act stipulates that there has to be a controller responsible for every automated personal data file. The controller of the file the natural person, agency or legal person who decides about the information in the file and can, when need be, modify the file or transform the contents of the file into a readable form. According to the provisions of the Data Protection Act of 1973, anyone who wishes to create an automated personal data file obliged to notify the Swedish Data Protection Agency Datainspektionen and obtain a license. Such a license gives the controller of the file the right to create and operate an unlimited amount of files relating to the specific license obtained. Apart from the license requirement the Act of 1973 contains provisions regarding certain sensitive personal data files, for which special permission of the Agency needed. Among the special categories of personal data, for which particular safeguards are provided, are data relating to criminal convictions or detentions based on administrative decisions, data concerning health or sexual life or revealing racial origin, political opinions, religion or other beliefs. Permission also needed to maintain files containing qualifying statements on persons. Files containing information on persons without specific connection to the controller also require a permission. If a there a specific connection between the controller of the file and the registered, the files are exempt from this permission requireperson ment. Examples of such privileged files are files with information on

Summary 520

Clients, customers, members of organisations etc., employees. or "Cross-matching" of files, i.e. transfer of data from file to another one and joint processing of several personal data files also require a permission of the Agency. The Data Protection Agency can grant a permission only there no reason to believe that the automatic data processing of the personal data file should unduly infringe the registered persons right to privacy. The transfer of a file to another country also needs permission by a the Agency, unless the transfer takes place to country which has a signed the Council of Europe Convention of 1981 for the Protection of Individuals with regard to Automatic Processing of Personal Data. The permission can be granted only the Agency can expect that such a transfer will not infringe the registered persons right to privacy. There are also certain general provisions regarding the storage of personal data files in archives. The Data Protection Agency supervises the controllers of the files and the general application of the Act. If ADP of personal data has infringed or could be expected to unduly infringe the right to privacy, the Agency can set specific conditions for the ADP or, not possible to revise the contents of the file in any other prohibit the controller from processing the way, file or withdraw a permission once granted. Decisions of the Data Protection Agency are subject to review by the Government. The Commission proposal of 1993 brings change to the no scope of application of the Data Protection Act. The proposal will apply to such information only as provided by means of ADP; manual mere data processing will not be covered, As the Act of 1973, the new Act will cover both the private and public sector. Otherwise the proposal contains many important changes to the present legal situation. The main new features of the Commissi0ns draft of Data Protection a new Act are the following:

Instead of "personal data files", the Act will regulate the processing of "personal data". Processing will include any ADP measure that taken with personal data. There certain are exceptions to this main rule. For example, word processing and processing for exclusively personal use are exempt from the law.

In systems with many users, will be easier to determine who the controller of the file is. The controller will be the natural person, agency or the legal person who decides the purpose of the processing, the type of the personal data that will be processed and the way that the data will be processed.

SOU 1993: 10 521 Summary

The system of licenses and permissions will be abolished. Even different attempts have been made to try to simplify the procedure and limit the number of applications for permissions, this has not led to any decrease in the workload of the Swedish Data Protection Agency. The immense work brought about by such applications prohibits the Agency from making the necessary inspections out in the field. The small number of inspections made leads to a lack of respect for the Data Protection Act. Today the Agency has registered about 50 000 licencees, while according to the calculations of the Commission, the figure ought to have been between 500 000 and one million.

The resources made available by the abolishment of the system of licenses and permissions will be used for an intensified supervision, especially inspections. The Commission’s view that this the best way to protect the privacy of the individual.

In order to adopt a system based on supervision only, necessary to provide the Data Protection Act with as specific provisions as possible. has never been possible to define the legal term "undue infringement of the right to privacy", which exists in the Act of 1973. This term abolished and replaced in the new Act by provisions which regulate different measures in the processing of personal data. There will be provisions concerning, among other things, purpose specification, the requirements for processing personal data, the type of personal data that can be processed, the form of consent from the individual to be registered, data security and archive storage.

The provisions in the new Data Protection Act will be supplemented by regulations given by the Data Inspection Agency, which concern different fields of business, and state and local government.

A system of notification will be introduced. means that the Data Protection Agency has to be notified when certain sensitive information will be processed by means of ADP. The notifications should be used by the Agency as a basis for its supervisory work. The system of notification will be much simpler and will have to be used by considerably fewer controllers than the 1973 system of licenses and permissions.

