sou · GPB3100 · 2002-01-01 00:00:00 — Det kan alltså i princip bli fråga om ett stort centralt eller flera små lokalt anordnade datorsystem eller register eller en blandning av båda alternativen. Det väsentliga är att de krav lagen ställer på behandlingen för att säkerställa enskildas integritet kan efterlevas. Våra tre förslag till lagar om behandlingen av personuppgifter och and- ra uppgifter vid de allmänna domstolarna, de allmänna förvaltnings- domstolarna samt hyres- och arrendenämnderna följer alla samma struktur. I ett inledande kapitel i författningarna har vi valt att samla allmänt tillämpliga bestämmelser. Därefter följer ett kapitel som inne- håller de bestämmelser som reglerar behandling för gemensamma syf- ten inom ett verksamhetsområde, dvs. behandling av uppgifter i databa- ser. Varje författningsförslag avslutas med ett kapitel som innehåller bestämmelser om enskildas rättigheter gentemot personuppgiftsan- svariga domstolar och nämnder. Redovisningen av våra överväganden i detta kapitel avseende författningsförslagen följer samma ordning. Kapitlet avslutas med våra överväganden i fråga om kompletterande förordningar. Vårt förslag: Lagarna skall tillämpas vid behandling av person- uppgifter i domstolarnas och nämndernas rättsskipande och rättsvår- dande verksamhet, om behandlingen är helt eller delvis automatise- rad. Även behandling av personuppgifter i register skall omfattas av lagarnas tillämpningsområde. De bestämmelser i lagarna som reglerar ändamålen med och an- svaret för behandlingen, gallring och bevarande av uppgifter samt behandling av uppgifter i särskilda gemensamma automatiserade uppgiftssamlingar (databaser), skall vara tillämpliga även vid be- handling av uppgifter om juridiska personer och avlidna. Domstolarnas och nämndernas verksamhet kan delas in i två delar, dels den rättsskipande och rättsvårdande verksamheten, dels den interna administrativa verksamheten. Som exempel på administrativa arbets- områden kan nämnas personal- och lokalfrågor. Vi har kartlagt före- komsten av administrativa register och anser att det inte är nödvändigt med specialreglering för att kunna hantera behandlingen av personupp- gifter i den administrativa verksamheten (se avsnitt 5.4.2). Enligt vår bedömning bör de författningar som skall reglera behandling av per- sonuppgifter i domstolarnas och nämndernas verksamhet därför omfat- ta endast den rättsskipande och rättsvårdande verksamheten. För be- handling av uppgifter som rör administrativa frågor, t.ex. i löneregister, skall således i stället personuppgiftslagen tillämpas fullt ut. I vissa fall kan det vara tveksamt om en uppgift i ett datorsystem är hänförlig till den materiella eller den administrativa verksamheten. Det kan förekomma att det i ett målhanteringssystem, tillsammans med uppgifter om parter och beslut m.m., finns uppgifter om vem som hand- lägger ett visst mål eller ärende och när denna person har semester samt till vilken rotel inom en domstol som ett mål eller ärende hör. Det kan även tänkas förekomma uppgifter om t.ex. olika handläggares special- kunskaper. Sådana uppgifter kan användas för att få till stånd en smidig handläggning av de mål och ärenden som domstolen eller nämnden har att hantera, t.ex. genom automatiserade lottningsförfaranden. Den ty- pen av uppgifter är enligt vår uppfattning rent administrativa, dvs. de hänför sig till myndighetens verksamhet och inte till de enskilda som är föremål för myndighetens åtgärder. Behandlingen av sådana uppgifter berörs alltså inte av den av oss föreslagna lagstiftningen. För att uppfylla dataskyddsdirektivets krav anser vi att författningarna för domstolar och nämnder skall omfatta samma grundläggande be- handling som personuppgiftslagen, dvs. helt eller delvis automatiserad behandling av personuppgifter och behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda krite- rier (register). Personuppgiftslagen gäller endast vid behandling av personuppgif- ter, dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att behandling av uppgifter om juridiska personer och avlidna inte alls omfattas av lagen. larna och nämnderna behandlar stora mängder uppgifter som rör andra än levande fysiska personer, t.ex. företag, myndigheter och andra orga- nisationer som är parter i mål eller ärenden. Det är ibland dessutom nödvändigt att behandla uppgifter om avlidna personer. Dessa katego- rier av personer har av naturliga skäl inte samma behov av integritets- skydd som levande fysiska personer. I författningar som reglerar vad myndigheter får och inte får registrera i sina datorsystem och hur upp- gifterna sedan får användas, finns det enligt vår uppfattning ändå an- ledning att låta andra än levande fysiska personer omfattas av regler- ingen. Vi föreslår därför att även avlidna och juridiska personer skall om- fattas av de bestämmelser i författningarna som anger ändamålet med och ansvaret för behandlingen samt som reglerar hur länge uppgifter får bevaras. När uppgifter behandlas i gemensamma datorsystem (se avsnitt 6.2 om databaser) skall även bestämmelser om innehåll samt utlämnande av, åtkomst till och sökning efter uppgifter omfatta juridis- ka personer och avlidna. Vårt förslag: Bestämmelser i personuppgiftslagen skall tillämpas på behandling av personuppgifter vid domstolar och nämnder endast när det anges särskilt. De bestämmelser i personuppgiftslagen som skall vara allmänt till- lämpliga är de om definitioner, förhållandet till offentlighetsprinci- pen, grundläggande krav på behandling, säkerheten vid behandling, överföring av personuppgifter till tredje land, person- uppgiftsombudets uppgifter, upplysningar till allmänheten om vissa behandlingar, tillsynsmyndighetens befogenheter samt straff. I vissa fall skall även bestämmelsen om användning av personnummer vara tillämplig. En viktig fråga är i vilken omfattning personuppgiftslagens bestämmel- ser skall vara direkt tillämpliga på verksamhet vid domstolar och nämnder. Personuppgiftslagen är generellt tillämplig på behandling av personuppgifter och den kommer därför att gälla i domstolarnas och nämndernas verksamhet, om det inte finns avvikande bestämmelser i lag eller förordning. Som vi nämner i avsnitt 5.4 behövs det avvikande bestämmelser för domstolarna och nämnderna. Det innebär att det i varje enskild lag som vi föreslår kommer att finnas vissa uttryckliga bestämmelser som avviker från personuppgiftslagen. uppstår frågan hur man skall hantera de regler som inte skall avvika från per- sonuppgiftslagen. I tidigare lagstiftningsärenden har olika varianter förekommit. En modell är att i en särskild författning över huvud taget inte näm- na personuppgiftslagen eller klart ange att den särskilda författningen gäller utöver personuppgiftslagen. I bägge fallen gäller avvikande be- stämmelser i den särskilda författningen före personuppgiftslagen. När reglering saknas i den särskilda författningen kommer däremot person- uppgiftslagens bestämmelser att vara tillämpliga. Nackdelen med en sådan modell är att lagtillämparen kan ha svårt att få en blick över vilka bestämmelser i personuppgiftslagen som är tillämpliga och i vilken omfattning det i den särskilda författningen finns bestämmelser som kanske endast delvis avviker från personuppgiftslagens regler. Model- len används bl.a. i polisdatalagen (1998:622), som enligt vad vi erfarit – bl.a. vid kontakter med (Ju 2000:01) – mött kritik inom polisväsendet på grund av att den anses svår att tillämpa. En annan modell som diskuterats innebär att de bestämmelser i per- sonuppgiftslagen som skall vara tillämpliga skrivs ut i klartext i en särskild författning. Fördelen med en sådan lösning är att tillämparen snabbt får klart för sig vilka bestämmelser som gäller