sou · GPB3100 · 2002-01-01 00:00:00 — Det väsentliga är inte på vilket sätt uppgiften tekniskt lagras, utan den faktiskt åsyftade tillgängligheten. Det avgörande för om en uppgift används gemensamt inom en domstol eller domstolsor- ganisation och därmed utgör en beståndsdel i en databas, är således om den behandlas på ett sätt som medför att den utgör "allmän egendom" i verksamheten. Att olika personalkategorier kan ha olika behörighet och att vissa uppgifter därför i praktiken är åtkomliga endast för ett begrän- sat antal personer hos domstolarna eller nämnderna, förtar enligt vår uppfattning i sig inte uppgifternas egenskap som gemensamma. Det- samma gäller om vissa uppgifter görs åtkomliga endast för handläggare inom en viss domstol. Vi anser att det bör finnas en gemensam databas för samtliga all- männa domstolar, en för de allmänna förvaltningsdomstolarna samt en för hyres- och arrendenämnderna. Det betyder dock inte att en uppgift nödvändigtvis måste vara tillgänglig hos t.ex. alla allmänna domstolar för att ingå i deras databas. Det är tillräckligt att en uppgift görs till- gänglig för handläggarna vid en viss tingsrätt. En uppgift som registre- ras och lagras i ett datorsystem på ett sådant sätt att tjänstemännen inom en eller flera domstolar eller nämnder har möjlighet att vid behov och i olika sammanhang – t.ex. i samband med handläggningen av mål och ärenden – ta del av uppgiften direkt på automatiserad väg måste således anses gemensamt tillgänglig. Uppgiften utgör därmed en del av en databas. Detta är vad som gäller för de uppgifter som lagras inom ramen för olika författningsreglerade personregister hos domsto- larna och nämnderna. Som exempel kan nämnas att uppgifter om tidi- gare mål med en viss part kan återfinnas genom sökning i målregister som Find-It eller MÅHS. Dessa uppgifter kan också användas som en del av underlaget vid handläggningen av ett nytt mål med samma part. En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server hos en domstol eller nämnd i samband med att en tjänsteman arbetar med ordbehandling, och som normalt är åtkomlig endast för tjänstemannen själv och exempelvis systemadministratören vid myn- digheten, kan däremot inte anses vara gemensamt tillgänglig. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i da- torn skall användas av andra än den som utför behandlingen. Det för- hållandet att systemadministratören – eller en annan tjänsteman vid domstolen eller nämnden – kan få åtkomst till uppgiften genom ett visst tekniskt förfarande, kan inte anses innebära att uppgiften som sådan är lagrad för att användas gemensamt i verksamheten. Inte heller innebär det förhållandet att en uppgift behandlas tillfälligt i en dator med det uttalade syftet att den senare skall "matas in" i systemet och göras ge- mensam, att den är en del av databasen. Däremot kommer uppgiften att omfattas av det särskilda regelverket för en databas när den väl är regi- strerad i det gemensamma systemet. Ett exempel på en sådan situation kan vara att ett domskoncept arbetas fram med hjälp av ordbehandling och efter att domen meddelats görs gemensamt tillgängligt inom dom- stolen, t.ex. i ett särskilt register för intressanta avgöranden. I de flesta fall ser vi inga problem med att bedöma om en uppgift behandlas gemensamt eller inte. I princip görs samma gränsdragning när det skall avgöras om en uppgift ingår i ett visst författ- ningsreglerat personregister eller inte. En tjänsteman på en domstol kan utan svårigheter avgöra om han eller hon för tillfället arbetar med upp- gifter direkt i ett målregister eller med uppgifter i ett ordbehandlings- dokument. Det kan förväntas, och ställas krav på, att datorsystemen inom en myndighetsorganisation konstrueras på ett sådant sätt att några tvivel om huruvida en viss uppgift ingår i en databas inte uppstår i samband med att den förs in. Den personuppgiftsansvarige har natur- ligtvis, tillsammans med ansvarig systemleverantör, också ett