sou · GPB332 · 2002-01-01 00:00:00 — Vi föreslår därför att sådana personuppgifter skall få behandlas endast om uppgifterna har lämnats i ett mål eller ärende eller om de behövs för handläggningen av målet eller ärendet. Det innebär exempelvis att känsliga personuppgifter som någon har lämnat i ett mål alltid kan refe- reras i ett beslut eller en dom. För den händelse att det behövs, får även känsliga personuppgifter i övrigt förekomma i domen eller beslutet. Det torde närmast ligga på den ansvarige handläggaren att göra den be- dömningen, eftersom det naturligtvis ytterst måste vara den som dömer i ett mål som avgör innehållet i domen. Några begränsningar i det avse- endet kan givetvis inte accepteras. Närmare om skälen för författningsförslagen 115 När uppgifter behandlas elektroniskt i löpande text hos myndigheter är det vanligt att det med tiden lagras stora mängder uppgifter i elektro- nisk form vid sidan av särskilt reglerade personregister. Ofta sparas uppgifter elektroniskt även efter att de har skrivits ut på papper. På detta sätt kan det växa fram omfattande informationsmäng- der som ofta är lätt tillgängliga med hjälp av olika sökprogram (jfr av- snitt 5.6.1). Av integritetsskäl bör enligt vår bedömning en domstol el- ler nämnd inte bevara all sådan information utan att åtgärder vidtas. Enligt vår uppfattning bör som huvudregel gälla att uppgifter som be- handlas automatiserat i ett mål eller ärende – utan att behandlingen görs i ett särskilt reglerat personregister – skall gallras senast ef- ter att ärendet har avslutats, eftersom det sällan torde finnas anledning att av verksamhetsskäl bevara elektroniskt upprättade dokument . Det kan emellertid finnas anledning att av andra skäl låta uppgifter bevaras . bör därför en- ligt vår uppfattning ha möjlighet att meddela föreskrifter om förläng- ning av den tid som uppgifter får bevaras. I ett avseende anser vi att det redan av förordningarna bör föreskri- vas undantag från huvudregeln. Det gäller bevarande av material som kan användas som vägledning vid senare avgöranden. Kammarrätten i har tillstånd från Datainspektionen att bevara domar och beslut i fulltext i elektronisk form under förutsättning att de gallras genom avidentifiering på ett sådant sätt att partsuppgifter och andra personuppgifter inte kan utläsas direkt av domen eller beslutet. Vi har i och för sig ännu inte haft möjlighet att närmare analysera frågan, men det torde inte finnas några starka integritetsskäl som talar mot en sådan ordning. Den möjlighet som Kammarrätten i har anser vi dessutom bör finnas även för övriga domstolar samt för hyres- och arrendenämnderna. Vi föreslår därför att det i förordningarna anges att personuppgifter som kan hänföras till enskilda endast med hjälp av ett mål- eller ärendenummer skall få bevaras . 116 Närmare om skälen för författningsförslagen Vårt förslag: Personuppgiftslagens bestämmelser om rättelse, ska- destånd och information skall tillämpas på behandling som utförs med stöd av förordningarna. Beslut av den personuppgiftsansvarige om rättelse eller om information till den registrerade efter ansökan skall kunna överklagas. Den personuppgiftsansvarige är enligt 28 § personuppgiftslagen på be- gäran av en registrerad skyldig att rätta, blockera eller utplåna uppgifter som inte har behandlats med stöd av den lagen. Enligt vår uppfattning skall den enskilde ha samma möjligheter till rättelse av uppgifter som behandlas med stöd av de förordningar vi föreslår. Av lagtekniska skäl krävs att detta uttryckligen anges i förordningarna (se närmare om rättelse i avsnitt 6.4). Enskildas rätt till skadestånd enligt personuppgiftslagen regleras i 48 §. Där anges att en enskild har rätt till ersättning från den personupp- giftsansvarige för sådan skada och kränkning av den personliga inte- griteten som har orsakats av behandling i strid med den lagen. Vi anser att den enskilde bör ha samma möjligheter