Översyn av datalagen (1973:289)

Innehåll

Dir. 1989:26

Beslut vid regeringssammanträde 1989-05-25.

Chefen för justitiedepartementet, statsrådet Freivalds, anför.

Mitt förslag

En särskild utredare tillkallas för att göra en översyn av datalagen (1973:289, omtryckt 1982:446) från såväl saklig som lagteknisk synpunkt. Med tanke på de frågor som en sådan översyn kan väntas omfatta anser jag att parlamentarisk medverkan också behövs men att denna bör komma i ett senare skede. Den särskilde utredaren bör identifiera vilka reformbehov som finns och ange hur dessa kan tänkas bli tillgodosedda. Detta inledande arbete bör kunna resultera i ett underlag för närmare riktlinjer från regeringens sida för det fortsatta arbetet under parlamentarisk medverkan.

Den särskilde utredaren bör ha stor frihet att bedöma vilka frågor som behöver övervägas inom ramen för översynen av datalagen. Syftet med översynen bör vara att med bibehållet gott skydd mot otillbörliga intrång i den personliga integriteten skapa enkla och lättfattliga regler. Dessa bör om möjligt utformas så att de inte anknyter till någon viss datorteknik utan kan tillämpas också på förväntade användningar av datorstödda informationssystem.

Datalagens grundbegrepp, t.ex. personregister, registeransvarig och automatisk databehandling behöver övervägas och kanske förtydligas och moderniseras.

En viktig fråga bör vara att överväga om den partiella övergången från ett system med tillståndskrav till ett licenssystem som skedde år 1982 bör fullföljas för att i stället genom tillsynsåtgärder effektivisera integritetsskyddet. I det sammanhanget bör undersökas möjligheten att mera gå över till generella regler för olika typer av personregister. Ett annat spörsmål som bör övervägas är i vilken utsträckning det finns möjlighet att bygga på självreglering inom olika verksamhetsområden där datorstödda informationssystem används. Sanktionssystemet behöver också ses över liksom förhållandet till angränsande lagstiftning på integritetsområdet. Bl.a. datoranvändning på forsknings- och statistikområdet samt inom massmedieområdet kan ge upphov till särskilda överväganden.

Internationella förhållanden bör uppmärksammas.

Bakgrund

Datalagen tillkom år 1973 som den första lag av denna typ som hade nationell räckvidd. Vid tillkomsten förutsattes att lagen skulle ses över inom en snar framtid. År 1976 tillsattes datalagstiftningskommittén (DALK) med ett sådant uppdrag. Kommittén avslutade emellertid sitt arbete år 1984 utan att detta slutförts. Kommittén hade dock tidigare lagt fram förslag som delvis genomförts. Särskilt kan nämnas att riksdagen år 1982 beslutade ändringar i datalagen av innebörd att det tidigare generella kravet på tillstånd av datainspektionen för att inrätta och föra personregister ersattes med ett anmälningssystem med licenser och med bibehållet tillståndskrav endast för särskilt integritetskänsliga register.

Lagen har i sin nuvarande utformning lagtekniska brister och framstår som ett provisorium med delvis ganska svåröverskådligt innehåll. Samtidigt ställer den ökande användningen av datorer inom olika sektorer av samhället starkare krav än förut på enkla och lättöverskådliga regler.

En översyn av lagen har emellertid fått anstå eftersom en kommitté med uppgifter på angränsande områden men också inom datalagens ram tillsattes år 1984. Kommittén, som antog namnet data- och offentlighetskommittén (DOK), har nyligen avslutat sitt arbete genom att avge sitt femte betänkande (SOU 1988:64) Integritetsskyddet i informationssamhället 5, Offentlighetsprincipens tillämpning på upptagningar för automatisk databehandling. Detta remissbehandlas för närvarande.

Datainspektionen har i en framställning till regeringen begärt att datalagen ses över såväl formellt som materiellt. Framställningen har remissbehandlats tillsammans med synpunkter på en översyn av datalagen som datainspektionen framfört till regeringen.

