bet · H301JuU6 · 2015-11-12 00:00:00 — Utskottet föreslår att antar regeringens förslag till domstolsdatalag (prop. 2014/15:148) och avslår en följdmotion. I den nya lagen regleras behandlingen av personuppgifter i de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas rättskipande och rättsvårdande verksamhet. Syftet med domstolsdatalagen är tvådelat. Lagen ska dels möjliggöra en ändamålsenlig och effektiv personuppgiftsbehandling i domstolarna och nämnderna, dels skydda enskilda mot integritetsintrång. Regeringens utgångspunkt har varit att skapa en teknikneutral och flexibel lag som innehåller de bestämmelser som är av central betydelse för integritetsskyddet, däribland ändamålen med behandlingen och de begränsningar som ska gälla för behandlingen av vissa uppgifter. Lagen ska gälla i stället för personuppgiftslagen (1998:204), men innehåller hänvisningar till vissa bestämmelser i personuppgiftslagen som alltjämt ska vara tillämpliga i domstolarnas och nämndernas verksamhet. Den nya lagen föreslås träda i kraft . I betänkandet finns två reservationer (M, C, FP och KD). Utskottets förslag till riksdagsbeslut 1.It-tekniska förutsättningar, punkt 2 (M, C, FP, KD) 2.Utvärdering av lagen, punkt 3 (M, C, FP, KD) Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut antar regeringens förslag till Därmed bifaller proposition 2014/15:148. 2015/16:253 av m.fl. (M) yrkande 1. Reservation 1 (M, C, FP, KD) 2015/16:253 av m.fl. (M) yrkande 2. Reservation 2 (M, C, FP, KD) Följande ledamöter har deltagit i beslutet: (MP), i (S), (S), (M), Arhe Hamednaca (S), (S), (C), (M), (S), (SD), (KD), Lawen Redar (S), (M), (M), (FP), (SD) och (V). I betänkandet behandlar utskottet proposition 2014/15:148 Domstolsdatalag. Regeringens förslag till riksdagsbeslut återges i bilaga 1. Regeringens lagförslag finns i bilaga 2. Lagförslaget har granskats av Lagrådet, som lämnade förslaget utan invändningar. Med anledning av propositionen har en motion väckts. I ärendet har utskottet tagit emot ett antal skrivelser. Utskottets förslag i korthet antar regeringens lagförslag och avslår två motionsyrkanden om dels de it-tekniska förutsättningarna att upprätthålla integritetsskyddet, dels en utvärdering av den nya lagstiftningen. Jämför reservation 1 (M, C, FP, KD) och 2 (M, C, FP, KD). Behandling av personuppgifter kan innebära en risk för kränkning av den personliga integriteten. Grundläggande bestämmelser till skydd för den personliga integriteten finns i regeringsformen. I regeringsformen anges även under vilka förutsättningar som begränsningar i denna fri- och rättighet får göras. Av 2 kap. 6 § andra stycket regeringsformen följer att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och grundläggande friheterna (), som gäller som lag i , har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Även innehåller skydd för den personliga integriteten. Genom Lissabonfördraget blev Europeiska unionens stadga om de grundläggande rättigheterna rättsligt bindande. Stadgan samlar de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och internationella förpliktelser, , EU:s och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Bland annat anges att personuppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Stadgan är endast tillämplig på nationell lagstiftning inom områden där EU har lagstiftningskompetens. och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter i fråga om behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Medlemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när personuppgifter får behandlas. presenterade Europeiska kommissionen ett förslag till en genomgripande reform av om skydd för personuppgifter. Förhandlingarna om denna nya reglering pågår. Rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet) reglerar dataskyddet inom angivna områden. Innehållet i dataskyddsrambeslutet motsvarar till stora delar innehållet i dataskyddsdirektivet. Som en del av det ovannämnda reformarbetet har kommissionen föreslagit att rambeslutet ska ersättas av ett särskilt dataskyddsdirektiv för de brottsbekämpande myndigheterna. Personuppgiftslagen (1998:204) har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Genom lagen, som trädde i kraft , genomfördes dataskyddsdirektivet i svensk rätt. Personuppgiftslagen (PUL) innehåller generella regler och är tillämplig endast om det inte i någon annan lag eller i en förordning har utfärdats avvikande bestämmelser. Det finns en stor mängd s.k. registerförfattningar med bestämmelser om