Datainspektionen

 

Av generaldirektören JAN FREESE

 

Bakgrund
Debatten om automatisk databehandling (ADB) och dess inverkan på samhället började redan i mitten av 1960-talet. Det var då inte frågor med direkt anknytning till den personliga integriteten som föranledde huvudintresset. Diskussionen gällde istället främst frågan om ADB-teknikens inverkan på offentlighetsprincipen och dess grundsats om allmänna handlingars offentlighet. Diskussionen kom bl. a. på pränt i Offentlighetskommitténs betänkande (1966: 60 och 61). Det var inte självklart att hålkort, magnetband och andra maskinellt läsbara medier skulle betraktas som jämställda med handlingar i konventionell mening.
    År 1969 väcktes motioner i riksdagen om bl. a. ADB-teknikens effekter på integritetsskyddet. Regeringen tillsatte samma år Offentlighets- och sekretesslagstiftningskommittén (OSK) med uppgift att utreda behovet av dels ändringar i tryckfrihetsförordningen (TF), dels särskild lagstiftning angående ADB och personlig integritet. OSKs uppdrag var begränsat till den offentliga sektorn. Samtidigt tillsattes Kreditupplysningsutredningen med uppgift att utreda behovet av lagstiftning angående bl. a. kreditupplysningsverksamhet samt i vad mån lagstiftning om ADB var påkallad även inom privatsektorn.
    Utredningarna samarbetade och kom därvid ganska tidigt gemensamt till klarhet om att frågan om lagreglering av ADB-tekniken borde koncentreras till en av dem. Efter framställning till regeringen utfärdades tilläggsdirektiv, varigenom datalagstiftningen blev en uppgift för OSK.
    Debatten om ADB och integritet sköt fart i samband med 1970 års folk- och bostadsräkning. OSK prioriterade därför frågan om en datalag. Under utredningsarbetet hann begränsade lagförslag komma fram utomlands. I Danmark föreslogs smärre kompletteringar av strafflagen i avvaktan på att den där verksamma kommittén skulle slutföra sitt uppdrag. År 1971 antogs i den västtyska delstaten Hessen en datalag begränsad till den offentliga sektorn o. s. v.
    OSK publicerade 1972 ett delbetänkande, Data och integritet

 

32—793358, Sv Juristtidning

(SOU 1972: 47). I detta föreslogs en datalag samt vissa ändringar i TF. De sistnämnda avsåg att dels förhindra att information på datamedier skulle falla utanför offentlighetsprincipen, dels möjliggöra antagandet av en datalag. Vidare föreslogs vissa ändringar i sekretesslagen (1937: 249).
    Remissinstanserna var ganska eniga i sin bedömning av OSKs förslag. Flertalet ansåg att det fanns behov av en datalag, i vart fall beträffande "alla register förutom de egna".
    Våren 1973 antog riksdagen i allt väsentligt regeringens proposition (1973: 33) med förslag till ändringar i TF och till en datalag. I samband därmed beslöts att en särskild myndighet, datainspektionen, skulle inrättas fr. o. m. den 1 juli 1973. Samtidigt trädde reglerna i datalagen om tillsyn över personregister i kraft. De bestämmelser som avser tillståndsfrågor trädde i kraft först ett år senare då grundlagsändring skett.
    Under tiden hann Kreditupplysningsutredningen färdigställa två betänkanden, ett med förslag till kreditupplysningslag (SOU 1972: 79) och ett med förslag till inkassolag (SOU 1973: 39). Dessa lagar trädde i kraft den 1 juli 1974 och ansvaret för tillämpningen kom också att läggas på datainspektionen.

 

Datainspektionens verksamhetsområde
Datainspektionen har som central förvaltningsmyndighet till uppgift att pröva frågor om tillstånd och utöva tillsyn enligt datalagen (1973: 289; ändrad 1976: 1114 samt våren 1979), kreditupplysningslagen (1973: 1173) och inkassolagen (1974: 182). I inspektionens uppgifter ingår också att lämna råd och upplysningar till myndigheter, företag, organisationer och enskilda i frågor om automatisk databehandling av personuppgifter samt rörande rättigheter och skyldigheter enligt kreditupplysnings- och inkassolagarna. Dessutom har inspektionen att utreda klagomål från allmänheten.
    Övriga på verksamheten direkt tillämpliga författningar är datakungörelsen (1973: 291), kreditupplysningskungörelsen (1974: 326), inkassokungörelsen (1974: 182), instruktionen (1973: 292) för datainspektionen samt kungörelsen (1973: 1209) om avgift hos datainspektionen.

 

Datainspektionens organisation m. m.
Datainspektionen leds av en styrelse. Ledamöter av denna är chefen för inspektionen, ordförande, och tio andra ledamöter.