Utredningsbehovet

Den lagtekniska översyn av datalagen som behövs, eftersom DALK:s arbete aldrig avslutades, bör nu komma till stånd. Även lagens materiella innehåll bör naturligtvis tas upp vid en sådan översyn. Inte minst den tekniska utvecklingen, som lett till en alltmer omfattande användning av datorer inom så gott som alla samhällssektorer, gör att man måste ställa frågan om den reglering som lagen innehåller svarar mot dagens och morgondagens behov.

Jag föreslår därför att det görs en sådan översyn som jag har skisserat. Med tanke på de frågor som en sådan utredning kan väntas omfatta anser jag att parlamentarisk medverkan krävs för de överväganden som behövs men att denna bör komma i ett senare skede. I det första skedet bör därför en särskild utredare få i uppdrag att mot bakgrund av de erfarenheter som nu finns inom dataområdet söka beskriva den förväntade utvecklingen och därvid identifiera vilka problem som är förenade med nuvarande lagstiftning och vilka reformbehov som finns. Han bör vidare ange hur problemen kan lösas och hur behoven kan tänkas bli tillgodosedda.

Ett sådant inledande arbete bör ge underlag för det fortsatta arbetet under parlamentarisk medverkan. Den särskilde utredaren bör därför anmäla till regeringen när arbetet har kommit så långt och i samband med det presentera resultatet av denna del av utredningsarbetet. Regeringen bör därefter ange inriktningen på den fortsatta översynen.

Den särskilde utredaren bör ha stor frihet att ta upp de frågor som behöver övervägas inom ramen för den översyn av datalagen som alltså bör ske. Jag skall emellertid ange några utgångspunkter för arbetet och ge exempel på frågor som kan kräva överväganden. Andra exempel finns i remissyttrandena över datainspektionens framställning om en datalagsutredning, vilka bör överlämnas till utredaren.

Utgångspunkter för utredningsarbetet och exempel på aktuella frågor

Den lagtekniska översynen bör syfta till att skapa enkla och lättbegripliga regler. Regelsystemet bör anpassas till den tekniska utveckling som hittills har skett och den som kan överblickas i framtiden men bör om möjligt utformas så att det inte anknyter till någon viss datorteknik. Syftet bör även i fortsättningen vara att lagen skall förebygga otillbörligt intrång i enskildas personliga integritet i samband med användningen av datorstödda informationssystem. Lagstiftningen får emellertid inte medföra större ingrepp i offentlig eller enskild verksamhet än som är motiverat med hänsyn till detta intresse. Både de risker som lagen skall motverka och de administrativa konsekvenserna för myndigheter, företag och andra som kan bli följden av en ny reglering måste därför belysas.

Datalagens grundbegrepp behöver övervägas. Jag tänker bl.a. på begreppet registeransvarig, som t.ex. i stora system med många användare vållar problem. En möjlighet som kan diskuteras är att ge utrymme för att bestämma vilken av flera användare av ett informationssystem som skall vara ensam registeransvarig trots att andra användare har tillgång till systemet och förfogar över detta helt eller delvis.

Man kan också ställa frågan om begreppet personregister behöver moderniseras och om det bör göras en närmare definition av begreppet automatisk databehandling (ADB). Bl.a. kan det behöva undersökas om modern databasteknik föranleder svårigheter vid tillämpning av registerbegreppet, t.ex. vid användningen av elektroniska postsystem.

Uttrycket personlig integritet som föremål för det skydd som datalagen skall ge har flera gånger behandlats i syfte att det skall preciseras vad som menas med det (se bl.a. prop. 1987/88:57 om grundlagsfäst integritetsskydd). Enligt min mening visar de försök att ange innebörden i begreppet som har gjorts att detta är en svår arbetsuppgift, men utredaren bör på nytt ta upp denna definitionsfråga. På motsvarande sätt bör utredaren med utgångspunkt i hittillsvarande erfarenheter undersöka om det går att närmare beskriva vad som skall anses vara otillbörligt intrång i den personliga integriteten. I varje fall synes det vara lämpligt att begreppen alltjämt bildar grundvalen för regleringen.

