sou · GPB332 · 2002-01-01 00:00:00 — Denna utveckling är ett naturligt led i effektivisering- en av verksamheterna och det finns inte någon anledning att anta annat än att behovet av datorstöd kommer att fortsätta öka. Detta gäller inte minst inom de områden som berör domstolarna och nämnderna, som i flera avseenden inte har det effektiva datorstöd som redan finns hos många större myndigheter. Den snabba utveckling av datoriseringen som ägt rum visar att den lagstiftning som reglerar användningen av datorstöd måste vara teknik- oberoende och flexibel, för att inte hindra den effektivisering av verk- samheterna som kontinuerligt pågår. Det är näst intill omöjligt för lag- stiftaren att hålla jämn takt med den tekniska utvecklingen inom da- taområdet. För att inte hamna i en situation där den tekniska utveck- lingen styr den rättsliga regleringen, är det enligt vår mening nödvän- digt med en lagstiftning som tar sikte på principiellt viktiga frågor, men så långt som möjligt lämnar detaljregleringen därhän. Lagstiftningen skall således styra användningen av ny teknik i offentlig verksamhet som den rättsliga regleringen inte får tillåtas förhindra eller 86 Övergripande om nödvändiga förändringar försvåra en välkommen effektivisering, om det inte är nödvändigt av integritetsskäl. De förslag som vi lämnar i detta delbetänkande har dock som främsta syfte att förhindra akuta problem i samband med datalagens upphörande. Tiden tillåter inte att vi nu föreslår en sådan lagstiftning som vi helst vill se på området, utan det får bli en fråga i vårt fortsatta arbete. 4.2Effekter av datalagens upphörande Personuppgiftslagen trädde i kraft . Samma datum upphörde datalagen (1973:289) att gälla. Enligt övergångsbestämmel- serna till personuppgiftslagen skall dock datalagen i vissa avseenden tillämpas t.o.m. . Det gäller automatiserad be- handling av personuppgifter som har påbörjats före personuppgiftsla- gens ikraftträdande eller behandling som utförs för ett visst bestämt ändamål om behandling för ändamålet påbörjades före ikraftträdandet. Övergångsbestämmelsen har sin grund i dataskyddsdirektivets artikel 32.2. Där anges att medlemsstaterna skall se till att sådan behandling som redan pågår när de nationella bestämmelserna antas, bringas i överensstämmelse med bestämmelserna från tidpunkten för antagandet. Personuppgiftslagens övergångsbestämmelser har inneburit en re- spit för lagstiftaren i fråga om anpassningen av dagens registerreglering till personuppgiftslagen och dataskyddsdirektivet. Eftersom denna re- spit snart upphör att gälla i fråga om automatiserad behandling, är det nu viktigt att analysera vilka problem som kan uppstå och vilka föränd- ringar som krävs. En uppdelning kan göras på följande fyra problem- områden: Behandling av personuppgifter i personregister som förs med stöd av författning (författningsregister). Behandling av personuppgifter i personregister som förs med stöd av tillstånd från Datainspektionen (tillståndsregister). Behandling av personuppgifter i personregister som förs utan för- fattnings- eller tillståndsstöd (oreglerade register). Behandling av personuppgifter på annat sätt än i personregister, dvs. behandling som inte omfattas av datalagens bestämmelser (behand- ling av personuppgifter i löpande text). Övergripande om nödvändiga förändringar 87 I de följande avsnitten redovisar vi olika problem som inom respektive område kan uppstå i domstolarnas och nämndernas verksamheter. finns inga registerförfattningar som är tillämpliga på behandling av personuppgifter i hyres- och arrendenämnderna. För domstolarna finns däremot två förordningar, nämligen förordningen (1994:90) om registerföring vid länsrätt med hjälp av automatisk databehandling samt förordningen (1986:104) om registerföring vid allmänna domstolar med hjälp av automatisk databehandling. För personregister som förs av Regeringsrätten och kammarrätterna finns således