utan att ens be- höva gå till personuppgiftslagen. En nackdel med att direkt skriva ut bestämmelser som finns i personuppgiftslagen är att man därigenom inför en onödig form av dubbelreglering, eftersom personuppgiftsla- gens bestämmelser ändå gäller om inget annat anges. Dessutom innebär även mindre ändringar i personuppgiftslagen att motsvarande juster- ingar måste göras i den särskilda författningen. Den särskilda lagen kan även komma att bli onödigt omfattande till formatet. En tredje modell innebär att de bestämmelser som avviker från per- sonuppgiftslagen regleras särskilt i specialförfattningen och att det uttryckligen hänvisas till de lagrum i personuppgiftslagen som skall vara tillämpliga. Denna metod tillämpas i den lagstiftning om behandling av personuppgifter som gäller inom skatteförvaltningen, exekutionsväsendet och . Fördelarna är enligt vår mening att lagstiftningen blir mer överskådlig, tydlig och lättillämpad än om inga hänvisningar görs till personuppgiftslagen. Metoden fick emellertid kritik av lagrådet, som bl.a. ansåg att lagstiftningstekniken var riskfylld med hänsyn till såväl svårigheterna att överblicka om dataskyddsdirek- tivet blir till fullo genomfört i registerlagarna som till möjligheten att vid kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller missvisande (se prop. 2000/01:33, s. 345 f.). Det finns enligt vår uppfattning ett stort värde i att inte lämna lagtillämparen utan vägledning när det gäller tolkningen av vilka bestämmelser i personuppgiftslagen som är tillämpliga. Det visar inte minst de tidigare nämnda problem som förekommer inom polisvä- sendet med tolkningen av vilka bestämmelser i personuppgiftslagen som är tillämpliga vid sidan av polisdatalagen. Vi anser vidare att man inte skall överdriva den av lagrådet påtalade risken att hänvisningar kan bli felaktiga vid lagändringar, inte minst eftersom regleringen avser ett rättsområde som har sin grund i ett EG-direktiv och därför inte kan antas komma att genomgå några större förändringar inom i vart fall . Vår bedömning är att de ovan nämnda fördelarna med en metod som innebär att det i varje lag ges uttryckliga hänvisningar till de bestämmelser i personuppgiftslagen som är tillämpliga mycket klart överväger nackdelarna. Vi föreslår därför att en sådan modell används i författningarna om behandling av personuppgifter vid domstolar och nämnder. Tillämpliga bestämmelser i personuppgiftslagen Redovisningen nedan av vilka bestämmelser i personuppgiftslagen som vi föreslår skall vara tillämpliga vid behandling av personuppgifter i verksamhet vid domstolar och nämnder omfattar inte de bestämmelser som direkt rör enskildas rättigheter; information, rättelse och skades- tånd. Vi återkommer till de bestämmelserna i avsnitt 6.3. Definitioner (3 §) Vi har inte funnit någon anledning att i de av oss föreslagna författ- ningarna definiera där förekommande begrepp på något annat sätt än i 3 § personuppgiftslagen. Tvärtom är det för att undvika missförstånd viktigt att de begrepp som används i de olika författningarna har sam- ma innebörd. Det bör dock anmärkas att personuppgiftsansvaret regle- ras särskilt i de föreslagna författningarna. Förhållandet till offentlighetsprincipen m.m. (8 §) Bestämmelsen i 8 § första stycket personuppgiftslagen är en ren upp- lysning och markering om offentlighetsprincipens företräde. I andra stycket finns dock en materiell regel som anger att 9 § fjärde stycket personuppgiftslagen – där det ställs upp begränsningar i rätten att an- vända sig av personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål för att vidta åtgärder i fråga om den regi- strerade – inte skall tillämpas i fråga om myndigheters användning av personuppgifter i allmänna handlingar. Det undantaget skall gälla även inom verksamhet vid domstolar och nämnder. Grundläggande krav på behandlingen av