bet · H301JuU6 · 2015-11-12 00:00:00 — Ett fullgott skydd mot obehörig tillgång till personuppgifter förutsätter med nödvändighet andra åtgärder än tekniska begränsningar, såsom att de anställda instrueras och utbildas i dessa frågor. Behandling av känsliga personuppgifter och personnummer Utgångspunkten i dataskyddsdirektivet och personuppgiftslagen är att det är förbjudet att behandla känsliga personuppgifter. Det stora flertalet känsliga personuppgifter som behandlas i domstol kommer dock från vad parterna anfört i inlagor och vid domstolsförhandlingar, vilket innebär att det ligger utanför domstolarnas kontroll om en viss uppgift förekommer i verksamheten eller inte. För att domstolarna ska kunna sköta sin informationshantering elektroniskt måste de därför kunna behandla känsliga personuppgifter. Skulle domstolarna förbjudas att behandla känsliga personuppgifter skulle de inte kunna vidta de åtgärder som behövs för att handlägga mål och ärenden på ett ändamålsenligt sätt. Att domstolarna tillåts behandla känsliga personuppgifter som ett led i handläggningen av mål och ärenden, t.ex. genom elektronisk lagring av partsinlagor, domskrivning och expediering av domar, bedöms typiskt sett inte medföra särskilt stora risker i integritetshänseende. Domstolarnas hantering av känsliga personuppgifter är i hög grad styrd av de processuella regelverken, vilket innebär att det finns en yttre ram för vad domstolen över huvud taget får göra. Regeringen anför mot denna bakgrund att behovet av att kunna behandla känsliga personuppgifter och de effektivitetsvinster som elektronisk hantering medför väger tyngre än den risk för integritetsintrång som en sådan behandling kan innebära. Regeringens slutsats är därför att behandlingen av känsliga personuppgifter som utgångspunkt bör vara tillåten. Personuppgiftsbehandlingen ska endast begränsas genom de grundläggande krav på domstolarnas personuppgiftsbehandling och verksamhetsspecifika ändamålsbestämmelser som föreslås i propositionen och som har behandlats i betänkandet (se avsnittet Ramarna för domstolarnas personuppgiftsbehandling). Det föreslås även ett uttryckligt förbud mot att känsliga personuppgifter används som enda grund för en behandling. Genom hänvisning i den föreslagna lagen till 22 § PUL får personnummer och samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Sökning är en form av behandling, och i de fall en sökning innefattar personuppgifter innebär därför sökningen personuppgiftsbehandling. Sökningar får således endast göras i enlighet med de allmänna begränsningar som gäller för sådan behandling, t.ex. ändamålsbestämmelserna. Sökningar är viktiga för att säkerställa en effektiv och rättssäker verksamhet hos domstolarna. Sökningar är även viktiga för allmänhetens och inte minst mediernas insyn, men kan innebära en risk för integritetsintrång. Möjligheterna att effektivt begränsa användningen av integritetskänsliga sökbegrepp påverkas av offentlighetsprincipen. Regleringen i tryckfrihetsförordningen innebär att det finns två sätt att genom författningsbestämmelser reglera allmänhetens tillgång till potentiella allmänna handlingar i domstolarna, och därmed indirekt reglera allmänhetens tillgång till de sökfunktioner som används för att sammanställa sådana handlingar. Dels kan en sådan reglering möjliggöras genom sekretessbestämmelser i offentlighets- och sekretesslagen (2009:400), dels genom sökbestämmelser i domstolsdatalagen som på ett ovillkorligt sätt förbjuder personalen att utföra vissa sökningar. Bestämmelser som tillåter personalen att under vissa villkor utföra en sökning, t.ex. att söka om det är absolut nödvändigt, begränsar inte allmänhetens rätt att begära att sådana sökningar utförs och att de uppgifter som tas fram lämnas ut. Regeringen föreslår därför att utgångspunkten för sökregleringens utformning bör vara att den inte enbart ska gälla för domstolspersonalens användning utan att den även ska ge skydd mot de integritetsrisker som är förknippade med enskildas rätt att begära att sökningar utförs med stöd av offentlighetsprincipen. Detta förutsätter således att sökbestämmelserna är ovillkorliga. Regeringen föreslår inte någon särskild sekretessbestämmelse för uppgifter i domstolarna som tagits fram med hjälp av sökningar. I propositionen föreslås att det ska vara förbjudet att som sökbegrepp använda uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa, sexualliv, nationell anknytning, eller brott eller misstanke om brott. Förbudet gäller inte användning av uppgifter som avslöjar brott