behandling av personuppgifter. Syftet med registerförfattningarna är att anpassa regleringen till de särskilda behov som myndigheterna har i sina respektive verksamheter samt att göra avvägningar mellan behovet av effektivitet i den berörda verksamheten och behovet av skydd för den enskildes personliga integritet. regleras all automatiserad behandling av personuppgifter – i register eller på annat sätt – i den rättskipande och rättsvårdande verksamheten vid de allmänna domstolarna, de allmänna förvaltningsdomstolarna och hyres- och arrendenämnderna i de fyra s.k. Veraförordningarna. Samtliga fyra förordningar, som i flera avseenden överensstämmer helt med varandra, gäller utöver PUL vid automatiserad behandling i den rättskipande och rättsvårdande verksamheten. register eller den administrativa verksamheten omfattas således inte av regleringarna. I förordningarna anges att domstolarna och nämnderna får föra automatiserade register över mål och ärenden som handläggs vid respektive myndighet. Ett sådant verksamhetsregister får användas för handläggning av mål och ärenden, för planering, uppföljning och utvärdering av verksamheten och för framställning av statistik. För de allmänna domstolarna finns ett ytterligare ändamål, nämligen att fullgöra författningsenlig underrättelseskyldighet. Vidare får och kammarrätterna använda sina verksamhetsregister för återsökning av vägledande avgöranden. Förordningarna innehåller bestämmelser om sökbegränsningar i registren. För samtliga domstolar och nämnder gäller att de inte får använda känsliga personuppgifter eller uppgifter om nationalitet som sökbegrepp. I de allmänna domstolarna gallras uppgifter i tvistemål och ärenden senast efter avgörandeåret, medan uppgifter i brottmål ska gallras . I förvaltningsdomstolar ska personuppgifter i vissa angivna måltyper, bl.a. skattemål, gallras senast efter avgörandeåret medan övriga mål ska gallras senast . Utöver mål- och ärenderegister får domstolarna och nämnderna föra automatiserade rättsfallsregister för återsökning av vägledande avgöranden, rättsutredningar och liknande rättslig information. Förordningarna innehåller även vissa bestämmelser som rör enskildas rättigheter i form av rättelse och skadestånd. Vissa beslut av personuppgiftsansvariga domstolar och nämnder kan överklagas av en enskild. Behovet av en ny reglering Regeringen föreslår i propositionen en ny lag om behandling av personuppgifter i de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas verksamhet. I fortsättningen används i betänkandet, för enkelhetens skull, domstolarna som samlingsbegrepp. Om inget annat särskilt anges avses med detta de allmänna domstolarna, de allmänna förvaltningsdomstolarna och hyres- och arrendenämnderna. Den digitala teknikens utveckling medför ett behov av att modernisera det nuvarande regelverket som styr den automatiserade behandlingen av personuppgifter i domstolarnas verksamhet. Syftet med den föreslagna regleringen är att ge domstolarna möjlighet att behandla personuppgifter på ett effektivt och ändamålsenligt sätt i den rättskipande och rättsvårdande verksamheten och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Den nya lagen, benämnd domstolsdatalagen, är flexibel och teknikneutral och anger ramarna och de grundläggande principerna för personuppgiftsbehandlingen. är informationsteknik en naturlig del i domstolarnas arbete, och det har bl.a. bidragit till en ökad elektronisk ärendehantering. I princip all framställning av skriftlig information hos domstolarna sker numera på elektronisk väg (t.ex. i stämningar, förelägganden, kallelser och domar). En viktig del i en väl fungerande och effektiv domstolsprocess är att informationsförsörjningen mellan Domstolar och övriga myndigheter fungerar på ett bra sätt. Regeringen har en uttalad målsättning att skapa ett helt elektroniskt och strukturerat informationsutbyte mellan rättsväsendets myndigheter. Utvecklingen skapar goda möjligheter att ytterligare effektivisera verksamheten hos domstolarna och nämnderna inom Domstolar, att stärka rättssäkerheten samt att förbättra kommunikationen med andra myndigheter och med enskilda. Tekniken erbjuder många fördelar, och en strävan måste vara att dessa i så stor utsträckning som möjligt tas till vara och att regleringen om personuppgiftsbehandling möjliggör detta. Eftersom Veraförordningarna inte är anpassade för den beskrivna utvecklingen av användandet av modern teknik anser regeringen att regelverket behöver moderniseras. Den ökade