sou · GPB3100 · 2002-01-01 00:00:00 — Vi föreslog i vårt delbetänkande (SOU 2001:32) att såväl de enskil- da domstolarna och nämnderna som skulle kunna bli personuppgiftsansvariga för behandlingen i de datoriserade register som används. Argumenten för detta var att – som har en samordnande funktion vid framtagande av gemensamma datorsy- stem – i vissa fall är den enda som har faktisk möjlighet att påverka behandlingen av personuppgifter, främst i fråga om att lämpliga teknis- ka säkerhetsåtgärder vidtas och att lämpliga systemlösningar används. Flera remissinstanser var emellertid kritiska till denna fördelning av personuppgiftsansvaret och förordade att endast domstolarna och nämnderna skulle vara personuppgiftsansvariga. Som främsta skäl framfördes att ett system där kan bli personuppgiftsan- svarigt innebär att problem kan uppstå för enskilda som vill hävda sin rätt gentemot den som är personuppgiftsansvarig för en viss behand- ling, eftersom gränsdragningen för ansvaret kan bli komplicerad. Re- geringen valde emellertid att i det fortsatta lagstiftningsarbetet gå på den av oss föreslagna linjen och därför gäller enligt de tillämpliga förordningarna att såväl en domstol eller en nämnd som Domstolsver- ket kan vara personuppgiftsansvarig. Vi delar remissinstanserna upp- fattning att det finns ett stort värde i att ha ett system som innebär att enskilda lätt kan identifiera vem som är ansvarig för behandlingen av uppgifter. Ett ytterligare argument för att fortsättnings- vis inte bör vara personuppgiftsansvarigt är att verket enligt de för- fattningar vi nu föreslår inte i sin ordinarie verksamhet har någon till- gång till personuppgifter i domstolarnas och nämndernas datorsystem. Därigenom kan enligt vår uppfattning i det här sam- manhanget närmast betraktas som ett rent serviceorgan som tillhanda- håller de tekniska systemen. Denna syn delas också av (se remissvar på vårt delbetänkande SOU 2001:32; dnr Ju 2001/2662). Även om det kan innebära vissa nackdelar, främst att det i fråga om vissa tekniska lösningar är endast som kan påverka behandlingen, föreslår vi därför att verket i fortsätt- ningen inte skall ha något personuppgiftsansvar. Vi anser att personuppgiftsansvaret bör utformas så att den domstol eller nämnd som utför en viss behandling har ansvaret för den behand- lingen. Det innebär att den domstol eller nämnd som registrerar en uppgift i t.ex. ett datorsystem har ansvaret för att uppgiften är korrekt och att den inte behandlas på ett sätt som strider mot lagstiftningen. Dessutom bör enligt vår uppfattning personuppgiftsansvaret täcka även behandling som det åligger domstolen eller nämnden att utföra. På det sättet markeras att det finns ett ansvar inte endast för att utförd behand- ling är korrekt, utan även för att behandling faktiskt utförs när den skall ske. Som ett exempel på när underlåtenhet att utföra en behandling kan leda till konsekvenser för enskilda kan nämnas att en uppgift inte gall- ras i föreskriven tid eller på rätt sätt eller att en viktig uppgift som är registrerad i ett datorsystem inte meddelas en myndighet, t.ex. Rikspo- lisstyrelsen, i föreskriven ordning med följd att den enskilde lider rättsförlust. För behandling av personuppgifter som inte sker under de särskilt reglerade former som gäller för databaser, t.ex. vid ordbehandling, kommer den domstol eller nämnd hos vilken behandlingen görs att vara personuppgiftsansvarig. Några problem med att peka ut rätt personupp- giftsansvarig torde inte uppstå i de fallen. När det gäller behandling i en för flera domstolar eller nämnder gemensam databas kan situationen bli mer komplicerad. Vår avsikt är att den enskilda behandlingen skall vara avgörande för personuppgiftsansvarets placering. Följden av en sådan bestämmelse blir att den domstol eller nämnd som avgör om en viss uppgift skall föras in i databasen, kommer att vara ansvarig för att den lagrade uppgiften är korrekt. Detta är nödvändigt