Automatic data processing of personal data will be allowed for specific purposes only. This already so according to the Act of 1973, but in the future the purposes must be more precise. There

Summary 522 SOU 1993: 10

will be more restricted possibilities to use personal data for other purposes than those they were collected for.

According to the draft Act, the personal data be processed can one of the six requirements listed fulfilled. One of these requirements the consent of the persons about whom information will be processed.

The consent of a person must be expressed explicitly. Implicit or passive consent will not be accepted.

There will be specific regulations concerning sensitive personal data, e. g. information on political views, health or different kinds of opinions. According to these provisions sensitive data be can processed by means of ADP only when the person concerned has given his or her consent or permitted by the law to do so. will be necessary to pass many new laws, especially such as will apply to the public sector.

There are some provisions in the draft Act which give the necessary legal grounds for processing sensitive data for research and employment purposes. The necessary requirements for processing sensitive data for such purposes, without the consent of the persons concerned, are given these provisions.

An explicit provision in the new Act prohibits the controller from processing personal data for direct marketing purposes, this were against the wishes of the person concerned.

The new Act contains provisions which clarify how the interests, which follow from the Freedom of the Press and the Freedom of Expression Acts, should be balanced against the privacy interests.

When a public agency decides whether a public document should be preserved or not, a conflict could emerge between the interests to store the data for future use e. for scientific purposes and the interests of a private person. A provision in the new Act states how a balance between these interests should be reached.

The provisions in the Act of 1973 on transfer of data abroad have been described above. The Commission proposes that no permission should be necessary for transferring data to countries, which are not parties in the Council of Europe Convention of 1981 but which have data protection equivalent to the protection given by the Convention. Such a change ought to have quite a great practical importance.

SOU 1993: 10 523 Summary

In the future, appeals against decisions of the Data Protection Agency should be made to a court of law, and not to the Govemment.

In September 1990 the Commission of the European Communities presented a proposal for a Council Directive the protection of on individuals with regard to the processing of personal data and on the free transfer of such data. After the proposal had been discussed at the Council of Ministers and the European Parliament, the Commission presented an amended proposal to the Council of Ministers in October 1992. According to the present timetable, the Council will reach a final decision during 1993. When the European Commission released its first draft for a Council Directive and when the proposal was being discussed in the European Parliament, there was quite a debate about the nature of the data protection rules to be made. As far as the Commission can understand, there still no agreement on the contents of future Directive. a This has, among other things, led to a delay the planned timetable. According to representatives of the European Commission, the Council of Ministers will probably not be able to reach the final decision about the proposed Directive until the summer of 1994. In the debate carried out since the European Commission presented its revised proposal in October 1992, reference has been made, among other things, to the principle of subsidiarity. can also be mentioned that the European Council at its meeting in Edinburgh on 11 12 December 1992 declared its intention to revise a number of proposals to make them less detailed. As all member states of the European Communities will soon have national data protection laws and will have ratified the Council of Europe convention on data protection, question has also a been raised about the necessity of adopting an EC proposal at all. The following account based on the EC proposal of October 1992. The member states of the European Communities are bound by the Council Directives to introduce legislation, but themselves can choose the form and method of this legislation. The EC proposal takes into account the ongoing developments in the field of data protection and based such data protection on legislation and international agreements as have developed in recent years. Compared to the Swedish Data Protection Act of 1973 the EC proposal points to a desirable strengthening of privacy protection. Because of this and other reasons, especially the intensified cooperation in Europe, the Commission on Data Protection has aimed at a situation in which, as far as possible, the same data protection principles will apply in Sweden as in the EC Consequently, in area. the Commission’s proposal the basic data protection rules come close to those presented in the EC proposal. This for instance the case

