Datainspektionens styrdokument

Transkript

1 Datainspektionens styrdokument Datainspektionen Verksamhetsplan 2009 Fastställd den 20 januari 2009 (dnr )

2 Inledning... 3 Datainspektionens uppdrag... 3 Instruktionen... 3 Regleringsbrevet för Omvärlden... 4 Teknikutveckling och tillämpningar... 4 Ny lagstiftning... 5 Inriktning m.m Viktiga områden Arbetssätt... 7 Behandling av personuppgifter... 8 Sprida medvetenhet och väcka debatt... 8 Förmedla kunskap och ge råd och hjälp... 9 Förebygga fel och missbruk Granska och åstadkomma rättelse Följa och beskriva utvecklingen på IT området Internationellt arbete Deltagande i nätverk Kreditupplysnings och inkassoverksamhet Sprida medvetenhet och väcka debatt Förmedla kunskap och ge råd och hjälp Förebygga fel och missbruk Granska och åstadkomma rättelse Övriga aktiviteter Medarbetarfrågor Kompetenshöjande åtgärder Arbetsverktyg och arbetssätt...21

3 Inledning Verksamhetsplanen är inte en fullständig översikt över samtliga arbetsuppgifter inom myndigheten. Planen upptar framförallt de särskilda aktiviteter utöver löpande arbete som är planerade inom områden där inspektionen tar egna initiativ eller har behov av att fastlägga tydliga ambitionsnivåer. Datainspektionens uppdrag Instruktionen Datainspektionens uppgift är att vara tillsynsmyndighet enligt personuppgiftslagen (1998:204) och tillstånds och tillsynsmyndighet enligt kreditupplysningslagen (1973:1173) och inkassolagen (1974:182). Vidare framgår bl.a. av instruktionen att Datainspektionen särskilt ska inrikta sin verksamhet på att informera om gällande regler, ge råd och hjälp åt personuppgiftsombud enligt personuppgiftslagen, samt följa och beskriva utvecklingen på IT området när det gäller frågor som rör integritet och ny teknik. Datainspektionen ska även vara tillsynsmyndighet enligt artikel 28 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, fullgöra de förpliktelser som nämns i artikel 13 i Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter när det gäller att lämna uppgifter till behörig myndighet i en stat som är ansluten till konventionen, vara nationell tillsynsmyndighet enligt artikel 23 i konventionen om upprättande av europeisk polisbyrå (Europolkonventionen), artikel 114 i konventionen om tillämpning av Schengenavtalet av den 14 juni 1985 (Schengenkonventionen), och artikel 17 i konventionen om användning av informationsteknologi för tulländamål (TIS konventionen). 3 Regleringsbrevet för 2009 Av regleringsbrevet framgår bl.a. följande. Verksamhet Datainspektionen ska sträva efter att upptäcka och förebygga hot mot den personliga integriteten. Fokus ska läggas på känsliga områden, nya företeelser och områden där risk för missbruk är särskilt stor. Beträffande Mål och återrapporteringskrav anges att:

4 4 Datainspektionen ska redovisa och kommentera verksamhetens resultat i förhållande till ovan angivet mål samt till de uppgifter som framgår av förordning (2007:975) med instruktion för Datainspektionen. Redovisningen ska göras enligt den statistikindelning som myndigheten använder. Datainspektionen ska redovisa vilka insatser som gjorts för att bidra till utvecklingen av en elektronisk förvaltning. Datainspektionen ska redovisa omfattningen av myndighetens arbete med att svara på remisser och delta i kommittéer. Av redovisningen ska den tid och de resurser som myndigheten använder till detta arbete framgå. Beträffande Organisationsstyrning anges att: Datainspektionen ska redovisa myndighetens insatser för att säkerställa en god personalförsörjning samt för att förebygga ohälsa. Omvärlden Datainspektionen ska följa utvecklingen inom IT området när det gäller integritet och ny teknik. Här följer några aktuella exempel på teknikutveckling och systemutveckling Teknikutveckling och tillämpningar Användningen av biometri i identifierings och autentiseringssyfte fortsätter att utvecklas och tas i bruk. Bevakningskameror på arbetsplatser, i hyreshus, i skolor etc. fortsätter att öka. Kameror som kan känna igen ansikten och fånga upp misstänka rörelsemönster utvecklas. Portabla enheter (t.ex. digitalkameror, mp3 spelare, portabla hårddiskar, USB minnen, handdatorer och mobiltelefoner) får allt större datalagringskapacitet, vilket ökar risken för att stora datamängder kommer på avvägar. RFID (Radio Frequency Identification) används för att identifiera personer och olika typer av betaltjänster. Teknik och system för positionering får ökad användning och spridning. Förbättrade söktjänster för att sammanställa ostrukturerade data fortsätter att utvecklas, liksom möjligheten att söka i stora informationsmängder. Skillnaden mellan strukturerad och ostrukturerad information minskar.