inte någon för- fattningsreglering. De personregister som utgör mål- och ärendestöd vid domstolarna regleras, med undantag för Regeringsrättens och kammarrätternas mål- register, samtliga genom författning. Tingsrätter och länsrätter använ- der sig av två olika versioner av i grunden ett och samma målhante- ringssystem (MÅHS) som förs med stöd av förordningarna. Detsamma gäller den överrättsversion av MÅHS som används av Hovrätten för . Dessutom för och flera hovrätter målregister med stöd av förordning. Samtliga dessa domstolar använder således var och en för sig ett författningsreglerat personregister för vil- ket respektive domstol är registeransvarig. De olika personregistren be- skrivs närmare i avsnitt 3.2. I samband med att datalagen upphör att gälla är det viktigt att bestämmelserna i förordningarna kan tillämpas utan att de kommer i konflikt med bestämmelserna i personuppgiftsla- gen och det bakomliggande dataskyddsdirektivet. Dessutom måste för- ordningarna kompletteras i den mån det saknas bestämmelser i frågor som regleras av personuppgiftslagen, om avsaknaden av särskilda be- stämmelser skulle förorsaka svårigheter. En närmare genomgång av förordningarna för allmänna domstolar respektive länsrätter görs i avsnitt 3.1. I korthet innefattar förordning- arna bestämmelser som reglerar fyra olika frågor avseende använd- ningen av personregister, nämligen ändamål, innehåll, sökbegrepp och gallring. Ändamålet med behandling av personuppgifter är en av de viktigare frågorna vid tillämpningen av personuppgiftslagen. Av 9 §, som har sin bakgrund i artikel 6 i dataskyddsdirektivet, framgår att personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål, att senare behandling inte får vara oförenlig med de ur- sprungliga ändamålen, att de personuppgifter som behandlas skall vara 88 Övergripande om nödvändiga förändringar adekvata och relevanta i förhållande till ändamålen med behandlingen samt att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. De angivna ändamålen intar således en mycket viktig roll vid bedömningen av hur personuppgifter får behandlas i ett datoriserat register. Det är därför viktigt att ända- målen med de register som regleras i förordningarna uttrycks så att det inte uppstår några konflikter med hur registren faktiskt skall användas, som ändamålen självfallet måste stå i överensstämmelse med personuppgiftslagens krav. Av ändamålsbestämmelserna i 9 § personuppgiftslagen framgår att ett personregister inte får innehålla uppgifter som inte står i överens- stämmelse med ändamålen med registret. Eftersom personuppgiftsla- gen är en generell författning avseende behandling av personuppgifter saknas det, med ett undantag, specifika bestämmelser om innehåll. Un- dantaget utgörs av vissa uppgiftstyper som enligt 13 § personupp- giftslagen bedöms vara känsliga (ras, etniskt ursprung, fackförenings- tillhörighet, hälsotillstånd m.m.). Sådana uppgifter får, med vissa un- dantag, inte alls behandlas utan samtycke av den registrerade om det inte särskilt regleras i specialförfattning. För att konflikter med da- taskyddsdirektivet och personuppgiftslagen skall undvikas är det därför väsentligt att förordningarna innehåller bestämmelser om behandling av känsliga personuppgifter. Dessa måste utformas så att de överens- stämmer med de ändamål som gäller för respektive register. I dataskyddsdirektivet och personuppgiftslagen regleras inte ut- tryckligen frågan om sökmöjligheter och sökbegränsningar. Att all be- handling skall ske i enlighet med angivna ändamål innebär dock att sökningar och sammanställningar som ger information, vilken inte stämmer överens med ändamålet för ett personregister, inte får före- komma. Den rättsliga regleringen av vilka sökmöjligheter som skall va- ra tillåtna måste därför ses över. En viktig fråga avseende vilka personuppgifter som får behandlas i ett personregister är när uppgifter i registret skall