sou · GPB3100 · 2002-01-01 00:00:00 — För register som förs enligt förord- ningen (2001:639) om register- föring m.m. vid allmänna dom- stolar med hjälp av automati- serad behandling gäller i stället bestämmelserna i den förord- ningen. (1979:802) om dagbok och akter i konkursärenden och ärenden om företagsrekonstruktion. Om det vid domstolen förs ett särskilt register över pågående eller avgjorda brottmål, får i detta inte tas in några uppgifter om utdömda påföljder eller ut- redningar om tilltalades lev- nadsomständigheter eller per- sonliga förhållanden. Registret får inte omfatta mål som har avgjorts tidigare än före det löpande kalenderåret. För register som förs med stöd av lagen (2002:000) om behandling av uppgifter vid allmänna dom- stolar finns särskilda bestäm- melser. Denna förordning träder i kraft . BAKGRUNDEN TILL VÅRA FÖRSLAG Vi har i uppdrag att granska regleringen och användningen av per- sonregister och annan behandling av personuppgifter i verksamhet vid de allmänna domstolarna och de allmänna förvaltningsdomstolarna samt hyres- och arrendenämnderna. Vi skall även föreslå författnings- ändringar som behövs för den framtida behandlingen av personuppgif- ter i dessa verksamheter. Arbetet skall göras med utgångspunkt i per- sonuppgiftslagen (1998:204) samt och rådets di- rektiv 95/46/EG av om skydd för enskilda perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Andra viktiga utgångspunkter för arbetet är att vi skall skapa enkla och tydliga regler som är anpassade till den tekniska utvecklingen på ett sådant sätt att de tillgodoser behovet av ett effektivt IT-stöd i mål- och ärendehanteringen. En övergripande uppgift är att vi skall beakta att regleringen av domstolarnas och nämndernas behandling av person- uppgifter utformas på ett sådant sätt att enskildas rätt till personlig integritet skyddas. I vårt uppdrag ingår även att undersöka om det finns behov av att ändra eller komplettera de bestämmelser i sekretesslagen (1980:100) som gäller för uppgifter vid domstolarna, med anledning av att uppgif- ternas varierande sekretessgrad innebär såväl rättsliga som praktiska problem vid en utökad automatiserad hantering av personuppgifter. Direktiven i sin helhet framgår av bilaga 1. Vi har i delbetänkandet Domstolarnas register och personuppgiftslagen – En rättslig anpassning (SOU 2001:32) redovisat författningsförslag vad gäller Regeringsrättens och kammarrätternas målregister, vilka tidigare inte varit författningsreglerade, samt övrig behandling av per- sonuppgifter vid domstolar och nämnder som påverkades av att datala- gen helt upphörde att gälla . Vi har vid gransk- ningen av användningen av personregister och annan behandling av personuppgifter genomfört en enkätundersökning som vände sig till samtliga av utredningen berörda domstolar och nämnder. Enkäten re- dovisades som en bilaga till delbetänkandet. En av de grundläggande utgångspunkterna för vårt arbete har varit att föreslå moderna, teknikoberoende och allmänt ändamålsenliga för- fattningar, dvs. inte i första hand att skräddarsy lagstiftningen för be- fintliga eller planerade datorsystem. Som ett led i arbetet har vi dock hållit oss informerade om arbete med utvecklingen av ett eller flera nya datorsystem för domstolsväsendet. Vi har även över- siktligt informerat oss om hur datorteknik används inom rättsväsendet i vissa andra länder. Den andra viktiga utgångspunkten för arbetet har varit att ta hänsyn till de integritetsaspekter som följer av användningen av omfattande automatiserade uppgiftssamlingar i rättsskipande och rättsvårdande verksamhet. Vi har samrått med Offentlighets- och sekretesskommittén. Dataskyddsdirektivet och personuppgiftslagen 55 regleras behandling av person- uppgifter i personuppgiftslagen (1998:204), som har ersatt datalagen (1973:289). Personuppgiftslagen har sin utgångspunkt i Europa- parlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter (data- skyddsdirektivet). Detta kapitel innehåller en kort beskrivning av data- skyddsdirektivet och personuppgiftslagen. En mer ingående genom- gång finns i delbetänkandet Domstolarnas register och per- sonuppgiftslagen – En rättslig anpassning (SOU 2001:32). Syftet med dataskyddsdirektivet är att garantera en hög och i alla med- lemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter. För att bli gällande rätt måste direktivet införlivas i medlems- staternas nationella lagstiftning. Medlemsstaterna kan inte föreskriva vare sig ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgif- ter än vad som följer av dataskyddsdirektivet. Dataskyddsdirektivet handlar om fysiska personers skydd. Skyddet för juridiska personer berörs inte av direktivet. Inte heller berörs sådan verksamhet som faller utanför gemenskapsrätten, däribland verksamhet som rör allmän säkerhet, försvar, statens säkerhet och statens verksam- het inom straffrättens område. Direktivet omfattar inte bara automatise- rad behandling, utan också behandling av personuppgifter som 56 Dataskyddsdirektivet och personuppgiftslagen ingår eller kommer att ingå i ett register. Utanför tillämpningsområdet faller t.ex. ostrukturerade akter. Dataskyddsdirektivet omfattar inte behandling