personuppgifter (9 §) En av de väsentligaste bestämmelserna i fråga om behandling av per- sonuppgifter finns i 9 § personuppgiftslagen och avser vilka grundläg- gande krav som ställs på en personuppgiftsansvarig. Dessa krav bör naturligtvis tillämpas även vid behandling av personuppgifter vid dom- stolar och nämnder. Vi föreslår emellertid särskilda gallringsregler och bestämmelserna i 9 § första stycket i) och tredje stycket om hur länge uppgifter får bevaras skall inte tillämpas. Behandling av personnummer (22 §) Enligt 22 § personuppgiftslagen får personnummer behandlas endast efter samtycke från den registrerade eller om det är klart motiverat med hänsyn till behandlingens ändamål, vikten av en säker identifiering eller något annat beaktansvärt skäl. För behandling vid domstolar och nämnder torde det av rättssäkerhetsskäl ofta vara så att personnummer behöver användas för att eliminera risken för fel i handläggningen av mål och ärenden. Vid behandling av personuppgifter i gemensamma datorsystem är det i de flesta fall nödvändigt att generellt använda personnummer för att kunna säkra identifieringen av en registrerad. För sådan behandling anges därför uttryckligt i de särskilda författningarna att uppgifter om en persons identitet, t.ex. personnummer, får användas (se avsnitt 6.2.2 om databaser). Hänvisningen till personuppgiftslagens bestämmelse får därför praktisk tillämpning endast i fråga om behandling som inte sker i särskilt reglerade databaser, t.ex. vid vanlig ordbehandling och hanter- ing av e-post. Även i de fallen torde det dock ofta vara motiverat att använda personnummer för att säkerställa de berörda parternas identi- tet. Personnummer bör emellertid inte användas slentrianmässigt när risk inte föreligger för förväxling mellan personer eller när andra beak- tansvärda skäl saknas. Säkerheten vid behandling (30-32 §§) I 30–32 §§ personuppgiftslagen finns regler om hur den personupp- giftsansvarige skall organisera arbetet med behandling av person- uppgifter för att garantera säkerheten. Det rör sig som instruktioner till personalen samt tekniska och organisatoriska åtgärder. Dessa bestäm- melser skall vara tillämpliga i verksamhet vid domstolar och nämnder, vilket innebär att det måste finnas bestämda rutiner för hanteringen av personuppgifter. Detta är inte minst viktigt i fråga om behandling av uppgifter i databaserna, där det exempelvis kan behövas såväl tekniska lösningar för datorsystemen som olika behörighetsnivåer för personal- kategorier, för att garantera att regleringen i de av oss föreslagna för- fattningarna kan efterlevas. Överföring av personuppgifter till tredje land (33–35 §§) Personuppgifter som är under behandling får enligt 33 § personupp- giftslagen inte föras över till tredje land om inte det mottagande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Vi anser att förbudet mot överföring till tredje land, och de undan- tag från förbudet som föreskrivs, måste vara tillämpliga på behandling enligt den av oss föreslagna lagstiftningen för att dataskyddsdirektivets krav skall uppfyllas. Vi diskuterade i vårt delbetänkande vissa frågor angående sådan överföring (SOU 2001:32, s. 129 ff). Personuppgiftsombudets uppgifter m.m. (38–41 §§) Automatiserade behandlingar av personuppgifter skall enligt 36 § per- sonuppgiftslagen anmälas till tillsynsmyndigheten (Datainspektionen). Anmälan behöver dock enligt 3 § personuppgiftsförordningen inte gö- ras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning. Det finns enligt vår mening inte någon anledning att ställa krav på anmälningsskyldighet för behandlingar som utförs med stöd av den av oss föreslagna lagstiftningen. Den personuppgiftsansva- rige har enligt 36 § personuppgiftslagen även möjlighet att utse ett personuppgiftsombud. Vår bedömning är att det bör åligga den person- uppgiftsansvarige att ta ställning till