ansvar för att gränsdragningsproblem inte uppstår på grund av brister i den tekniska utformningen av ett datorsystem. När uppgifter som är införda i ett datorsystem och gemensamt till- gängliga i en viss verksamhet, dvs. ingår i en databas, sambearbetas med varandra i det gemensamma systemet, skall behandlingen göras i enlighet med det för databasen gällande regelverket. Som exempel kan nämnas att en domstol gör sammanställningar av icke avgjorda mål av en viss typ som skall sättas ut till förhandling, genom att i ett sökpro- gram som används i det gemensamma systemet ge variabler som utgörs av uppgifter införda i databasen, t.ex. målgrupp och uppgift om att skriftlig handläggning är avslutad. Framtagandet av en sådan samman- ställning utgör en eller flera behandlingar i databasen och de särskilda bestämmelserna som gäller för sådan behandling skall därför tillämpas. Om däremot uppgifter som är införda i en databas sambearbetas med externa uppgifter – dvs. uppgifter som inte är registrerade i data- basen – genom att hämtas från databasen och därefter, utanför det ge- mensamma systemet, behandlas tillsammans med de externa uppgifter- na, skall i stället de allmänna bestämmelserna om behandling av per- sonuppgifter i myndighetens verksamhet tillämpas. En sådan situation kan uppstå när en handläggare vill jämföra eller på andra sätt bearbeta uppgifter vid handläggningen av ett pågående mål med uppgifter som har lämnats och förts in i en databas. Uppgifter som ingår i databasen kan då i förväg kopieras från det gemensamma datorsystemet till en dator som används av en enskild tjänsteman och därefter behand- las tillsammans med de externa uppgifterna. Exempelvis kan tidigare registrerade namn och adressuppgifter hämtas från systemet för att arbetas in i ett domskoncept som upprättas med hjälp av ordbehand- ling. Situationen kan jämföras med att uppgifter i en databas lämnas ut på medium för automatiserad behandling till en utomstående myndig- het och därefter behandlas i den senares verksamhet. Även i en sådan situation kommer andra bestämmelser att gälla när uppgifterna "läm- nat" databasen. Det skulle emellertid strida mot syftet med den före- slagna lagstiftningen att kopiera delar av en databas och vid sidan av det gemensamma datorsystemet utföra behandlingar som normalt utförs i systemet, endast för att på det sättet kringgå bestämmelser som gäller för behandling av uppgifter i databasen. Det är inte möjligt att i lagstiftningen dra någon exakt gräns för när en viss behandling skall anses ske i en databas och därmed omfattas av det särskilda regelverket för denna. Inte minst beror detta på att det inte är möjligt att förutse den tekniska utvecklingen inom datorområdet och de möjligheter som kan öppna sig i fråga om informationsöverföring. Enligt vår uppfattning måste det från fall till fall avgöras om uppgifter som behandlas automatiserat är gemensamma eller inte. Svårigheterna med att göra den bedömningen skall dock inte överdrivas. Sammanfattningsvis är det enligt vår mening en grundläggande för- utsättning för att elektroniskt lagrade uppgifter skall anses ingå i en databas, att uppgifterna av en eller flera domstolar eller nämnder an- vänds gemensamt i en viss verksamhet för de ändamål som skall styra behandlingen av uppgifter inom verksamheten. Koncept och minnesanteckningar m.m. Enligt 2 kap. 3 § tryckfrihetsförordningen är en handling allmän när den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten. Handlingar i form av upptagningar som kan uppfattas endast med hjälp av tekniskt hjälpmedel, t.ex. elektro- niskt lagrade uppgifter, anses förvarade hos en myndighet om upptag- ningarna är tillgängliga för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att de kan läsas eller på annat sätt uppfattas. Enligt 2 kap. 6 och 7 §§ tryckfrihetsför- ordningen är en handling upprättad hos en myndighet när den har ex- pedierats av myndigheten, medan den – i fråga om tekniska upptag- ningar – anses inkommen till en myndighet när den har gjorts tillgäng- lig där på ett sådant sätt att den kan anses förvarad av myndigheten. Av 2 kap. 9 § framgår att minnesanteckningar och koncept inte anses som allmänna handlingar, om de inte expedieras eller tas om hand för arki- vering. Innebörden av nämnda bestämmelser är att upptagningar som görs gemensamt tillgängliga för flera myndigheter i ett datorsystem anses utgöra allmänna handlingar hos samtliga dessa myndigheter. Det spelar i det avseendet ingen roll om upptagningarna utgör en del av ett be- slutskoncept eller minnesanteckningar. Om ett beslutskoncept görs gemensamt tillgängligt för flera domstolar eller nämnder, utgör det alltså enbart av den anledningen en allmän handling. Att hantera elek- troniska uppgifter på ett sådant sätt skulle emellertid inte ligga i linje med myndigheternas generella skyldighet att upprätthålla en god of- fentlighetsstruktur bland sina handlingar. Med god offentlighetsstruktur avses grovt förenklat att allmänna handlingar skall kunna särskiljas från arbetsmaterial och att offentliga handlingar skall kunna särskiljas från sådana som kan bli föremål för sekretess (Data- och offentlighets- kommittén har ingående diskuterat innebörden av begreppet i betän- kandet Integritetsskyddet i informationssamhället 5, SOU 1988:64 s. 224 ff.). Den gemensamma och effektiva användningen av datorsystem får därför inte sträckas så långt att doms- och beslutskoncept eller and- ra handlingar som inte fått sin slutliga utformning görs gemensamt tillgängliga. Detsamma gäller naturligtvis även för arbetsmaterial, min- nesanteckningar o.d., som i många fall inte alls bör göras allmänna utan rensas innan handlingarna i ett ärende tas om hand för arkivering. 6.2.2Uppgifter som får behandlas Vårt förslag: I en databas skall det få behandlas uppgifter om per- soner som omfattas av handläggningen av mål och ärenden eller som berörs av författningsreglerad underrättelseskyldighet. Vilka kategorier av uppgifter som skall få behandlas i databaserna för de ändamål som gäller för behandling av uppgifter inom verk- samheten skall anges uttryckligen i lag. –uppgifter om fysiska personers identitet, nationalitet, språk och bosättning m.fl. liknande uppgifter, –uppgifter om juridiska personers identitet och säte m.fl. liknande uppgifter, –uppgifter om fysiska och juridiska personers ställning och kopp- ling till andra personer i ett mål eller ärende, –uppgifter om målnummer, målkoder, saken och andra liknande uppgifter som beskriver ett mål eller ärende, –uppgifter om händelser och åtgärder i ett mål eller ärende, –uppgifter om planeringen för handläggningen av ett mål eller ärende. Känsliga personuppgifter om parter m.fl. skall få behandlas endast när det uttryckligen anges i lagen. Vid angivande av saken skall känsliga personuppgifter få behandlas om det är nödvändigt för att saken skall kunna återges på ett ändamålsenligt sätt. Uppgifter om fysiska eller juridiska personers identitet skall inte få anges i saken. Regeringen eller den myndighet som regeringen bestämmer med- delar närmare föreskrifter om vilka uppgifter som skall få behandlas. Som framgår av avsnitt 6.2.1 definieras en databas som en samling uppgifter och handlingar som med hjälp av automatiserad behandling används gemensamt i en verksamhet. En begreppsmässig uppdelning görs således mellan elektroniska uppgifter och elektroniska handlingar, men någon definition av begreppen lämnas inte i lagarna. Anledningen till detta är att det enligt vår bedömning varken är möjligt eller lämpligt att ge en exakt legaldefinition av begreppen. Att åtskillnad alls görs mellan uppgifter och handlingar beror på att vi i vissa avseenden före- slår skilda regler för behandlingen, t.ex. i fråga om direktåtkomst och sökbegrepp. Med uppgifter avser vi enskilda ord eller mindre sammanställningar av ord som är bärare av en begränsad informationsmängd och som en- ligt särskilda fastställda rutiner