För de tio finns sju suppleanter. Frånsett chefen för inspektionen utses ledamöterna och suppleanterna på fyra år. Ersättare i styrelsen för generaldirektören är dennes ställföreträdare, d. v. s. chefen för tillståndsenheten.
    Styrelsens sammansättning är mycket bred. För närvarande är fyra ledamöter riksdagsmän, en ledamot är verksam som journalist, två representerar fackliga centralorganisationer, en har erfarenhet från den offentliga sektorn, en från näringslivet och en är tekniker. Av suppleanterna är tre politiker, en företräder kommunförbundet, en ett landsting, en bankinspektionen och en är tekniker. Många gånger fyller ledamöterna i realiteten dubbla funktioner. Exempelvis råkar en riksdagsman vara statistiker, en annan ledamot som representerar den offentliga sektorn är såväl läkare som forskare o. s. v.
    Inom inspektionen finns en enhet för tillståndsärenden och en för tillsynsärenden samt ett sekretariat för information, internutbildning samt ekonomi och personaladministrativa uppgifter.
    Kansliet består av cirka 25 tjänstemän. Flertalet handläggare har juridisk utbildning kompletterad med varierande erfarenhet av ADB. Ett mindre antal är tekniskt skolade. De har internutbildats i de delar av lagstiftningen som berör datainspektionens verksamhet.
    I årets budgetproposition föreslås att datainspektionen för nästa budgetår skall tilldelas ett anslag om 5 129 000 kr. Avgifterna som debiteras för tillståndsprövningen skall i princip täcka denna del av verksamheten. Hittills har dock full kostnadstäckning inte kunnat uppnås.

 

Verksamhetens innehåll

 

Datalagen
Personregister är alla register som innehåller upplysningar om fysiska personer och som förs med hjälp av ADB. Enligt datalagen krävs tillstånd innan ett personregister inrättas eller börjar föras. Den som skall söka tillstånd är den registeransvarige, d. v. s. den för vars verksamhet registret förs. Kravet på tillstånd gäller både myndigheter och företag eller andra.
    Tillstånd beviljas vanligen av datainspektionen men beslut kan också meddelas av regeringen eller riksdagen. Innan statsmakterna fattar ett sådant beslut skall dock yttrande inhämtas från inspektionen, som då skall bedöma registret enligt samma grunder som vid prövning av tillståndsärende.
    Tillstånd skall beviljas, om det saknas anledning anta att otill-

börligt intrång i enskilds personliga integritet skall uppkomma. Någon absolut personlig integritet existerar inte i ett samhälle där medborgarna ställer stora krav på service i form av sjuk- och hälsovård, barnavård, skolgång o. s. v. Lagens syfte är alltså endast att förhindra otillbörligt intrång i den enskildes personliga integritet.
    Vid bedömningen av vad som är otillbörligt i detta avseende skall särskilt beaktas arten och mängden av de personuppgifter som skall ingå i ett register samt den inställning till detta som föreligger eller kan väntas föreligga hos dem som kan komma att registreras.
    Vid tillståndsgivningen skall beaktas datainspektionens möjligheter att ge föreskrifter för hanteringen av personregistret.
    Presumtionen att tillstånd skall beviljas gäller dock inte i samtliga fall. Viss information är undantagen. Således krävs det särskilda eller synnerliga skäl om tillstånd skall ges annan än myndighetsom har skyldighet att enligt lag eller annan författning föraregister över t. ex. samhällets tvångsingripanden, sjuk- och hälsovård etc. Vidare krävs det särskilda skäl för att få tillstånd att registrera enskildas politiska eller religiösa uppfattning. Politisk eller religiös organisation får dock utan sådana skäl registrera de egna medlemmarna.
    När tillstånd beviljas skall datainspektionen alltid meddela föreskrifter om personregistrets ändamål och om vilka uppgifter som får ingå i personregistret. Föreligger det särskilda skäl får också tillståndstiden begränsas.
    I mån av behov kan datainspektionen meddela föreskrifter om hur uppgifter till personregister får inhämtas, hur databehandlingen skall få utföras, hur den tekniska utrustningen skall vara beskaffad, vilka bearbetningar som får utföras, om de registrerade skall underrättas om registreringen, vilka personuppgifter som får göras tillgängliga, hur uppgifterna får utlämnas eller användas, om bevarande och gallring samt om kontroll och säkerhet.
    En föreskrift får dock inte inskränka myndighets skyldigheter enligt offentlighetsprincipen. Detta hindrar inte att datainspektionen kan besluta att endast vissa sökbegrepp (t. ex. namn eller personnummer) får användas för att hämta fram information ur ett personregister. En sådan föreskrift kan vara nödvändig för att förhindra att de registrerade sorteras fram i kategorier som kan vara integritetskränkande. Genom en ändring i TF som trädde i kraft den 1 januari 1978 har denna möjlighet till föreskrift givits uttryckligt stöd i grundlag.
    Ett par centrala regler i datalagen stadgar att den registeran-