eller misstanke om brott i de allmänna domstolarnas och de allmänna förvaltningsdomstolarnas verksamhet och användning av uppgifter som avslöjar hälsa i de allmänna förvaltningsdomstolarnas verksamhet. Regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att använda de aktuella sökbegreppen. Det generella förbudet ska inte omfatta sökningar som görs i en viss handling eller ett visst mål eller ärende. Grundlagar har alltid företräde framför bestämmelser i vanlig lag, vilket innebär att domstolsdatalagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt offentlighetsprincipen, så som den kommer till uttryck i 2 kap. tryckfrihetsförordningen. Enligt regeringen bör detta av tydlighetsskäl komma till uttryck genom att lagen innehåller en hänvisning till 8 § första stycket PUL. Offentlighetsprincipen innebär ingen rätt för enskilda att ta del av allmänna handlingar i elektroniskt format. Nedan behandlas i vilken utsträckning domstolsdatalagen ska tillåta domstolarna att lämna ut handlingar elektroniskt. Regeringen föreslår att direktåtkomst endast får medges en allmän domstol, en allmän förvaltningsdomstol, en hyres- och arrendenämnd, en part eller en parts ombud, biträde eller försvarare. Direktåtkomst för en part eller en parts ombud, biträde eller försvarare får endast avse personuppgifter i partens mål eller ärende. Det föreslås vidare att det i lagen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst. Direktåtkomst innebär att någon utomstående på egen hand kan ta fram uppgifter som behandlas hos en myndighet och på så sätt få uppgifterna utlämnade till sig. Exempel på direktåtkomst mellan domstolar är återanvändning av uppgifter i ett mål som har överklagats. Direktåtkomst till andra domstolars uppgifter kan också behövas för delgivningsändamål. Domstolarnas behov måste dock vägas mot de integritetsrisker som kan vara förknippade med direktåtkomst. Regeringen anser därför att direktåtkomstens omfattning noggrant bör anpassas efter behoven och begränsas både när det gäller vilka kategorier av uppgifter direktåtkomst ska kunna medges för och vilka domstolar som ska kunna ha direktåtkomst till dessa kategorier av uppgifter. Av integritetsskyddsskäl bör den närmare omfattningen av direktåtkomsten dessutom regleras så preciserat som möjligt i fråga om vilka domstolar som kan tillåtas ha direktåtkomst till vilka personuppgifter. Behoven ser olika ut beroende på om det är fråga om exempelvis åtkomst till domar eller åtkomst till uppgifter för delgivningsändamål. Behoven varierar över tiden och är bl.a. beroende av hur domstolarnas inre och yttre organisation utformas, arbetsrutiner, målsammansättningen i domstolarna och forumregler. Den närmare regleringen om vilka domstolar som ska kunna få direktåtkomst och till vilka uppgifter föreslås därför meddelas genom en förordning. En viktig processrättslig princip är att en part ska ha insyn i sitt mål. Genom förslaget skapas en laglig möjlighet för parter att få direktåtkomst till personuppgifter i sitt eget mål eller ärende. Regeringen påpekar dock att det krävs att de tekniska systemen och domstolarnas rutiner är tillräckligt utvecklade innan en sådan direktåtkomst kan bli verklighet. Personuppgifter ska enligt regeringens förslag få lämnas ut på medium för automatiserad behandling om det inte är olämpligt. Enligt förslaget ska det i lagen upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar av möjligheterna att lämna ut personuppgifter på medier för automatiserad behandling. Att ett utlämnande sker på medier för automatiserad behandling innebär exempelvis att elektronisk information överförs via e-post, genom utlämnande av uppgifter på ett flyttbart lagringsmedium – t.ex. flashminne (s.k. usb-minne) – eller genom direkt överföring från ett datorsystem till ett annat. Sådan elektronisk kommunikation är en förutsättning för att domstolarna ska kunna använda elektroniska akter, för att RIF-samarbetet ska kunna fungera och för att verksamheten i övrigt ska kunna bedrivas effektivt och rättssäkert. Av i huvudsak samma skäl behöver domstolarna kunna skicka personuppgifter i ett mål eller ärende till parterna och deras ombud, biträden eller försvarare. Utvecklingen går mot att domstolarnas akter mer eller mindre uteslutande kommer att bestå av elektroniskt lagrade handlingar. E-post är både hos domstolarna och i omvärlden numera ett av de vanligaste kommunikationssätten. I vilken utsträckning domstolarna kan lämna ut personuppgifter i elektronisk form begränsas av sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen som förhindrar utlämnande i de fall det kan antas att utlämnandet skulle medföra att uppgifterna behandlas i strid med personuppgiftslagen. I propositionen föreslås att personuppgifter i allmänna handlingar, på samma sätt som enligt personuppgiftslagen, ska få bevaras elektroniskt i domstolarna för att tillgodose arkivändamål. Detsamma gäller för personuppgifter som inte är allmänna handlingar, dvs. de ska också på samma sätt som enligt personuppgiftslagen få bevaras elektroniskt endast så länge det är nödvändigt med hänsyn till ändamålen med behandlingen eller om bevarandet sker för historiska, statistiska eller vetenskapliga ändamål. Det föreslås även att regeringen eller den myndighet som regeringen bestämmer ska kunna meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft. Domstolarna är skyldiga att bevara allmänna handlingar för arkivändamål. Regeringen anför att förslagets utgångspunkt är att domstolarna ska ha möjlighet att på elektronisk väg fullgöra sin skyldighet att bevara allmänna handlingar i arkiv och att frågan om bevarande ska styras av det arkivrättsliga regelverket. Det vore otidsenligt och ineffektivt med en ordning där domstolarna i och för sig kan hantera aktbilagor och andra handlingar elektroniskt så länge handläggningen pågår, men sedan måste skriva ut handlingarna på papper när handläggningen avslutats, med det enda syftet att kunna arkivera handlingarna. Ett viktigt skäl till att domstolarna bevarar uppgifter från avslutade mål och ärenden är att domstolarna har ett eget behov av att kunna komma åt uppgifterna. Detta återspeglas i arkivlagen (1990:782), enligt vilken syftet med domstolars och andra myndigheters arkivbildning bl.a. är att tillgodose behovet av information för rättskipningen (3 §). Med hänsyn till integritetsskyddet är det dock rimligt att begränsa domstolarnas och allmänhetens åtkomst till uppgifter i mål och ärenden när handläggningen avslutats genom ett lagakraftvunnet avgörande. Det bör därför inte sedan handläggningen av ett mål eller ärende har avslutats och domen eller beslutet har fått laga kraft vara möjligt för domstolarna att fortsätta hantera elektroniska personuppgifter på samma sätt som när handläggningen pågick. Exempelvis kan det behövas begränsningar av sökning, direktåtkomst eller intern åtkomst vid domstolarna, och regleringen kan behöva göras mer restriktiv ju som har förflutit sedan det aktuella målet eller ärendet avgjordes. Eftersom det är fråga om bestämmelser som bör vara relativt detaljerade och som bör kunna justeras ganska ofta bör regleringen enligt regeringen ske genom föreskrifter. En mer detaljerad reglering ger också bättre förutsättningar för att optimera den avvägning som ska göras mellan integritets- och effektivitetsintressena. Enligt författningskommentaren kan det t.ex. röra sig om att begränsa möjligheterna att söka efter personnummer och namn i avgöranden som har fått laga kraft. I promemorian (Ds 2013:10) som ligger till grund för propositionen utvecklas skälen till varför en begränsning är nödvändig. Där uppges bl.a. att det är nödvändigt att begränsa domstolarnas möjligheter att bevara personuppgifter elektroniskt så att tillgången närmar sig den verklighet som alltid har gällt i fråga om pappersarkiv. I ett pappersarkiv är det normalt nödvändigt att känna till mål- eller ärendenummer, eller åtminstone dagen för avgörande, för att en dom eller akt ska kunna identifieras. I de fall uppgifter bevaras elektroniskt, i stället för i ett pappersarkiv, är det därför en rimlig utgångspunkt att endast sökbegrepp som avser mål- eller ärendenummer och datum för avgörande ska vara tillåtna. I promemorian uppges vidare att domar och beslut bör vara åtkomliga för sökning inom domstolarna under efter tidpunkten för laga kraft. När denna begränsade tid har gått bör endast de som anges ovan mer begränsade sökmöjligheter kunna användas. Regeringen uppgav i ett pressmeddelande att dagens möjligheter att söka i domstolarnas brottmålsregister blir kvar. Personuppgifter kommer således att kunna sökas från det att en dom fallit. Det betyder att företag, journalister, myndigheter och allmänhet även fortsättningsvis kommer att kunna söka uppgifter om brott, personnamn och personnummer i brottmål efter avgörandet. Detta kommer att framgå av den dataskyddsförordning som regeringen kommer att besluta om efter det att antagit förslaget till domstolsdatalag. Den som är personuppgiftsombud ska enligt propositionen föra en särskild förteckning över den personuppgiftsbehandling som