sou · GPB332 · 2002-01-01 00:00:00 — Enligt vår uppfattning saknar det betydelse om uppgifterna lämnas på initiativ av den enskilde eller efter uppmaning av domstolen eller nämnden. Om uppgifter i t.ex. en stämningsansökan registreras i ett datorsystem, skall den enskilde således enligt huvudregeln informeras om registreringen. Information behöver emellertid enligt personuppgiftslagen inte lämnas om sådant som den enskilde redan känner till. Med hänsyn till att i stort sett samtliga myndigheter använder sig av någon form av datoriserat stöd för handläggning av ärenden m.m., kan det argumenteras för att alla som vänder sig till exempelvis en domstol, redan känner till att uppgifter registreras i någon form av automatiserat register. Under förutsättning att de uppgifter som regist- reras endast används för det ändamål för vilket de sändes in, t.ex. i ett visst mål eller ärende, skulle med stöd av denna tolkning någon infor- mation normalt inte behöva lämnas för att den enskilde skall kunna ta tillvara rättigheter i samband med behandlingen. Vi är dock tveksamma till om personuppgiftslagens bestämmelser kan tolkas på det sättet och anser att information regelmässigt bör lämnas, i vart fall om det kan gö- ras på ett smidigt sätt som inte innebär någon större arbetsbelastning för domstolen eller nämnden. Det är emellertid i slutändan upp till den personuppgiftsansvariga domstolen eller nämnden, som ju är ansvarig för att information faktiskt lämnas när den skall lämnas, att bedöma hur bestämmelserna skall tillämpas. Enligt personuppgiftslagen skall information lämnas i samband med registreringen. Det är svårt att lämna några riktlinjer för vad som kan avses med detta. Enligt vår uppfattning är det orimligt att kräva att en domstol, efter att ha tagit emot en handling från en enskild, skall ringa upp eller skriftligen meddela denne om att uppgifterna kommer att registreras. En rimlig utgångspunkt anser vi kunna vara att 126 Tillämpning av personuppgiftslagen i vissa fall en domstol eller nämnd första gången den tar skriftlig kontakt med en enskild lämnar information om att uppgifter om denne som lämnas i målet eller ärendet kan komma att registreras och fortsättningsvis be- handlas automatiserat vid handläggningen av målet eller ärendet. Detta kan lämpligen anges på den aktuella blanketten, t.ex. en stämning, ett föreläggande eller en kallelse. Det torde då inte vara nödvändigt att upprepa informationen varje gång domstolen eller nämnden får nya uppgifter från den enskilde. När det gäller personuppgifter som inte behandlas i den rättsskipan- de eller rättsvårdande verksamheten, t.ex. uppgifter i administrativa re- gister, är situationen något annorlunda. Eftersom vi inte föreslår någon särreglering på det administrativa området, omfattar informationsskyl- digheten även uppgifter som hämtas in från någon annan än den regist- rerade själv. Ofta handlar det då sannolikt om uppgifter avseende an- ställda som inhämtas från tidigare arbetsgivare eller från olika myndig- heter, t.ex. skattemyndigheterna. Oavsett varifrån uppgifterna i admi- nistrativa register hämtas, är det viktigt att domstolen eller nämnden in- formerar anställda och andra registrerade när uppgifter om dem be- handlas automatiserat. Information som skall lämnas efter ansökan Domstolar och nämnder är skyldiga att, till var och en som ansöker om det, en gång gratis lämna information där det framgår om person- uppgifter som rör den sökande behandlas eller ej. Om uppgifter om den sökande behandlas skall skriftlig information lämnas om vilka uppgif- ter det gäller, varifrån de har hämtats, ändamålet med behandlingen och till vilka mottagare som uppgifterna lämnas ut. Information skall nor- malt lämnas inom en månad från det att ansökan gjordes, men om det finns särskilda skäl för det får information dock lämnas senast inom fy- ra månader. Ett viktigt undantag från informationsskyldigheten är att informa- tion