5 Distribuerade tjänster används mer och mer för databehandling som tidigare utfördes lokalt. Det påverkar de personuppgiftsansvarigas möjlighet till kontroll över personuppgifter. 5 System för ökat informationsutbyte mellan myndigheter utvecklas, vilket medför att fler användare får tillgång till en ökad mängd personuppgifter. Arbetet fortskrider med att förverkliga visionerna om en sammanhållen e förvaltning. Arbetet kring sammanhållna journaler och ökat utbyte av patientuppgifter mellan olika vårdgivare fortsätter. Kommuner kopplas ihop med sjukvårdsnäten. Det internationella tull och polissamarbetet medför krav på ökat utbyte av personuppgifter. Implementeringen av trafikdatalagringsdirektivet fortskrider. Elektroniska spår som lämnas i samband med elektronisk kommunikation, t.ex. telefonsamtal, e post och Internetanvändning ska sparas och användas så att man i efterhand ska kunna utreda vilka som har kommunicerat. Möjligheterna och försöken till s.k. id stöld kan förväntas öka. Det kan förstärka tendensen att i allt högre utsträckning identifiera människor. Utvecklingen av Internetpublicering medför att fler personuppgifter sprids, vilket i sin tur ökar risken för att enskildas personliga integritet kränks. Anonymiseringstjänster för Internet vidareutvecklas och får ökad spridning, vilket kan innebära risker för den personliga integriteten. Kreditupplysningstjänster via SMS och på Internet utvecklas vidare. Internationaliseringen medför att personuppgifter sprids utanför Sverige. Till exempel vill multinationella bolag överföra och samla personuppgifter centralt i organisationen. Ny lagstiftning som kan påverka vårt arbete Lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet träder i kraft den 1 januari 2009 (skyldighet för operatörerna fr.o.m. den 1 oktober 2009). Proposition om ytterligare integritetsskyddsgarantier planeras. Datainspektionen är tillsynsmyndighet och kommer sannolikt att få ett särskilt regeringsuppdrag. En ny polisdatalag är under beredning i Justitiedepartementet. En proposition under våren är sannolik. Ett betänkande om åklagarnas personuppgiftsbehandling har remitterats.

6 6 Ny lagstiftning om utökat informationsutbyte mellan vissa myndigheter trädde i kraft den 1 januari Bland annat finns däri regler om hur en ny åtkomst hos socialnämnderna till uppgifter hos Skatteverket och Försäkringskassan ska vara begränsad tekniskt. EG förordningen (767/2008) om informationssystemet för viseringar (VIS) trädde i kraft den 2 september Driftssättning av VIS beräknas till den 29 maj En departementspromemoria bereds för att identifiera författningsförändringar nationellt. Datainspektionen avses få nya uppgifter. Lagstiftning om lagring av trafikdata för brottsbekämpning (SOU 2007:76) bereds f.n. inom Justitiedepartementet. Proposition om ändringar i KuL kan komma under våren (beloppsbegränsningar och KuL:s tillämpning på grundlagsskyddade medier). Lagstiftning för genomförande av tredje penningtvättdirektivet föreslås träda i kraft den 15 mars 2009 (prop. 2008/09:70). Datainspektionen förutsätts göra behövliga undantag från PuL, bl.a. avseende OFAC listan. Ny lagstiftning för genomförande av IPRED direktivet föreslås träda i kraft under våren. Datainspektionen har meddelat undantag för två organisationer som behandlar uppgifter om lagöverträdelser (IP nummer). Undantagen gäller till dess att ny lagstiftning som tillåter sådan behandling föreslås träda i kraft. Datainspektionen kan behöva genomföra tillsyn över dessa verksamheter under året. Patientdatalagen trädde i kraft den 1 juli 2008 och kräver fortsatta insatser från inspektionen. För apoteksverksamheten förväntas ny lagstiftning under En lagrådsremiss beslutades den 8 december och propositioner om omreglering av apoteksmarknaden, ändring i lagen om läkemedelsförteckning samt detaljhandel med vissa receptfria läkemedel bereds i socialdepartementet. Integritetsskyddskommitténs överväganden (SOU 2008:3) om bl.a. Datainspektionens roll bereds i Justitiedepartementet. En omarbetad sekretesslag träder i kraft den 30 juni En proposition om en ny socialförsäkringsbalk bereds i socialdepartementet. Inriktning m.m. I likhet med de senaste åren är Datainspektionens övergripande strategi 2009 att synliggöra integritetsfrågorna i samhället. Uppmärksamhet i media är därför en avgörande framgångsfaktor. För att få uppmärksamhet måste vi ha något att berätta. Vi hämtar våra berättelser från inspektioner, beslut och rapporter, som har ett allmänt intresse. Ambitionen är att öka antalet berättelser 2009.

