sou · GPB3100 · 2002-01-01 00:00:00 — Denna bestämmelse tillåter sanno- likt en stor del av den behandling av personuppgifter som utförs inom den offentliga sektorn, i vart fall när det gäller den egentliga verksam- heten. Det är mer tveksamt om bestämmelsen är tillämplig i fråga om intern myndighetsadministration, som t.ex. personalfrågor. Enligt vår mening är det rimligt att skilja på om en uppgift används i den faktiska verksamheten (t.ex. tjänstgörings- och arbetsfördelningslistor) eller om uppgiften är av direkt betydelse endast för förhållandet mellan den anställde och arbetsgivaren (t.ex. en uppgift om lön). I det förra fallet torde 10 § e vara tillämplig, men inte i det . I 10 § f personuppgiftslagen anges att personuppgifter får behandlas om det är nödvändigt för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige (eller hos en tredje man till vilken uppgifter lämnas ut) skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Bestämmelsen utgör närmast en generalklausul och innebär att viss befogad behandling kan utföras trots att inte något av kraven i övriga punkter är uppfyllt. Bestämmelsen kan alltså tilläm- pas vad gäller flera administrativa register, om myndighetens behov av viss behandling väger tyngre än de registrerades intresse av att behand- lingen inte utförs. Vid en sådan avvägning måste enligt vår uppfattning uppgifternas karaktär ha en avgörande betydelse. Det torde inte före- ligga hinder mot att tillämpa bestämmelsen, om de behandlade uppgif- terna i sig kan anses harmlösa som det är viktigt för den per- sonuppgiftsansvarige att uppgifterna behandlas. En bedömning som gjorts i förarbetena är dock att den registrerades intresse som regel måste anses väga tyngre om han eller hon har motsatt sig behandlingen. Uppgifter av känslig karaktär För vissa uppgifter av känslig karaktär är det inte tillräckligt att de krav som uppställs i 10 § personuppgiftslagen är uppfyllda för att automati- serad behandling skall vara tillåten. Ytterligare krav ställs när det gäller känsliga personuppgifter enligt 13 §, uppgifter om lagöverträdelser m.m. enligt 21 § samt person- eller samordningsnummer enligt 22 §. Känsliga personuppgifter enligt 13 § är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse eller medlemskap i fackförening samt personuppgifter som rör hälsa eller sexualliv. De flesta av dessa uppgifter är inte aktuella när det gäller administrativa register, men för en domstol kan det finnas anledning att i undantagsfall registrera uppgifter om politiska åsikter, medlemskap i fackförening eller personers hälsotillstånd (se nedan i avsnittet om våra slutsatser). Känsliga personuppgifter får inte behand- las utan särskilt författningsstöd, utom i de undantagsfall som anges i personuppgiftslagen. Av dessa undantag är det endast tre som är av intresse här. Av 15 § framgår att känsliga personuppgifter får behand- las dels om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen, dels om han eller hon på ett tydligt sätt har offentliggjort uppgifterna. Enligt 16 § a framgår vidare att uppgifter får behandlas även utan samtycke om det är nödvändigt för att den personuppgiftsan- svarige skall kunna fullgöra sina skyldigheter inom arbetsrätten. Uppgifter om lagöverträdelser m.m. får enligt 21 § personuppgifts- lagen behandlas endast av myndigheter om det inte finns särskilt före- skrivna undantag. Denna bestämmelse utgör enligt vår bedömning inte något egentligt problem, eftersom förbudet endast gäller andra än myn- digheter. Dessutom torde det sannolikt saknas anledning att registrera sådana uppgifter i administrativa register. Person- och samordningsnummer får enligt 22 § behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålen med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Innebörden av bestämmelsen är att personnummer inte skall registreras slentrianmässigt om ett register kan fylla sin funk- tion ändå. Enligt vår bedömning är det möjligt för domstolarna och nämnderna att med stöd av de ovan redovisade bestämmelserna i personuppgiftslagen fortsätta föra samtliga de personregister över anställda som redovisas i avsnitt 4.2.1. I vissa register förekommer att det antecknas känsliga person- uppgifter som rör anställdas hälsa, t.ex. i sjukfrånvaroregister. Detta torde inte utgöra några problem så länge uppgifterna är relevanta för att domstolen eller nämnden skall kunna fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten, t.ex. för utbetalning av sjuklön eller begä- ran om läkarintyg. I fråga om ett av registren över anställda, och då endast i fråga om en viss uppgift, anser vi att viss försiktighet bör iakttas. Det gäller