normalt inte behöver lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som ut- gör minnesanteckning eller liknande. Det innebär för domstolar och nämnder att de skall lämna information om uppgifter om den sökande som behandlas i datoriserade register, såväl inom den rättsskipande och rättsvårdande verksamheten som inom administrativ verksamhet, samt om uppgifter i meddelade domar och beslut m.m. Däremot behöver in- formation inte lämnas om uppgifter i t.ex. koncept och utkast. Slutligen bör det noteras att enligt 27 § personuppgiftslagen bryts informationsskyldigheten i de fall uppgifter omfattas av sekretess som gäller gentemot den registrerade själv. Tillämpning av personuppgiftslagen i vissa fall 127 Den personuppgiftsansvarige är enligt 28 § personuppgiftslagen skyl- dig att på begäran av den registrerade korrigera, dvs. rätta, blockera eller utplåna, personuppgifter som inte behandlas i enlighet med lagen. Rättelse innebär att felaktiga uppgifter ersätts med korrekta. Med blockering avses enkelt uttryckt att en uppgift förknippas med in- formation om att den är spärrad för annat utlämnande än enligt 2 kap. tryckfrihetsförordningen. Att en uppgift utplånas innebär i princip att den raderas på ett sådant sätt att den inte kan återskapas. Personupp- giftslagen säger inget om vilken typ av korrigering den personupp- giftsansvarige skall använda sig av i ett visst fall, vilket innebär att det i normalfallet är upp till domstolen eller nämnden att bestämma metod. Att en uppgift behandlas i strid med personuppgiftslagen kan inne- bära antingen att den är oriktig till sitt innehåll eller att den används på ett felaktigt sätt i verksamheten. Typiska exempel på oriktigt innehåll är att fel namn eller personnummer anges för en person. Bedömningen av om en uppgift används på ett felaktigt sätt måste göras mot bak- grund av vilka bestämmelser som gäller för en viss behandling, dvs. personuppgiftslagen och eventuellt andra författningar som reglerar behandlingen. Några generella anvisningar av när och hur rättelse skall vidtas är svårt att ge. Det måste prövas noggrant i varje enskilt fall. Enligt huvudregeln i 36 § personuppgiftslagen skall all automatiserad behandling av personuppgifter anmälas till Datainspektionen. En sådan anmälan skall enligt inspektionens egna föreskrifter i fråga om skyldig- heten att anmäla behandlingar av personuppgifter till Datainspektionen (omtryck genom 1999:3) innehålla uppgifter bl.a. om den person- uppgiftsansvarige och om ändamålet med behandlingen samt beskriv- ningar av vilka registrerade som berörs av behandlingen och av vilka uppgifter som skall behandlas. Det är tillräckligt att vid endast ett till- fälle anmäla en serie behandlingar med samma eller liknande ändamål. Det innebär att det endast behöver göras en anmälan för ett visst regis- ter, så länge ändamålen med registret och uppgiftskategorierna i det är desamma. Någon anmälan behöver emellertid inte göras om domstolen eller nämnden utser ett särskilt personuppgiftsombud. Denne skall ha till uppgift att självständigt se till att personuppgifter behandlas på ett kor- 128 Tillämpning av personuppgiftslagen i vissa fall rekt och lagligt sätt samt att påpeka brister för den personuppgifts- ansvarige. När ett ombud utses skall det anmälas till Datainspektionen. Från anmälningsskyldigheten görs dessutom omfattande undantag i personuppgiftsförordningen (1998:1191), även om det inte finns något personuppgiftsombud. Några av de viktigare undantagen när anmälan inte behöver göras, och som kan påverka domstolarna och nämnderna, är följande. Behandling av personuppgifter i löpande text. Behandling av personuppgifter som utförs till följd av en myndig- hets skyldighet att lämna ut allmän handling enligt 2 kap. tryckfri- hetsförordningen. Behandling av personuppgifter som utförs enligt särskilda före- skrifter i lag eller förordning. Bestämmelser om undantag från anmälningsskyldigheten