7 Med tanke på den explosionsartade ökningen av portabla, mycket kraftfulla enheter samt satsningen på e förvaltning ska säkerhetsfrågorna särskilt uppmärksammas i våra tillsynsärenden. 7 I övrigt ska vi uppnå målen för verksamheten genom att: sprida medvetenhet och väcka debatt förmedla kunskap och ge råd och hjälp förebygga fel och missbruk granska och åstadkomma rättelse Dessutom ska vi följa och beskriva utvecklingen på IT området samt delta i internationellt samarbete och nätverk inom Sverige. Viktiga områden 2009 Följande områden där behandling av personuppgifter förekommer är särskilt viktiga under året: Brottsbekämpning E förvaltning Hälso och sjukvård Internet Försvarets radioanstalts verksamhet Arbetsliv Arbetssätt Kommunikation En väl fungerande kommunikation är en grundförutsättning för att vi ska kunna utföra vårt uppdrag framgångsrikt. Kommunikationen med omvärlden ska därför ses som en del i vår kärnverksamhet. Myndighetsutövning En central uppgift är att vi i vår tillsynsverksamhet ska tolka och tillämpa reglerna i personuppgiftslagen, kreditupplysningslagen och inkassolagen. Proaktivt arbetssätt Vi arbetar dessutom proaktivt bl.a. genom att: uppmärksamma behovet av nya eller ändrade författningar, påverka centrala aktörer, delta i nätverk, gå ut i massmedia, ta egna initiativ till inspektioner, slå larm om konsekvenserna av viss IT utveckling, göra omvärldsanalyser, ge råd i utvecklingsarbete, och bedriva riktad utbildning. Prioritera

8 8 I samhället utförs varje dag en ofantlig mängd personuppgiftsbehandlingar. Vår stora utmaning är att på bästa sätt ta vara på de tämligen begränsade personella och ekonomiska resurserna. Vi måste därför försöka begränsa våra insatser beträffande arbetsuppgifter som inte är prioriterade och som inte heller kan användas för att synliggöra integritetsfrågorna i samhället. Samverka med andra Vi ska aktivt samverka med det omgivande samhället kring frågor om personlig integritet. Inspektionens samverkansarbete ska bedrivas på alla nivåer. Arbetet ska inriktas på att etablera nätverk med andra och särskilt vad avser bidrag till utveckling av e förvaltningen. Våga vara tydlig Vi ska alltid sträva mot att vara tydliga i våra beslut, i svar på förfrågningar och i andra ärenden samt i övrigt i våra kontakter med medborgarna. Visa öppenhet De som kontaktar oss ska mötas av största möjliga öppenhet och alla på Datainspektionen har ansvar för att dela med sig av information. Vara tillgänglig Det ska vara lätt att få kontakt med rätt person på inspektionen och information ska lämnas så snabbt som möjligt. Analysera Vi ska öka vår förmåga att analysera effekterna av verksamheten. Behandling av personuppgifter Sprida medvetenhet och väcka debatt Mål Allmänheten är medveten om risker och rättigheter när personuppgifter behandlas. Vi ska få massmedia att uppmärksamma frågorna. Vi ska producera berättelser som ger underlag för pressreleaser. Medierna ska få god service och vi ska bidra till att skapa en aktiv och levande debatt om integritetsfrågor. Vår webbplats ska vara ständigt aktuell, lättillgänglig och lättläst. Den ska också uppfylla de krav på innehåll, tillgänglighet och medborgarservice som ställs på e förvaltning. Vi ska ha ett callcenter som besvarar frågor med anknytning till vårt uppdrag.