re- gister i vilka uppgifter om notarier registreras. I sådana automatiserade register bör enligt vår uppfattning inte antecknas information som inne- fattar omdömen om en notarie, dvs. betyg e.d., om notarien har motsatt sig att sådana uppgifter registreras på automatiserad väg. Motsvarande gäller givetvis även andra anställda än notarier, om sådana uppgifter registreras. Även om uppgifter avseende omdömen inte är känsliga i personuppgiftslagens mening, är de till sin karaktär sådana att de inte bör registreras mot den enskildes vilja. Det torde inte heller vara möj- ligt att registrera sådana uppgifter med stöd av någon annan bestäm- melse än 10 § f personuppgiftslagen. Sammantaget är någon kompletterande författningsreglering enligt vår uppfattning inte nödvändig för register över anställda. Även i fråga om register över personer som inte är anställda vid domstolarna eller nämnderna (se avsnitt 4.2.2) gör vi den bedömningen att de i samtliga fall kan föras utan kompletterande författningsregler- ing. För några av registren kan dock vissa tveksamheter uppstå. Det gäller register över nämndemän m.fl. samt register över tolkar. Dom- stolarna behöver registrera uppgifter om vilket parti som nominerat nämndemännen, vilket är en känslig personuppgift enligt 13 § person- uppgiftslagen. Även uppgifter om tolkars språkkunskaper kan utgöra känsliga personuppgifter, om uppgifterna i kombination med namnet avslöjar tolkens etniska härkomst. När det gäller nämndemännen måste dessa enligt vår bedömning anses ha offentliggjort sin partitillhörighet eller vilja att företräda ett visst parti när de accepterat nomineringen, eftersom de utses genom val som förrättas av kommun- eller lands- tingsfullmäktige. Även tolkar som i tidningar eller på liknande sätt annonserat om sina tjänster med angivande av namn och språkkunska- per, måste enligt vår mening anses ha offentliggjort uppgifterna på det sätt som avses i personuppgiftslagen. Något särskilt stöd för att dom- stolarna och nämnderna skall få registrera sådana uppgifter torde därför inte krävas. Uppgifter som inte kan anses offentliggjorda får däremot registreras endast med särskilt författningsstöd eller efter samtycke av den registrerade. Enligt vår uppfattning utgör inte detta tillräckliga skäl för en författningsreglering, utan de domstolar och nämnder som anser att de behöver registrera sådana uppgifter får i tveksamma fall begära samtycke från de aktuella personerna. I fråga om övriga administrativa personregister, som redovisas i avsnitt 4.2.3, är det enligt vår uppfattning endast register som innehål- ler information över utgående och inkommande e-post som kan innebä- ra svårigheter. Över huvud taget utgör hanteringen av e-post ett pro- blem för myndigheter, inte bara i förhållande till personuppgiftslagen utan även i fråga om hur bestämmelser i tryckfrihetsförordningen, ar- kivlagen och 15 kap. sekretesslagen skall tillämpas. Vi nöjer oss i detta sammanhang med att konstatera att det inte torde utgöra några problem med avseende på personuppgiftslagen att registrera loggningsuppgifter över mottagare och avsändare av e-post. Större försiktighet bör möjli- gen tillämpas vid elektronisk lagring av e-post , i vart fall i fråga om brev från utomstående som innehåller känsliga person- uppgifter. Ett sätt att komma ifrån eventuella svårigheter kan naturligt- vis vara att gallra e-posten genom att skriva ut den på papper och beva- ra uppgifterna i den formen. Vägledning i den frågan kan hämtas i föreskrifter och allmänna råd om gallring av handlingar av tillfällig eller ringa betydelse (RA-FS 1997:6). När det slutligen gäller uppgifter som behandlas i löpande text i den administrativa verksamheten, anser vi att samma argument är tillämpli- ga som för behandling i administrativa personregister. Till exempel ser vi inte något behov av att i denna form behandla känsliga personupp- gifter i vidare utsträckning än vad som är praktiskt möjligt genom in- hämtande av samtycke från de registrerade. Någon reglering av auto- matiserad behandling av personuppgifter i olika former av dokument eller annan löpande text, utöver vad som gäller enligt personuppgiftsla- gen, behövs således enligt vår uppfattning inte. Sammanfattningsvis kan vi – i likhet med vad vi konstaterade i vårt delbetänkande – inte se att det finns några starka skäl för att särskilt författningsreglera den behandling av personuppgifter som förekommer i domstolarnas och nämndernas interna administrativa verksamhet. Det är dock åtskilligt som de personuppgiftsansvariga bör ha i åtanke i frå- ga om tillämpningen av personuppgiftslagen. Vissa allmänna frågor om hur register enligt vår uppfattning skall eller bör hanteras enligt den lagen redovisade vi i vårt delbetänkande (SOU 2001:32, s. 121 ff.). Datainspektionen har vidare i skriftserien Datainspektionen informerar gett ut , som behandlar allmänna frågor av intresse för den administrativa hanteringen av per- sonuppgifter i domstolar och nämnder. Enligt vår mening skulle det därutöver vara till nytta för domstolar och nämnder om Datainspektionen, efter samråd med , utfärdar särskilda vägledande råd eller anvisningar för hur domstolarna och nämnderna, med utgångspunkt i personuppgiftslagens bestämmel- ser, kan eller bör agera i vissa situationer. 