elektroniska hanteringen kan även medföra ökade risker för otillbörligt intrång i den personliga integriteten. Ett viktigt syfte med personuppgiftsreglering i allmänhet är att skydda den personliga integriteten. Enligt regeringens bedömning omfattas en stor del av den personuppgiftsbehandling som behöver ske i domstolarna av regeringsformens bestämmelse om integritetsskydd. Detta skydd mot integritetsintrång kan begränsas i lag under förutsättning att begränsningen görs för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Ett av skälen till att se över den nuvarande regleringen är att skapa lagliga förutsättningar för att använda den moderna tekniken på ett ändamålsenligt sätt. PUL är den lag som allmänt sett har till syfte att uppfylla regeringsformens krav och övriga överordnade principer och bestämmelser i fråga om integritetsskydd vid automatiserad behandling av personuppgifter. PUL är utformad för att kunna fungera i vitt skilda sammanhang och har inte tillkommit med någon särskild hänsyn till sådan personuppgiftsbehandling som behöver ske i verksamheter och sammanhang av mer särpräglad natur. Regeringen anser att det därför även i fortsättningen ska gälla särskilda regler för personuppgiftsbehandlingen i domstolarnas verksamhet. Den nu föreslagna lagen ska gälla i stället för PUL men ska innehålla hänvisningar till bestämmelser i som fortfarande ska tillämpas. Mot bakgrund av att det infördes en ny bestämmelse i 2 kap. 6 § regeringsformen som innebär ett förstärkt skydd mot intrång i den personliga integriteten, måste ramarna för domstolarnas personuppgiftsbehandling slås fast i lag, liksom att de bestämmelser som är av central betydelse för integritetsskyddet bör ges i lagform. Härigenom uppnås ett förstärkt integritetsskydd i förhållande till vad som gäller . är det enligt regeringen olämpligt att tynga lagen med alltför detaljerade bestämmelser. Lagregleringen av domstolarnas personuppgiftsbehandling bör därför kompletteras med bestämmelser som meddelas genom förordning. De föreskrifter som regeringen utfärdar får dock inte innebära ett betydande intrång i den personliga integriteten. Ambitionen är att den föreslagna nya regleringen ska kunna fungera . Det är då en förutsättning att regleringen är flexibel och teknikneutral. Till skillnad från nu gällande Veraförordningar bör lagen därför ta sin utgångspunkt i att personuppgiftsbehandling är tillåten inom vissa ramar genom att i första hand rikta in sig på vilka former av personuppgiftsbehandling som ska begränsas eller förbjudas i stället för att i detalj peka ut vilka behandlingar som är tillåtna. Vidare medför den snabba utvecklingen att det inte är möjligt att förutse hur de tekniska lösningarna och den elektroniska kommunikationen kommer att se ut framöver inom domstolarna. Lagstiftningen bör därför inte vara beroende av att vissa tekniska lösningar används, utan ska tillåta användningen av ny teknik. Sammanfattningsvis anser regeringen att det bör skapas ett rättsligt utrymme för att välja olika tekniska lösningar, arbetssätt och kommunikationssätt inom verksamheterna. Regeringen föreslår att domstolsdatalagen som utgångspunkt ska gälla vid behandling av personuppgifter i domstolarnas rättskipande och rättsvårdande verksamhet. När personuppgifter behandlas i domstolarnas övriga verksamhet, dvs. den administrativa verksamheten, saknas behov av särreglering, och behandlingen bör därför även i fortsättningen regleras av personuppgiftslagen. När en domstol vidarebehandlar personuppgifter i sin administrativa verksamhet för att efter en begäran lämna ut uppgifterna är dock domstolsdatalagen avsedd att tillämpas. Vidare ska lagen endast gälla om behandlingen är helt eller delvis automatiserad eller om personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Syftet med lagen är tvådelat: dels ska lagen ge domstolarna möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin rättskipande och rättsvårdande verksamhet, dels ska den skydda människor mot att deras personliga integritet kränks vid sådan behandling. I domstolarnas rättskipande verksamhet måste personuppgifter kunna få behandlas på ett ändamålsenligt sätt, vilket bl.a. innefattar användandet av ett modernt och rationellt datorstöd. Detta är nödvändigt för att samhällets rättmätiga krav på en rättssäker och effektiv dömande verksamhet ska kunna tillgodoses. måste det beaktas att hanteringen av personuppgifter kan medföra en risk för intrång i den personliga integriteten. Regeringen anför att det därför