sou · GPB332 · 2002-01-01 00:00:00 — Det är mer tveksamt om bestämmelsen är tillämplig i fråga om intern myndighetsadministration, som t.ex. personalfrågor. En rimlig gränsdragning skulle enligt vår bedömning kunna vara om en uppgift används i den faktiska verksamheten (t.ex. tjänstgörings- och arbetsför- delningslistor) eller om uppgiften är av direkt betydelse endast för för- hållandet mellan den anställde och arbetsgivaren (t.ex. en uppgift om lön). I det förra fallet torde 10 § e vara tillämplig, men inte i det . I 10 § f personuppgiftslagen anges att personuppgifter får behandlas om det är nödvändigt för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige (eller hos en tredje man till vilken uppgifter lämnas ut) skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Bestämmelsen utgör närmast en generalklausul och innebär att viss befogad behandling kan utföras trots att inte något av kraven i övriga punkter är uppfyllt. Bestämmelsen kan alltså tilläm- pas vad gäller flera administrativa register om myndighetens behov av viss behandling väger tyngre än de registrerades intresse av att behand- lingen inte utförs. Vid en sådan avvägning måste enligt vår uppfattning uppgifternas karaktär ha en avgörande betydelse. Det torde inte före- 96 Övergripande om nödvändiga förändringar ligga hinder mot att tillämpa bestämmelsen om de behandlade uppgif- terna i sig kan anses harmlösa men är viktiga för den personupp- giftsansvarige. En bedömning som gjorts i förarbetena är dock att den registrerades intresse som regel måste anses väga tyngre om han eller hon har motsatt sig behandlingen. Uppgifter av känslig karaktär För vissa uppgifter av känslig karaktär är det inte tillräckligt att de krav som uppställs i 10 § personuppgiftslagen är uppfyllda för att automati- serad behandling skall vara tillåten. Ytterligare krav ställs när det gäller känsliga personuppgifter enligt 13 §, uppgifter om lagöverträdelser m.m. enligt 21 § samt person- eller samordningsnummer enligt 22 §. Känsliga personuppgifter enligt 13 § är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse eller medlemskap i fackförening samt personuppgifter som rör hälsa eller sexualliv. De flesta av dessa uppgifter är inte aktuella när det gäller administrativa register, men för en domstol kan det finnas anledning att i undantagsfall registrera uppgifter om politiska åsikter, medlemskap i fackförening eller personers hälsotillstånd (se nedan i avsnittet om våra slutsatser). Känsliga personuppgifter får inte be- handlas utan särskilt författningsstöd, utom i de undantagsfall som an- ges i personuppgiftslagen. Av dessa undantag är det endast två som är av intresse här. Av 15 § framgår bl.a. att känsliga personuppgifter får behandlas om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen. Enligt 16 § a framgår vidare att uppgifter får behandlas även utan samtycke om det är nödvändigt för att den personupp- giftsansvarige skall kunna fullgöra sina skyldigheter inom arbetsrätten. Uppgifter om lagöverträdelser m.m. får enligt 21 § personupp- giftslagen behandlas endast av myndigheter om det inte finns särskilt föreskrivna undantag. Denna bestämmelse utgör enligt vår bedömning inte något egentligt problem, eftersom förbudet endast gäller andra än myndigheter. Dessutom torde det sannolikt saknas anledning att regist- rera sådana uppgifter i administrativa register. Person- och samordningsnummer får enligt 22 § behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålen med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Innebörden av bestämmelsen är att personnummer inte skall registreras slentrianmässigt om ett register kan fylla sin funk- tion ändå. Övergripande om nödvändiga förändringar 97 Enligt vår bedömning är det möjligt för domstolarna och nämnderna att med stöd av de ovan redovisade bestämmelserna i personuppgiftslagen fortsätta föra samtliga de personregister över anställda som redovisas i avsnitt 3.3.1. I vissa