eftersom i princip endast den domstolen eller nämnden har möjlighet att garantera uppgif- tens riktighet. För den fortsatta behandlingen av uppgiften kan dock andra domstolar eller nämnder bli ansvariga, eftersom var och en an- svarar för sin behandling. Om exempelvis en uppgift som har registre- rats i ett gemensamt datorsystem av en länsrätt lämnas ut av en annan länsrätt, som har direktåtkomst till uppgiften, skall den utlämnande domstolen vara ansvarig för den behandling som utgörs av själva ut- lämnandet. Även med en bestämmelse om personuppgiftsansvar som vi nu före- slår kan det förekomma att det finns flera personuppgiftsansvariga för samma uppgifter. Som ett tänkt exempel kan nämnas att en tingsrätt registrerar uppgifter om en part i ett mål och att målet efter avgörande överklagas till hovrätten. Samma personuppgifter kan då komma att behandlas i båda domstolarna i och med att tingsrättens uppgifter förs över elektroniskt till hovrätten och bevaras vid tingsrätten. I ett sådant fall kan tingsrätten enligt vår mening anses vara ansvarig endast för de uppgifter som domstolen själv har möjlighet att rätta, dvs. uppgifter i det egna målet, medan hovrätten måste ansvara för att upp- gifterna är korrekta i det mål som läggs upp hos den domstolen. I prak- tiken torde det inte behöva uppstå några problem i fråga om vem som är personuppgiftsansvarig för olika behandlingar. En förutsättning är dock att det går att fastställa vilka domstolar eller nämnder som har behandlat en viss uppgift och hur den har behandlats. Detta är i huvud- sak en fråga om systemens tekniska utformning. Ansvaret för uppgifter om juridiska personer och avlidna Personuppgiftsansvaret täcker endast behandling av uppgifter om le- vande fysiska personer. De författningar vi föreslår är emellertid i stora delar tillämpliga även på behandling av uppgifter om juridiska personer och avlidna. Det gäller de allmänna bestämmelserna om ändamål och gallring samt de särskilda bestämmelserna om behandling i databaser. Av tydlighetsskäl anser vi att det därför bör framgå av lagstiftningen att domstolarnas och nämndernas ansvar även omfattar behandling av annat än personuppgifter. Det innebär t.ex. att domstolarna och nämn- derna har ansvaret för att uppgifter om juridiska personer inte behand- las i strid med de i författningarna angivna ändamålen och att de gallras i rätt tid. Däremot har inte juridiska personer den rätt att få information och att få uppgifter rättade som enligt personuppgiftslagen tillkommer fysiska personer. Naturligtvis bör felaktiga uppgifter om juridiska per- soner och avlidna ändå rättas, om felaktigheterna kommer till den per- sonuppgiftsansvariges kännedom. En fråga som knyter an till personuppgiftsansvaret är arkivansvaret enligt arkivlagen (1990:782). Enligt huvudregeln i 4 § arkivlagen har en myndighet arkivansvar för de allmänna handlingar som finns hos myndigheten. För elektronisk information gäller emellertid en special- regel. Upptagningar för automatisk databehandling som är tillgängliga för flera myndigheter, och som därigenom utgör allmänna handlingar, skall bilda arkiv endast hos en av dessa myndigheter, i första hand den myndighet som svarar för huvuddelen av upptagningen. Syftet med undantaget är att upptagningar som är tillgängliga för flera myndigheter inte skall behöva arkiveras av samtliga dessa myndigheter, utan endast av den huvudansvariga myndigheten. Som vi nämner ovan kan personuppgiftsansvaret för en och samma uppgift i en databas ligga hos flera domstolar eller nämnder beroende på hur och i vilka sammanhang uppgifterna används. En sådan ordning är inte lämplig i fråga om arkivansvaret. Vår inställning är att arkivan- svaret för en viss uppgift i en databas skall ligga hos den myndighet som är ansvarig för att uppgiften förs in i databasen. Att en annan dom- stol eller nämnd senare behandlar uppgiften, t.ex. genom utlämnande, och därigenom blir personuppgiftsansvarig