till skadestånd om han eller hon lider skada av behandling som utförs med stöd av de förordningar vi föreslår. I likhet med vad som gäller i fråga om rättelse, kräver det att det i förordningarna uttryckligen anges att skadeståndskyldigheten gäller även i de fallen. Dataskyddsdirektivets och personuppgiftslagens bestämmelser innebär att det finns en långtgående informationsskyldighet gentemot registre- rade, både när uppgifter samlas in från honom eller henne själv eller från en annan källa. Information om registrering av uppgifter som samlas in från den enskilde själv är enligt artikel 10 i direktivet obli- gatorisk, dvs. det finns ingen möjlighet att föreskriva undantag från motsvarande bestämmelse i 23 § personuppgiftslagen om att den per- Närmare om skälen för författningsförslagen 117 sonuppgiftsansvarige skall lämna sådan information självmant. Infor- mation behöver dock inte lämnas om sådant som den registrerade redan känner till. För uppgifter som samlas in från andra än den registrerade, t.ex. från åklagare eller skattemyndigheter, gäller i stället att om det finns bestämmelser om registreringen eller utlämnandet i lag eller förordning behöver information inte lämnas självmant. Vid sidan av dessa bestämmelser gäller enligt 26 § personupp- giftslagen att den personuppgiftsansvarige alltid på begäran av en en- skild skall lämna information om behandling av personuppgifter som rör honom eller henne. Den enskilde har rätt att en gång få sådan informationen gratis. Vad som sägs ovan innebär att vi inte kan föreslå undantag i fråga om skyldigheten att självmant lämna information när uppgifter samlas in från den enskilde själv. Enligt personuppgiftslagen är domstolarna och nämnderna normalt inte skyldiga att självmant lämna information när uppgifter samlas in från andra än den registrerade, eftersom det av förordningarna framgår vilka uppgifter som skall eller får registreras. Vi ser ingen anledning att föreskriva att sådan information ändå skall lämnas. Enligt vår bedömning finns det heller inte anledning att nu fö- reskriva undantag från bestämmelsen om att information skall lämnas efter begäran av den enskilde. Vi föreslår därför inga särbestämmelser om information i förordningarna (se närmare om informationsskyldig- heten i avsnitt 6.3). Beslut av en myndighet som direkt berör en enskild och som inte är av rent intern administrativ karaktär, bör enligt vår uppfattning i allmänhet kunna överklagas. I fråga om behandling av personuppgifter i domsto- larnas och nämndernas verksamhet gäller det framför allt beslut att av- slå en ansökan om information om pågående behandlingar samt beslut att avslå en begäran om rättelse. Överklagande bör enligt vår uppfatt- ning vara möjligt i båda fallen. Den normala ordningen när en myndighet fattar ett beslut av för- valtningskaraktär är enligt 22 a § förvaltningslagen (1986:223) att be- slutet kan överklagas hos allmän förvaltningsdomstol och att det krävs prövningstillstånd för vidare överklagande till kammarrätten. Detta är också vad som generellt gäller för nyare författningar om behandling av personuppgifter i offentlig verksamhet. För beslut av hyres- och arren- denämnderna är det den logiska ordningen i fråga om de här aktuella 118 Närmare om skälen för författningsförslagen besluten och några skäl mot det kan vi inte se. Vårt förslag avseende nämnderna är därför utformade på det sättet. Vad som skall gälla när det är en domstol som har fattat beslutet är mer tveksamt. Vi bedömer att det finns två praktiska alternativ till hur man kan eller bör lösa överklagandefrågan i de förordningar som gäller domstolarnas behandling av personuppgifter. Till grund för båda dessa alternativ ligger vår bedömning att ärenden eller mål som rör frågor om behandling av personuppgifter bör prövas av allmän förvaltningsdom- stol, inte av allmän domstol, eftersom det är den ordning som gäller för annan offentlig verksamhet. Det