svarige är skyldig att rätta eller ta bort felaktiga uppgifter eller komplettera ofullständiga uppgifter. Grundläggande för att dessa paragrafer skall kunna tillämpas är insynsrätten (10 § datalagen). Denna ger de registrerade rätt att en gång om året utan kostnad få ta del av innehållet i personregistret. Denna rättighet kan som redan framgått förstärkas genom särskild föreskrift som ålägger den registeransvarige att spontant eller oftare än en gång om året lämna underrättelse.
    Enligt datalagen krävs vidare medgivande för att personuppgifter skall få bearbetas utomlands. Dessutom finns en regel om att register som upphör skall avanmälas. Skälet härtill är bl. a. att man vill ta ställning till gallring av registret. Vidare vill man undvika att register i samband med likvidation eller konkurs bliren handelsvara som säljs till högstbjudande. Sådant skulle mycket väl kunna förekomma. Många register representerar betydande värden. Från tiden före datalagen finns exempel på försök att sälja kreditupplysningsregister på auktion.
    Datalagen innehåller också regler om tystnadsplikt m. m. Några av bestämmelserna i datalagen gäller dessutom även andra data än personuppgifter. Enligt 14 § är myndighet skyldig att överföra datalagrad information som används i handläggning av mål eller ärende till handlingarna i detta. Dataregistren förändras ofta och det kan av rättssäkerhetsintressen finnas skäl att kunna återställa en situation efter många år. Av samma skäl har liknande regler införts i den nya bokföringslagen.
    Datainspektionen har i sin tillsynsverksamhet rätt till tillträde till datacentraler och andra lokaler där datamedier m. m. förvaras. Inspektionen har också rätt att få biträde i samband med tillsynen även om det skulle gälla att utföra körningar. Självfallet skall inspektionen inte vålla registeransvariga onödiga kostnader.
    Den kanske viktigaste funktionen för tillsynsenheten är att vara en allmänhetens klagomur, ett slags dataombudsman. Vidare finns det regler om straffansvar, däribland en regel om dataintrång som också gäller både persondata och andra data. Det finns vidare regler om förverkande och om skadestånd m. m. samt slutligen en regel om överklagande av datainspektionens beslut.

 

Kreditupplysningslagen
Som redan framgått är datainspektionen också tillstånds- och tillsynsmyndighet enligt inkasso- och kreditupplysningslagarna. Dessa båda lagar, som egentligen inte är "registerlagar", gäller dessa

verksamhetsområden oavsett om det är fråga om maskinell eller manuell behandling av informationen. Både kreditupplysnings- och inkassoverksamhet håller på att datoriseras. Detta medför att datalagen ofta är tillämplig samtidigt med kreditupplysnings- eller inkassolagen. Vid konkurrens lagarna emellan skall den lag som är strängast mot den registeransvarige ta över.
    Kreditupplysningslagen innebär att all kreditupplysningsverksamhet skall bedrivas så att den inte leder till "otillbörligt intrång" i den personliga integriteten. Det innebär att en kreditupplysning inte får innehålla andra uppgifter än dem som är nödvändiga för kreditbedömningen. Det gör t. ex. att politiska eller religiösa uppfattningar inte får registreras av kreditupplysningsföretag.
    Uppgifter om att någon misstänkts eller dömts för brott eller vårdats enligt barnavårdslagen, nykterhetsvårdslagen etc. får inte annat än i särskilt reglerade undantagsfall tas med i kreditupplysningar. Detsamma gäller uppgifter om sjukdom och hälsotillstånd.
    Kreditupplysning om privatperson får normalt inte innehålla andra betalningsanmärkningar än sådana som fastställts av domstol eller annan myndighet. Undantagsvis får dock uppgifter om misskötta avbetalningsaffärer registreras. Detta gäller bara om flera amorteringar uteblivit eller det obetalda beloppet är tusen kronor eller mer och liknande fall.
    Uppgifterna om privatpersoners betalningsförsummelser som är äldre än fem år får inte förekomma i kreditupplysningsregistret. Uppgifter om privatpersoner får inte lämnas ut till andra än dem som behöver uppgifterna för kreditbedömning.
    Många regler gäller således bara för kreditupplysningar om privatpersoner. När det gäller företag och företagare får mer ingående upplysningar lämnas eftersom det anses nödvändigt för riktig kreditbedömning.
    Var och en har rätt att mot en skälig avgift — för närvarande några tior för privatpersoner — få utdrag om sig själv ur kreditupplysningsregister. Om registret förs med ADB har man enligt datalagen rätt att få utdraget gratis. När kreditupplysning lämnas om privatperson skall en kopia av upplysningen dock kostnadsfritt skickas till den person uppgiften handlar om. Kreditupplysningsföretagen är enligt lagen inte skyldiga att tala om vem som begärt upplysningen. Vissa företag gör det dock och förhoppningsvis kommer en lagändring inom kort att medföra att sådant besked alltid skall lämnas.
    Om man misstänker att det finns felaktiga eller missvisande

uppgifter i ett register hos ett kreditupplysningföretag bör man i första hand begära att företaget undersöker saken och gör de rättelser som behövs. Företaget är också skyldigt att meddela om rättelse skett. Om rättelse ändå inte görs, kan man vända sig till datainspektionen för att få hjälp.