för just den behandlingen, innebär alltså inte att den domstolen eller nämnden även blir arkivan- svarig. En sådan ordning överensstämmer med myndigheters skyldighet enligt sekretesslagen att registrera allmänna handlingar som utgörs av upptagningar för automatisk databehandling. Av 15 kap. 1 och 13 §§ sekretesslagen framgår att allmänna handlingar som kommer in eller upprättas hos en myndighet skall registreras utan dröjsmål. Om en upp- tagning för automatisk databehandling förs in i ett dataregister som är tillgängligt för flera myndigheter, är dock endast den myndighet som gör införingen skyldig att registrera den. Den myndighet som enligt sekretesslagen är skyldig att registrera en upptagning för automatisk databehandling, är således även ansvarig för att arkivlagens bestämmelser uppfylls. I princip innebär detta även att den domstol eller nämnd som är ansvarig för att uppgifter är korrekta i datorsystemen, dvs. skyldig att vidta rättelse enligt personuppgiftsla- gen, också har ansvaret för att upptagningen tas om hand enligt arkiv- lagen. I praktiken torde detta innebära att en domstol eller nämnd har arkivansvaret för uppgifter och handlingar som behandlas i de egna målen och ärendena. 6.1.5Behandling i löpande text Vårt förslag: Vid behandling som inte sker i en särskilt reglerad da- tabas skall känsliga personuppgifter få användas endast om uppgif- terna har lämnats automatiserat i ett mål eller ärende eller om upp- gifterna behövs för handläggningen, fullgörande av underrättelse- skyldighet eller återsökning av vägledande avgöranden. Uppgifter som utanför databasen behandlas automatiserat i ett mål eller ärende skall rensas eller gallras senast efter det att målet eller ärendet har avslutats, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om att uppgifter skall gallras eller bevaras. Enligt 13 § personuppgiftslagen gäller ett principiellt förbud mot be- handling av känsliga personuppgifter. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Från förbudet att behandla sådana uppgifter görs sedan undantag för vissa situationer – t.ex. då den enskilde har samtyckt till behandlingen – som normalt inte är till- lämpliga i domstolarnas och nämndernas verksamheter. I framför allt domstolarna, men i vissa fall även nämnderna, finns det anledning att behandla känsliga personuppgifter. I domar och be- slut, som vanligtvis upprättas med hjälp av ordbehandling, är sådana uppgifter ofta förekommande. De måste rimligen kunna behandlas au- tomatiserat även då behandling inte sker i den för databaser särskilt reglerade ordningen (se avsnitt 6.2.1 om gränsdragningen mellan be- handling i databaser och annan automatiserad behandling). Det vore också orimligt att begära att t.ex. tjänsteanteckningar efter telefonsam- tal inte skulle få nedtecknas med hjälp av ordbehandling. gäller enligt 8 § personuppgiftsförordningen att känsliga personuppgifter får behandlas av en myndighet i löpande text om upp- gifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Härigenom kan känsliga uppgifter i många fall behandlas ge- nom t.ex. ordbehandling. Vi anser dock att det behövs särskilda regler för domstolarna och nämnderna. Det är omöjligt att i detalj reglera vilka uppgifter som får antecknas och i vilka fall detta får ske, eftersom det inte går att förutse de olika situationer som kan uppstå vid hanteringen av mål och ärenden. Vi anser dock att det av integritetsskäl är nödvändigt att i största möjliga mån begränsa användningen av känsliga personuppgifter. Det bör där- för vara tillåtet att behandla sådana uppgifter endast i två uttryckliga fall. Känsliga uppgifter bör för det första få behandlas om det behövs för handläggningen av ett mål eller ärende. Vi anser således att det inte bör krävas att behandlingen är nödvändig, vilket föreskrivs i person- uppgiftsförordningen. Om en känslig uppgift behövs i t.ex. ett doms- koncept eller i en föredragningspromemoria, eller på annat sätt