finns även i de tidigare nämnda föreskrifterna från Datainspektionen (1999:3). En domstol eller nämnd behöver enligt föreskrifterna inte an- mäla ett register om behandlingen av personuppgifter i registret sker med stöd av samtycke av de registrerade. Under förutsättning att dom- stolen eller nämnden själv för en förteckning över register eller be- handlingar, med samma uppgifter som annars skulle anmälts till Data- inspektionen, behöver anmälan inte heller göras i följande fall: Behandling av personuppgifter avseende registrerade med sådan an- knytning till den personuppgiftsansvarige som följer av anställning eller kundförhållande eller därmed jämförligt förhållande, såvida behandlingen inte omfattar känsliga personuppgifter enligt 13 § per- sonuppgiftslagen. Behandling av personuppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro, om uppgifterna används för löneadministration eller för att avgöra skyldigheten att påbörja rehabiliteringsutredning. Behandling av personuppgifter som har samlats in från de registre- rade, om behandlingen är nödvändig för att uppfylla bestämmelser i lag eller förordning. Sammanfattningsvis kan man av det ovanstående dra slutsatsen att domstolarna och nämnderna i stor omfattning inte behöver anmäla be- handlingar av personuppgifter till Datainspektionen. Väsentligt är att en domstol eller nämnd inte behöver anmäla i vilken omfattning upp- gifter används vid framställning av dokument med hjälp av ord- och textbehandling, t.ex. domar och beslut. En domstol eller nämnd behö- ver inte heller särskilt anmäla sådan behandling som är en följd av att Tillämpning av personuppgiftslagen i vissa fall 129 handlingar lämnas ut i enlighet med offentlighetsprincipen. Under för- utsättning att domstolarna och nämnderna själva för noggranna för- teckningar över sina register, behöver inte heller flertalet av de admi- nistrativa registren särskilt anmälas till Datainspektionen. Om en domstol eller nämnd utser ett särskilt personuppgiftsombud framgår det uttryckligen av personuppgiftslagen att någon anmälan inte behöver göras till Datainspektionen. Ombudet skall då avseende de be- handlingar som genomförs föra en förteckning som innehåller motsva- rande information som en anmälan till Datainspektionen annars skulle ha innehållit. Vi vill särskilt markera att det är viktigt att domstolar och nämnder under alla förhållanden, särskilt då någon anmälan till Datainspektio- nen inte görs, har god ordning på den information som rör behandling av personuppgifter. 6.6Överföring av personuppgifter till tredje land I personuppgiftslagen finns särskilda bestämmelser som reglerar frågor om överföring av personuppgifter till tredje land. Av 33 § personupp- giftslagen framgår att det är förbjudet att till tredje land föra över per- sonuppgifter om landet inte har en adekvat nivå för skyddet av behand- ling av personuppgifter. Frågan om skyddsnivån är adekvat skall be- dömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandling i det tredje landet. Lydelsen överensstämmer i stort med innehållet i da- taskyddsdirektivets artikel 25. Den rättsskipande och rättsvårdande verksamheten vid domstolarna och nämnderna är, till skillnad från vissa andra statliga verksamhets- områden, en nästan uteslutande nationell angelägenhet. Utbytet av in- formation mellan de svenska domstolarna och nämnderna å ena sidan och myndigheter eller personer i andra länder å andra sidan, är därför mycket begränsad. Bestämmelsen i 33 § personuppgiftslagen berör i än mindre omfattning domstolarna och nämnderna till följd av att be- gränsningarna i rätten att överföra information till tredje land endast gäller när mottagarlandet är en stat som inte ingår i EU eller är ansluten till EES. 130 Tillämpning av personuppgiftslagen i vissa fall Bestämmelsen har kanske därför inte i första hand ett intresse för de enskilda domstolarna och nämnderna, men i ett specifikt avseende anser vi ändå att