I detta sammanhang kan jag nämna att en viktig regel i datalagen är den som avser det ändamål för vilket personregister förs (5 §). Denna regel kan ge anledning till överväganden om det behövs förtydliganden eller kompletteringar för att ge den en mera konkret betydelse.

En fråga med anknytning till ändamålsbestämningen är den vid vilken tidpunkt uppgifter i personregister skall gallras. Integritetsskäl talar oftast för att uppgifter gallras när de inte längre behövs för sitt ursprungliga syfte. De intressen som bär upp offentlighetsprincipen gör å andra sidan att uppgifter i allmänna handlingar bör bevaras under relativt lång tid. Arkiveringshänsyn medför också ett intresse av att uppgifter bevaras, t.ex. för forskning. Den intresseavvägning som bör göras mellan skälen för bevarande och motivet att personuppgifter gallras när det ändamål för vilket de insamlats är uppfyllt, får ökad aktualitet i och med att allt större mängder information lagras på ADB-medium. I regeringskansliet bereds för närvarande dessa frågor med anledning av de förslag som lagts fram i betänkandena (SOU 1987:8) Arkiv för individ och miljö och (SOU 1988:11) Öppenhet och minne, Arkivens roll i samhället. Utredaren bör hålla sig underrättad om detta arbete och anpassa sina förslag till resultatet av det pågående arbetet.

Ett centralt inslag i datalagens regelsystem är principen om rätt till insyn i personregister för de registrerade (10 §). Denna princip bör alltjämt gälla, men det kan finnas anledning att överväga dess närmare reglering i lagen. Rätten till insyn förutsätter för att den skall kunna utnyttjas på rätt sätt att det är möjligt för den enskilde att skaffa sig kunskap om existerande personregister. Det kan finnas skäl att överväga vilka förbättringar det går att åstadkomma på detta område utan alltför betungande krav på de registeransvariga.

Utredaren bör också överväga om det behövs särskilda regler för de personregister som arbetsgivare för och som innehåller uppgifter om arbetstagare. Utredaren bör i denna del beakta vad som redovisas i rapporten (Ds 1989:24) Datatekniken och den personliga integriteten i arbetet -- en kartläggning, vilken har utarbetats av en arbetsgrupp inom arbetsmarknadsdepartementet.

En annan viktig grundpelare i lagen är skyldigheten för registeransvariga att rätta oriktiga personuppgifter. Lagstiftningen har i denna del skärpts ganska nyligen som ett resultat av DOK:s arbete (prop. 1986/87:116, KU 5, rskr. 10, SFS 1987:990). Utredaren bör belysa effekterna av denna lagändring. I samband därmed kan frågan om ytterligare skärpningar av den registeransvariges skyldighet att rätta felaktiga uppgifter bli aktuell.

Under DALK:s arbete behandlades frågan om datalagen bör ersättas med en lag som gäller personregistrering generellt och inte bara avser användning av ADB-teknik. För min del drar jag den slutsatsen av den spridning av datorteknik som skett och som kan förväntas fortsätta att det inom överskådlig tid är användningen av datorteknik som skapar behov av en integritetsskyddslagstiftning av datalagens typ. Jag anser därför att frågan om en generell personregisterlag bör övervägas på nytt endast om det framkommer särskilda skäl för det. Uppgifter som finns dokumenterade i annan form än på datormedium men som ansluter till ett datorlagrat material bör emellertid omfattas av lagstiftningen även fortsättningsvis. Utredaren har därför anledning att söka klarlägga vilken gräns som bör dras mellan sådant material som inte lagras på datormedium men som skall omfattas av datalagens regler och annan information.