9 Vi ska också se till att de personuppgiftsansvariga fullgör PuL:s krav på information till allmänheten (se vidare under Granska och åstadkomma rättelse ). 9 Aktiviteter Producera 4 5 pressreleaser per månad. (S) Vidareutveckla webbplatsens funktioner enligt särskild plan. (S) Publicera minst tre debattinlägg i lämpliga medier. (S) Publicera studien Unga och integritet. (S) klart senast 31 januari. Klart. Ta fram förslag till aktiviteter för Dataskyddsdagen (S) klart senast 30 november Utveckla webbplatsens ungdomssidor, Kränkt.se. (S) klart december Utveckla Integritet i fokus på webbplatsen. (S)klart senast 30 juni Förmedla kunskap och ge råd och hjälp Mål Personuppgiftsansvariga, personuppgiftsombud och andra som behandlar personuppgifter har de kunskaper de behöver för att kunna ta sitt ansvar. På vår webbplats ska det finnas svar på de flesta standardfrågor. Vi ska producera informationsbroschyrer, informationsblad och rapporter om aktuella frågor och områden. Trycksakerna ska hållas uppdaterade och finnas tillgängliga på webbplatsen. Vi ska ha en särskild kontaktperson för personuppgiftsombud. Vi ska utbilda personuppgiftsansvariga, personuppgiftsombud och andra som behandlar personuppgifter genom att anordna kurser, seminarier, föreläsningar och konferenser. Uppdragsföreläsningar genomförs i mån av resurser. Intäkterna av utbildningsverksamheten ska täcka de totala kostnaderna. (1,2 Mkr 2009) Vi ska ha ett callcenter som besvarar frågor med anknytning till vårt uppdrag. Vi ska också besvara komplicerade frågor och lämna samrådsyttranden till personuppgiftsombud.

10 Begärda samråd besvaras inom en månad. 10 Vi ska hjälpa organisationer att ta fram branschöverenskommelser. Aktiviteter, webbplatsen Ta fram temasida om patientdatalagen på webbplatsen. (V, S) klart 31 oktober Publicera samrådsyttranden på webbplatsen (rutiner + genomförande). (S) klart 31 maj Publicera beslut på webben (rutiner + genomförande). (S) klart december Ta fram rutiner för FAQ på webben. (V, S) Ta fram rutiner för att kvalitetssäkra webbplatsen. (S, Komm.) klart 31 maj Aktiviteter, trycksaker Ge ut fyra nummer av Magazin Direkt. (S) Gör en plan för ny tidning 2010.(GD) klart senast 31 oktober Publicera en årskrönika, Integritetsåret (S) klart januari. Klart Förbered Integritetsåret (S) klart december Ta fram en informationsbroschyr om patientdatalagen. (V, S) Ta fram frågor och svar om tredjelandsöverföring på webbplatsen. (MA, S) klart 28 februari Ta fram en förstudie till en mer omfattande information om tredjelandsöverföring. (MA, S) klart senast 30 april Ta fram informationsblad om information enligt PuL. (S) klart senast 28 februari Utred de allmänna råden om information enligt PuL(cj) Uppdatera nr 12, Intresseavvägning enligt personuppgiftslagen. (S) klart senast 30 april Uppdatera nr 16, Personregistrering i Sverige. (S) klart 28 februari Uppdatera PuL och känsliga personuppgifter i forskningen. (V) klart senast 30 april

11 Uppdatera Personuppgifter i forskningen (med SoS och SCB). (V) klart senast 30 april 11 Aktiviteter, föreläsningar och konferenser Sex PuO seminarier steg 1 (varav två riktade mot personuppgiftsombud i offentlig sektor, två riktade mot personuppgiftsombud i privat sektor och två riktade mot personuppgiftsombud såväl inom offentlig som privat sektor) Två PuO seminarier steg 2 (riktade mot personuppgiftsombud såväl inom offentlig som privat sektor) Tre seminarier ompatientdatalagen (i Malmö, Göteborg och Stockholm) Två kurser om personuppgiftslagen med fokus på informationssäkerhet Två kurser om personuppgiftslagen för multinationella företag Utarbeta gemensamma presentationsmallar och tillgängliggöra exempel på talarmanus (V) klart senast 30 april Gå igenom och uppdatera gruppövningsfrågor för PuO seminarier steg 1. (V) klart senast 31 mars Utarbeta administrativa rutiner och checklistor för utbildningsverksamheten. (V) klart senast 30 juni Utred och utarbeta ett nytt kursupplägg för PuO seminarier steg 1 som innebär att en allmän PuL kurs integreras i steg 1 seminarierna. (V) klart senast 31 augusti Anordna två möten för att utvärdera utbildningsverksamheten (i december och juni). (V) Inled varje utbildningstermin med en kickoff (i februari och september). (V) Aktiviteter, branschöverenskommelser Undersök förutsättningarna för en branschöverenskommelse om hur elektroniska färdbevis ska användas i kollektivtrafiken. (N) klart 30 september Hjälp fastighetsbranschen att ta fram en branschöverenskommelse om kameraövervakning i flerfamiljshus. (N) klart 30 september Aktiviteter, förfrågningar och samråd