5.5Lagar, förordningar eller myndighetsföreskrifter Vårt förslag: De grundläggande principerna för behandling av per- sonuppgifter i domstolarnas och nämndernas rättsskipande och rättsvårdande verksamhet skall regleras i lag. Kompletterande be- stämmelser skall meddelas av regeringen eller den myndighet som regeringen bestämmer. Vi konstaterar i avsnitt 5.4.1 att behandling av personuppgifter i dom- stolarnas och nämndernas rättsskipande eller rättsvårdande verksamhet av främst integritetsskäl, men också av effektivitetsskäl, måste författ- ningsregleras särskilt. En viktig fråga är i vilken form en sådan författningsreglering skall ske; genom lag, förordning eller myndighetsföreskrifter. I domstolarnas datorsystem behandlas mängder av uppgifter om enskilda personer. Uppgifterna är i många fall känsliga. De kan t.ex. röra brott, ekonomis- ka förhållanden, sociala tvångsåtgärder m.m., och det är därför viktigt att de behandlas på ett sådant sätt att vederbörlig hänsyn tas till parters och andra domstolsaktörers personliga integritet. Frågor om regleringen av personregister har behandlats av Konstitu- tionsutskottet, som bl.a. påpekat att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll skall regleras särskilt i lag (bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48). Regeringen har instämt i dessa uttalanden (se bl.a. prop. 1990/91:60 s. 58 och 1997/98:44 s. 41). Enligt vår bestämda uppfattning är domstolarnas och nämndernas automatiserade behandling av personuppgifter av sådan karaktär och omfattning att de grundläggande principerna för behand- lingen skall slås fast i lag. De bestämmelser som vi anser måste framgå av lag är främst sådana som anger för vilka ändamål personuppgifter får behandlas, vilka upp- giftskategorier som får behandlas, i vilken omfattning uppgifter skall få lämnas ut i elektronisk form, när uppgifter skall gallras samt vilka rät- tigheter enskilda har. I vissa fall bör sådana bestämmelser vara ovill- korliga, medan regeringen i andra fall bör kunna medge undantag. Re- geringen bör dessutom kunna meddela vissa kompletterande bestäm- melser. Härigenom undviks att detaljregler som kan komma att behöva ändras ofta, t.ex. som en följd av ändrade materiella eller processuella regler för verksamheten, måste prövas av . Avgörande för på vilken konstitutionell nivå föreskrifter bör meddelas, är enligt vår upp- fattning vilken betydelse bestämmelserna har från integritetssynpunkt. Om integritetsriskerna är små, kan det i vissa fall vara lämpligt att re- geringen delegerar rätten att meddela kompletterande föreskrifter till exempelvis eller . 5.6En eller flera författningar Vårt förslag: Behandlingen av personuppgifter skall regleras i tre lagar; en för de allmänna domstolarna, en för de allmänna förvalt- ningsdomstolarna samt en för hyres- och arrendenämnderna. Till varje lag skall en kompletterande förordning meddelas. Vi har tidigare pekat på att olika verksamheter ställer olika krav på författningsreglering av behandlingen av personuppgifter. Domstolarna och nämnderna uppvisar i och för sig stora likheter mellan sig i fråga om den rättsskipande och rättsvårdande verksamheten, men det finns även betydande skillnader. Vi har övervägt tre olika alternativ; anting- en en gemensam lag för domstolar och nämnder eller en lag för dom- stolarna och en för nämnderna eller en lag för de allmänna domstolar- na, en för de allmänna förvaltningsdomstolarna och en för nämnderna. Ett argument för en uppdelning som innebär en lag för de allmänna domstolarna, en för de allmänna förvaltningsdomstolarna och en för nämnderna, är möjligheten att såväl en lag som en förordning om be- handling av personuppgifter kan komma att behöva revideras till följd av förändringar i den materiella eller processuella lagstiftningen för domstolarnas och nämndernas rättsskipande och rättsvårdande verk- samhet. Den sistnämnda lagstiftningen är till stor del gemensam för domstolarna och nämnderna inom en domstols- eller nämndorganisa- tion, t.ex. för