register förekommer att det antecknas känsliga personupp- gifter som rör anställdas hälsa, t.ex. i sjukfrånvaroregister. Detta torde inte utgöra några problem så länge uppgifterna är relevanta för att domstolen eller nämnden skall kunna fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten, t.ex. för utbetalning av sjuklön eller begä- ran om läkarintyg. I fråga om ett av registren över anställda, och då endast i fråga om en viss uppgift, anser vi att viss försiktighet bör iakttas. Det gäller re- gister i vilka uppgifter om notarier registreras. I sådana register bör en- ligt vår uppfattning inte antecknas information som innefattar omdö- men om en notarie, dvs. betyg e.d., om notarien har motsatt sig att så- dana uppgifter registreras på automatiserad väg. Motsvarande gäller gi- vetvis även andra anställda än notarier, om sådana uppgifter registreras. Även om uppgifter avseende omdömen inte är känsliga i personupp- giftslagens mening, är de till sin karaktär sådana att de inte bör registre- ras mot den enskildes vilja. Det torde inte heller vara möjligt att regist- rera sådana uppgifter med stöd av någon annan bestämmelse än 10 § f personuppgiftslagen. Sammantaget är någon kompletterande författningsreglering enligt vår uppfattning inte nödvändig för register över anställda. Även i fråga om register över personer som inte är anställda vid domstolarna eller nämnderna (se avsnitt 3.3.2) gör vi den bedömningen att de i samtliga fall kan fortsätta föras efter utan kompletterande författningsreglering. För ett av registren måste dock vissa särskilda krav ställas. Det gäller register över nämndemän m.fl. Domstolarna behöver registrera uppgifter om vilket parti som nominerat nämndemännen, för att på så sätt kunna fördela uppdrag på ett lämpligt sätt. Uppgifter om nominerande parti är en känslig person- uppgift enligt 13 § personuppgiftslagen, och får därför inte registreras utan författningsstöd eller samtycke av den registrerade. Enligt vår uppfattning utgör inte detta problem tillräckliga skäl för en författ- ningsreglering, utan de domstolar som anser att de behöver registrera uppgifterna får i stället begära samtycke från nämndemännen. I fråga om övriga administrativa personregister, som redovisas i av- snitt 3.3.3, är det enligt vår uppfattning endast register som innehåller information över utgående och inkommande e-post som kan innebära problem. Över huvud taget utgör hanteringen av e-post ett problem för 98 Övergripande om nödvändiga förändringar samtliga myndigheter, inte bara i förhållande till personuppgiftslagen utan även i fråga om hur bestämmelser i tryckfrihetsförordningen skall tillämpas. Vi nöjer oss i detta sammanhang med att konstatera att det inte torde utgöra några problem med avseende på personuppgiftslagen att registrera loggningsuppgifter över mottagare och avsändare av e- post. Större försiktighet bör möjligen tillämpas vid elektronisk lagring av e-post , i vart fall i fråga om brev från utomstående som innehåller känsliga personuppgifter. Ett sätt att komma ifrån eventuella problem kan naturligtvis vara att gallra e-posten genom att skriva ut den på papper och bevara uppgifterna i den formen. Vägled- ning i den frågan kan hämtas i föreskrifter och allmänna råd om gallring av handlingar av tillfällig eller ringa betydelse (RA-FS 1997:6). När det slutligen gäller uppgifter som behandlas i löpande text i den administrativa verksamheten, anser vi att samma argument är tillämpli- ga som för administrativa personregister. Till exempel ser vi inte något behov av att i denna form behandla känsliga personuppgifter i vidare utsträckning än vad som är praktiskt möjligt genom inhämtande av samtycke från de registrerade. Någon reglering av automatiserad be- handling av personuppgifter i olika former av dokument eller annan lö- pande text, utöver vad som gäller enligt personuppgiftslagen, behövs således enligt vår uppfattning inte. Sammanfattningsvis kan vi inte se att det