det finns anledning att nu närmare kom- mentera situationen. Det gäller Regeringsrättens och kammarrätternas målregister Find-It, som tillbaka är tillgängligt på Internet via InfoTorg, en tjänst som tillhandahålls av . Informa- tionen är dock inte allmänt åtkomlig, eftersom det för att komma åt den krävs såväl särskild behörighet (användar-ID) som ett personligt lösen- ord. Denna möjlighet är begränsad till anställda vid vissa domstolar och myndigheter. De tjänster som InfoTorg erbjuder via Internet och webbläsare är dessutom krypterade för att ge ett skydd mot obehöriga intrång. utgör det inget rättsligt problem att Find-It finns på Internet, under förutsättning att uppgifter inte därigenom lämnas ut i strid med sekretesslagens bestämmelser, eftersom registret fram till och med inte omfattas av personuppgiftslagen. Därefter måste kraven i den lagen emellertid vara uppfyllda om registret skall kunna vara fortsatt tillgängligt på Internet. Ett problem är att det vid tolkningen av personuppgiftslagens bestämmelser har ansetts att en personuppgift anses överförd till världens samtliga länder i och med att den görs allmänt tillgänglig på Internet. Find-It innehåller stora mängder personuppgifter varav många är känsliga för enskilda från integritetssynpunkt. Flera uppgifter är dess- utom känsliga i den betydelse som avses i personuppgiftslagen, t.ex. uppgifter om sjukdomar och hälsotillstånd. Om registret hade varit all- mänt tillgängligt på Internet för envar, hade det inte rått några tvivel om att det skulle strida mot bestämmelserna i personuppgiftslagen om överföring av uppgifter till tredje land. Frågan är hur det faktum att uppgifterna är spärrade för alla utom de som har särskild behörighet påverkar situationen. Av avgörande betydelse måste enligt vår bedöm- ning vara när en personuppgift skall anses överförd till ett annat land. Användningen av Internet för att tillhandahålla uppgifterna i Find-It innebär i och för sig att en person med behörighet kan komma åt upp- gifterna i andra länder, till skillnad från om uppgifterna tillhandahålls på ett särskilt och mellan myndigheterna internt nätverk. Det är dock inte fråga om en allmän spridning av uppgifterna. Det är inte heller frå- ga om att rikta överföringen av uppgifter till ett visst land eller en viss plats, utan endast till vissa personer. Med hänsyn till den personan- knutna åtkomstmöjligheten anser vi det rimligt att anse att uppgifterna i registret inte i personuppgiftslagens mening överförs till ett visst tredje land förrän tjänsten de facto utnyttjas av en person som befinner sig i det landet (liknande resonemang förs av /i Per- sonuppgiftslagen i praktiken, s. 139 ff, 2 uppl. Tillämpning av personuppgiftslagen i vissa fall 131 Juridik, 2000). Personuppgifter skulle med denna tolkning inte be- handlas i strid med personuppgiftslagen så länge åtkomstmöjligheterna endast utnyttjas i eller i andra EU- och EES-stater. Sammanfattningsvis torde enligt vår uppfattning bestämmelserna i 33 § personuppgiftslagen inte utgöra hinder mot att Find-It finns till- gängligt på Internet på det beskrivna sättet, under förutsättning att re- gistret endast utnyttjas av behöriga personer inom det tillåtna geogra- fiska området. En mycket viktig aspekt är givetvis säkerhetsnivån. Med hänsyn till mängden och typerna av uppgifter, bör det enligt vår mening inte komma i fråga att utnyttja Internet för informationsöverföring, an- nat än om en mycket hög säkerhet kan garanteras. Om registret skulle utnyttjas felaktigt är det ytterst den som är personuppgiftsansvarig för behandlingen som vid en rättslig prövning skulle kunna bli ansvarig i bl.a. skadeståndshänseende. Med tillämpning av våra författningsför- slag torde generellt anses vara personuppgiftsansvarigt i detta hänseende, eftersom de enskilda domstolarna inte har någon möjlighet att styra över de tekniska lösningarna för informationsflödet. Det är däremot inte uteslutet