behöver behandlas, måste självfallet den ansvarige domaren eller handläggaren själv avgöra. Han eller hon bör dock inte vara tvungen att avgöra om en uppgift är nödvändig. Känsliga uppgifter bör även få behandlas automatiserat om de har lämnats elektroniskt i ett mål eller ärende, t.ex. via e-post. Detta för att elektroniskt ingiven information skall få bevaras i den ingivna formen, även om informationen inte kan anses behövas i den fortsatta hand- läggningen av målet eller ärendet. Om uppgifter däremot har lämnats på papper bör de inte få behandlas automatiserat om det inte behövs för handläggningen. För behandling i databaser föreslår vi emellertid an- norlunda regler. Den föreslagna regleringen innebär att det inte uttryckligen anges hur känsliga uppgifter som lämnas muntligen eller på papper får be- handlas i den fortsatta handläggningen av ett mål eller ärende när de inte längre behövs. Det torde inte heller vara nödvändigt, eftersom det knappast finns anledning att behandla sådana uppgifter i re- gister eller automatiserat, annat än om t.ex. ordbehandling används för att nedteckna uppgifterna vid ett telefonssamtal. teckning behövs vanligen för handläggningen, men känsliga uppgifter bör därefter inte behandlas vidare utan anledning. Den behandling som består i att en sådan tjänsteanteckning eller skriftliga inlagor tillförs en akt i pappersform omfattas enligt vår bedömning inte av lagstiftningen, eftersom domstolarnas och nämndernas akter i sig inte torde anses ut- göra register. Något hinder för sådan ordinär hantering av uppgifterna föreligger alltså inte. Det bör återigen markeras att om uppgifterna behöver återges i t.ex. ett beslut eller en dom, så får de självfallet behandlas automatiserat med hjälp av ordbehandling. För behandling i databaser, t.ex. om skriftliga inlagor skannas och tillfogas en gemensamt tillgänglig elektronisk akt, föreslår vi att särskilda bestämmelser skall gälla, vilket vi återkommer till i avsnitt 6.2.2 och 6.2.3. Hur länge personuppgifter får bevaras regleras allmänt i personupp- giftslagen och anges bland de grundläggande kraven på behandling av personuppgifter i 9 §. I första stycket i) stadgas att den person- uppgiftsansvarige skall se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Av 8 § personuppgiftslagen kan dock utläsas att uppgif- ter skall bevaras oavsett vad som sägs i 9 §, om det följer av bestäm- melser om bevarande och arkivering av allmänna handlingar i annan lagstiftning. I fråga om personuppgifter som behandlas i en myndighets verksamhet tillämpas i första hand bestämmelserna i arkivlagen (1990:782). I de författningar om behandling av personuppgifter som gäller statlig verksamhet finns regelmässigt särskilda gallringsbestäm- melser för uppgifter som behandlas automatiserat. För sådan behandling av personuppgifter vid domstolar och nämn- der som enligt våra förslag skall regleras särskilt genom bestämmelser för behandling i databaser, är det av bl.a. integritetsskäl nödvändigt att reglera gallringsfrågor. Vi har dock haft att ta ställning till frågan om det utöver den allmänna regleringen i arkivlagen och personuppgiftsla- gen även behövs särskilda bestämmelser om bevarande och gallring för sådan automatiserad behandling som inte utförs i databaser (se avsnitt 6.2.1 om gränsdragningen mellan behandling i databaser och annan automatiserad behandling). För personuppgifter som behandlas manu- ellt och som omfattas av den föreslagna lagstiftningen anser vi att de allmänna bestämmelserna i arkivlagen är tillräckliga för att säkerställa ett gott integritetsskydd. För uppgifter som behandlas automatiserat, t.ex. vid upprättande av dokument med hjälp av ordbehandling eller vid sändande och mottagande av e-post, kan dock svårare integritetsfrågor förväntas uppkomma. Med modern datorteknik kan stora mängder uppgifter lagras elek- troniskt även på annat sätt än i reglerade personregister eller databaser. En stor del av det