av personuppgifter för privat bruk. 2.1.2Bestämmelser om när personuppgifter får behandlas Enligt dataskyddsdirektivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen skall vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ända- målen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Här kan nämnas att uppgifter får behandlas i första hand efter att den regi- strerade otvetydigt har lämnat sitt samtycke, men också om det är nöd- vändig för att fullgöra en rättslig förpliktelse som åvilar den registeran- svarige eller för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighetsutövning. Personuppgifter får även behandlas om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behand- las. Vissa särskilda i direktivet angivna kategorier av uppgifter får inte behandlas utan uttryckligt samtycke av den registrerade. Det gäller uppgifter som avslöjar den enskildes ras eller etniska ursprung, poli- tiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Med- lemsländerna får under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse besluta om undantag från förbu- det. Behandling av uppgifter om lagöverträdelser och brottmålsdomar m.m. får utan särskilt stöd i nationell lagstiftning utföras endast under kontroll av en myndighet. 2.1.3Information och rättelse m.m. Dataskyddsdirektivet föreskriver att den registeransvarige skall in- formera den registrerade om att personuppgifter är föremål för be- handling och därvid redogöra för ändamålet med behandlingen. Har uppgifterna inte samlats in från den registrerade själv behöver den re- Dataskyddsdirektivet och personuppgiftslagen 57 gisteransvarige däremot inte lämna någon information, om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Vidare har den registrerade rätt att få sådana uppgifter som inte har behandlats i enlighet med di- rektivet rättade, utplånade eller blockerade. Direktivet innehåller även regler om säkerhet vid behandlingen. Genom lämpliga tekniska och organisatoriska åtgärder skall den regis- teransvarige skydda personuppgifter mot otillåten behandling samt mot förstöring, förlust, ändring eller otillåten spridning. I direktivet föreskrivs ett relativt omfattande anmälningsförfarande till en tillsynsmyndighet när det gäller helt eller delvis automatiserad be- handling av personuppgifter. Undantag från anmälningsplikt, al- ternativt tillämpning av ett förenklat anmälningsförfarande, får före- skrivas dels om det med hänsyn till de behandlade uppgifterna inte är sannolikt att den registrerades fri- eller rättigheter kränks, dels om den registeransvarige har utsett ett uppgiftsskyddsombud (person- uppgiftsombud). 2.1.5Överföring av personuppgifter till tredje land Direktivet syftar till ett fritt flöde av personuppgifter mellan med- lemsländerna. Som huvudregel gäller att överföring av personuppgifter till ett land utanför EU eller EES (tredje land) får ske endast om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Vad som är en adekvat skyddsnivå får avgöras med hänsyn tagen till bl.a. de uppgifter som skall behandlas och ändamålet med behandling- en. Med anledning av att dataskyddsdirektivet skulle antas tillsatte rege- ringen 1995 en kommitté med uppgift att utreda på vilket sätt direktivet skulle införlivas i svensk rätt (). Uppdraget redovi- sades i betänkandet Integritet – Offentlighet – Informationsteknik 58 Dataskyddsdirektivet och personuppgiftslagen (SOU 1997:39). Personuppgiftslagen (1998:204) bygger i allt väsent- ligt på det förslag som lades fram i betänkandet. 2.2.1Allmänt om lagen och dess tillämpningsområde Personuppgiftslagen reglerar själva hanteringen av personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen är otil- låten. Med behandling av personuppgifter avses varje åtgärd som vidtas med uppgifterna, t.ex. insamling, lagring, bearbetning, inhämtande, utlämnande, samkörning eller förstöring. Personuppgifter i lagens me- ning är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftslagen tillämpas på all automatiserad behandling av personuppgifter. Dessutom är lagen tillämplig på behandling av uppgifter som ingår, eller är avsedda att ingå, i en strukturerad sam- ling av personuppgifter vilka är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Lagen omfattar även sådan verksam- het som faller utanför gemenskapsrätten, t.ex. verksamhet inom straff- rättens område. Uppgifter om juridiska personer och avlidna omfattas inte av per- sonuppgiftslagen. Inte heller behandling som en fysisk person utför i verksamhet av rent privat natur omfattas, även om behandlingen avser personuppgifter. Dessutom är flertalet av personuppgiftslagens be- stämmelser inte tillämpliga vid behandling av personuppgifter som skyddas av tryckfrihetsförordningen och yttrandefrihetsgrundlagen eller som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Särreglering i lag eller förordning gäller framför personuppgifts- lagen. I lagen anges uttryckligen att den inte får inskränka myndig- heternas skyldighet att lämna ut personuppgifter enligt 2 kap. tryck- frihetsförordningen och att den inte heller hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Dataskyddsdirektivet och personuppgiftslagen 59 