12 12 Enkla förfrågningar hanteras av callcentret och besvaras inom tre arbetsdagar. Om frågan kräver särskild utredning och inte kan besvaras inom tre arbetsdagar ska frågeställaren få besked om detta inom samma tid. Övriga förfrågningar besvaras inom två månader. Begärda samråd besvaras inom en månad. Förebygga fel och missbruk Mål Integriteten beaktas i lagar och regler. Aktörer på Internet beaktar integriteten. Den som planerar särskilt känsliga behandlingar får förhandsbesked. Vid förfrågan om att delta i utredningar ska vi prioritera de utredningar som ger mest effekt för integritetsskyddet. Om nödvändig sakkunskap redan finns i utredningen eller det annars är tillräckligt att utredningen samråder med Datainspektionen ska deltagande i utredningen avböjas. Remisser och delningar granskas främst utifrån Datainspektionens uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Synpunkter begränsas till frågor av väsentlig betydelse för integritetsskyddet. Ambitionen är inte att ge fullständigt utformade alternativa förslag när problem uppmärksammats. Vid behov ska vi själva eller i samarbete med andra arbeta fram föreskrifter. Begäran om förhandskontroller ska avgöras inom tre veckor. Vi ska bidra till utvecklingen av en effektiv och rättssäker e förvaltning genom att särskilt bevaka enskildas personliga integritet på följande sätt: Uppmärksamma både dataskyddsregler och sekretessregler eftersom de påverkar integritetsskyddet. Prioritera i enlighet med regleringsbrevet och tillsynspolicyn. Fokus ska ligga på känsliga områden, nya företeelser och områden där risken för missbruk är särskilt stor. Vid lagstiftningsarbete ska behovet av informationsutbyte myndigheter emellan analyseras noga. Om det är fråga om rutinmässigt informationsutbyte bör utbytet bygga på en reglerad uppgiftsskyldighet. För att vi ska få fram vårt budskap ska vi sträva efter gå från att vara felsökare till att vara medspelare. Vi bör tydligt tala om när vi tycker att något är gjort på ett bra sätt, inte bara vara tysta i de delar vi inte har någon kritik. Internetfrågor hanteras enligt en särskild policy som ger vägledning för i vilka fall tillsyn ska inledas när det gäller publicering av personuppgifter på Internet.

13 13 Aktiviteter, kommittéarbete Vi deltar i följande utredningar: Utredningen om integritetsskydd i arbetslivet (N 2006:07) Socialtjänstdatautredningen (S 2007:09) 2008 års kameraövervakningsutredning (Ju 2008:04) E offentlighetskommittén (Ju 2008:06) Vägtrafikregisterutredningen (N 2008:04) Biobanksutredningen (S 2008:08) Aktiviteter, remisser och delningar Inkomna remisser och delningar behandlas enligt strategin Aktiviteter, föreskrifter I lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och säkerhetstjänst ges Datainspektionen rätt att meddela föreskrifter, efter samråd med Försvarsmakten om personuppgiftsombudets förteckningar.kontakt tas med Försvarsmakten senast den 31 mars ( MA). Trafikuppgiftsutredningen föreslår att PTS som tillsynsmyndighet ska utfärda närmare föreskrifter om säkerheten kring de trafikuppgifter som operatörerna inom elektronisk kommunikation ska lagra. Föreskrifterna ska tas fram i samråd med bl.a. Datainspektionen. (MA). Vi ska utreda behovet av, och eventuellt utfärda generella föreskrifter om undantag från förbudet i 21 personuppgiftslagen att behandla personuppgifter om lagöverträdelser för personuppgiftsansvariga som omfattas av bestämmelserna i lagen om åtgärder mot penningtvätt och finansiering av terrorism. Avrapportering (N) senast 31 augusti Tullverket får meddela föreskrifter om verkställighet av bestämmelserna i lagen (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet. Föreskrifterna ska tas fram efter samråd med Datainspektionen. Det kan påverka inspektionens arbete under (MA) Läkemedelsverket har föreslagits att i samråd med Datainspektionen ta fram föreskrifter med anledning av omregleringen av apoteksmarknaden. (V) Aktiviteter, förhandskontroller