 

Inkassolagen
Syftet med inkassolagen är i första hand att skydda den som är skyldig pengar mot onödiga kostnader och besvär. Inkassolagen innehåller regler om hur inkassoverksamheten skall bedrivas. Huvudregeln säger att all inkassoverksamhet skall bedrivas enligt god inkassosed. Det betyder bl. a. att besked om vad som kommer att ske om man inte betalar måste vara riktiga. Man får t. ex. inte hota med vräkning om någon inte betalar en avbetalningsskuld.
    Krav skall framställas skriftligen. Det skall klart och tydligt framgå av kravbrevet hur mycket som fordras i kapital, ränta och ersättning för inkassokostnader. Om räntan skall lämnas sådana uppgifter att det framgår hur den räknats ut. Dessutom skall kravbrevet innehålla besked om vad som händer om man inte betalar eller hör av sig.
    Den som krävs på betalning skall ha skälig tid på sig att betala eller tala om sin invändning mot kravet. Normala tiden är 8—10 dagar. Ansökan till domstol får inte göras innan den tiden gått ut.
    Tystnadsplikt gäller för den som är eller har varit verksam inom inkassobranschen.
    Inkassoföretag har rätt att få ersättning för sitt arbete av den som inte betalt sin skuld (bl. a. för de kravbrev som nämnts ovan). Högsta tillåtna ersättning finns angiven i en särskild förordning.
    Inkassolagen innehåller liksom datalagen och kreditupplysningslagen bestämmelser om straff och skadestånd vid överträdelse av lagen m. m.

 

Övrig verksamhet
En omfattande arbetsuppgift för datainspektionen utgör rådgivning till registeransvariga, myndigheter, enskilda m. fl. En annan omfattande arbetsuppgift är remissyttranden till departement och myndigheter. Antalet remisser uppgick under kalenderåret 1974 till 42, under 1975 till 48, under 1976 till 35 och under 1977 till 54. Härtill kommer ett inte oväsentligt antal underhandsförfrågningar från myndigheter. Remissyttrandena utgör emellanåt sådant yttrande som enligt 2 § datalagen skall avges till statsmakterna, innan dessa genom egna beslut inrättar personregister.

    Under hela sin existens har datainspektionen haft att medverka i olika sammanhang. Under det senaste budgetåret har sålunda företrädare för inspektionen medverkat i datalagstiftningskommittén (DALK), sårbarhetskommittén (SÅRK), översynen av den allmänna försäkringen (ALLFA), utredningen av studiedokumentation av statistik för högskolan (STUDOC), riksskatteverkets utvecklingsarbete av det nya RS-projektet inom skatteområdet m. m. Avsevärda resurser har tagits i anspråk för utvärderingar av de tre lagarna samt för regeringsuppdrag som utredning och förslag till långsiktig reglering av gäldenärs ersättningsskyldighet för kostnader i inkassoverksamhet.

 

Internationella frågor
En inte obetydlig arbetsuppgift är det internationella samarbetet. Datalagens prägel av förstlingsverk har medfört att andra länder, inför där pågående lagstiftningsarbete, noga följt datainspektionens verksamhet. Genom att datalagstiftning numera antagits i Danmark, Frankrike, Kanada, Luxemburg, Norge, Ungern, USA, Västtyskland och nyligen Österrike samt att lagstiftning är att vänta i ytterligare ett flertal utvecklade länder krävs överenskommelser när det gäller att brygga över skillnaderna i dessa lagar. Det är framför allt det omfattande flödet av information över gränserna som aktualiserar detta.
    Privata datanät sammanbinder verksamheter på olika kontinenter. Publika datanät är under uppbyggnad. Televerket tar i år ett allmänt svenskt datanät i drift och detta knyts samman med datanät i Danmark, Finland och Norge till ett nordiskt datanät. Detta väntas inom ett par år knytas samman med det västtyska o. s. v.
    I första hand är det kanske multinationella och andra internationellt verksamma företag som drar nytta av de internationella datanäten. I övrigt förekommer ett omfattande internationellt samarbete. Exempelvis är internationellt verksamma flygbolag knutna till det s. k. SITA-systemet. Omkring 800 bankföretag världen över sköter transaktionerna sig emellan genom SWIFT-systemet. Internationella organ som World Health Organization (WHO) skapar internationella databanker. WHO har t. ex. i Uppsala en databank över medicinska biverkningar. Informationen är tillgänglig via terminal för 24 länder. Servicebyråer som åtar sig databehandlingsuppdrag samarbetar ofta över gränserna och kan dra ekonomiska fördelar av tidsskillnaderna länder emellan. Istället för att låta den egna personalen arbeta på övertid utnyttjar