frågan om ett personuppgiftsom- bud skall inrättas hos myndigheten eller inte. Om ett sådant ombud utses, skall bestämmelserna om ombudets skyldigheter i 38–40 §§ per- sonuppgiftslagen tillämpas. Regeringen har enligt 41 § personuppgiftslagen möjlighet att före- skriva att vissa särskilt känsliga behandlingar skall anmälas till Datain- spektionen för förhandskontroll oavsett om det finns ett personupp- giftsombud eller inte. Denna möjlighet bör regeringen enligt vår me- ning ha även i fråga om sådana behandlingar som regleras i den av oss föreslagna lagstiftningen. Vi diskuterade i vårt delbetänkande vissa frågor angående anmälan till Datainspektionen (SOU 2001:32, s. 127 ff). befogenheter (43 och 47 §§) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot person- uppgiftsansvariga. Vi anser att den möjlighet som inspektionen har enligt 43 § personuppgiftslagen att på begäran få tillgång till person- uppgifter, upplysningar och dokumentation om behandlingen och sä- kerheten samt tillträde till lokaler bör finnas även när den person- uppgiftsansvarige är en myndighet. Däremot är det inte möjligt för Datainspektionen att vid vite förbjuda en personuppgiftsansvarig statlig myndighet att behandla personuppgifter, eftersom vite som sanktions- medel enligt allmänna rättsgrundsatser inte bör användas mellan statli- ga myndigheter. Hänvisning behöver därför inte göras till bestämmel- serna om vite i 44 och 46 §§ personuppgiftslagen. Inte heller finner vi det nödvändigt att i specialförfattningarna hänvisa till 45 §, vari anges att Datainspektionen skall försöka åstadkomma rättelse genom påpe- kanden e.d., om inspektionen konstaterar att personuppgifter behandlas felaktigt Det torde vara självklart att Datainspektionen vidtar de åtgär- der som är rimliga för att få till stånd rättelse när brister i domstolarnas och nämndernas hantering upptäcks. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt skall utplånas. Bestämmelsen har sin grund i dataskyddsdirektivets artikel 28.3, där det anges att varje natio- nell tillsynsmyndighet skall ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndighe- terna på dessa överträdelser. Vi kan inte se att det i den av oss före- slagna lagstiftningen finns utrymme för att underlåta att uppfylla direk- tivets krav i den delen. Straff (49 §) Personuppgiftslagens bestämmelser om straffansvar bör omfatta även verksamhet vid domstolar och nämnder. Bestämmelserna bör vara till- lämpliga även när personuppgifter behandlas med stöd av de av oss föreslagna författningarna. Vårt förslag: Tydliga och konkreta ändamål för behandling av per- sonuppgifter och andra uppgifter skall anges i lag. Uppgifter skall få behandlas endast för de angivna ändamålen. De ändamål för vilka uppgifter skall få behandlas automatiserat eller i register är: –handläggning av mål och ärenden, –fullgörande av underrättelseskyldighet som följer av lag eller förordning, –återsökning av vägledande avgöranden, och –planering, uppföljning och utvärdering av verksamheten. Bestämmelser om för vilka ändamål uppgifter i statliga personregister får användas har alltid haft en central roll i registerförfattningar. Ge- nom att ange ändamålen och reglera vilka uppgifter som får registreras, har ramen för hanteringen av personregister satts upp. I och med data- skyddsdirektivet har betydelsen av klara ändamålsbestämmelser ökat än mer. Ett av de viktigaste inslagen i direktivet är nämligen att per- sonuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna senare inte får behandlas för något ändamål som är oförenligt med de för vilka uppgifterna samlades in (artikel 6.1a). Motsvarande bestämmelser finns i 9 § personuppgifts- lagen. Sambearbetning mellan olika automatiserade register, s.k. samkör- ning, har länge ansetts vara en särskilt känslig form av person- uppgiftsbehandling. Enligt datalagen krävdes