14 14 Aktualisera frågan om inskränkning av skyldigheten att anmäla behandling av personuppgifter om genetiska anlag för förhandskontroll. (V) klart senast 31 mars. Aktiviteter, e förvaltning Bevaka utvecklingen av e förvaltning med anledning av regeringens handlingsplan. (MA) klart december Fördjupa samarbetet med centrala aktörer t.ex. E delegationen och statssekreterargruppen. (MA) klart december Inled ett samarbete med Sambruk. (MA) klart december Fördjupa samarbetet med Sveriges kommuner och landsting för att sprida kunskaper om dataskyddsreglerna. (MA) klart senast 31 maj Ta fram punkter som är viktiga för integritetsskyddet och som vi bör kontrollera och framhålla i alla ärenden som rör e förvaltning. (MA) klart senast 30 juni Ta fram en modell för omvärldsbevakning rörande e förvaltning. Avrapportering. (MA) klart senast 31 mars Erbjud stöd till leverantörer av IT stöd inom e förvaltning för att sprida kunskap om dataskyddsreglerna (MA, V) klart december Aktiviteter, Internet Undersök förutsättningarna för att etablera rutiner för hur abusefunktioner på Internet hanterar klagomål från enskilda. (N) klart senast 30 april Utred hur reglerna i PuL förhåller sig till grundlag när personuppgifter tillhandahålls över Internet från en databas med utgivningsbevis samt belys de integritetsproblem som detta kan orsaka. ( cj tar fram direktiv) klart senast 30 juni. Se över informationsbladet kränkt på nätet. (S) klart senast 30 april. Utarbeta en strategi för arbete med Internetrelaterade frågor. (GD) klart senast 31 mars. Driv några representativa ärenden som belyser integritetsproblem på Internet. Löpande (N) klart december. Ta fram förslag på tänkbara aktiviteter som riktas mot ungdomar. (S) klart senast 30 april. Granska och åstadkomma rättelse

15 Mål De personuppgiftsansvariga följer lagar och regler 15 Datainspektionen har hela landet som arbetsfält men vare sig kan eller bör kontrollera allt. Som framgår av regleringsbrevet ska särskilt fokus läggas på känsliga områden, nya företeelser och områden där risk för missbruk är särskilt stor. Resurserna ska maximeras på beslut, inspektioner och rapporter som har ett allmänt intresse. Massmedieperspektiv ska finnas redan när ett tillsynsprojekt inleds. Egeninitierade inspektioner ska göras inom områden där nya tekniker används, som kan ha betydelse för den personliga integriteten. Egeninitierade inspektioner ska även göras på områden där stora förändringar pågår och där Datainspektionen kan påverka på ett tidigt stadium, t.ex. e förvaltning. Härmed avses både ärenden som har väckts av enskilda och områden som vi bedömt angelägna att bevaka. Förutom i förväg planerad tillsyn ska det finnas utrymme för oplanerade inspektioner och planerad tillsyn som är initierad av klagomål. Myndighetsövergripande tillsynsområden kommer under 2009 att vara e förvaltning, brottsbekämpning och kameraövervakning. De operativa teamens tillsynsaktiviteter kommer under året att avse bl.a. hanteringen av personuppgifter inom hälso och sjukvården, brottsbekämpande verksamhet, e förvaltning, branscher som måste följa lagen om åtgärder mot penningtvätt och terrorismfinansiering samt arbetslivet. Tillsynsärenden ska om möjligt avgöras en månad efter det att ärendet är färdigkommunicerat, dock alltid inom sex månader från det att ärendet diariefördes. Klagomål ska vara avslutade inom tre månader Aktiviteter Tillsyn enligt särskild plan Inspektera åtminstone tre nya företeelser under Respektive team tar fram sina preciserade tillsynsplaner under januari månad. Utarbeta en plan för hur Datainspektionens uppdrag avseende FRA ska genomföras. (MA) klart senast 31 mars Förutom i förväg planerad tillsyn finns utrymme för oplanerade inspektioner och tillsyn initierad av klagomål. Följa och beskriva utvecklingen på IT-området