är viktigt att hitta en väl avvägd balans mellan å ena sidan skyddet för den personliga integriteten och å andra sidan behovet av att på ett effektivt och rättssäkert sätt kunna handlägga och avgöra mål och ärenden i domstolarna. Varje domstol är personuppgiftsansvarig för den behandling som den utför. Enligt regeringen är fördelarna med denna ordning att det blir tydligt för den enskilde vem han eller hon ska vända sig till med klagomål och att det skapas förutsättningar för en effektiv tillsyn av Datainspektionen. Med hänsyn till domstolarnas självständighet skulle det dessutom väcka principiella betänkligheter att peka ut någon annan myndighet, exempelvis , som personuppgiftsansvarig för de behandlingar som en domstol utför i den rättskipande och rättsvårdande verksamheten. Den personuppgiftsansvariga domstolen får, på samma sätt som enligt personuppgiftslagen, anlita ett personuppgiftsbiträde för att utföra behandlingar för den egna domstolens räkning. Genom en hänvisning i den föreslagna lagen till personuppgiftslagens 3, 30 och 31 §§ gäller samma regler för personuppgiftsbiträden i båda lagarna. Ramarna för domstolarnas personuppgiftsbehandling Domstolsdatalagen ska enligt förslaget hänvisa till personuppgiftslagens bestämmelser om grundläggande krav för personuppgiftsbehandling. Det innebär bl.a. att de behandlingar som utförs måste vara lagliga och göras på ett korrekt sätt och i enlighet med god sed. Personuppgifterna som behandlas måste vara nödvändiga, adekvata, relevanta och riktiga. Vidare får personuppgifterna samlas in endast för särskilda och uttryckligt angivna ändamål, och de insamlade personuppgifterna får inte vidarebehandlas för ett ändamål som är oförenligt med det ändamål som uppgifterna samlades in för. Syftet med dessa krav, som riktar sig mot den personuppgiftsansvarige, är att det inte ska få förekomma behandlingar som på ett otillbörligt sätt kränker den personliga integriteten. De grundläggande kraven utgör de yttre gränserna för vilken behandling som får ske som de verksamhetsspecifika ändamålsbestämmelserna klargör att bestämmelserna om grundläggande krav ska tillämpas på ett sätt som är anpassat till den rättskipande och rättsvårdande verksamheten. De verksamhetsspecifika ändamålsbestämmelserna innebär således att personuppgifter ska få behandlas om det behövs för handläggning av mål och ärenden. Personuppgifter som behandlas på denna grund får även vidarebehandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med en lag eller förordning. Bestämmelserna i domstolsdatalagen bör enligt regeringen utformas utifrån distinktionen primära och sekundära ändamål. Vilka uppgifter som domstolarna ska samla in i mål och ärenden och hur de fortsatt ska hanteras inom ramen för handläggningen av dessa är frågor som främst styrs av processrätten och som inte ska regleras genom domstolsdatalagen eller andra personuppgiftsbestämmelser. Detta innebär enligt regeringen att det varken är möjligt eller lämpligt att i domstolsdatalagen i detalj ange för vilka ändamål personuppgifter ska få samlas in och vidarebehandlas. I domstolsdatalagen bör det därför anges att domstolarna får behandla (dvs. samla in eller vidarebehandla) personuppgifter om det behövs för handläggning av mål och ärenden (det primära ändamålet). Regeringen uppger att en sådan bestämmelse är tillräckligt flexibel för att domstolarnas organisation och arbetssätt ska kunna fortsätta att utvecklas och för att domstolarna ska kunna hantera nya måltyper. innebär bestämmelsen ett skydd mot integritetskränkning genom att bestämmelsen inte medger behandling av personuppgifter som inte är befogad i domstolarnas verksamhet. Regeringen anför vidare att bestämmelsen inte ska tolkas alltför restriktivt och att det är en obefogad oro som framförts av några remissinstanser om att bestämmelsen inte i tillräcklig utsträckning skulle medge sökningar efter tidigare avgöranden eller hantering av sådana avgöranden i samband med praxisdiskussioner, domskrivningsarbete eller annan kompetensutveckling. Detta bl.a. mot bakgrund av bestämmelsens utformning, av vilken det kommer att framgå att bedömningen av om en viss behandling är nödvändig ska göras i förhållande till mål- och ärendehantering i stort och inte i förhållande till handläggningen av ett specifikt mål eller ärende. Den föreslagna bestämmelsen innebär en uttömmande reglering av de primära ändamål för vilka personuppgifter får behandlas i domstolarnas rättskipande och rättsvårdande verksamhet. När