gallras. I artikel 6 i dataskyddsdirektivet anges att medlemsstaterna skall se till att perso- nuppgifter förvaras på ett sätt som förhindrar identifiering av registre- rade personer än som är nödvändigt för ändamålen med behandlingen. Av 9 § personuppgiftslagen följer att uppgifter inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med registren. Innebörden av bestämmelserna är i grun- den densamma. Betydelsen av gallringsbestämmelsen i 9 § personuppgiftslagen be- gränsas i viktiga avseenden genom att det i 8 § sägs att lagens bestäm- melser inte skall tillämpas i den utsträckning det skulle inskränka en myndighets skyldigheter enligt 2 kap. tryckfrihetsförordningen. Övergripande om nödvändiga förändringar 89 utom sägs uttryckligen i 8 § att lagens bestämmelser inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkiv- material tas om hand av en arkivmyndighet. Trots dessa begränsningar i tillämpligheten av personuppgiftslagens allmänna gallringsbestäm- melse, är det viktigt att göra en översyn av de särskilda gallringsbe- stämmelserna i förordningarna. Det finns ingen författningsreglering av vilka register som får fö- ras av Regeringsrätten, kammarrätterna samt hyres- och arrendenämn- derna. Verksamhetsstödjande personregister hos dessa domstolar och nämnder förs därför med stöd av tillstånd från Datainspektionen. Det gäller t.ex. förvaltningsdomstolarnas målregister Find-It samt den ver- sion av MÅHS som används av vissa nämnder. Av redovisningen i ka- pitel 3 framgår att det även finns administrativa personregister som förs med stöd av sådana tillstånd. Samtliga tillstånd av Datainspektionen upphör att gälla den 30 sep- tember 2001, vilket innebär att de personregister som förs med tillstånd därefter helt kommer att omfattas av personuppgiftslagens bestämmel- ser. En bedömning måste då göras om det finns behov av särskilda be- stämmelser, exempelvis i fråga om vilka uppgifter som får behandlas och för vilka ändamål behandlingen får ske samt hur länge uppgifterna skall bevaras. Frågeställningarna blir alltså i stora delar desamma som för författningsreglerade register. I många fall får personregister föras enligt datalagen även om det inte finns någon författningsreglering eller något tillstånd från Datainspek- tionen som reglerar registret. Det gäller när ett personregister inte inne- håller några känsliga uppgifter eller uppgifter om personer som saknar naturlig anknytning till den registeransvarige, t.ex. genom anställning. Ett ytterligare krav är att personregistret inte samkörs med andra per- sonregister. Flertalet administrativa register hör till denna kategori av personregister. På samma sätt som för de personregister som förs med stöd av till- stånd från Datainspektionen kommer samtliga dessa register att omfat- tas helt av personuppgiftslagens bestämmelser fr.o.m. . Motsvarande överväganden som krävs för tillståndsregister måste därför göras även i fråga om de oreglerade registren. 90 Övergripande om nödvändiga förändringar 4.2.4Behandling av personuppgifter i löpande text Den behandling av personuppgifter som förekommer vid dom- stolarna och nämnderna är endast reglerad såvitt avser förandet av strukturerade personregister i datalagens mening. En mycket stor del av all automatiserad behandling av personuppgifter sker dock inte i sådana register, utan i löpande text som inte utgör personregister. Det mest självklara exemplet är framställningen av domar och beslut med hjälp av ord- och textbehandling. Det är emellertid betydligt fler dokument än så som bearbetas med datorstöd av såväl juridisk personal som kanslipersonal, t.ex. promemorior som används för enskilda domares och handläggares räkning som ett led i den dömande verksamheten samt kallelser, förelägganden och administrativa dokument m.m. Denna form av behandling av personuppgifter i löpande text omfat- tas av personuppgiftslagens bestämmelser. Det innebär att all