man datorer och personal i annat land på "ordinarie arbetstid".
    Det mycket stora flödet av data över gränserna består mest av tekniska och ekonomiska data. Kanske utgör persondataflödet endast 5—10 procent av det totala flödet. Detta innebär dock att många svenska personregister lagras och bearbetas utomlands.
    Ett enkelt exempel som delvis omfattar persondata visar hur jordklotet krympt i teknikens värld. Det är ett intresse för brandkårer att lägga upp riskregister. Vid eldsvåda i t. ex. en fabrik kan man i samband med utryckningen med hjälp av informationen i riskregistret bedöma de nödvändiga åtgärderna som släckningsmetoder m. m. Moderna brandkårer utnyttjar datatekniken. När rökdetektorn i en fabrik larmar brandkåren initierar den samtidigt datorn att lämna den aktuella informationen. Medan brandmännen hoppar i byxor och stövlar och hasar sig ned till vagnhallen och tar plats i bilarna hinner datorn ta fram informationen som sekundsnabbt finns läsbar på bildskärmar i brandbilarna. Det är inte säkert att brandkåren har egen dator eller ens utnyttjar en sådan på samma ort. Det finns exempel på brandkår som via satellit 22 500 miles upp i rymden utnyttjar datorer i USA.
    Arbete med internationella överenskommelser har jämsides bedrivits i OECD och Europarådet. På begäran har inspektionen även deltagit i likartat arbete som bedrivs av ett av utskotten i Europaparlamentet¹ och ett av sekretariaten inom EG.

 

Verksamhetens omfattning

 

Tillståndsverksamheten
Antalet inkomna och avgjorda ärenden alltifrån datainspektionens tillkomst till den 1 januari 1979 utgjorde cirka 24 400. Under samma tid avgjordes ungefär 23 300 ärenden. Samtidigt hade endast cirka 50 ärenden överklagats. Som jämförelse kan nämnas att OSK på sin tid beräknat att det skulle finnas cirka 4 000 datasystem som innehöll personuppgifter. Av dessa beräknades 1 500 vara av sådant begränsat djup och sådan användning att de bara skulle behöva anmälas, d. v. s. vad som sedermera blev det s. k. förenklade ansöknings- och beslutsförfarandet. Tillflödet av nya tillståndspliktiga system beräknades bli 500 per år medan det blivit omkring 2 500 per år.
    Det ringa antalet besvär kräver en särskild kommentar. Det ger ju sken av att datainspektionen mer tillmötesgår de registeransvariga än de enskilda individer som de tre lagarna avser att

 

¹ Europaparlamentet har nyligen antagit ett mycket kraftfullt program för att skydda medborgarna i medlemsländerna mot datorernas integritetshot.

skydda. De förhållandevis mycket få besvären beror på att inspektionen tagit för vana att inte omedelbart avslå en ansökan. I stället har inletts en diskussion, där inspektionen försökt att föra fram konstruktiva alternativ som förhoppningsvis tillgodoser de registeransvarigas önskemål om rationella och ekonomiska personregister men i första hand innebär att otillbörligt intrång i personlig integritet förhindras.

 

Tillsynsverksamheten
Under budgetåret 1977/78 utfördes 79 protokollförda inspektioner, varav 60 enligt datalagen. Det är självfallet inte fråga om annat än stickprov eller inspektioner med anledning av klagomål. Väsentligt fler än 79 personregister har dock inspekterats. Många där registeransvariga för väsentligt fler än ett register och en inspektion av en servicebyrå kan omfatta många registeransvariga vid ett och samma tillfälle.
    Polis, åklagare och domstolar kommer mer och mer att få intressera sig för den s. k. databrottsligheten. Frånsett regeln om dataintrång, som är subsidiär till brottsbalkens regler, är de flesta databrott stöld, bedrägeri o. s. v. Datainspektionens hållning till polisanmälningar har inledningsvis varit försiktig. Under hösten 1978 förekom dock tre brottmål med direkt eller indirekt koppling till datalagen. Även civilmål som rör ADB-tekniken kommer sannolikt att bli en inte ovanlig företeelse för domstolarna.
    Kontakten med allmänheten är livlig och omfattar både telefonsamtal, brev och besök. Antalet klagomål som under budgetåret 1977/78 föranledde utredning uppgick till 179.
    För att underlätta för de enskilda att få kunskap om vilka personregister de kan finnas i har datainspektionen framställt en katalog som tillhandahålls gratis.

 

En föränderlig verksamhet

 

Datalagen var ett förstlingsverk eftersom den kom att riksomfattande reglera en ny teknik inom både den offentliga och den privata sektorn. Frånsett behovet att på nationell nivå snart utvärdera den har det också varit ett ansvar internationellt sett att ta reda på dess effekter. Datalagen och dess tillämpning har blivit något av en juridisk exportartikel.
    Redan vid lagens tillkomst uttalade konstitutionsutskottet att en översyn borde ske efter någon tid och riksdagen beslöt våren 1975 att så skulle ske; först skulle dock datainspektionen redogöra för sina erfarenheter. Dessa publicerades hösten 1975 och lades till