personuppgifter ska lämnas ut, till exempelvis andra myndigheter, behöver domstolarna i allt större utsträckning ta fram dessa uppgifter från sina datorsystem. Framtagandet innebär en automatiserad behandling av personuppgifter och handlar om sekundära ändamål, eftersom behandlingarna endast avser redan insamlade uppgifter. Domstolarna är enligt olika författningsbestämmelser skyldiga att på begäran lämna ut uppgifter och skyldiga att lämna ut uppgifter till utpekade myndigheter. Genom de reformer som följer av RIF-samarbetet kommer en del av denna hantering att bli helt automatiserad, och det är viktigt att domstolsdatalagens ändamålsbestämmelser inte förhindrar en sådan effektivisering. Det kan också finnas situationer där det kan anses påbjudet eller önskvärt att domstolarna lämnar uppgifter, exempelvis för att fullgöra sin serviceskyldighet. Domstolsdatalagens bestämmelse om sekundära ändamål bör enligt regeringen formuleras så att den ger stöd för samtliga dessa former av utlämnanden. Det kan konstateras att domstolarnas uppgiftsutlämnande styrs av flera andra regelverk med mer eller mindre detaljerade bestämmelser om utlämnande. För att undvika dubbelreglering är det därför lämpligast att bestämmelsen om uppgiftslämnande som sekundärt ändamål i domstolsdatalagen får en generell utformning. Mot denna bakgrund föreslår regeringen en sekundär ändamålsbestämmelse med innebörden att uppgifter som behandlas för ett primärt ändamål också får behandlas för uppgiftslämnande som sker i enlighet med gällande lagar och förordningar. Därmed omfattas alla de former av utlämnande som redovisas ovan av den sekundära ändamålsbestämmelsen. Säkerhet och intern åtkomst Den personuppgiftsansvarige ansvarar, på samma sätt som enligt personuppgiftslagen, för säkerheten vid personuppgiftsbehandling. Genom hänvisningar i domstolsdatalagen till 30 och 31 §§ PUL föreslås att den personuppgiftsansvarige ska ge instruktioner till personalen om hur personuppgifter får behandlas. Vidare ska den personuppgiftsansvarige genom tekniska och organisatoriska åtgärder se till att personuppgifter skyddas och att det åstadkoms en säkerhetsnivå som är lämplig med hänsyn till tillgänglig teknik, kostnader, särskilda risker och uppgifternas känslighet. Regeringen anför att det inte ska fastställas i lagen vilka säkerhetsåtgärder som domstolarna ska vidta, utan i stället bör närmare riktlinjer om informationssäkerhetsarbetet ges på lägre föreskriftsnivå. Skälet till det är att det inte är möjligt att genom lagreglering i generella termer reglera hur behörighetstilldelningen bör utformas. Regeringen har i andra lagstiftningsärenden gjort samma bedömning (se prop. 2007/08:126 s. 149 och 2009/10:85 s. 271). Tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att fullgöra sina arbetsuppgifter i domstolarna. I lagen upplyses det om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. Regeringen är medveten om att kretsen som behöver ha möjlighet att komma åt lagrade personuppgifter i domstolarna i många fall kan behöva göras tämligen vid och att en begränsningsregel inte bör få hindra ett rationellt arbetssätt vid domstolarna. Den nu behandlade bestämmelsen har mot denna bakgrund utformats så att den innebär en hög grad av flexibilitet. Det finns olika sätt att leva upp till bestämmelsens krav – såväl genom föreskrifter och instruktioner som genom tekniska åtgärder. Vilka begränsningsåtgärder som bör vidtas får bedömas fortlöpande utifrån domstolarnas olika förutsättningar och behov och med beaktande bl.a. av vad det skulle kosta att genomföra åtgärderna. Regeringen uttalar vidare att de föreskrifter som regeringen eller bemyndigad myndighet kan meddela bör ge utrymme för olika tekniska lösningar, arbetssätt och kommunikationsvägar inom domstolarna. Genom föreskrifterna kan det bl.a. tydliggöras för domstolarna, och för de registrerade, hur behörighetstilldelning ska ske och hur tillgången till personuppgifter i olika fall ska begränsas. Sådana föreskrifter kommer alltså att kunna anpassas efter domstolarnas behov och därmed inte hindra ett rationellt arbetssätt i domstolarna. Eftersom det är fråga om verkställighetsföreskrifter får föreskrifterna inte förändra innehållet i lagbestämmelsen. Domstolarna ska med hjälp av eftersträva att åtkomst som inte är berättigad förhindras. Detta kan ske bl.a. genom tekniska åtgärder. Det kommer dock aldrig att vara möjligt att enbart på teknisk väg förhindra varje form av åtkomst som inte är yrkesmässigt motiverad.