16 Mål Vi har god överblick över utvecklingen och har dokumenterat det. 16 Vi bevakar omvärlden kontinuerligt genom att delta i nationella och internationella konferenser, kurser och seminarier. Vi studerar nyhetsflödet i tidningar, tidskrifter och på webben. Vi bjuder in externa föreläsare. Aktiviteter Anordna fyra föreläsningar av inbjudna forskare. (S) två på våren och två på hösten Utarbeta minst tre interna IT blad. (V, MA) klart senast 31 december Erbjud kontakter med systemleverantörer. (MA, V, N) klart senast 31 december Följ MSB:s arbete med informationssäkerhet. Följ arbetet med utvecklingen av e legitimationer. (MA, V, N) klart december Internationellt arbete Mål Erfarenheter från det internationella arbetet förbättrar våra möjligheter att lösa vårt uppdrag på hemmaplan. Vi påverkar utvecklingen inom EU. Vi ska koncentrera arbetet på frågor som kan ha nationell betydelse och varje år, i respektive grupp, välja ut några sådana frågor. Samspel mellan det nationella och internationella arbetet ska eftersträvas. Vi ska i första hand inrikta vårt internationella engagemang på de samarbetsorgan där vi måste delta. Det är obligatoriskt att delta i Artikel 29 gruppen och de gemensamma tillsynsmyndigheterna för Europol, Schengen och Tullen. Vi deltar f.n. i tre arbetsgrupper under 29 gruppen: Enforcement subgroup, Technical subgroup och Medical Data subgroup. Vi ska också delta i konferenserna (internationella, EU datacheferna och nordiska), Case Handling Workshop, Berlingruppen och Working Party on Police and Justice. Detsamma gäller nordiskt handläggarmöte respektive teknikermöte samt samrådsmöten om tillsyn över Eurodac (f.n. två gånger per år back to back med Working Party on Police and Justice). Andra internationella kontakter, som enkäter och förfrågningar av allmän natur från bl.a. forskare, ska av resursskäl inte föranleda omfattande utredningar eller detaljerade svar.

17 17 Aktiviteter 29 gruppen (GD och cj representerar DI). Nationellt förbereds dessa möten i huvudsak av V. Andra team deltar i den mån det uppstår frågor som särskilt berör dessa. (V och cj) Schengen JSA (DI representeras av MA). Möten förbereds på nationell nivå av dem som deltar. (MA och cj) Europol JSB och Överklagandekommittén (DI representeras av MA). Möten förbereds på nationell nivå av dem som deltar. (MA och cj) Customs Information System JSA. (MA och cj) Case Handling Workshop Deltagare utses för varje möte. (V, N, MA och cj) Den internationella arbetsgruppen Berlingruppen. ( cj) Working Party on Police and Justice. (MA och cj) Eurodac. (MA och cj) Håll två interna seminarier om det internationella arbetet, ett på våren och ett på hösten. (V) Gör ett urval av WP dokument och domar från Luxemburg och Strasbourg sökbara i Nykos. (MA, S) klart senast 31 augusti Arrangera Nordiska datachefsmötet i Stockholm. (V) klart 31 maj Deltagande i nätverk Mål Nätverket känner till de rättsliga förutsättningarna för personuppgiftsbehandling. Vi har samsyn i dataskyddsfrågor och gränserna mellan myndigheternas tillsynsansvar är klara. Vi fångar upp utvecklingstendenser som ger oss bättre möjligheter att lösa vårt uppdrag. Vi samarbetar med myndigheter och organisationer i lämpliga konstellationer och i former som passar respektive samarbete. Aktiviteter Vi samverkar med Finansinspektionen, Post och telestyrelsen (PTS), E delegationen, Konsumentverket (KoV), Socialstyrelsen, Statistiska centralbyrån (SCB), Sveriges Kommuner och Landsting, Sjukvårdsrådgivningen,