kan registreras på ett bestämt sätt i ett datorsystem. Som exempel kan nämnas enskilda uppgifter om namn och adress samt uppgifter om saken (dvs. vad ett mål eller ärende hand- lar om), vilka registreras som särskilda fältuppgifter i ett strukturerat system. Med handlingar avser vi något förenklat sammanställningar av uppgifter utan en i förväg klart fastställd struktur. Exempel på hand- lingar kan vara vanliga ordbehandlingsdokument eller e-postmeddelanden. En närmare genomgång av elektronisk handlings- och dokumenthantering finns i avsnitt 6.2.3. Personer om vilka uppgifter får behandlas Personuppgifter definieras i personuppgiftslagen som all slags informa- tion som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Förutom personuppgifter kan det i databaser vid domstolar och nämnder förekomma uppgifter som är hänförliga till juridiska personer eller avlidna fysiska personer. Gemensamt för i stort sett samtliga upp- gifter är att de kan hänföras till någon eller några personer som är eller har varit föremål för åtgärder från en domstols eller nämnds sida eller som av andra skäl omfattas av verksamheten. Vad som gäller för upp- gifter av rent teknisk eller administrativ karaktär återkommer vi till längre fram i detta avsnitt. Eftersom ett av de främsta syftena med lagstiftning om behandling av personuppgifter är att skydda mot otillbörliga intrång i den personli- ga integriteten, måste enskilda direkt i lagstiftningen kunna få en över- blick av om de finns eller kan finnas registrerade vid en domstol eller nämnd. Enligt vår mening bör det därför direkt i lag slås fast för vilka personer det över huvud taget kan bli aktuellt att behandla personupp- gifter eller andra uppgifter. En ordning där det endast anges vilka upp- gifter som får behandlas utan att personkretsen uttryckligen pekas ut, innebär nämligen att enskilda inte på ett enkelt sätt kan få en uppfatt- ning av om de kan vara registrerade, utan de måste sluta sig till detta genom att konstatera vilka olika uppgifter som behandlas. Även om det ofta är självklart att en person finns registrerad, t.ex. en part, är en så- dan ordning än mer olämplig i lagstiftning där det inte direkt av lagen går att utläsa närmare vilka uppgifter som får behandlas om en person (se längre fram i detta avsnitt). Även om det inte på samma sätt går att åberopa integritetsskäl för det, bör enligt vår mening den för behand- ling aktuella personkretsen anges även i de fall då den registrerade är en juridisk person. Vid domstolar och nämnder bör uppgifter enligt vår uppfattning få behandlas endast om de personer som omfattas av verksamhet med handläggning av mål och ärenden eller som är aktuella i fråga om för- fattningsreglerad underrättelseskyldighet. Det innebär att förutom upp- gifter om parter och vittnen, får uppgifter registreras även om t.ex. ombud, företrädare, kontaktpersoner och tolkar m.fl. Uppgifter om personer som inte omfattas av dessa delar av verksamheten, får således inte registreras av t.ex. det skälet att det skulle underlätta vid behand- lingen av uppgifter för ändamålet återsökning av vägledande avgöran- den. Uppgiftskategorier som får behandlas I avsnitt 5.5 diskuterar vi frågan om detaljreglering av vilka uppgifter som får behandlas automatiserat vid domstolar och nämnder. Vi redo- visar där som vår inställning att den främsta uppgiften för en lag om behandling av personuppgifter bör vara att slå fast grundläggande prin- ciper för behandlingen och inte att i detalj reglera vad som får registre- ras. Det främsta skälet för en sådan ordning är att det i de flesta fall – på grund av förändringar i materiell lagstiftning och verksamhetsinrikt- ning – är omöjligt att förutse exakt vilka uppgifter en domstol eller nämnd kan behöva registrera för att verksamheten skall fungera på ett tillfredsställande sätt, vilket leder till återkommande lagändringar efter hand som nya uppgifter behöver tillföras. För att en detaljreglering av innehållet