finns några starka skäl för att särskilt författningsreglera den behandling av personuppgifter som förekommer i domstolarnas och nämndernas interna administrativa verksamhet. Det är dock åtskilligt som de personuppgiftsansvariga bör ha i åtanke i fråga om tillämpningen av personuppgiftslagen. De mer allmänna frågorna om hur register enligt vår uppfattning skall eller bör hanteras enligt den lagen redovisar vi i kapitel 6. Närmare om skälen för författningsförslagen 99 5Närmare om skälen för författningsförslagen De två förordningar som reglerar automatiserade personregister vid domstolarna är dels förordningen (1986:104) om registerföring vid allmänna domstolar med hjälp av automatisk databehandling, dels för- ordningen (1994:90) om registerföring vid länsrätt med hjälp av auto- matisk databehandling. Båda dessa förordningar bygger på att grund- läggande bestämmelser om automatiserade register fanns i datalagen (1973:289). Eftersom den lagen helt upphör att gälla , måste registerförordningarna anpassas till personuppgiftslagen (1998:204) och dataskyddsdirektivet. Därutöver måste vissa register som saknar författningsstöd regleras. Som vi redovisar i kapitel 4 är vår utgångspunkt att de person- register som domstolarna och nämnderna för skall kunna använ- das även fortsättningsvis, i avvaktan på en ny och heltäckande reglering av behandling av personuppgifter. I detta delbetänkande presenterar vi därför endast förslag som innebär dels att nuvarande bestämmelser an- passas till dataskyddsdirektivet och personuppgiftslagen, dels att de områden som saknar särskilt författningsstöd regleras. Vi beaktar även det nya datorstöd som utvecklas under ledning av . Av tidsskäl är det nödvändigt att i detta skede göra så små ingrepp i gällande författningsreglering som möjligt. Större för- ändringar kommer att kräva särskilda överväganden. Vi återkommer till det i slutbetänkandet. Vårt förslag: Bestämmelser om hantering av automatiserade regis- ter och annan automatiserad behandling av personuppgifter skall regleras i fyra nya förordningar; en för de allmänna domstolarna, en för länsrätterna, en för Regeringsrätten och kammarrätterna samt en för hyres- och arrendenämnderna. 100 Närmare om skälen för författningsförslagen Vi anser att det är lämpligt att ha de två förordningar som gäller som utgångspunkt för den nya, och tillfälliga, regleringen. De komp- letteringar och förändringar som måste göras för att förordningarna skall uppfylla de krav som kommer att ställas fr.o.m. , är emellertid så omfattande att vi föreslår nya förordningar i stället för ändringar i de nu gällande. Däremot finns det ingen anled- ning att nu ändra tillämpningsområdet för förordningarna i fråga om vilka domstolar de omfattar. Det innebär att det enligt våra förslag även fortsättningsvis – i avvaktan på en mer fullständig reglering – kommer att finnas en förordning som reglerar de allmänna domstolarna och en som reglerar länsrätterna. Kvar att reglera är då personregister och annan automatiserad be- handling av personuppgifter vid dels Regeringsrätten och kammarrät- terna, dels hyres- och arrendenämnderna. Eftersom Regeringsrätten och kammarrätterna använder sig av ett särskilt och i flera avseenden speci- ellt målregister, Find-It, anser vi det lämpligt att dessa domstolars han- tering av personuppgifter regleras i en särskild förordning. Även hyres- och arrendenämndernas behandling kommer enligt våra förslag därför att regleras i en egen förordning. Sammantaget föreslår vi alltså fyra nya förordningar. De två gällande förordningarna är inbördes likartat uppbyggda och skillnader finns egentligen endast när det är motiverat med hänsyn till verksamheterna. Det finns enligt vår mening fördelar med en sådan ordning. Samtliga fyra nya förordningar är därför enligt våra förslag inbördes disponerade på samma sätt och skiljer sig åt endast när det finns faktiska skäl för det. Efter inledande bestämmelser om förord- ningarnas