ord- och textbehandling fr.o.m. måste anpassas så att den uppfyller personuppgiftslagens krav, om det inte då finns en särskild författningsreglering av behandlingen. Personuppgiftslagens bestämmelser sätter upp begränsningar när det gäller vilka uppgifter som får behandlas. Känsliga personuppgifter en- ligt 13 § personuppgiftslagen får inte alls behandlas utan samtycke från den registrerade, utom i vissa särskilt reglerade fall. Med känsliga upp- gifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackfö- rening. Även uppgifter som rör hälsa eller sexualliv anses som känsliga i lagens mening. Vid framställandet av domar, beslut och promemorior m.m. är det i många fall nödvändigt att sådana uppgifter behandlas. måste det således finnas någon form av författningsreglering för att behandling av sådana uppgifter skall kunna fortsätta. Problem kan även komma att uppstå i frågor som rör bevarande och gallring av personuppgifter. Enligt huvudregeln i 9 § personuppgiftsla- gen skall den personuppgiftsansvarige se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Undantag från denna bestämmelse görs dock i fråga om myndigheters hantering av allmänna handlingar. Be- stämmelserna kommer sannolikt inte att vara helt enkla att tillämpa och det kan därför krävas särskilda regler om bevarande och gallring av uppgifter. Övergripande om nödvändiga förändringar 91 4.3Skyddet för personlig integritet De grundläggande bestämmelserna om skydd för den personliga inte- griteten finns i regeringsformen. Redan i 1 kap. 2 § slås fast att det all- männa skall värna om den enskildes privatliv. En särskild bestämmelse som avser integritetsskyddet vid användningen av automatisk data- behandling finns i 2 kap. 3 §. Där sägs att varje medborgare, i den ut- sträckning som anges i lag, skall skyddas mot att hans personliga inte- gritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Den författning som har haft som syfte att uppfylla regeringsformens intentioner i fråga om integritets- skydd i datoriserad verksamhet är främst datalagen, vilken numera har ersatts av personuppgiftslagen. Dessutom finns integritetsskyddande bestämmelser i registerförfattningar och i sekretesslagen. Det finns ingen egentlig definition av integritetsbegreppet. Det råder dock knappast någon tvekan om att stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg och som används vid myndighetsutövning, utgör en påtaglig risk för att enskilda personer skall utsättas för icke acceptabla intrång i den personliga sfä- ren. Domstolarnas och nämndernas användning av datorer i sina verk- samheter kan alltså i sig utgöra ett hot mot den personliga integriteten. Detta måste beaktas vid utformningen av en författningsreg- lering inom området. Vi vill slå fast att vi anser det viktigt att en författningsreglering som bland annat syftar till att underlätta myndigheters användning av datorer för att uppnå effektivitetsvinster i olika samhällsfunktioner, inte får utformas på ett sådant sätt att integritetsskyddet för enskilda urhol- kas eller försämras. Detta är en mycket viktig utgångspunkt i vårt ar- bete med att nu i ett delbetänkande ta fram nödvändiga regler med an- ledning av datalagens upphörande. 92 Övergripande om nödvändiga förändringar Vårt förslag: Den behandling av personuppgifter som sker automa- tiserat i domstolarnas och nämndernas rättsskipande och rättsvår- dande verksamhet skall författningsregleras särskilt. Uppgifter i den interna administrativa verksamheten skall behandlas enligt person- uppgiftslagens bestämmelser. Personuppgiftslagen är den generella lagstiftning som reglerar behand- ling av personuppgifter. Avvikande bestämmelser kan meddelas i lag eller förordning och gäller då framför personuppgiftslagen. För att Sve- rige skall uppfylla sina åligganden enligt EG-rätten får emellertid avvi- kande författningar (specialreglering) inte strida mot det underliggande dataskyddsdirektivet. En