sker med stöd av domstolsdatalagen. Den personuppgiftsansvarige ska, på samma sätt som enligt personuppgiftslagen, vara skyldig att på begäran lämna sådan information till enskilda. I den föreslagna lagen upplyses det om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om vilka uppgifter som den aktuella förteckningen ska innehålla. Regeringen anför att enskildas insyn i domstolarnas personuppgiftsbehandling är en viktig aspekt av personuppgiftsskyddet eftersom insynen möjliggör för enskilda att försäkra sig om att domstolarnas personuppgiftsbehandling sker i enlighet med gällande regler, t.ex. att uppgifterna ska vara riktiga och behandlas för tillåtna ändamål. Regeringen föreslår att lagen bör innehålla en hänvisning till 26 § PUL, vilken stadgar att den personuppgiftsansvarige har en skyldighet att lämna besked till en enskild om att han eller hon är föremål för personuppgiftsbehandling. Sådan information ska lämnas utan kostnad en gång per kalenderår till var och en som ansöker om det. Om uppgifter behandlas ska information också lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Under förutsättning att uppgifterna inte har lämnats ut till tredje man behöver information dock inte lämnas om personuppgifter i löpande text som inte har fått sin ursprungliga utformning när ansökan gjordes eller uppgifter i form av minnesanteckningar eller liknande. För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen i egenskap av tillsynsmyndighet enligt personuppgiftslagen vissa befogenheter gentemot den personuppgiftsansvarige. Regeringen anför att tillsynsmyndigheten även i fortsättningen bör ha samma befogenheter som enligt den nuvarande ordningen och föreslår därför en hänvisning till de aktuella paragraferna i personuppgiftslagen. Till skillnad från vad som gäller enligt personuppgiftslagen ska tillsynsmyndigheten inte ha möjlighet att utfärda vitesföreläggande. Regeringen föreslås, på samma sätt som enligt personuppgiftslagen, få möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till tillsynsmyndigheten för förhandskontroll. Den personuppgiftsansvarige ska utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige ska anmäla till Datainspektionen när ett personuppgiftsombud utses eller entledigas. Personuppgiftslagens bestämmelser om personuppgiftsombudets uppgifter föreslås gälla i domstolarnas verksamhet. Personuppgiftsombudet ska också hjälpa registrerade personer att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Enskilda får genom personuppgiftsombudet en tydlig kontaktpunkt vid varje domstol i frågor som rör bl.a. information om behandlingen och rättelser av felaktiga uppgifter. Personuppgiftsombudet kan också bidra till kunskapsspridningen inom sin domstol och vara ett stöd för andra medarbetare. I syfte att åstadkomma ett förstärkt integritetsskydd bör det av dessa skäl enligt regeringen vara obligatoriskt för domstolarna att utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som har behandlats felaktigt i domstolarnas verksamhet. Den personuppgiftsansvarige har även skyldighet att underrätta tredje man om sådana åtgärder. Den registrerade har rätt att få skadestånd vid en skada eller kränkning som uppstår när personuppgifter behandlas på ett felaktigt sätt. Denna reglering överensstämmer med vad som gäller enligt personuppgiftslagen. I kommittémotion 2015/16:253 av m.fl. (M) begärs i yrkande 1 ett tillkännagivande om att regeringen ska se till att de it-tekniska förutsättningarna inom domstolsdatalagens tillämpningsområde är sådana att skyddet för integritetskänsliga uppgifter kan upprätthållas också på teknisk nivå. I samma motion yrkande 2 begärs att domstolsdatalagen ska utvärderas så att eventuella uppkomna tillämpningsproblem kan åtgärdas så fort som möjligt. Motionärerna anför att personuppgifter hos framför allt domstolar är påtagligt skyddsvärda och att det därför är angeläget att personuppgifter kan behandlas på ett effektivt och ändamålsenligt sätt, som det finns ett tillräckligt skydd mot att enskilda människors integritet inte kränks vid sådan personuppgiftsbehandling. Eftersom lagförslaget innebär att det blir möjligt att göra integritetskänsliga sökningar är det enligt motionärerna angeläget att den it-tekniska miljön innefattar sådana lösningar som innebär att det eftersträvade skyddet för personuppgifter kan upprätthållas i praktiken. Vidare påtalas i motionen att de ändrade reglerna för personuppgiftsbehandling innebär att det är svårt att i alla delar överblicka konsekvenserna av dessa regler innan de börjat