2.2.2Förutsättningar för behandling av personuppgifter Ansvarig för behandling av personuppgifter är den personuppgifts- ansvarige, dvs. den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgifter skall alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, uttryck- ligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för historiska, statistiska eller ve- tenskapliga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Uppfyller personuppgifterna inte kraven skall den personupp- giftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta de felaktiga eller ofullständiga uppgifterna. Personuppgifterna får inte sparas längre än nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Allmänna handlingar får emellertid inte med stöd av personuppgiftslagen avidentifieras eller på annat sätt förstöras, dvs. När behandling av personuppgifter är tillåten Enligt personuppgiftslagen är det tillåtet att behandla personuppgifter efter den registrerades samtycke. Med samtycke avses varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registre- rade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Lagen uppställer inget krav på att samtycke skall vara skriftligt eller på annat sätt formbundet. Personuppgifter får – trots att samtycke från den registrerade saknas – behandlas om det är nödvändigt för att ett avtal med den registrerade skall kunna fullgöras, för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, för att vitala intressen för den registre- rade skall kunna skyddas, för att en arbetsuppgift av allmänt intresse skall kunna utföras, för att den personuppgiftsansvarige eller någon annan till vilken personuppgifter har lämnats ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning samt för att tillgodo- se ett berättigat intresse hos den personuppgiftsansvarige, om det väger tyngre än den registrerades intresse av integritetsskydd. 60 Dataskyddsdirektivet och personuppgiftslagen Nödvändighetsrekvisitet har bl.a. tolkats så att personuppgifter får behandlas automatiserat även i de fall det är faktiskt möjligt med ma- nuell behandling, om det innebär att förfarandet underlättas. För vissa slag av uppgifter gäller enligt personuppgiftslagen särskilda restriktioner. Enligt huvudregeln får uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening inte behandlas. Likaså är det förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Förbudet mot att behandla känsliga personuppgifter är dock inte undantagslöst. Uppgifterna får behandlas efter den registrerades ut- tryckliga (dvs. klart manifesterade) samtycke eller när den registrerade har offentliggjort känsliga uppgifter på ett tydligt sätt. Behandling av känsliga personuppgifter får utföras även när det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att rättsliga anspråk skall kunna slås fast, göras gällande eller försvaras samt för att den registrerades eller någon annans vitala intressen skall kunna skyddas, om den registrerade är förhindrad att lämna samtycke. Förbudet mot att behandla känsliga personuppgifter gäller inte heller när behandlingen utförs inom ramen för en ideell organisations berätti- gade verksamhet med ett politiskt, filosofiskt, religiöst eller fackligt syfte, om behandlingen avser uppgifter om bl.a. medlemmar. Slutligen undantas från förbudet viss behandling av uppgifter inom hälso- och sjukvården samt viss behandling för forsknings- och statistikändamål. Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undantag, om det behövs med hänsyn till ett viktigt allmänt intresse. Regeringen har i personuppgiftsförordningen (1998:1191) föreskrivit att, utöver undan- tagen i lagen, känsliga personuppgifter får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller om de är nödvändiga för handläggningen av ärendet. Dataskyddsdirektivet och personuppgiftslagen 61 Uppgifter om brott och användning av personnummer Vissa uppgifter som inte omfattas av personuppgiftslagens definitionen av känsliga personuppgifter är ändå sådana att behandlingen av dem regleras särskilt i lagen. Det är förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser, domar och säkerhetsåtgärder i brottmål. Regeringen eller Datainspektionen har dock möjlighet att föreskriva undantag från förbudet, om det är befogat att behandlingen utförs av annan än myndighet och behandlingen står under tillfredsställande kontroll av en myndighet. Uppgifter om personnummer och samordningsnummer får be- handlas bara när den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. 2.2.3Information och rättelse m.m. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandling av personuppgifter, när uppgifter sam- las in från den registrerade själv. Har uppgifterna samlats in från en annan källa skall den registrerade informeras när uppgifterna noteras. Information behöver dock inte lämnas om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats eller om det i lag eller annan författning finns särskil- da bestämmelser om registreringen eller utlämnandet av personuppgif- ter. Informationen skall omfatta uppgifter om vem den personupp- giftsansvarige är, ändamålet med behandlingen samt all övrig infor- mation som den registrerade behöver för att kunna ta tillvara sina rät- tigheter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Den personuppgiftsansvarige är vidare skyldig att, efter ansökan, en gång per kalenderår gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka upp- gifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Under förutsättning att uppgifterna inte har lämnats ut till tredje man behöver information dock inte lämnas beträffande personuppgifter som behandlas endast i löpande text som ännu inte har fått sin slutliga ut- 62 Dataskyddsdirektivet och personuppgiftslagen formning, om behandlingen inte har pågått , eller som utgör minnesanteckningar. Bestämmelserna om informationsskyldighet gäller inte om sekretess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller anknyt- ande föreskrifter skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Den personuppgiftsansvarige har enligt personuppgiftslagen ett stort ansvar för säkerheten vid behandling av personuppgifter. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. För det allmännas verksamhet gäller att eventuella bestämmelser om säkerheten vid be- handling av personuppgifter i annan lagstiftning skall tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekretess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade person- uppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhetsnivå med beaktande av de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behandlingen och hur känsliga de behandlade uppgifterna är. 2.2.5Överföring av personuppgifter till tredje land Det är enligt personuppgiftslagen förbjudet att utan samtycke från den registrerade föra över personuppgifter till en stat utanför EU eller EES (tredje land) som inte har en adekvat nivå för skyddet av personuppgif- ter. Vid bedömningen av om ett land har en adekvat skyddsnivå skall hänsyn tas till samtliga omständigheter som har samband med överfö- ringen. I lagen anges att särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ur- sprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Dataskyddsdirektivet och personuppgiftslagen 63 Från överföringsförbudet görs vissa undantag, bl.a. om behand- lingen är nödvändig för att fullgöra ett avtal som är i den registrerades intresse, för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, för att kunna fastställa, göra gällande eller försvara rätts- liga anspråk eller för att skydda vitala intressen för den registrerade. Dessutom får regeringen i viss omfattning meddela föreskrifter om undantag från förbudet. 2.2.6Anmälan till Datainspektionen m.m. Enligt dataskyddsdirektivet skall en särskild tillsynsmyndighet utses. I har Datainspektionen tilldelats den uppgiften. Som ett led i sin tillsynsverksamhet skall Datainspektionen ha tillgång till behandlade personuppgifter och dessutom tillträde till lokaler med anknytning till behandlingen. Datainspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att personuppgifter skall utplå- nas. Helt eller delvis automatiserad behandling av personuppgifter omfattas av anmälningsskyldighet, vilket innebär att den personupp- giftsansvarige skall anmäla sådana behandlingar till Datainspektionen. Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen skall föra re- gister över anmälda behandlingar. I såväl personuppgiftslagen som per- sonuppgiftsförordningen och föreskrifter från Datainspektionen före- skrivs emellertid om undantag från anmälningsskyldigheten i olika situationer. Anmälan till Datainspektionen behöver t.ex. inte göras när ett per- sonuppgiftsombud har utsetts av den personuppgiftsansvarige. Person- uppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Personuppgiftsombudet skall ha en förteckning över de behandlingar som den personuppgiftsansvarige utför och han skall även hjälpa registrerade personer att få rättelse vid misstanke om att person- uppgifter är felaktiga eller ofullständiga. I personuppgiftslagen finns ett bemyndigande för regeringen att bestämma att vissa behandlingar av personuppgifter som kan innebära 64 Dataskyddsdirektivet och personuppgiftslagen särskilda risker för otillbörligt intrång i den personliga integriteten skall anmälas till Datainspektionen i förväg. I de fall sådan förhandskontroll är föreskriven, gäller inte undantagen från anmäl- ningsskyldighet. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till ersättning från den personuppgiftsansvarige för den skada och kränkning av den personliga integriteten som behandlingen kan ha medfört. Skade- ståndsansvaret är i princip strikt, men kan jämkas om den person- uppgiftsansvarige visar att felet i behandlingen inte berodde på honom eller henne. Den som uppsåtligen eller av oaktsamhet gör sig skyldig till vissa förfaranden kan dessutom dömas till böter eller fängelse. Det gäller när osanna uppgifter lämnas i information till den registrerade eller i anmä- lan eller information till Datainspektionen. Vidare tillämpas straffbe- stämmelsen om någon i strid med lagen behandlar känsliga person- uppgifter, för över uppgifter till tredje land eller låter bli att göra före- skriven anmälan om behandling till Datainspektionen. Straffbestäm- melsen tillämpas inte i ringa fall. Registerförordningar för domstolar och nämnder 65