tillämpningsområde följer bestämmelser om vad vi har valt att kalla verksamhetsregister, dvs. MÅHS och Find-It samt diverse and- ra målregister. Därefter regleras frågor om register som utnyttjas för bl.a. återsökning av vägledande avgöranden, vilka vi har valt att kalla rättsfallsregister. Ett helt nytt område, som inte regleras alls, är annan automatiserad behandling av personuppgifter än den som sker i egentliga personregister. Till sådan behandling hör främst hanteringen av filer för ordbehandlings- och kalkylprogram, exempelvis Word och Excel. Samtliga förordningar avslutas med bestämmelser om rättelse, skadestånd och överklagande. I följande avsnitt redogör vi för de olika förordningarna i ett sam- manhang och anmärker särskilt i de fall det finns sakliga skillnader mellan förslagen. Närmare om skälen för författningsförslagen 101 5.2Förordningarnas tillämpningsområde och förhållande till personuppgiftslagen Vårt förslag: Förordningarna skall gälla utöver personuppgiftslagen vid automatiserad behandling av personuppgifter i domstolarnas och nämndernas rättsskipande eller rättsvårdande verksamhet. Av 2 § personuppgiftslagen framgår att om det finns avvikande be- stämmelser i annan lag eller förordning skall de bestämmelserna gälla. Det är alltså möjligt att frångå eller närmare precisera bestämmelserna i personuppgiftslagen, under förutsättning att avvikelserna inte strider mot dataskyddsdirektivet. I de av oss föreslagna förordningarna finns särskilda bestämmelser om bl.a. ändamål, registerinnehåll och gallring av uppgifter. För frågor som däremot inte särskilt regleras i förordning- arna gäller i stället personuppgiftslagens bestämmelser, t.ex. i fråga om information till registrerade och anmälan till Datainspektionen. Även om det inte behöver regleras särskilt anser vi att det ändå är lämpligt att det av förordningarna uttryckligen framgår att de gäller utöver person- uppgiftslagen. I vissa fall, t.ex. i fråga om rättelse, krävs emellertid sär- skilda bestämmelser i förordningarna som hänvisar till personupp- giftslagen för att bestämmelserna i den lagen skall bli tillämpliga (se avsnitt 5.7). Personuppgiftslagen är enligt 5 § tillämplig på såväl helt eller delvis automatiserad behandling som på viss behandling av person- uppgifter. behandling omfattas bara om de behandlade upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling per- sonuppgifter som är tillgängliga för sökning eller sammanställning en- ligt särskilda kriterier. För sådana register gäller särskilda övergångsbestämmelser, om registret fanns eller påbörjades före per- sonuppgiftslagens ikraftträdande, vilket innebär att flera viktiga be- stämmelser i personuppgiftslagen i princip inte blir tillämpliga . Det finns anledning att närmare se över frågan om även sådana register skall regleras utöver vad som gäller enligt person- uppgiftslagens bestämmelser. Vi väljer dock av tidsskäl att inte nu 102 Närmare om skälen för författningsförslagen lämna några förslag i den delen, utan de av oss föreslagna förordning- arnas tillämpningsområde inskränker sig till den automatiserade be- handlingen av personuppgifter. Begreppet automatiserad behandling omfattar främst datoriserad behandling av uppgifter, oavsett om det sker i vad som enligt datalagen benämns personregister eller i löpande text eller på annat sätt. Enligt vår uppfattning är registerbegreppet, om än inarbetat, inte lämpligt som beskrivning på mer komplexa datorsystem för mål- och ärendehante- ring. Vi har också för avsikt att i vårt vidare arbete titta närmare på regleringens begreppsapparat. Tills vidare anser vi dock att det är lämpligt att i förordningarna om automatiserad behandling i den rätts- skipande och rättsvårdande verksamheten göra skillnad på uppgifter som behandlas i register och uppgifter som behandlas i löpande text. Det är inte självklart var gränsen skall går mellan behandling av personuppgifter i register och behandling i löpande