tillämpas. Motionärerna vill därför att domstolsdatalagens regler noggrant följs upp efter förhållandevis så att eventuella uppkomna tillämpningsproblem kan åtgärdas så fort som möjligt. Regeringens förslag innebär att det införs en ny lag, domstolsdatalagen. Utskottet anser i likhet med regeringen att det mot bakgrund av den digitala teknikens utveckling finns ett behov av ny reglering och ser positivt på att regeringen har strävat efter att skapa en lagstiftning som är teknikneutral och flexibel. Utvecklingen skapar goda möjligheter att ytterligare effektivisera verksamheten hos domstolarna och nämnderna inom Domstolar. Utvecklingen ger också goda möjligheter att stärka rättssäkerheten samt att förbättra kommunikationen med andra myndigheter och med enskilda. Det måste därför enligt utskottets uppfattning vara en strävan att i så stor utsträckning som möjligt ta till vara de fördelar som tekniken erbjuder och att stifta lagar som ska kunna tillämpas även när teknik och verksamheter utvecklas. Personuppgifter kan vara känsliga, och behandling av personuppgifter kan därför innebära en risk för kränkning av den personliga integriteten. Utskottets uppfattning är att regeringen i propositionen har gjort noggranna och välmotiverade överväganden när det gäller balansen mellan domstolarnas behov av att behandla personuppgifter på ett effektivt och ändamålsenligt sätt och skyddet för den personliga integriteten. Det har inte väckts någon motion med förslag till lagändring som står emot regeringens lagförslag. Utskottet anser att regeringens lagförslag är ändamålsenligt utformat och bör antas av . I motion 2015/16:253 (M) yrkande 1 framställs en begäran om att regeringen ska se till att de it-tekniska förutsättningarna inom domstolsdatalagens tillämpningsområde är sådana att skyddet för integritetskänsliga uppgifter kan upprätthållas också på teknisk nivå. Utskottet vill börja med att framföra att utskottet delar regeringens bedömning att det inte ska fastställas i lagen vilka säkerhetsåtgärder som domstolarna ska vidta. Utskottet delar dock motionärernas uppfattning om att det är angeläget att de it-tekniska förutsättningarna är sådana att skyddet för integritetskänsliga uppgifter kan upprätthållas på teknisk nivå. Enligt det nu gällande förslaget är det den personuppgiftsansvariges, dvs. respektive domstols, ansvar att se till att det skapas en säkerhetsnivå som är lämplig med hänsyn till tillgänglig teknik, kostnader, särskilda risker och uppgifternas känslighet. Regeringen pekar dock på att domstolarna förväntas samarbeta med för att uppfylla de krav som ställs. Som regeringen anför är det naturligt att en domstol som upptäcker brister i datorsystemet kontaktar för att komma till rätta med problemen. I likhet med regeringen utgår utskottet också från att kommer att göra det möjligt för domstolarna att fullgöra sitt personuppgiftsansvar. Vidare tillsatte regeringen en särskild utredare med uppdrag att överväga hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndighetsstruktur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet. En sådan myndighet skulle enligt direktivet även ha i uppdrag att lämna förslag till regeringen om eventuella behov av åtgärder för att stärka skyddet för den personliga integriteten när det gäller behandling av personuppgifter. Uppdraget ska redovisas . [1] Mot denna bakgrund får motionsyrkandet anses vara i huvudsak tillgodosett, och utskottet föreslår att avslår motion 2015/16:253 (M) yrkande 1. Det är viktigt att ny lagstiftning följs upp, inte minst gäller det för lagstiftning om skyddet för den personliga integriteten. Som motionärerna anför kan det, bl.a. mot bakgrund av den tekniska utvecklingen, vara svårt att i alla delar överblicka konsekvenserna av den nya lagstiftningen. Detta gör det särskilt angeläget att följa upp lagen och åtgärda de eventuella brister som upptäcks. Med hänsyn bl.a. till de pågående utredningarna om skydd för den personliga integriteten, både inom landets och inom EU:s gränser, har utskottet tillförsikt om att så även kommer att ske. Mot den bakgrunden anser utskottet att det inte finns behov av något tillkännagivande i frågan och avstyrker motion 2015/16:253 (M) yrkande 2. Sammanfattningsvis tillstyrker utskottet således propositionen och avstyrker motionen. It-tekniska förutsättningar, punkt 2 (M, C, FP, KD) av (M), (C), (M), (KD), (M), (M) och (FP). Vi anser att förslaget till riksdagsbeslut under punkt 2 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2015/16:253 av m.fl. (M) yrkande 1.