18 18 Läkemedelsverket, Skolverket, Brottsförebyggande rådet, (BRÅ), Migrationsverket, RIF kansliet, etikprövningsnämnderna och Rikspolisstyrelsen. Beträffande PTS och KoV avser samarbetet även gemensam beredning av 29 gruppsärenden. Kreditupplysnings- och inkassoverksamhet Sprida medvetenhet och väcka debatt Mål Allmänheten är medveten om risker och rättigheter när det gäller kreditupplysningsinformation och inkassokrav Se sidan 8 Aktiviteter Se sidan 9 Förmedla kunskap och ge råd och hjälp Mål Ansvariga inom kreditupplysnings och inkassoverksamhet har de kunskaper de behöver för att kunna ta sitt ansvar. På vår webbplats ska det finnas svar på de flesta standardfrågor. Vi ska producera informationsbroschyrer, informationsblad och rapporter om aktuella frågor och områden. Trycksakerna ska hållas uppdaterade och finnas tillgängliga på webbplatsen. Vi ska utbilda ansvariga och andra som arbetar med kreditupplysning och inkasso genom att anordna kurser, seminarier, föreläsningar och konferenser. Uppdragsföreläsningar genomförs i mån av resurser. Intäkterna av utbildningsverksamheten ska täcka de totala kostnaderna. Vi ska ha ett callcenter som besvarar frågor med anknytning till vårt uppdrag. Aktiviteter, webbplatsen

19 Se sidan 10 Ta fram ytterligare frågor och svar om KuL. (N) klart december 19 Aktiviteter, trycksaker Uppdatera informationsbroschyren nr 15, Värt att veta om kreditupplysning. (S) klart december Aktiviteter, föreläsningar och konferenser Två kurser om personuppgiftslagen, kreditupplysningslagen och inkassolagen (i Göteborg och Stockholm). (N) Aktiviteter, förfrågningar Enkla förfrågningar hanteras av callcentret och besvaras inom tre arbetsdagar. Om frågan kräver särskild utredning och inte kan besvaras inom tre arbetsdagar ska frågeställaren få besked om detta inom samma tid. Övriga förfrågningar besvaras inom två månader. Förebygga fel och missbruk Mål Integriteten beaktas i lagar och regler. Tillståndsgivningen medför att ansvariga och andra som arbetar med kreditupplysning och inkasso följer reglerna och iakttar god sed. Se sidan 12. Aktiviteter, remisser och delningar Inkomna remisser och delningar behandlas enligt strategin. (N) Aktiviteter, tillstånd Ansökningar om tillstånd att få bedriva inkassoverksamhet och kreditupplysningsverksamhet avgörs inom tre månader. (N) Granska och åstadkomma rättelse (Inkasso) Mål Ansvariga och andra som arbetar med inkasso följer lagar och regler. Tillsynsärenden avgörs en månad efter det att ärendet är färdigkommunicerat, dock alltid inom sex månader från det att ärendet diariefördes.

20 20 Klagomålsärenden avgörs inom tre månader. Aktiviteter Den som har fått tillstånd att bedriva inkassoverksamhet inspekteras på plats inom sex månader från dagen då verksamheten påbörjas. Tillsynsärenden där kritik har riktats mot inkassoföretaget följs upp antingen på plats eller genom skrivbordsinspektioner. Förutom i förväg planerad tillsyn finns utrymme för oplanerade inspektioner och tillsyn initierad av klagomål. Tillsynsplanen fastställs under januari månad. Granska och åstadkomma rättelse (Kreditupplysning) Mål Ansvariga och andra som arbetar med kreditupplysning följer lagar och regler. Tillsynsärenden avgörs en månad efter det att ärendet är färdigkommunicerat, dock alltid inom sex månader från det att ärendet diariefördes. Klagomålsärenden avgörs inom tre månader. Aktiviteter Den som har fått tillstånd att bedriva kreditupplysningsverksamhet inspekteras på plats inom sex månader från dagen då verksamheten påbörjas. (N) Tillsynsärenden där kritik har riktats mot kreditupplysningsföretaget följs upp antingen på plats eller genom skrivbordsinspektioner. (N) Förutom i förväg planerad tillsyn finns utrymme för oplanerade inspektioner och tillsyn initierad av klagomål. Tillsynsplanen fastställes under januari månad. Vi bjuder in till branschmöte på kreditupplysningsområdet under förutsättning att föreslagna ändringar i kreditupplysningslagen träder i kraft under året. (N) Övriga aktiviteter Medarbetarfrågor Varje team inklusive ledningsteamet ska genomföra en teambuilding aktivitet. (LT). klart senast 31 juli Se över frågan om flexstämpling. (S) klart senast 30 september