första alternativet har sin utgångspunkt i bestämmelserna i 15 kap. 7 § sekretesslagen (1980:100) om överklagande av beslut av domstolar om utlämnande av allmän handling. Framför allt frågor om information till registrerade ligger till sin karaktär i vissa avseenden nä- ra frågor om utlämnande av sådana handlingar. Av bestämmelsen i sek- retesslagen framgår att beslut att vägra lämna ut en handling, enligt hu- vudregeln överklagas hos kammarrätt eller, såvitt gäller beslut i ärende som väckts hos kammarrätt, hos Regeringsrätten. Har ett beslut med- delats av tingsrätt eller hovrätt och rör det handling i domstolens rätts- skipande eller rättsvårdande verksamhet, överklagas det hos hovrätt re- spektive . För en tingsrätts eller hovrätts beslut om utlämnande av handling som inte rör den rättsskipande eller rättsvår- dande verksamheten gäller som för andra myndigheter att det överkla- gas till kammarrätt. Beslut av eller Regeringsrätten kan inte överklagas. När en domstol fattar beslut om rättelse eller information avseende den egna behandlingen av personuppgifter, är det enligt vår uppfattning ett beslut i ett administrativt ärende och inte ett led i den rättsskipande eller rättsvårdande verksamheten. Däremot rör det uppgifter som be- handlas i den senare verksamheten. Om den ovan beskrivna modellen i sekretesslagen skulle appliceras direkt på beslut om rättelse och infor- mation, skulle det således innebära att beslut av tingsrätt skulle över- klagas hos hovrätt och beslut av hovrätt, i ärende som väckts där, hos . Enligt vår uppfattning kan emellertid frågor om in- formation och rättelse enligt personuppgiftslagen inte anses ha samma anknytning till den rättsskipande och rättsvårdande verksamheten som frågor om utlämnande av allmänna handlingar. Det torde därför inte finnas samma starka skäl för att en allmän domstols beslut skall prövas av en annan allmän domstol. Som vi nämner tidigare anser vi dessutom att prövning av överkla- gande i mål om behandling av personuppgifter bör hanteras av allmän förvaltningsdomstol. Vår uppfattning är således att besluten bör över- klagas i samma ordning som enligt sekretesslagen gäller för beslut att Närmare om skälen för författningsförslagen 119 vägra lämna ut handlingar i domstolarnas administrativa verksamhet, dvs. att alla beslut av allmänna domstolar och allmänna förvaltnings- domstolar som får överklagas skall prövas av kammarrätt, med undan- tag för beslut av kammarrätter som i stället överklagas till Regerings- rätten. Högsta domstolens och Regeringsrättens beslut blir med denna ordning inte överklagbara. Enligt 2 § lagen (1971:289) om allmänna förvaltningsdomstolar prövar Regeringsrätten överklagande av kammarrätts beslut enligt för- valtningsprocesslagen (1971:291) samt överklagande av annat beslut i förvaltningsärende som enligt lag eller instruktion för kammarrätterna skall göras hos Regeringsrätten. För att den ovan nämnda ordningen att en kammarrätts beslut i ärenden som väckts där överklagas hos Rege- ringsrätten skall vara möjlig krävs således, om en lagändring skall und- vikas, att det i förordningen (1996:380) med kammarrättsinstruktion in- förs en bestämmelse om överklagande till Regeringsrätten. I den av oss föreslagna förordningen avseende Regeringsrätten och kammarrätterna bör då, av upplysningsskäl, endast hänvisas till att bestämmelser om överklagande av en kammarrätts beslut finns i instruktionen. Det andra alternativet har ovan nämnda huvudregel i 22 a § för- valtningslagen som utgångspunkt. Beslut av allmän domstol skulle så- ledes överklagas till allmän förvaltningsdomstol. För beslut av de all- männa förvaltningsdomstolarna är situationen däremot mer komplice- rad. Självfallet bör en länsrätt inte pröva ett överklagande av ett beslut som har fattats av länsrätten själv. Det är därför inte möjligt med en generell bestämmelse om överklagande till allmän förvaltningsdomstol. Den