första fråga som vi har ställt oss vid bedömningen av hur be- handling av personuppgifter vid domstolarna och nämnderna skall reg- leras, är om det behövs specialreglering eller om det är tillräckligt att personuppgiftslagen är direkt tillämplig på behandlingen. Vi har funnit att en rimlig utgångspunkt är att specialreglering bör tillämpas bara om det finns beaktansvärda skäl för det. Det finns ingen anledning att tynga lagstiftningen med onödig reglering. Enligt vår bedömning kan specialreglering av en myndighets be- handling av personuppgifter generellt anses vara behövlig i ett antal olika situationer. Exempel på sådana situationer, som vi anser att man särskilt måste beakta, är följande: När en nödvändig behandling över huvud taget inte är tillåten enligt personuppgiftslagen, t.ex. i fråga om behandling av vissa känsliga uppgifter. När personuppgiftslagen visserligen reglerar ett visst förhållande men det finns anledning att avvika från eller precisera den regle- ringen, t.ex. i fråga om hur länge uppgifter får bevaras. När personuppgiftslagens bestämmelser kan ge upphov till tolk- ningsproblem och det finns anledning att ha tydliga bestämmelser, t.ex. i fråga om vem som är personuppgiftsansvarig. När det finns anledning att begränsa möjligheterna till behandling av uppgifter av integritetsskäl, t.ex. i fråga om myndigheters regist- rering av stora eller känsliga uppgiftsmängder. Övergripande om nödvändiga förändringar 93 När det finns anledning att vara särskilt tydlig gentemot allmänhe- ten, t.ex. i fråga om vilka uppgifter om enskilda som olika myndig- heter registrerar. Vid bedömningen av om olika former av behandling av personuppgifter vid domstolarna och nämnderna bör regleras i särskild författning eller inte, har vi funnit en avgörande skiljelinje mellan den egentliga rätts- skipande och rättsvårdande verksamheten å ena sidan och den interna administrationen å andra sidan Domstolarnas och nämndernas egentliga verksamhet kan sägas utgöras av deras rättsskipande och rättsvårdande arbetsuppgifter. I dessa verk- samheter behandlas personuppgifter automatiserat såväl vid registre- ring i större datorsystem som vid framställning av dokument med hjälp av ordbehandlingsprogram. De olika sätt på vilka behandling sker re- dovisas i avsnitt 3.2 och 3.4. När det gäller större datorsystem som utgör verksamhetsstöd, t.ex. MÅHS och Find-It, anser vi att behandling av personuppgifter bör spe- cialregleras av samtliga de under huvudrubriken till avsnitt 4.4 uppräk- nade skälen. Även för behandling av personuppgifter i löpande text är det enligt vår uppfattning nödvändigt med särskild reglering, främst på grund av förbudet enligt personuppgiftslagen att behandla känsliga per- sonuppgifter. Vi föreslår därför att den behandling av personuppgifter som sker i den rättsskipande och rättsvårdande verksamheten skall för- fattningsregleras. En viktig fråga är i vilken form författningsregleringen bör ske, ge- nom lag, förordning eller myndighetsföreskrifter. I domstolarnas dator- system behandlas mängder av uppgifter om enskilda personer. Uppgift- erna är i många fall känsliga, de kan t.ex. röra brott, ekonomiska för- hållanden, sociala tvångsåtgärder m.m., och det är därför viktigt att de behandlas på ett sådant sätt att vederbörlig hänsyn tas till den personli- ga integriteten hos parter och andra aktörer i domstolarna. Frågor om regleringen av personregister har behandlats av , som bl.a. påpekat att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll skall regleras särskilt i lag (bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48). Regeringen har instämt i dessa uttalan- den (se bl.a. prop. 1990/91:60 s. 58 och 1997/98:44 s. 41). Enligt vår bestämda uppfattning är domstolarnas och nämndernas automatiserade behandling av personuppgifter av sådan karaktär och omfattning att de grundläggande principerna för behandlingen skall slås fast i