grund för datalagstiftningskommitténs (DALKs) direktiv. Dessa antogs våren 1976, då kommittén tillsattes. Av olika skäl kom dess verksamhet inte i gång förrän vid årsskiftet 1976/77.
    DALKs uppdrag innefattar — vid sidan av översynen av datalagen — utredning om hur datoriseringen påverkat offentlighetsprincipen. I den uppgiften ingår också att försöka med hjälp av ADB förstärka allmänhetens möjligheter att få del av myndigheternas information. Vidare skall DALK lägga fram förslag till de lagbestämmelser som föranleds av hänsyn till den internationella datatrafiken.
    Översynen av datalagen skulle även innefatta en precisering av innehållet i datalagens regler, som ibland är ganska vagt och flexibelt utformade. Översynen skulle också naturligtvis gälla att utröna hur lagen fungerat och vad som behövde ändras.
    Avsikten var att DALK skulle först publicera en diskussionspromemoria. Efter remissbehandling av den skulle DALK få tilläggsdirektiv för en slutlig utformning av sitt förslag. DALK har emellertid valt att publicera ett delbetänkande som avslutar översynen av datalagen.
    I detta delbetänkande — Datorer — Personregister — Integritet (SOU 1978: 54) — konstaterar DALK bl. a. att åtskilliga av de krav på utökat skydd för registrerades personliga integritet, som förts fram, tack vare flexibiliteten i datalagen kan tillgodoses genom denna i dess nuvarande lydelse. DALK anser att personregister som förs med ADB i mer traditionell bemärkelse bör vara föremål för särskild reglering även i fortsättningen, varvid den nuvarande datalagen med vissa ändringar och tillägg kan tillgodose behovet ytterligare några år.
    På längre sikt bör dock enligt DALKs mening prövas om inte en mera generell personregisterlagstiftning, som inte i första hand tar sikte på registreringstekniken, bör ersätta datalagen. Vad man sannolikt åsyftar är en lagstiftning där särskilda regler om vissa former av personregistrering med ADB bör ingå som ett kapitel samt kreditupplysnings- och inkassolagarna som andra. Lagens allmänna inriktning skulle kunna grundas på informationen och dess användning, oavsett om ADB, mikrofilm eller annat lagringsmedium används. DALK finner i vart fall tills vidare att de allmänna överväganden rörande ADB-teknikens fördelar och nackdelar och rörande behovet av en särskild datalag, som gjordes då datalagen kom till, alltjämt äger giltighet.
    DALK finner också att svårigheterna att i lagtext definiera begreppet personlig integritet alltjämt kvarstår; DALK har visser-

ligen föreslagit att självständiga kriterier för bedömning av frågan förs in i datalagen, men trots detta torde det också i fortsättningen ofta vara nödvändigt att bedöma risken för integritetsintrång från fall till fall.
    Det finns enligt kommittén inte skäl att ändra regeln om undantag från tillståndstvånget för personregister som inrättats genom beslut av regering och riksdag.
    En summering av kriterierna för tillståndsprövningen leder till att vid bedömning av tillståndsfrågan särskilt bör beaktas att registrets ändamål står i överensstämmelse med den verksamhet den registeransvarige bedriver. Vidare att arten och mängden av personuppgifter liksom vilka personer som skall ingå i registret särskilt bör beaktas samt att arten, mängden och personkretsen står i överensstämmelse med registerändamålet. Dessutom bör det särskilt beaktas huruvida de uppgifter som skall ingå i ett personregister samlats in för annat ändamål än det syfte som skall tillgodoses genom registret.
    DALK konstaterar att det saknas anledning att föreslå lagändring i syfte att tydligare än nu lägga fast allmänintressets betydelse, d. v. s. behovet av ett register, vid tillståndsprövningen; dock bör personregister som ger djupare inblick i de enskilda medborgarnas privata förhållanden inrättas genom beslut av riksdagen eller regeringen efter yttrande från datainspektionen, vars yttrande — liksom vad som slogs fast i prop. 1973: 33 — bör tillmätas stor betydelse.
    DALK har gjort en omfattande utredning om personnummerfrågan och finner att ett slopande av personnumret inte på något avgörande sätt lägger hinder i vägen för samkörningar annat än på kort sikt; användningen av personnummer bör därför inte förbjudas men personnummer bör inte få förekomma i onödan.
    Datainspektionen föreslog redan 1974 att ett samordnat person- och adressregister (SPAR) över totalbefolkningen skulle inrättas. Syftet var att ett statligt sådant register skulle kunna undanröja behovet av en hel del andra totala befolkningsregister. En väsentlig nyhet är att DALK föreslår att personregister med SPARs funktioner i princip skall förbehållas den som har registeransvaret för SPAR (f. n. den statliga datamaskincentralen för administrativ databehandling) samt att beslut om liknande register endast får meddelas av regeringen.
    I flertalet fall stadfäster DALK datainspektionens praxis. Exempelvis anser kommittén att datainspektionens redan nu restriktiva inställning till registrering av "mjukdata" är riktig och önskvärd.