möjliga lösning som vi anser föreligga är att samtliga beslut av länsrätt överklagas till en särskild länsrätt. Det naturliga valet är då en- ligt vår mening Länsrätten i , som har att pröva beslut av Datainspektionen. För att få så enhetliga regler som möjligt för domstolar skulle eventuellt även beslut av allmänna domstolar kunna överklagas till Länsrätten i . För vissa domstolar skulle det ändå vara nödvändigt att ha en avvi- kande reglering. Det gäller naturligtvis Länsrätten i , men även kammarrätterna och Regeringsrätten. Även om det inte rör beslut i den rättsskipande eller rättsvårdande verksamheten, är det en- ligt vår mening olämpligt att en länsrätt prövar beslut av en kammar- rätt. Likaså bör en kammarrätt inte pröva beslut av en annan kammar- rätt. Den möjlighet som då återstår är att beslut av Länsrätten i län prövas av Kammarrätten i samt att beslut av kammarrätterna i ärenden som väckts där överklagas direkt till Rege- ringsrätten. För beslut av Regeringsrätten är det av naturliga skäl inte möjligt att ha bestämmelser om överklagande. Liksom i fråga om den som första alternativ beskrivna ordningen skulle, för att en kammarrätts 120 Närmare om skälen för författningsförslagen beslut i ärende som väckts där skall kunna överklagas till Regerings- rätten, en ändring i kammarrättsinstruktionen behöva göras. Ingen av de ovan nämnda alternativen är enligt vår uppfattning helt tillfredsställande och det finns nackdelar med båda modellerna. Vi an- ser dock att alternativet att i princip följa de överklagandebestämmelser som gäller enligt sekretesslagen är att föredra och föreslår därför en så- dan ordning. Tillämpning av personuppgiftslagen i vissa fall 121 6Tillämpning av personuppgifts- lagen i vissa fall I och med att datalagen (1973:289) helt upphör att gälla skall all automatiserad behandling av personuppgifter ske i enlig- het med antingen personuppgiftslagen (1998:204) eller särskilda regis- terförfattningar. Som framgår av våra överväganden i kapitel 4 föreslår vi att personuppgiftslagen skall gälla fullt ut för automatiserad behand- ling av personuppgifter utanför den rättsskipande eller rättsvårdande verksamheten, dvs. i domstolarnas och nämndernas administrativa verksamhet. Behandling i den rättsskipande eller rättsvårdande verk- samheten regleras i särskilda förordningar. Även för behandling i dessa verksamheter kommer emellertid flera bestämmelser i personuppgifts- lagen att vara tillämpliga, nämligen i samtliga de fall då några särskilda bestämmelser som preciserar eller avviker från personuppgiftslagen inte finns i den aktuella förordningen. Personuppgiftslagen är en generell lag. Det innebär att om det inte finns avvikande bestämmelser i andra författningar skall lagens be- stämmelser i princip tillämpas på all automatiserad behandling av per- sonuppgifter, utom sådan som en fysisk person utför som ett led i en verksamhet av rent privat natur. Detta gäller oavsett om uppgifter be- handlas i omfattande myndighetsregister eller i ordbehandlingsfiler hos ett mindre företag. Personuppgiftslagens bestämmelser är därför ofta allmänt hållna och inte alltid lätta att tolka eller att tillämpa. Inte heller förarbetena är särskilt upplysande i fråga om hur enskilda bestämmel- ser skall tolkas i olika fall. Anledningen till detta är naturligtvis att per- sonuppgiftslagen baseras på dataskyddsdirektivet och att EG-dom- stolen enligt EG:s rättsordning är exklusivt behörig att göra auktoritati- va uttalanden om innebörden av (jfr artikel 220 i Rom- fördraget). Vid sidan av betänkande (SOU 1997:39) och regeringens propositioner (prop. 1997/98:44 och 1999/2000:11) kan viss ledning vid tillämpningen av personuppgiftslagen även hämtas i doktrinen. Det finns bl.a. en kommentar till lagen (/, Personuppgiftslagen - En kommentar, : Juridik, 1998) och en mer praktiskt inriktad handledning (/Rein- 122 Tillämpning av personuppgiftslagen i vissa