lag. 94 Övergripande om nödvändiga förändringar inträffar emellertid avgörande föränd- ringar i de rättsliga möjligheterna att behandla personuppgifter. Det är därför av yttersta vikt att en författningsreglering som tillåter nödvän- dig behandling har trätt i kraft den dagen, för att möjligheterna för domstolar och nämnder att bedriva ett effektivt arbete inte skall gå till- fälligt förlorad. Vi gör bedömningen att det av tidsskäl inte är möjligt att i detta skede föreslå en författningsreglering som skall underställas prövning. Vi föreslår därför att domstolarnas och nämnder- nas behandling av personuppgifter tills vidare regleras i förordning, i avvaktan på att mer heltäckande och genomgripande förslag kan läggas fram. En följd av vår bedömning att en reglering egentligen bör ske i lagform, är att våra förslag till förordningar i princip endast har till syfte att möjliggöra fortsatt behandling av personuppgifter på det sätt som sker . De närmare skälen för författningsförslagen redovisas i kapitel 5. Vid sidan av personregister i form av större datorsystem använder domstolar och nämnder ofta även mindre omfattande och mindre käns- liga interna administrativa personregister. För sådana register bör en utgångspunkt enligt vår uppfattning vara att specialreglering endast bör förekomma om det är nödvändigt för att viktiga behandlingar skall kunna utföras. Vi redovisar i avsnitt 3.3 de register som vi genom vår enkätundersökning har kunnat konstatera används vid domstolarna och nämnderna. Avgörande för om dessa personregister kan användas även fortsätt- ningsvis utan särskild författningsreglering, är om behandlingen ryms inom de ramar för det tillåtna området som sätts upp av personupp- giftslagens bestämmelser. Till grund för den tolkning av relevanta be- stämmelser som vi redovisar nedan ligger främst betänkande Integritet – Offentlighet – Informationsteknik (SOU 1987:39) samt prop. 1997/98:44 Personuppgiftslag. De grundläggande bestämmelserna om när behandling av personupp- gifter över huvud taget är tillåten finns i 10 § personuppgiftslagen. Där anges att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nöd- vändig av vissa punktvis uppräknade orsaker. Nödvändighetsrekvisitet har inte ansetts innebära att en behandling av personuppgifter skall va- Övergripande om nödvändiga förändringar 95 ra omöjlig att utföra på ett sätt som inte omfattas av personuppgiftsla- gen, t.ex. genom vanlig pappersbehandling eller genom att uppgifter avidentifieras. Det räcker sannolikt att det innebär en påtaglig förenk- ling för den personuppgiftsansvarige att personuppgifter behandlas på automatiserad väg. Däremot torde det inte vara tillräckligt om en ar- betsuppgift kan utföras nästan lika enkelt och billigt på annat sätt. Av intresse bland de uppräknade situationerna i 10 §, när samtycke inte krävs, anser vi i det här sammanhanget vara främst punkterna b, e och f. Av 10 § b personuppgiftslagen framgår att behandling får utföras om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet. Det är den personuppgiftsansvarige som skall ha den rättsliga skyldigheten, men det är inte klart vad som egent- ligen avses med begreppet. Ett rimligt exempel är dock arbetsrättsliga skyldigheter. Enligt vår bedömning får en arbetsgivare behandla per- sonuppgifter om det behövs för att fullgöra skyldigheter på arbetsrät- tens område, t.ex. i olika register med uppgifter om anställningar och löner m.m. Även andra situationer kan naturligtvis komma i fråga. Enligt 10 § e personuppgiftslagen får uppgifter behandlas om det är nödvändigt för att den personuppgiftsansvarige (eller tredje man till vilken uppgifterna lämnas ut) skall kunna utföra en arbetsuppgift i samband med myndighetsutövning. Denna bestämmelse tillåter sanno- likt en stor del av den behandling av personuppgifter som utförs inom den offentliga sektorn, i vart fall när det gäller den egentliga verksam- heten.