DALK föreslår emellertid ett tillägg till datalagen av innebörd att vid bedömning av behovet av föreskrifter enligt 6 § datalagen särskilt skall beaktas huruvida det i personregistret ingår personuppgifter som utgör omdömen eller andra värderande uppgifter om registrerade.
    DALK anser vidare att det kan finnas särskild anledning för datainspektionen att vid prövning av t. ex. personalregister beakta huruvida förhandling enligt medbestämmandelagen skett och resultatet av sådan förhandling men att det slutliga avgörandet ligger hos inspektionen, när det gäller att inrätta sådana register.
    DALK konstaterar att datainspektionens praxis visat att det i praktiken varit möjligt att för vissa register överge den grundläggande bedömningen från fall till fall genom införandet av ett förenklat förfarande för ansökan om tillstånd och beslut samt att (som datainspektionen föreslagit) vissa register som i dag omfattas av detta förfarande fortsättningsvis bara bör behöva anmälas och stå under tillsyn av inspektionen; detta gäller bl. a. kundregister men inte personal- och löneregister.
    DALK anser inte att särskilda regler som begränsar tillämpningen av datalagen beträffande forskning och statistikverksamhet är påkallade men föreslår att datainspektionen mera permanent samråder med företrädare för forskning och statistik.
    Kommittén anser inte att det för närvarande föreligger behov av någon särskild dataombudsman utan att datainspektionen även framöver kan fullgöra funktionen som klagomur.
    Med hänsyn till särskilt den tekniska utvecklingen av "datorer" för bl. a. hushållsbruk och personligt bruk bör enligt DALK datainspektionen få rätt att från datalagen undanta vissa bestämda former av enklare personregistrering som visserligen sker med ADB men som uppenbart inte innebär risk för otillbörligt intrång.
    Sammanfattningsvis konstaterar DALK att datalagen hittills givit ett gott skydd mot otillbörligt intrång i enskilds personliga integritet utan att reglerna på det hela taget blivit mera betungande än som bör kunna accepteras.
    DALKs förslag har remissbehandlats och under mars 1979 väntas en proposition¹ med förslag till ändringar i datalagen. Förhoppningsvis blir dessa ändringar inte så omfattande. Det internationella samarbetet kommer att kräva ändringar inom en inte alltför avlägsen framtid och det finns därför skäl att avvakta resultatet av detta. Kanske kan man då samtidigt ersätta datalagen

 

¹ Propositionen som i väsentliga delar svarar mot DALKs förslag antogs av riksdagen i maj i år. Ändringarna i datalagen träder i kraft den 1 juli 1979.

med en lag om personregister.
    Även kreditupplysnings- och inkassolagarna har varit föremål för utvärdering av datainspektionen. Med anledning av resultatet har inom justitiedepartementet en departementspromemoria utarbetats. Denna är f. n. föremål för remissbehandling.

 

Debatten började med integriteten

 

Inledningsvis betraktades ADB-tekniken som en harmlös men ekonomisk och rationell teknik. ADB är dock en helt fantastisk teknik som mer än många andra påverkat samhället. Även om vi bara befinner oss i ett inledningsskede av "dataåldern" har vi redan utvecklat samhället till ett postindustriellt informationssamhälle, där informationen fått ett nytt egenvärde. En ny industri har vuxit upp — en informationsindustri bestående av datortillverkare, systemmän, programmerare, operatörer, servicebyråer etc.
    I detta samhälle är den enskildes integritet hela tiden hotad. Vid sidan av datalagens skydd av den enskilde har datainspektionens verksamhet förhoppningsvis påverkat strukturen av databehandlingen i en riktning så att denna i dag mer allmänt sker på ett för samhället (d. v. s. medborgarna) acceptabelt sätt.
    Datainspektionens verksamhet, som den stundom refereras i massmedia, är ibland svår att förstå. Ett exempel är kontrollen av bostadsbidragen, där massmedia refererat inspektionens beslut som om datalagen tillämpats i syfte att skydda dem som försöker bedra sig till bostadsbidrag.
    Självfallet är datalagen inte avsedd att skydda dem som inte följder samhällets spelregler. Datainspektionens negativa hållning till kraven på att kontrollera uppgifterna om inkomstlämnande i ansökningar om bostadsbidrag mot uppgifterna om inkomst lämnade till sjukförsäkringen beror på helt andra skäl. Det kan synas praktiskt och rationellt att göra en sådan kontroll. I det ena fallet gäller det ju att ha så låg inkomst som möjligt för att man skall kunna dra mesta möjliga nytta av samhällets resurser. I det andra gäller det att inkomsten bör vara så hög som möjligt. Samkör man nu register över sådana uppgifter tror många att uppgifterna stämmer överens för alla ärliga och ut faller enkelt och praktiskt en lista över alla bedragare.
    Datainspektionen värnar inte om bedragarna men om alla de andra som skulle kunna framstå som sådana utan att vara det. Reglerna och blanketterna för ansökan är krångliga. Många gör omedvetet misstag när de lämnar uppgifterna. Uppgifterna till sjukförsäkringen är insamlade vid en tidpunkt för ett speciellt