text. Vår avsikt är att med register skall avses främst de verksamhetsstödjande datorsys- tem som används av domstolarna och nämnderna (verksamhets- register). Till kategorin register som omfattas av förordningarna hör även större sammanställningar för återsökning av vägledande avgöran- den m.m. (rättsfallsregister). Däremot utgör t.ex. domar och andra van- liga dokument framställda med hjälp av ordbehandling inte register i den betydelse som vi tillskriver begreppet, även om de innehåller per- sonuppgifter. Det gäller också promemorior som upprättas som ett led i handläggningen av ett mål eller ärende, även om de innehåller sam- manställningar av rättsfall m.m. Det avgörande för om en viss behandling i den rättsskipande eller rättsvårdande verksamheten skall omfattas av förordningarnas bestäm- melser om verksamhetsregister och rättsfallsregister eller av bestäm- melserna om behandling i löpande text, kan enligt vår uppfattning dock inte vara vilken programvara som används. Ett register som utnyttjas som stöd i handläggningen skulle kunna upprättas med hjälp av ett vanligt ordbehandlings- eller kalkylprogram, t.ex. ett register över per- soner som är föremål för förenklad delgivning. Det avgörande för vilka bestämmelser som skall tillämpas bör enligt vår mening i stället vara för vilket ändamål behandlingen utförs. Om ändamålet är att det upp- rättade dokumentet skall användas allmänt i verksamheten för sökning efter uppgifter vid handläggningen av mål och ärenden, bör det omfat- tas av bestämmelserna om verksamhetsregister eller rättsfallsregister. Att ange en exakt definition på vad som är register är emellertid enligt vår uppfattning inte möjligt. Gränsdragningen mellan register och lö- pande text, i förordningarnas mening, har främst betydelse i fråga om vilka uppgifter som får registreras och vilka sökbegrepp som får an- vändas. Närmare om skälen för författningsförslagen 103 5.2.3Den rättsskipande och rättsvårdande verksamheten I kapitel 4 redovisar vi våra överväganden om gränsdragningen mellan å ena sidan behandling av personuppgifter i den egentliga verksam- heten, dvs. handläggningen av t.ex. mål och domstolsärenden, och å andra sidan behandling av personuppgifter i den administrativa verk- samheten, t.ex. personalärenden. Vi gör den bedömningen att någon särskild reglering inte är nödvändig för den administrativa hanteringen och att det således endast är i den egentliga verksamheten som det be- hövs och bör finnas särskild reglering. För att markera detta anges att förordningarna gäller behandling av personuppgifter i domstolarnas och nämndernas rättsskipande eller rättsvårdande verksamhet. 5.2.4Registrerades rätt att motsätta sig behandling Av dataskyddsdirektivets artikel 7 e och 14 a framgår att medlemssta- terna i vissa fall, bl.a. när personuppgifter behandlas som ett led i myn- dighetsutövning, skall tillförsäkra den registrerade rätt att i vissa fall motsätta sig behandling av uppgifter som rör honom eller henne. Det finns dock möjligheter att i nationell lagstiftning göra undantag från denna rättighet för enskilda. I 12 § personuppgiftslagen anges också att en enskild normalt inte har rätt att motsätta sig behandling som är till- låten enligt den lagen. Bestämmelsens utformning är sådan att den inte täcker in behandling som sker enligt andra författningar. Det är av lag- tekniska skäl även svårt att i en särreglering hänvisa till bestämmelsen i personuppgiftslagen. För att inte enskilda i vissa fall skall kunna mot- sätta sig sådan behandling som domstolarna utför korrekt med stöd av förordningarna, föreslår vi därför att det i förordningarna uttryckligen anges att denna möjlighet inte finns. Vårt förslag: En domstol eller nämnd skall vara personupp- giftsansvarig för den behandling som domstolen eller nämnden ut- för. skall vara ansvarig för behandling som verket utför. 