t.ex. särskilt tillstånd för sådan behandling, om inte registreringen eller utlämnandet av uppgifter kunde göras med stöd av författning. I dataskyddsdirektivet tas däremot inte någon direkt hänsyn till de särskilda integritetsproblem som är förknippade med behandling i form av sambearbetning mellan olika uppgiftsdatabaser. Under förutsättning att insamlandet, utlämnandet och den senare behandlingen av uppgifterna står i överensstämmelse med ändamålen för registren eller databaserna, föreligger inga hinder för sådan sambearbetning. Det krävs således inte något särskilt författ- ningsstöd för att uppgifter i en databas skall kunna sambearbetas med uppgifter i en annan databas. som denna nya situation öppnar möjligheter till nya rättsliga konstruktioner med databasbegreppet som grund (se avsnitt 5.7), ställer den särskilt höga krav på att ändamålsbe- stämmelserna i de författningar som reglerar behandling av personupp- gifter i myndighetsverksamhet är utformade på ett sådant sätt att det klart framgår för vilka syften uppgifter får behandlas. Vi anser att uppgifter skall få behandlas automatiserat av domstolar och nämnder för fyra uttryckliga ändamål, som vi bedömer tillsammans täcker behovet av uppgiftsbehandling. Det första och viktigaste ända- målet är handläggningen av mål och ärenden. Härigenom uttrycks på ett klart och tydligt sätt att domstolar och nämnder får behandla uppgif- ter för att kunna fullgöra sin egentliga verksamhet. Någon närmare precisering av vad som omfattas av begreppet handläggning anser vi inte vara nödvändig eller ens lämplig. Det andra ändamålet är författ- ningsreglerad underrättelseskyldighet, t.ex. tingsrätternas skyldighet att lämna vissa uppgifter elektroniskt till . Ett tredje viktigt ändamål är återsökning av vägledande avgöranden. Genom att ange detta som ett ändamål öppnas möjligheter för domstolar och nämnder att inrätta och använda sig av olika rättsfallsregister samt att använda befintliga eller kommande mål- och ärendehanteringssystem som ett stöd vid avgörandet av mål och ärenden. anges som ett ändamål planering, uppföljning och utvärdering av verksamheten. Domstolarnas och nämndernas administrativa ledning behöver kunna använda uppgifter i den rättsskipande och rättsvårdande verksamheten för att utveckla de former i vilka verksamheten bedrivs och planera för åtgärder som behöver vidtas . Vid sidan av de nu angivna ändamålen följer direkt av 9 § person- uppgiftslagen att behandling av personuppgifter för statistiska ändamål inte är oförenlig med de uttryckliga ändamål för vilka uppgifter samlas in och behandlas. Det är med andra ord tillåtet att använda uppgifter i den rättsskipande och rättsvårdande verksamheten för att framställa statistik, även om det inte direkt anges i de särskilda författningarna. Att uppgifter i domstolar och nämnder uttryckligen får behandlas för de ovan redovisade primära ändamålen, hindrar naturligtvis inte att uppgifter behandlas även genom att lämnas ut i enlighet med offentlig- hetsprincipen eller bestämmelserna i sekretesslagen och förvaltningsla- gen om samarbete mellan myndigheter. Vårt förslag: En domstol eller nämnd skall vara personuppgiftsan- svarig för behandling som den utför eller som det åligger den att ut- föra. En domstol eller nämnd skall vid sidan av personuppgiftsansvaret även ha ansvar för att uppgifter om juridiska personer och avlidna behandlas i enlighet med de grundläggande bestämmelserna i lag- stiftningen. Personuppgiftsansvarig är enligt 3 § personuppgiftslagen den som en- sam eller tillsammans med andra bestämmer ändamålen med och med- len för behandling av personuppgifter. För att undvika oklarheter vid den författningsreglerade behandlingen av personuppgifter i domsto- larnas och nämndernas verksamhet bör placeringen av personuppgifts- ansvaret regleras uttryckligt i de särskilda författningarna.