fall holdsson, Personuppgiftslagen i praktiken, 2 uppl. : Nor- stedts Juridik, 2000). Ytterligare information kan dessutom hämtas i Datainspektionens allmänna råd avseende personuppgiftslagens till- lämpning. De anvisningar som en tillämpare kan få med stöd av detta och an- nat material är emellertid av naturliga skäl av mer generell karaktär. Av de svar vi har fått med anledning av den enkät vi skickat till domstolar- na och nämnderna (se avsnitt 1.2) har framkommit att det inför föränd- ringarna finns önskemål om klargöranden av hur personuppgiftslagen påverkar domstolarna och nämnderna i vissa kon- kreta fall. Vi anser därför att det kan finnas ett värde i att i detta delbe- tänkande helt kort kommentera vissa viktiga bestämmelser med dom- stolarnas och nämndernas verksamheter som utgångspunkt. Vi vill dock markera att det endast är fråga om vår bedömning av hur vissa be- stämmelser rimligen bör kunna tolkas och hur berörda domstolar och nämnder kan agera, främst vid upprättandet och användningen av olika register. Genomgången är inte fullständig utan har främst till syfte att peka ut vissa bestämmelser som vi anser vara av särskilt intresse. 6.1Grundläggande krav på behandling av personuppgifter Vi redogör i avsnitt 4.4.2 för de grundläggande bestämmelserna om när personuppgifter får behandlas enligt 10 § personuppgiftslagen. Vi kon- staterar där att det enligt vår uppfattning inte finns några egentliga pro- blem för domstolarna och nämnderna att behandla personuppgifter i register eller på annat automatiserat sätt när det sker som ett led i verk- samheten. Det finns emellertid i 9 § vissa grundläggande krav på hur uppgifterna får behandlas. Personuppgifter skall alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, uttryck- ligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Om det är nödvändigt skall uppgifterna också vara aktuella. Bedömningen av om personuppgifter behandlas för berättigade än- damål, måste enligt vår uppfattning i första hand ses mot bakgrund av om en behandling är tillåten enligt 10 § personuppgiftslagen. Tillämpning av personuppgiftslagen i vissa fall 123 sonuppgifter får behandlas på visst sätt med stöd av 10 §, torde sådan behandling därefter anses ske för berättigade ändamål. Vår syn på när det är tillåtet att behandla olika uppgifter redovisar vi i avsnitt 4.4.2. Att det skall finnas ett bestämt och uttryckligt angivet ändamål eller användningsområde, innebär enligt vår uppfattning att det är lämpligt att domstolen eller nämnden skriftligen dokumenterar de administrativa register som finns och vad de används till, även om det inte finns något absolut krav på skriftlighet. Dokumentationen kan lämpligen göras i en beskrivning på det sätt som föreskrivs i 15 kap. 11 § sekretesslagen (1980:100). En ändamålsbeskrivning får inte vara för vag, utan det måste vara möjligt att utläsa vad ett register faktiskt skall användas till. Det torde t.ex. inte vara tillräckligt att för ett register över samtliga an- ställda endast ange som ändamål att arbetsgivaren av administrativa skäl skall ha en samlad bild av vilka som arbetar på domstolen eller nämnden. Om registret skall användas för utbetalning av löner, bör det enligt vår uppfattning framgå av ändamålsbeskrivningen. Det är sedan domstolens eller nämndens ansvar att ett register inte används på ett sätt som är oförenligt med vad som angetts i beskrivningen och att det i registret inte antecknas uppgifter som inte behövs för ändamålet med det. Noteras kan att det enligt personuppgiftslagen inte anses oförenligt med de ursprungliga ändamålen att behandla personuppgifterna för statistiska ändamål. Personuppgifterna i ett register får enligt en särskild bestämmelse i personuppgiftslagen normalt inte sparas längre än nödvändigt med hän- syn till de ändamål för vilka uppgifterna behandlas. Därefter måste de avidentifieras eller förstöras. Personuppgifter får dock ändå bevaras om gallring av dem skulle hindra fullgörandet av en myndighets skyldighet att lämna ut uppgifter enligt 2 kap. tryckfrihetsförordningen. Uppgifter får också bevaras om en domstol eller nämnd arkiverar eller bevarar allmänna handlingar. Det måste således bedömas från fall till fall, med hänsyn till bl.a. arkivlagstiftningen, om uppgifter skall sparas eller för- störas när de inte längre behövs för myndighetens verksamhet. 