104 Närmare om skälen för författningsförslagen Enligt 3 § personuppgiftslagen är den personuppgiftsansvarig som en- sam eller tillsammans med andra bestämmer ändamålet med och med- len för behandlingen av personuppgifter. Med tillämpning av denna de- finition kan det uppstå problem vid bedömningen av vem som är att an- se som personuppgiftsansvarig i ett visst fall. Det är t.ex. inte självklart om en domstol och skall anses vara gemensamt person- uppgiftsansvariga när domstolen registrerar uppgifter med hjälp av ett datorsystem som verket ansvarar för. Sådana avgränsningsfrågor kan göra det svårt för enskilda att få rätt gentemot den personupp- giftsansvarige i fråga om exempelvis rättelse av felaktigt hanterade uppgifter i ett register. För att undvika denna typ av problem anser vi att det av förordning- arna mer konkret bör framgå vem som är personuppgiftsansvarig. En lösning skulle kunna vara att ange att den domstol eller nämnd som hanterar ett register är ansvarig för all behandling i registret. Med hän- syn till det samarbete som finns mellan och domstolar- na i fråga om datorsystem, inte minst under den närmaste framtiden då det under ledning av verket pågår arbete med framtagande av nya da- torsystem för domstolarna, är det dock sannolikt att det kan komma att uppstå situationer då det snarare är än den aktuella domstolen som har reell möjlighet att ansvara för hur uppgifter be- handlas. Som exempel kan nämnas att den personuppgiftsansvarige en- ligt 31 § personuppgiftslagen skall vidta lämpliga tekniska och organi- satoriska åtgärder för att skydda personuppgifter som behandlas. Detta ansvar kommer i normalfallet inte att kunna läggas på enskilda dom- stolar eller nämnder när de utnyttjar helhetslösningar för datorsystem som har utvecklats och tillhandahålls genom försorg. Det är således enligt vår mening inte lämpligt att göra domstolarna ensamt ansvariga för all behandling av personuppgifter i den rättsski- pande och rättsvårdande verksamheten. Det är å andra sidan av motsva- rande skäl inte heller lämpligt att göra ensamt person- uppgiftsansvarigt, eftersom det i de flesta situationer sannolikt är en- dast domstolarna som kan påverka behandlingen, t.ex. i fråga om vilka uppgifter som faktiskt registreras. Det återstår då två möjliga lösningar. En är att i förordningarna fö- reskriva att och den domstol eller nämnd som för ett visst personregister är gemensamt personuppgiftsansvariga för all be- handling. En annan lösning är att respektive domsto- larna och nämnderna var och en ansvarar för den behandling de utför. En fördel med en ordning som innebär ett rättsligt fastställt gemensamt ansvar är att en enskild registrerad aldrig behöver tveka över vem som är personuppgiftsansvarig för en viss behandling. Dessutom skulle tveksamma gränsdragningssituationer kunna undvikas vid en rättslig Närmare om skälen för författningsförslagen 105 Det finns emellertid även nackdelar med en sådan lösning. Vi anser att det är olämpligt att ge en myndighet ett rättsligt ansvar för frågor som den inte har möjlighet att påverka, vilket skulle bli fallet med ett gemensamt ansvar för samtliga behandlingar. Detta har bety- delse inte minst i fråga om det straffrättsliga ansvar som kan följa av personuppgiftslagens bestämmelser. En annan aspekt är domstolarnas självständiga ställning i förhållande till i fråga om hanteringen av den rättsskipande och rättsvårdande verksamheten. Enligt vår mening väger nackdelarna med ett strikt och för all be- handling gemensamt ansvar tyngre än fördelarna. Vi anser därför att en domstol eller en nämnd bör vara ansvarig för den behandling som dom- stolen eller nämnden utför och för den behandling som verket utför. Det bör nämnas att regeringen har föreslagit motsvarande lösning i prop. 2000/01:33 Behandling av personuppgifter inom skatt, tull och exekution. I det konkreta fallet skulle en sådan bestämmelse exempelvis inne- bära att en domstol är personuppgiftsansvarig för om en uppgift blir korrekt registrerad i datorsystemet (rätt namn eller adress osv.)