att personuppgiftsansvaret i ett enskilt fall skulle kunna komma att delas med en domstol eller nämnd. Ikraftträdande- och övergångsbestämmelser 133 7Ikraftträdande- och övergångs- bestämmelser Vårt förslag: De förordningar som reglerar registerföring m.m. med hjälp av automatiserad behandling av personuppgifter vid de all- männa domstolarna, länsrätterna, Regeringsrätten och kammar- rätterna samt hyres- och arrendenämnderna skall träda i kraft . med att de nya förordningarna träder i kraft skall de förordningar som reglerar förandet av personregister vid de all- männa domstolarna och länsrätterna upphöra att gälla. De nya förordningarnas bestämmelser om skadestånd skall till- lämpas endast om den omständighet som yrkandet hänför sig till har inträffat efter det att de nya förordningarna har trätt i kraft. Av artikel 32 fram- går att medlemsstaterna senast efter det datumet skall sätta i kraft de lagar och andra författningar som är nödvändiga för att följa direk- tivet. I fråga om sådan behandling som redan pågår, när de nationella bestämmelser som antas till följd av direktivet sätts i kraft, skall med- lemsstaterna se till att behandlingen senast från det datumet bringas i överensstämmelse med direktivets bestämmelser. För viss ma- nuell behandling gäller i stället att medlemsstaterna får föreskriva att behandlingen skall bringas i överensstämmelse med direktivets bestäm- melser senast efter direktivets ikraftträdande. I enlighet med nämnda bestämmelser i dataskyddsdirektivet trädde personuppgiftslagen (1998:204) i kraft . Av per- sonuppgiftslagens övergångsbestämmelser framgår att för sådan be- handling som pågick vid ikraftträdandet, skall bestämmelser i datalagen (1973:289) tillämpas t.o.m. . De förordningar som vi föreslår för registerföring m.m. vid dom- stolar och nämnder, ersätter författningar och tillstånd från Datainspek- tionen som reglerar behandling som pågick när personuppgiftslagen trädde i kraft. Enligt vår mening är det därför lämpligt att våra förslag träder i kraft , dvs. det datum då Datainspektionens 134 Ikraftträdande- och övergångsbestämmelser tillstånd upphör att gälla och personuppgiftslagens bestämmelser blir tillämpliga fullt ut på behandling vid domstolarna och nämnderna. De författningar som reglerar förandet av personregister inom de för oss aktuella verksamhetsområdena, skall upphöra att gälla i sam- band med att de föreslagna förordningarna träder i kraft. När personuppgiftslagen trädde i kraft reglerades vissa frågor sär- skilt i övergångsbestämmelserna. I fråga om skadestånd angavs att den nya lagens bestämmelser skall tillämpas bara om den omständighet som yrkandet hänför sig till har inträffat efter det att den nya lagen har trätt i kraft. Vi anser att motsvarande övergångsbestämmelse bör gälla av- seende behandling enligt de av oss föreslagna förordningarna. Det bör påpekas att för behandling av personuppgifter som har påbörjats före , kommer skadeståndsbestämmelserna i datalagen att vara tillämpliga när de omständigheter som yrkandet hänför sig till har inträffat innan våra förordningsförslag träder i kraft. För senare på- börjad behandling gäller i stället skadeståndsbestämmelsen i person- uppgiftslagen eller motsvarande bestämmelse i våra förordningsförslag, beroende på när den omständighet som yrkandet hänför sig till har inträffat. Ekonomiska konsekvenser av våra förslag 135 8Ekonomiska konsekvenser av våra förslag Vår bedömning: De förslag som lämnas i betänkandet medför en- dast ringa kostnader till följd av att vissa mindre tekniska åtgärder måste vidtas i befintliga datorsystem. Av 14 § kommittéförordningen (1998:1474) framgår att om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kom- muner, landsting, företag eller andra enskilda, skall en beräkning av dessa konsekvenser redovisas i betänkandet. Utgångspunkten för vårt deluppdrag har varit att anpassa den be- fintliga regleringen till dataskyddsdirektivets