Från olika håll har förts fram tanken att datalagen skall kompletteras med ett skydd för juridiska personer vilket skulle motsvara det som i dag finns för enskilda individer. För egen del är jag av den uppfattningen att ett integritetsskydd bör gälla enbart fysiska personer. Jag vill här hänvisa till att riksdagen helt nyligen har avslagit motionsyrkanden om en utredning om behovet av integritetsskyddsåtgärder för företagen (1988/89:KU28 s. 8 f., prot. 105). Jag vill också erinra om de uttalanden i denna riktning som gjordes i samband med att det i regeringsformen efter förslag av DOK infördes en grundlagsregel om integritetsskydd (prop. 1987/88:57 s. 10, KU 19 s. 2 f., rskr. 117). Jag anser därför att utredaren inte bör ta upp denna fråga.

En viktig uppgift för utredaren bör vara att överväga om den partiella övergång från ett system med generellt tillståndskrav till ett licenssystem som skedde år 1982 bör fullföljas för att effektivisera integritetsskyddet vid en alltmer ökande ADB-användning i samhället. I det sammanhanget bör uppmärksammas möjligheten att mera gå över till generella regler för olika typer av personregister i enlighet med ett förslag som datainspektionen nyligen lagt fram. I avvaktan på datalagsöversynen föreslår datainspektionen att vissa ändringar genomförs i datalagen redan nu som gör det möjligt för inspektionen att i vissa fall efterge kravet på tillstånd och i stället meddela generella föreskrifter. Ett genomförande av dessa ändringar skulle emellertid föregripa resultatet av denna utredning. Det är därför enligt min mening inte lämpligt att nu lägga fram några förslag till ändringar i datalagen av materiell natur.

Ett annat spörsmål är i vilken utsträckning man kan bygga på självreglering inom olika verksamhetsområden där datorteknik används. Att helt gå ifrån krav på att datainspektionen skall ta ställning till frågan om vissa personregister med särskilt känsligt innehåll skall få inrättas och föras kan synas alltför långtgående. Utredaren bör emellertid överväga frågan förutsättningslöst.

Ett syfte med att minska omfattningen av datainspektionens tillståndsgivning skulle vara att ge ökat utrymme för tillsyn från inspektionens sida över de personregister som finns. Det kan också finnas anledning att studera nya metoder för en effektiv tillsyn, t.ex. medverkan från andra organ.

En omläggning av datainspektionens verksamhet mot ökad tillsyn kan ge anledning till en översyn av inspektionens organisation. Även med delvis ändrade förutsättningar bör inspektionen kunna ha ungefär den storlek den har nu. I det sammanhanget bör övervägas om det finns anledning att ge inspektionen en mer utpräglad karaktär av dataombudsmannainstitution än för närvarande.

Till följd av 1982 års ändringar har det uppstått vissa brister i sanktionssystemets effektivitet genom att datainspektionen inte annat än med stöd av 18 § datalagen kan meddela straffsanktionerade föreskrifter i fråga om de personregister för vilka tillstånd inte längre krävs. Detta är sannolikt inte tillfredsställande utan bör rättas till. En övergång till en ordning där tillståndsgivningen minskar eller upphör till förmån för ökad tillsynsverksamhet hos datainspektionen stryker ytterligare under betydelsen av frågan om hur sanktionssystemet skall bli effektivare. Också andra sanktioner än straff och skadestånd kan tänkas behövas, särskilt om den sanktion som ligger i att ett meddelat tillstånd återkallas minskar i betydelse vid en begränsad tillståndsgivning.

När man överväger frågan om tillståndssystemets omfattning finns det anledning att se på datainspektionens roll när det gäller s.k. statsmaktsregister. Därmed avses sådana register som inrättas med stöd av beslut av riksdagen eller regeringen och som nu är undantagna från tillståndsplikt men där inspektionen skall avge yttrande (2 a §). Utredaren bör undersöka hur den ordning som gäller i dag har fungerat och se om den behöver förbättras.