Summary 524

with the provisions concerning the original and the possible subsequent A purposes of the data processing, the requirements for processing personal data, the conditions under which consent can be given, the _ types of data that can be processed, data security, archive storage of data, and sensitive data. However, there are certain differences compared to the EC proposal. As mentioned above, the future Swedish Data Protection Act will apply only to automated data processing and not to manual data. The Commission has not found the amount or the content of manually handled data to be of any important significance or to imply any significant threat to privacy. Some articles in the EC proposal are in conflict with the Swedish principle of open access to public documents. Articles in the EC proposal regulating disclosure to a third party and defining the purpose of the ADP will not allow such access to information as allowed according to the Swedish principle. The EC proposal also conflicts with an article in the Swedish Freedom of the Press Act, which allows a person using his right of access to public documents to remain anonymous. Nor there a provision in the EC proposal which makes possible to store personal data for future public access. To preserve access to public documents, the new Data Protection Act contains derogations from the related articles presented in the EC proposal. There are also dissimilarities between the new Act and the EC proposal concerning provisions on the information to be given to the data subject and notification to the data protection agency. The data subject has an extensive right to be informed. The EC proposal states that the data subject entitled, on request, to know of the existence of a processing operation and also obtain other information on this operation. The controller also has to inform the data subject when any disclosure of personal data takes place. The idea that the data subject should be informed that data about him being processed and that he could use his legal rights. An implementation of these provisions on information would, however, bring about a heavy burden to the controllers, and a rather awesome bureaucracy. The Commission has come to the conclusion that the privacy reasons are not strong enough to motivate the bureaucracy that such a system of information would create. When reaching this conclusion the Commission has also taken into account the other provisions in the proposed Data Protection Act and the Secrecy Act that give the data subject rights to obtain information. A person will be able to find out whether any personal data concerning him processed by automatic means and, this the case, to control that the data correct, complete and accurate. Information on sensitive personal data can be found at the Data Protection Agency, as the controller has to notify the Agency about automated processing of such data. The Secrecy Act contains certain provisions which state that an agency has to keep a

SOU 1993: 10 525 Summary

public register of its data collections. The purpose of these provisions to make possible for the public to find out what kind of ADP material maintained by the agency. As regards the system of notification, the starting point of the proposed EC rules that all automatic processing of personal data shall be notified. Processing, which does not affect the privacy of the data subject negatively, can be exempted from notification. The Commission thinks that even many exemptions are made from the main rule on notification, the Data Protection Agency runs the risk of being inundated with notifications of data collections owing to, among other things, the increased pace of computerisation in the country. The number of notifications might become so great that the Data Protection Agency might lose its capacity to survey the use of sensitive ADP. Making exemptions from the duty to notify will also cause considerable extra work for the Agency. The conclusion of the Commission that the EC proposals’s provisions on the limitations to the obligation of notifying, and the procedure to make such exemptions from the obligation would cause a good deal of unnecessary problems. This why the Swedish law should not include similar provisions. Instead, the proposed Swedish Data Protection Act stipulates explicitly what kind of ADP must be notified to the Data Protection Agency. The obligation to notify has been limited to such ADP as concerns sensitive personal data. There are also some other dissimilarities in the proposed Act compared to the EC proposal. The new Swedish Data Protection Act planned to come into effect on l January 1995.

Statens offentliga

utredningar

1993 Kronologisk förteckning

Stymings-ochsamarbetsformer ibiståndet.UD 2.Kursplanerför grundskolan. U. Ersättningför kvalitetocheffektivitet. Utformning av ettnytt resurstilldelningssystem för grundläggande högskoleutbildning. U. Statligt stöd till rehabilitering tortyrskadade av flyktingar m. fl. S. Bensodiazepinerberoendeframkallande psykofar- makaS. 6.Livsmedelshygien småskalig och livsmedelsproduktion. Io. 7.Löneskillnader ochlönedislcriminering. Omkvinnor och män på arbetsmarknaden. Ku. Löneskillnader ochlönediskriminering. Omkvinnor och män på arbetsmarknaden. Bilagedel. Ku. Postlag.K. lO.En ny datalag.Ju.

Statens offentliga utredningar 1993

Systematisk förteckning

Justitiedepartementet En ny damlag.10 Utrikesdepartementet Stymings-ochsamarbetsformer i biståndet.l Socialdepartementet Statligt stöd till rehabilitering tortyrskadade av flyktingar m. fl. 4 Bensodiazepinerberoendeframkallande psykofarmaka. - 5 Kommunikationsdepartementet Postlag.9 Utbildningsdepartementet Kursplanerför grundskolan. 2 Ersättningför kvalitet och effektivitet. - Utformning av ett nytt resurstilldelningssystem för grundläggande högskoleutbildning. 3 Jordbruksdepartementet Livsmedelshygien småskalig och livsmedelsproduktion. 6 Kulturdepartementet Löneskillnader ochlönedisla-iminering. Omkvinnor och män på arbetsmarknaden. 7 Löneskillnader ochlönedislüiminering. Omkvinnor och män på arbetsmarknaden. Bilagedel. 8

CL 5