och personuppgiftslagens bestämmelser. Några rättsliga förändringar – utöver vad som är nöd- vändigt till följd av denna anpassning – som kan innebära ökade kost- nader föreslås med två undantag inte. Undantagen rör dels förslaget om begränsningar av vissa myndigheters direktåtkomst till Regeringsrät- tens och kammarrätternas målregister (Find-It), dels förslaget att det i dessa målregister inte skall vara tillåtet att som sökbegrepp använda uppgifter om parter och andra aktörer tillsammans med uppgifter om saken i ett mål. Det handlar i dessa delar om mindre engångskostnader till följd av att förslagens praktiska genomförande är beroende av att vissa tekniska åtgärder vidtas. Kostnaderna förväntas kunna hanteras inom ramen för ordinarie anslag. Behandling av personuppgifter vid all- männa domstolar, allmänna förvaltnings- domstolar samt hyres- och arrendenämnder Beslut vid regeringssammanträde . En särskild utredare tillkallas för att granska regleringen och använd- ningen av personregister eller annan behandling av personuppgifter i verksamhet vid de allmänna domstolarna och de allmänna förvalt- ningsdomstolarna samt hyres- och arrendenämnderna. Utredaren skall föreslå författningsändringar som behövs för den framtida behandling- en av personuppgifter i dessa verksamheter. Utredaren skall särskilt beakta behovet av en teknikoberoende regle- ring som tillgodoser såväl domstolarnas och nämndernas behov av en väl fungerande informationshantering som enskildas behov av skydd för den personliga integriteten. Nuvarande reglering grundar sig på den upphävda datalagen Den övergripande regleringen av personregister har åter- funnits i datalagen (1973:289). En grundläggande tanke med den lag- stiftningen var att förandet av register med hjälp av automatiserad da- tabehandling skulle ske i kontrollerade former, om registren innehöll upplysningar om enskilda personer och av olika skäl ansågs integri- tetskänsliga. Bland annat krävdes för förandet av sådana register an- tingen tillstånd från Datainspektionen eller att inrättandet av registren hade beslutats av regeringen eller . Flertalet av de personre- gister som används av domstolar förs med stöd av antingen för- ordning eller med Datainspektionens tillstånd. I och med att personuppgiftslagen (1998:204) trädde i kraft upphörde datalagen att gälla. Den skall emellertid tilläm- pas till och med i fråga om behandling av per- sonuppgifter som påbörjades före . Personregister vid de allmänna domstolarna För de allmänna domstolarna gäller förordningen (1986:104) om re- gisterföring vid de allmänna domstolarna med hjälp av automatisk da- tabehandling, som trädde ikraft . Genom förordningen regleras främst det målhanteringssystem som tingsrätterna använder (MÅHS) och den överrättsversion av systemet som an- vänds av Hovrätten för (MÅHS-ÖR). Dessa målhante- ringssystem innefattar ett heltäckande kanslistöd med funktioner som t.ex. blanketthantering, bevakning av tidsfrister och dagbokföring. Systemen innehåller uppgifter om bl.a. måltyp och målgrupp, parternas namn, adress och personnummer samt en kort beskrivning av saken i ett mål. Till systemen är även knutna de dokument som upprättas av domstolarna, t.ex. domar, beslut och skrivelser. För tingsrätterna inne- fattar systemen också en domsrutin för brottmål avseende domslut, med en särskild elektronisk rapporteringsrutin för uppgifter som lämnas till . Förordningen reglerar även de målregister som förs av Högsta dom- stolen och . Dessa register är inte lika omfattande som målhanteringssystemen till funktion och innehåll. De innehåller dock personuppgifter om parter m.fl. samt registreringsuppgifter om målen. Vid sidan av de personregister som förs av de allmänna domstolarna med stöd av författning finns ett antal register för vilka Datainspektio- nen har meddelat tillstånd. Det gäller de målregister som förs av hov- rätterna, med undantag av och Hovrätten för Västra Sveri- ge.