I detta sammanhang bör uppmärksammas datalagens förhållande till s.k. registerlagar och motsvarande författningar på regeringsnivå som reglerar särskilda personregister, t.ex. det centrala skatteregistret och det statliga person- och adressregistret (jfr DOK:s förslag i denna del i SOU 1987:31).

Vidare finns skäl att ta upp frågan om datalagen bör samordnas med annan lagstiftning på integritetsskyddets område, särskilt sådan som reglerar områden där datorteknik används och personregistrering sker. Ett exempel på ett sådant område är lagstiftningen om TV-övervakning, vilken för närvarande ses över efter ett förslag som utredningen om TV-övervakning m.m. lagt fram i betänkandet (SOU 1987:74) Optisk-elektronisk övervakning.

Den situation som uppkommer när en registeransvarig förlorar förfoganderätten över sina personregister på grund av en myndighets beslut, t.ex. genom tvångsmedelsanvändning, behöver klarläggas. Detta torde komma att falla inom ramen för den översyn rörande bl.a. datorteknikens konsekvenser inom det straffprocessuella området (se prop. 1988/89:124 s. 23 f., jfr prop. 1987/88:65 s. 59) som just nu planeras inom regeringskansliet.

Den nu nämnda översynen avses omfatta också det straffrättsliga området. I det sammanhanget blir det aktuellt att se över de straffbestämmelser som kan ha samband med användning av datorteknik. Då är ansvarsregeln om dataintrång i 21 § datalagen av intresse.

Utredaren bör hålla sig informerad om detta arbete.

I fråga om särskilda sektorer där datorteknik utnyttjas kan det finnas anledning att överväga behovet av speciella regler i datalagen.

Ett exempel på ett sådant område som har diskuterats i detta hänseende under ganska lång tid är forskningsområdet (se bl.a. direktiven till den forskningsetiska utredningen U 1988:03). Utredaren bör följa detta arbete och beakta de ändringar i datalagstiftningen som kan bli följden av den forskningsetiska utredningens arbete. Om det bedöms lämpligt med särskilda regler för forskningsregistren bör utredaren lämna förslag till sådana. En fråga av intresse i samband med detta är möjligheten att använda sig av krypterade forskningsregister och ha nyckelfilen deponerad hos någon annan än den registeransvarige i de fall det inte går att bygga registren på s.k. informerat samtycke eller arbeta med avidentifierade uppgifter. En sådan ordning skulle få konsekvenser bl.a. för den registeransvariges skyldigheter enligt 10 § datalagen. Liknande frågor uppkommer på statistikområdet.

Ett annat område som har kommit i blickpunkten på senare tid är massmedieområdet. I datalagen finns redan en bestämmelse som skall reglera förhållandet mellan lagens föreskrifter och 2 kap. tryckfrihetsförordningen med dess regler om offentlighetsprincipen (6 §). Numera utnyttjas datorteknik som ett led i framställningen av tidningar och andra tryckta skrifter. Därvid uppkommer frågan om hur datalagen förhåller sig till de föreskrifter i tryckfrihetsförordningen som avser sådana skrifter, t.ex. förbudet mot censur och andra hindrande åtgärder som föregår tryckta skrifters utgivning (1 kap. 2 § tryckfrihetsförordningen). Ett liknande problem har uppmärksammats när det gäller förhållandet mellan brottet dataintrång (21 §) och den s.k. anskaffarfriheten enligt 1 kap. 1 § fjärde stycket tryckfrihetsförordningen (se 1988/89:LU30 s. 36). En angränsande fråga som kan ställas på detta område är i vilken utsträckning massmediers arkiv på datormedium skall falla under datalagens regler. Det kan finnas andra sektorer där motsvarande problem kan uppkomma.