ändamål. Uppgifterna för bostadsbidrag är insamlade vid en annan tidpunkt för ett annat ändamål. Till saken hör också att enligt en vetenskaplig undersökning klarar inte 83 procent av svenska folket att fylla i blanketten om sjukpenninggrundande inkomst. Det är fråga om s. k. datakvalitet, något som borde ha uppmärksammats mycket mer. Samkörningar leder ofta till att man jämför äpplen med päron och dessutom utan att de registrerade är medvetna om det. Samhället tillhandahåller inte något entydigt inkomstbegrepp som medborgarna kan använda i alla sammanhang. Resultatet av samkörning av register med olika kvalitet blir att många medborgare som verkligen gör allt som står i deras makt för att uppfylla myndigheternas krav kommer att framstå som om de slarvat eller medvetet försökt sko sig. Risken är uppenbar att de hamnar i en situation av s. k. omvänd bevisbörda, där de med sina begränsade resurser i form av byråkratiskt kunnande gentemot en myndighet med stora sådana resurser kanske tvingas styrka att de inte uppsåtligt försökt lura myndigheten. Resultatet blir lätt en utveckling mot ett "kontrollsamhälle" med risk för ett försämrat psykologiskt klimat. Att bli utsatt — utan skäl — för misstanken om brottslig handling måste betraktas som ett intrång i den personliga integriteten.

 

Datalagens bieffekter

 

Datalagen har haft en mängd bieffekter. Genom dess tillämpning har bl. a. uppmärksammats att den datorisering som skett påverkat offentlighetsprincipen, att viss datorisering inte tagit hänsyn till andra lagar, emellanåt inte ens till grundlag. Här skall några exempel nämnas.
    Ett av landets största framtida personregister, det nya centrala skatteregistret, betraktades såsom ett s. k. internt arbetsregister. Benämningen hämtades av systemutvecklarna från TF, där detta begrepp finns angivet men för helt andra företeelser. Benämningen "internt arbetsregister" i en bemärkelse som — om den accepterades — skulle medföra att i princip all insyn i skatteregistret skulle förhindras passerade 1975 genom både finansdepartementet och riksdagsutskott samt riksdagen. Detta skedde heller inte obemärkt utan var en bidragande anledning till att man valde ett centralt register i stället för regionala. Datainspektionen var den enda som slog larm och först 1976 rättades felaktigheten till.
    Ett annat exempel, också från taxeringsområdet, är att självdeklarationer bl. a. av integritetsskäl inte skall sparas längre än sex år. Därefter skall de förstöras. Detta hänger också samman med att

man inte senare kan åtalas, och åtal kan ju även gälla fel som inte är uppsåtliga utan bara beroende på oaktsamhet eller svårigheter att hitta rätt bland de snåriga skattereglerna. Datainspektionen uppmärksammade att deklarationerna mycket riktigt gallrades ut hos länsstyrelserna men fann detta ganska meningslöst. Man sparade nämligen kopior av dem på magnetband för evärderliga tider men för statistiska ändamål. Genom ett beslut våren 1975 tvingades SCB gallra dessa magnetband på samma sätt som länsstyrelserna gallrar deklarationshandlingar. Beslutet överklagades men fastställdes i princip av regeringen 1977.
    Åter andra exempel är att man datoriserat på ett sätt som upphävt sekretesskydd.
    Det har t. ex. inte varit ovanligt att sekretessbelagd information hämtats från en eller flera myndigheter och förts samman i en gemensam databank, som kanske t. o. m. haft en annan huvudman. Sekretesskyddet har då emellanåt upphört att fungera. Skälet härtill är att sekretesslagen ibland bara skyddar viss information hos en viss myndighet, och när denna information i en ny skepnad återfinns hos en annan myndighet är det långt ifrån alltid som sekretesskyddet fortplantas till den nya myndigheten.
    Detta låter enfaldigt och borde väl lätt kunna rättas till genom att man skriver om sekretessreglerna. Men det är inte så enkelt. Det torde ha varit helt avsikligt som man underlåtit att fortplanta sekretessregelns skydd. Om sekretessen alltid följde med informationen skulle vår offentlighetsprincip upphöra, och den principen är sannolikt en av de viktigaste för integritetsskyddet.

 

Debatten fortsätter
SÅRK har i ett uppmärksammat delbetänkande (Ds Fö 1978: 4) redogjort för datoriseringens inverkan på samhällets sårbarhet.
    Efter handlingsprogram från de centrala fackliga organisationerna har regeringen tillsatt ett flertal utredningar bl. a. om datoriseringens inverkan på sysselsättning och arbetsmiljö. En annan utredning granskar den nya informationsteknologin i form av View-data eller Data-TV, Text-TV o. s. v., som ger oss möjlighet till tvåvägskommunikation via TV-apparaten i hemmet.
    ADB-tekniken bidrar starkt till att vi lever i en föränderlig värld. Sårbarhet, arbetsmarknadseffekter m. m. kommer att kräva mycket av politikernas krafter och intresse. Det är sannolikt nödvändigt att just därför hålla integritetsdebatten vid liv, så att den personliga integriteten inte ställs i skymundan. Personlig integritet är också en del av välfärden och en mänsklig rättighet.