i en databas skall kunna undvikas krävs dock enligt vår upp- fattning att de ändamål för vilka uppgifter får behandlas är tydliga och konkreta (se avsnitt 6.1.3). Vi är även av den bestämda uppfattningen att det är viktigt att upp- gifter får registreras endast för att tillgodose de primära ändamålen med en databas, nämligen att vara till hjälp i den verksamhet som den registrerande myndigheten bedriver. Uppgifter skall således inte få föras in i en viss databas endast av det skälet att de kan vara till nytta för andra myndigheter än de som är personuppgiftsansvariga. Ett mot- satt ställningstagande skulle enligt vår uppfattning kunna leda till en icke önskvärd sammanblandning av uppgifter som behandlas på auto- matiserad väg inom olika verksamheter. Vi föreslår därför att det ut- tryckligen anges att uppgifter får behandlas endast om det behövs för de i lagarna angivna ändamålen. För att det redan på en övergripande nivå skall gå att utläsa vad som finns eller kan finnas registrerat om enskilda i en databas, bör enligt vår mening i lag anges en ram för det tillåtna vid sidan av ändamålsbe- stämmelserna. Vi anser det lämpligt att ange vilka kategorier av uppgif- ter som får finnas i en databas, medan den specifika beskrivningen av vilka uppgifter som ingår i varje kategori bör återfinnas i en förordning eller, om regeringen bestämmer det, i myndighetsföreskrifter. Undantag gör vi endast i fråga om vissa känsliga personuppgifter, vilka anges uttryckligen redan i lag (se närmare längre fram i detta avsnitt). Det är enligt vår uppfattning viktigt att den närmare beskrivningen i förordningar eller föreskrifter av vilka uppgifter som får behandlas, verkligen är så uttömmande att enskilda inte har några problem med att utläsa vilka uppgifter om dem som kan finnas registrerade. Som exem- pel på hur en sådan beskrivning skulle kunna utformas kan nämnas bilagan till den gällande förordningen (2001:639) om registerfö- ring m.m. vid allmänna domstolar med hjälp av automatiserad behand- ling. Vår avsikt är alltså inte att någon närmare precisering inte skall finnas , utan endast att den av främst praktiska skäl bör be- slutas av regeringen eller , inte av . De sex kategorier av uppgifter som enligt vår mening behöver kun- na behandlas i domstolarnas och nämndernas databaser är följande. – Uppgifter om fysiska personers identitet, nationalitet och språk (för allmänna förvaltningsdomstolar även utfärdandeland för körkort) samt bosättning, telefonnummer och andra liknande uppgifter som behövs för kommunikation med personen. –Uppgifter om juridiska personers identitet, firmatecknare och andra företrädare samt säte, telefonnummer och andra liknande uppgifter som behövs för kommunikation med parten. –Uppgifter om fysiska och juridiska personers ställning och koppling till andra personer i ett mål eller ärende. –Uppgifter om målnummer, målkoder, saken (ärendemening) och andra uppgifter som beskriver ett mål eller ärende. –Uppgifter om händelser och åtgärder i ett mål eller ärende. –Uppgifter om domstolens eller nämndens planering för handlägg- ningen av ett mål eller ärende. Vid behandling av personuppgifter intar känsliga personuppgifter en särställning. Vi redovisar i avsnitt 6.1.5 hur vi anser att sådana uppgif- ter skall hanteras vid behandling som inte sker i en databas. När det gäller behandling i en databas måste åtskillnad göras mellan dels regi- strering av uppgifter i elektroniska handlingar i mål- och ärendehanter- ingssystem, dels registrering i mer traditionell registerform. Hur käns- liga personuppgifter m.m. bör hanteras när de ingår i elektroniska handlingar redogör vi för i avsnitt 6.2.3. Vid registrering av mer traditionell karaktär – dvs. när uppgifter förs in i en databas för att kunna vara sökbara och användbara vid den all- männa mål- och ärendehanteringen och verksamhetsdriften hos en domstol eller nämnd (informationsbaserad hantering) – bör enligt vår mening känsliga personuppgifter