allmän domstol och förvaltningspro- cesslagen för allmän förvaltningsdomstol. Ett ytterligare argument för nämnda uppdelning är att exempelvis en tingsrätt ofta kan behöva utbyta information med en annan tingsrätt eller en hovrätt, men mer sällan med en allmän förvaltningsdomstol. Motsvarande gäller för de allmänna förvaltningsdomstolarna. Detta förhållande har bl.a. betydelse vid bedömningen av lämpligheten i att tillåta direktåtkomst inom eller mellan domstols- och nämndorganisa- tioner. En tydlig skillnad mellan de olika domstols- och nämndorganisatio- nerna finns också i fråga om bedömningen av när olika uppgifter gene- rellt skall gallras. Någon sådan skillnad föreligger inte inom en dom- stols- eller nämndorganisation. Samma allmänna regler om automatise- rad behandling gäller i det avseendet, och bör enligt vår bedömning fortsättningsvis gälla, för såväl tingsrätter som hovrätter och . Förhållandet är detsamma mellan de allmänna förvaltnings- domstolarna. Det är däremot, på grund av de olika verksamhetsområ- dena, inte möjligt att ha gemensamma bestämmelser för samtliga dom- stolar och nämnder. Även detta talar för ovan nämnda uppdelning på tre lagar. som det finns flera skäl mot det, kan vi inte se några egentliga vinster med att ha en enda gemensam lag för såväl domsto- larna som nämnderna eller en gemensam lag för alla domstolarna. Vi föreslår därför en lag för de allmänna domstolarna, en för de allmänna förvaltningsdomstolarna och en för hyres- och arrendenämnderna. Vi föreslår även motsvarande uppdelning i fråga om kompletterande för- ordningar. 5.7Grundläggande begrepp – databas eller register Vårt förslag: Det traditionella registerbegreppet skall inte före- komma i de särskilda författningarna om behandling av person- uppgifter vid domstolar och nämnder. I stället skall begreppet data- bas införas som en juridisk beteckning på automatiserade uppgifts- samlingar som används gemensamt inom en verksamhet och för vil- ka särskilda handlingsregler gäller. Genom datalagens införande introducerades personregister som ett centralt begrepp i svensk datalagstiftning. Med personregister avsågs register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Den i författningar allmänt använda termen för elektroniska uppgiftssamlingar har sedan datalagens införande varit register. Det traditionella registerbegreppet har dock kritiserats . En orsak har varit att begreppet även har en teknisk anknyt- ning och därför kan ha olika innebörd för olika yrkesgrupper. Vidare för det tankarna till på visst sätt organiserade eller systematiserade samlingar av uppgifter. Detta är inte längre ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effektiv hantering av uppgifterna för olika sammanställ- ningar osv. Även framväxten av Internet har tydliggjort behovet av en översyn av traditionella begrepp i datorsammanhang, som t.ex. regis- terbegreppet. Ytterligare en grund för kritik har varit att begreppet re- gister inte används i personuppgiftslagen, som ersatt datalagen. Det finns därför enligt vår uppfattning anledning att helt eller delvis utmönstra registerbegreppet från modern lagstiftning och eventuellt ersätta det med något annat mer ändamålsenligt begrepp. Behövs ett särskilt begrepp för vissa automatiserade uppgiftssamling- ar? I personuppgiftslagen används inte registerbegreppet. I stället talas det om behandling av personuppgifter. Det skulle enligt vår bedömning vara möjligt att även i specialförfattningar undvika begreppet register utan att ersätta det med något specifikt alternativ, dvs. endast tala om behandling av personuppgifter, men det är inte självklart att det är det bästa alternativet. Flera samlingar av personuppgifter i elektronisk form måste enligt vår bedömning ses som register i ordets mer egentliga bemärkelse, dvs. uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord e.d. Det kan därför finnas anled- ning att inte helt frångå registerbegreppet. Som exempel kan nämnas att begreppet register har sin naturliga plats i t.ex. lagen (1998:621) om misstankeregister och lagen (1998:620) om belastningsregister. Dessa lagar reglerar nämligen register i en mer traditionell mening. Å andra sidan är registerbegreppet, som nämns ovan, inte alltid lämpligt. Inte minst gäller detta datorsystem som innefattar elektronisk ärendehanter- ing, där inkomna handlingar kan skannas och beslut upprättas med automatiserad behandling, för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av mer registerartad karaktär. Att endast tala om behandling av personuppgifter kan i vissa fall föranleda att lagtexter tyngs och blir svårhanterliga, t.ex. när