skriftliga material som produceras av domstolar och nämnder utarbetas numera i datorer med hjälp av ordbehandlingspro- gram. Även i de fall då slutprodukten skrivs ut på papper och tillfogas akten i ett mål eller ärende, sparas informationen vanligtvis genom att lagras elektroniskt i en hårddisk eller server. På detta sätt kan det på ganska växa fram omfattande informationsmängder hos en myndighet, information som dessutom ofta är lätt tillgänglig genom olika typer av sökprogram. Med den legaldefinition av databas- begreppet som vi föreslår (se avsnitt 6.2.1) kommer dessa informa- tionsmängder i vissa fall inte att omfattas av de bestämmelser som gäll- er för databaser. Vi bedömer att det i allmänhet saknas starka skäl för att en domstol eller nämnd på elektronisk väg skall tillåtas bevara sådan information utan att några åtgärder vidtas. Vi föreslår därför att uppgifter som är föremål för automatiserad behandling i ett mål eller ärende – utan att behandlingen görs i en databas – skall gallras senast efter att ärendet har avslutats. Om uppgifterna inte utgör allmän- na handlingar skall de i stället definitionsmässigt rensas. Om uppgifter skall gallras eller rensas följer m.a.o. av bestämmelserna om allmänna handlingar i 2 kap. tryckfrihetsförordningen. Bestämmelsen om gallring innebär att information inte får lagras utan att på ett konkret sätt användas i verk- samheten. Det skall med andra ord inte vara tillåtet att i elektronisk form lagra personuppgifter som kan vara "bra att ha" . Om uppgifterna registreras i en databas får de däremot beva- ras enligt de särskilda bestämmelserna för databaser. Om uppgifterna gallras genom att avidentifieras på ett sådant sätt att de kan anses vara hänförliga till ett visst mål eller ärende – dvs. att varken målnummer, namn, adresser eller liknande information om fysiska eller juridiska personer framgår – kan de också bevaras . Härigenom ges möjlighet för domare och handläggare att använda sig av egna avidentifierade mallsamlingar. Att uppgifterna skall gallras innebär att de t.ex. kan föras över på papper, varefter den elektroniska informationen raderas. De uppgifter som finns kvar endast på papper omfattas inte av den ettåriga gallrings- tid som vi föreslår skall gälla för automatiserad behandling av uppgif- ter. Det kan finnas anledning att för vissa uppgifter tillämpa en annan tidpunkt för gallring. Det bör enligt vår uppfattning åligga regeringen eller att meddela föreskrifter om undantag från den annars gällande ettårsregeln. 6.2Behandling av uppgifter i databaser Vårt förslag: I de rättsskipande och rättsvårdande verksamheterna skall det få finnas samlingar med uppgifter och handlingar som med hjälp av automatiserad behandling används gemensamt i verksamhe- terna (databaser). Det skall få finnas en gemensam databas för de allmänna domsto- larna, en för de allmänna förvaltningsdomstolarna samt en för hyres- och arrendenämnderna. Databaser för automatiserad behandling används i stor omfattning datorer i arbetet vid domstolar och nämnder. Det gäller allt från enkel ordbehandling till utnyttjandet av mer avancerade mål- och ärendehanteringssystem, som i en del avseen- den kan innebära en papperslös hantering. Flera andra statliga myndig- heter – t.ex. inom skatteförvaltningen – har tillgång till datorbaserade personregister som används både som informationsdatabaser vid hand- läggning av ärenden och som lagringsenheter för elektroniskt upprätta- de eller inkomna handlingar. En utveckling mot sådana mer avancerade datorsystem pågår även inom domstolsväsendet. En väsentlig skillnad mellan databehandling i personregister och vanlig ordbehandling, är att registren utnyttjas gemensamt i verksamheten inom en myndighet eller myndighetsorganisation. Medan ordbehandling kan sägas vara ett hjälpmedel för handläggare och andra i själva upprättandet av hand- lingar – närmast en avancerad skrivmaskinsfunktion – utgör personre- gistren ett allmänt