över huvud taget inte få förekomma om det inte finns starka skäl för det. I princip finns det endast ett accep- tabelt skäl, nämligen att det är nödvändigt för att en domstol eller nämnd skall kunna bedriva sin verksamhet på ett rimligt sätt. Vi är av den bestämda uppfattningen att det är av avgörande betydelse från in- tegritetssynpunkt att det i en databas inte finns allmänt sökbara uppgif- ter som avslöjar enskildas etniska härkomst eller sexuella läggning m.m., om detta inte är tydligt motiverat av verksamheten. När det gäller denna kategori av uppgifter anser vi därför att det i lagstiftningen finns skäl att frångå den princip som vi annars förespråkar avseende regler- ingen av vad som får behandlas i en databas. Känsliga personuppgifter bör få behandlas i en databas endast om det är särskilt angivet i den lag som reglerar behandlingen av personuppgifter. Vi föreslår därför att det i respektive lag uttryckligen anges vilka känsliga personuppgifter som får behandlas och klart markeras att behandling av sådana uppgifter i övrigt inte får förekomma. De känsliga personuppgifter som domstolar och nämnder ofta behö- ver ha kännedom om – och som uttryckligen i lag bör vara tillåtna att registrera – avser enskildas identitet, nämligen vilken nationalitet en person har och vilket språk han eller hon talar. Den uppgift om nationa- litet som normalt kan bli aktuell att registrera är medborgarskap. Det kan dock inte uteslutas att det finns behov av att registrera t.ex. en viss bestämd nationalitet inom en statsbildning, bestående av flera nationer, i vilken den registrerade har medborgarskap. Sådana uppgifter bör allt- så få registreras. Det bör däremot inte vara tillåtet att som en identitets- uppgift registrera att en part tillhör en viss etnisk grupp inom en nation. Särskilda uppgifter om etnisk härkomst utgör nämligen enligt vår upp- fattning inte uppgifter om nationalitet. Uppgifter om språk avser dom- stolens eller nämndens behov av tolk o.d., och får registreras även om det indirekt kan ge information om en persons etniska härkomst. De allmänna förvaltningsdomstolarna behöver i vissa mål även registrera uppgifter om utfärdandeland för körkort. Även detta bör uttryckligen anges i lag. Förutom de ovan angivna konkreta fallen då känsliga person- uppgifter bör få registreras, måste enligt vår mening sådana uppgifter få användas vid angivande av saken eller i ärendemeningen i ett regi- strerat mål eller ärende. Om en viss känslig uppgift, t.ex. om sexualliv, etnisk härkomst eller sjukdom, är av väsentlig och avgörande betydelse i ett mål, bör det vara tillåtet att registrera uppgiften som en del av sa- ken eller ärendemeningen. Utan den möjligheten hindras förutsättning- arna för domstolarna och nämnderna att bygga upp egna effektiva rätts- fallsdatabaser med fri sökning på saken. Det är dock viktigt att markera att känsliga personuppgifter inte bör få användas vid angivande av sa- ken annat än om det är nödvändigt för att saken skall kunna återges på ett ändamålsenligt sätt. Om en persons sexuella läggning saknar bety- delse i ett mål, vilket uppenbarligen är fallet t.ex. i ett stöldmål i tings- rätt eller i ett skattemål i länsrätt, får uppgifter om denna läggning med andra ord inte antecknas. Från integritetssynpunkt är det enligt vår mening mycket viktigt att det i saken eller ärendemeningen inte finns uppgifter varigenom enskil- da personer kan identifieras. Inte heller i fråga om juridiska personer finns det skäl för att kunna fastställa en identifiering direkt genom att läsa anteckningar om saken. Vi anser därför att det uttryckligen i lag skall anges att det inte är tillåtet att registrera identitetsuppgifter vid angivande av saken i ett mål eller ärende. Administrativa och tekniska uppgifter har det i registerförfattningar och tillstånd från Datainspektio- nen angetts att ett personregister får innehålla de administrativa och tekniska uppgifter som behövs för den aktuella verksamheten.