man inte avser behandling i allmänhet utan endast behandling i fastställda sam- lingar av uppgifter för vilka särskilda handlingsregler gäller. Som ex- empel kan nämnas att när en handläggare inom domstolsväsendet behandlar personuppgifter på elektronisk väg, kan det göras t.ex. med ordbehandling eller via terminalfunktion i ett målregister. Det är inte helt enkelt att i en lag om behandling av personuppgifter klart uttrycka att man i motsvarande situationer avser att vissa bestämmelser endast skall gälla för den senare behandlingen och inte för den tidigare, något som vi anser att det kan finnas behov av. Ett alternativ till registerbegreppet som har föreslagits i olika sam- manhang är termen databas. Begreppet har numera också införts i lag- stiftningen genom den reglering av behandling av personuppgifter som gäller för skatteförvaltningen, exekutionsväsendet och (se prop. 2000/01:33). Vi anser att det finns behov av ett särskilt begrepp för att beskriva vissa uppgiftssamlingar som är föremål för automatise- rad behandling. Eftersom registerbegreppet – enligt vår mening med rätta – har kritiserats i flera sammanhang, finns det anledning att även i fråga om domstolarnas och nämndernas behandling av personuppgifter överväga om inte begreppet databas är ett bättre alternativ. Databasbegreppet underlättar en teknikoberoende lagstiftning Det finns ingen klar allmän definition av begreppen register och data- bas. Rent språkligt har databas dock mer naturlig anknytning till auto- matiserade sammanställningar av uppgifter. Redan detta är ett argu- ment för att den termen ofta är att föredra framför det traditionella re- gisterbegreppet. I våra lagförslag avses med begreppet databas dessut- om något annat än egentliga register. En databas består av en uppgifts- samling av varierande slag, ofta rörande såväl juridiska som fysiska personer. Den kan innehålla ett antal egentliga register, men också uppgifter som inte alls kan inordnas i ett traditionellt register, såsom elektroniska handlingar i ett ärendehanteringssystem. En av våra målsättningar är att skapa ett regelverk som är mer tek- nikoberoende än de registerförfattningar som finns . Detta kan göras genom att begreppet databas ges en juridisk, inte teknisk, inne- börd och avser en samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom en verksamhet, något som gäller för skattemyndigheternas, kronofogdemyndigheternas och Tull- verkets verksamheter. En definition av begreppet databas som den angivna utesluter register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en persondator från behandlingar i datorsystem som är särskilt reglerade till sitt innehåll och användning, något som vi utvecklar närmare i kapitel 6. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register – i egent- lig bemärkelse – är sammanlänkande och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automa- tiserad behandling inom en avgränsad verksamhet, så utgör dessa regis- ter en databas. Med andra ord skulle automatiserade register kunna sägas vara en specialform av databaser, nämligen databaser vars inne- håll är systematiserade på ett visst sätt enligt särskilda kriterier. En juridiskt bestämd databas kan således innehålla flera mindre databaser eller datorsystem i teknisk mening, varav en del kan vara regelrätta register. Om samtliga uppgifter i en databas finns samlade i ett enda datorsystem i en enda server hos och är tillgängliga för domstolarna enligt vissa kriterier (behörighetskoder o.d.) eller om upp- gifterna delas upp så att de rent tekniskt förvaras i olika servrar – och i form av flera datorsystem eller register – hos domstolarna, saknar alltså betydelse. Det väsentliga är att uppgifterna är gemensamt tillgängliga inom en eller flera domstolar. De ovan redovisade tankegångarna har som utgångspunkt att en lag om behandling av personuppgifter inte skall reglera hur uppgifterna tekniskt organiseras, utan endast utgöra en rättslig ram för vilka uppgif- ter som får behandlas och på vilket sätt de får användas för att bl.a. säkerställa ett gott integritetsskydd. Detta innebär att regleringen av en databas för exempelvis allmänna domstolar kan innehålla bestämmelser om behandling av samtliga de uppgifter som finns i olika register och datorsystem vid de allmänna domstolarna, utan att det för den sa- kens skull anges hur uppgifterna skall organiseras eller delas in i grup- per. Om det i en lag anges att en sådan databas får innehålla samtliga uppgifter som finns i olika datorsystem eller register (MÅHS, Hdrefer och hovrätternas målregister m.m.), så tar man därigenom inte ställning till den tekniska utformningen.