hjälpmedel vid handläggningen av ärenden m.m. genom att de underlättar framtagandet av underlag för olika beslut. Enligt vår mening måste det för domstolarna och nämnderna finnas särskilda regelverk för sådan automatiserad behandling av personupp- gifter som inte utgörs av vanlig ordbehandling och som inte är av helt tillfällig natur. De stora gemensamma uppgiftssamlingar hos statliga myndigheter som dagens personregister och ärendehanteringssystem utgör innebär, på grund av de tekniska möjligheterna att söka i materia- let och göra sammanställningar om registrerade personer, en påtaglig risk för otillbörliga intrång i enskildas personliga integritet. Den risken blir än större ju mer avancerade system som utvecklas. Från integritets- synpunkt finns det därför enligt vår mening starka skäl för att skapa tydliga regler om vad som är tillåtet i fråga om sådan behandling. I och med genomförandet av dataskyddsdirektivet i svensk lagstift- ning har den rättsliga begreppsapparaten vid datoranvändning ändrats. I personuppgiftslagen talas det inte längre om förande av personregister som i datalagen, utan om behandling av personuppgifter. För att sär- skilja den rättsliga regleringen av sådan automatiserad behandling som görs i uppgiftssamlingar för gemensamt bruk, dvs. personregister samt mål- och ärendehanteringssystem, från den automatiserade be- handlingen av uppgifter i allmänhet, t.ex. ordbehandling och vanlig e- posthantering, har vi valt att införa det rättsliga begreppet databas i lagstiftningen (se avsnitt 5.7). Avgörande för vilka gallringsfrister som gäller och i vilken omfattning känsliga personuppgifter får behandlas m.m., bör bl.a. vara om uppgifter behandlas i en databas eller inte. I teorin skulle en databas för en viss verksamhet kunna delas in i två underdatabaser. Databaser, som vi ser dem, kan nämligen sägas bestå av dels en eller flera samlingar av enskilda kortfattade uppgifter som används för att få fram underlag till beslut i verksamheten (informa- tionsdatabaser), dels handlingar som kommer in eller upprättas i ett mål eller ärende och som bearbetas och lagras i ett mål- och ärendehanter- ingssystem (ärendedatabaser). Traditionellt har personregister i prakti- ken utgjorts av egentliga informationsdatabaser, men i och med fram- växten av avancerade mål- och ärendehanteringssystem har även ären- dedatabaser inordnats i lagstiftning om personregister i statlig verksamhet. Vi har emellertid inte funnit anledning att i den av oss föreslagna lagstiftningen göra någon begreppsmässig åtskillnad mellan olika funktioner i en databas. Däremot finns det enligt vår me- ning skäl för att i vissa delar ha olika regler för de olika funktioner som består av å ena sida hanteringen av enskilda s.k. fältuppgifter, t.ex. namn och adress m.m., och å andra sidan hanteringen av elektronisk handlingar. Det gäller frågor om vilka uppgifter respektive elektroniska handlingar som får registreras samt i vilken omfattning direktåtkomst skall tillåtas, och olika sökbegrepp få användas, till uppgifterna och handlingarna. Vi återkommer till detta längre fram. Sammanfattningsvis måste det enligt vår mening finnas särskilda regler för sådan automatiserad behandling av personuppgifter som inte utgörs av vanlig ordbehandling och som inte är av helt tillfällig natur. Av integritetsskäl bör det skapas tydliga regler om vad som är tillåtet vid sådan behandling. Gemensam användning av uppgifter För att begreppet databas skall vara praktiskt användbart på vissa sär- reglerade uppgiftssamlingar hos domstolar och nämnder, krävs att det är möjligt att avgöra var gränslinjen går mellan behandling i en databas och annan behandling, t.ex. vanlig ordbehandling. En grundläggande förutsättning för att en elektroniskt lagrad uppgift skall anses ingå i en databas, är enligt vår mening att uppgiften används gemensamt i en viss verksamhet för de ändamål som styr behandlingen av uppgifter inom verksamheten.