En fråga som sedan länge har varit omdebatterad är vilken instans som skall pröva överklaganden av datainspektionens beslut. För närvarande är det regeringen som har denna uppgift (25 §). Riksdagen har nyligen, med hänvisning till att det ofta finns ett betydande politiskt inslag i den bedömning som måste göras vid en överprövning av datainspektionens beslut, avslagit två motioner med krav på att uppgiften skall föras över till regeringsrätten (mot. 1987/88:K 43, 1988/89:K 442, KU28, prot. 105). Med hänsyn till att en översyn pågår inom regeringskansliet av instansordningen i ärenden där Europakonventionens krav på tillgång till domstolsprövning kan göra sig gällande (jfr prop. 1987/88:69 s. 18 och 30 samt prop. 1988/89:100 bil. 2 s. 10) finns det skäl att överväga saken på nytt. Utredningen bör redovisa de motiv som talar för eller emot den ena eller andra lösningen och ge sina synpunkter på vilken som bör väljas. Av intresse i detta sammanhang är den lösning som valts i fråga om avslag på begäran om att ta del av allmänna handlingar, nämligen att enskilda skall överklaga till regeringsrätten och statliga myndigheter till regeringen (se 15 kap. 7 och 8 §§ sekretesslagen 1980:100).

I en tid där utvecklingen går mot alltmer ökad internationalisering är det viktigt att överväga hur den svenska datalagen förhåller sig till andra jämförbara länders motsvarande lagstiftning. Här kan särskilt pekas på våra nordiska grannländer och länderna inom den europeiska gemenskapen (jfr dir. 1988:43). På det internationella planet kan vidare framhållas Europarådets arbete som bl.a. har resulterat i den europeiska konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter och i ett flertal rekommendationer inom olika sektorer där datorstödda informationssystem används för personregistrering. Slutligen kan i detta sammanhang erinras om de riktlinjer som har antagits inom OECD.

Det är givetvis nödvändigt att Sverige uppfyller sina internationella åtaganden på detta område. Skilda utländska lagar i jämförbara länder och europarådsdokument kan ge idéer. Det finns också ett intresse av att lagstiftningen i Sverige inte skiljer sig alltför mycket från den i andra länder med vilka vi har ett utbyte och som innebär att personuppgifter behöver föras över mellan länderna.

Utredningen bör följa utvecklingen både på det tekniska området och inom lagstiftningen. I det senare hänseendet vill jag bl.a. peka på de resultat som DOK:s olika betänkanden kan leda till.

Utgångspunkten bör vara att förslagen inte skall leda till några ökade kostnader. Jag vill erinra om de direktiv (dir. 1984:5) till samtliga kommittéer och särskilda utredare angående utredningsförslagens inriktning som regeringen beslutade i februari 1984. I dessa berörs vad som skall gälla rörande finansiering av reformer.

Datainspektionens kostnader täcks i dag genom avgifter som betalas bl.a. av dem som erhållit licens och av dem som ansöker om tillstånd. Avgifterna får nedsättas eller efterges om det föreligger särskilda skäl. Utredningen kan ha anledning att ta upp frågan om avgifternas konstruktion för att se om några förändringar behöver göras. Datainspektionens verksamhet bör dock även i fortsättningen vara helt självfinansierad.

Den första delen av utredningen bör vara klar vid halvårsskiftet år 1990. Detta inledande arbete bör också kunna ligga till grund för de myndighetsspecifika direktiv som skall beslutas inför den fördjupade anslagsframställning som inspektionen skall avge år 1992. Det är därför angeläget att tidsplanen hålls. Den andra delen av utredningsarbetet bör kunna vara avslutad ungefär ett och ett halvt år efter det att den första delen slutförts.

Hemställan

Med hänvisning till vad jag nu har anfört hemställer jag att regeringen bemyndigar chefen för justitiedepartementet

att tillkalla en särskild utredare -- omfattad av kommittéförordningen (1976:119) -- med uppdrag att göra en översyn av datalagen samt

att besluta om sakkunniga, experter, sekreterare och annat biträde åt utredaren.

Vidare hemställer jag att regeringen beslutar att kostnaderna skall belasta andra huvudtitelns anslag Utredningar m.m.

Beslut

Regeringen ansluter sig till föredragandens överväganden och bifaller hennes hemställan.

(Justitiedepartementet)