6.2Behandling av känsliga personuppgifter m.m. Det är enligt 13 § personuppgiftslagen förbjudet att behandla person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, reli- giös eller filosofisk övertygelse samt medlemskap i fackförening. Lika- så är det förbjudet att behandla personuppgifter som rör hälsa eller 124 Tillämpning av personuppgiftslagen i vissa fall Bestämmelsen är i grunden enkel att tillämpa, eftersom det endast finns ett fåtal undantag då uppgifterna trots förbudet får be- handlas. Undantag görs främst när den registrerade har samtyckt till att en uppgift behandlas. Sådant samtycke måste, som vi nämner i avsnitt 4.4.2, inhämtas från nämndemän innan uppgifter om nominerande parti antecknas i ett datoriserat register. Det är enligt vår uppfattning lämp- ligt att samtycke till behandling av känsliga personuppgifter dokumen- teras skriftligt av domstolen eller nämnden. I tolkregister kan det finnas uppgifter om namn och språkkunskaper, som tillsammans kan utgöra indirekta upplysningar om en tolks etniska ursprung. Det är svårt att uttala sig om gränsdragningen för när sådana uppgifter utgör känsliga personuppgifter och i tveksamma fall kan det därför vara bra om domstolen eller nämnden inhämtar samtycke från tolken innan uppgifterna registreras. De enda praktiskt tillämpliga fall som vi kan se då känsliga person- uppgifter får behandlas i administrativa register utan samtycke, är när uppgifter om anställdas fackföreningstillhörighet eller om deras hälsa (t.ex. vid sjukfrånvaro) registreras för att domstolen eller nämnden skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter på ar- betsrättens område. Det innebär att domstolarna och nämnderna får be- döma om de har ett rättsligt behov av sådana uppgifter i sin egenskap av arbetsgivare. Andra känsliga personuppgifter än de som arbetsgiva- ren verkligen behöver på den angivna grunden får självfallet inte regist- reras. 6.3Information till den registrerade I 23–27 §§ personuppgiftslagen finns långtgående bestämmelser om in- formation till registrerade om behandling av personuppgifter. Informa- tion skall dels lämnas självmant, dels efter begäran av en registrerad. Information som skall lämnas självmant Om personuppgifter samlas in från den enskilde själv, skall den person- uppgiftsansvarige i samband med insamlandet självmant lämna den re- gistrerade information om behandlingen av uppgifterna. Någon infor- mation behöver dock inte lämnas om sådant som den registrerade redan känner till. Tillämpning av personuppgiftslagen i vissa fall 125 Även när personuppgifter samlas in från någon annan källa än den registrerade, skall den personuppgiftsansvarige enligt huvudregeln självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras. Information behöver dock inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av per- sonuppgifterna i en lag eller någon annan författning. Information be- höver inte heller lämnas om det visar sig vara omöjligt eller skulle in- nebära en oproportionerligt stor arbetsinsats. De nu nämnda bestämmelserna innebär att en domstol inte behöver lämna någon information om behandling av uppgifter som samlas in från andra än den registrerade själv, t.ex. från åklagare eller skattemyn- digheter, om behandlingen sker i enlighet med de av oss föreslagna förordningarna, dvs. i den rättsskipande eller rättsvårdande verksam- heten. Däremot skall den enskilde informeras i de fall personuppgifter som han eller hon själv har lämnat behandlas automatiserat.