prop · H203148 · 2015-09-08 00:00:00 — Regeringen eller den myndighet som regeringen bestämmer kan meddela särskilda föreskrifter om bevarande av uppgifter som hänför sig till ett mål eller ett ärende som avslutats genom ett lagakraftvunnet avgörande (se författningskommentaren till 17 §). I första stycket 3 hänvisas till 9 § PUL. Hänvisningen innebär bl.a. att den personuppgiftsansvarige (se 9 §) ska se till att uppgifterna behandlas enbart om det är lagligt och att de behandlas på ett korrekt sätt. Den personuppgiftsansvarige ska också se till att de behandlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket e och f PUL). Vidare ska den personuppgiftsansvarige se till att de behandlade personuppgifterna är riktiga och, om det är nödvändigt, aktuella, samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen (9 § första stycket g och h PUL). Vid tillämpningen av de aktuella bestämmelserna måste hänsyn tas till den särskilda karaktären hos de uppgifter som förekommer i domstolarnas och nämndernas rättskipande och rättsvårdande verksamhet (jfr prop. 2011/12:45 s. 195). Bedömningen av om en uppgift ska anses vara oriktig eller inte, dvs. om uppgiften ska rättas, måste göras mot bakgrund av vilka krav verksamheten ställer på personuppgiftsbehandlingen, se propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 107 f.). Det är naturligt att parterna under en domstolsprocess ifrågasätter riktigheten i varandras utsagor. Detta utgör naturligtvis inget hinder för domstolarna och nämnderna att behandla personuppgifterna elektroniskt. 2014/15:148 utgångspunkt är att en uppgift, trots att den inte återger en korrekt bild av ett sakförhållande, inte är oriktig i den bemärkelsen att den ska rättas, om den korrekt återger ett händelseförlopp i verksamheten. ske enbart därför att uppgifter som framstod som riktiga eller rimliga när de samlades in, t.ex. brottsmisstankar, senare har visat sig vara oriktiga 2011/12:45 s. 196). Hänvisningen innebär vidare att den personuppgiftsansvarige ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (9 § första stycket c PUL). uppgifter som domstolarna och nämnderna utför i den rättskipande och rättsvårdande verksamheten lever normalt upp till de aktuella kraven, eftersom insamlandet av uppgifter för domstolarnas och nämndernas del styrs av andra bestämmelser, såsom , förvaltnings- processlagen (1971:291) och andra handläggnings- och förfaranderegler. Av dessa regelverk framgår bl.a. vilka uppgifter som ska fogas till ett mål eller ärende och vilka uppgifter som ska kommuniceras med På så sätt tydliggörs det för vilka ändamål som uppgifter samlas När en domstol eller nämnd samlar in uppgifter är det i det enskilda fallet oftast klart för vilket ändamål uppgifterna samlas in. Genom hänvisningen gäller dessutom att personuppgifter inte får behandlas för ett ändamål som är oförenligt med det ändamål för vilket de samlades in (9 § första stycket d PUL). Detta är ett uttryck för den s.k. Genom bestämmelsen uppställs en begränsning i fråga om hur uppgifter som redan finns i verksamheten får behandlas för Genom att ange vissa primära och sekundära ändamål i 6 och 7 §§ har ställningstagandet gjorts att vidarebehandling för dessa ändamål är förenlig med finalitetsprincipen, och dessa bestämmelser utgör en uttömmande reglering av vilka ändamål personuppgifter får behandlas för i domstolarnas och nämndernas rättskipande och Bestämmelsen i 9 § första stycket d PUL har därför ingen självständig funktion inom domstolsdatalagens tillämpningsområde men bestämmelsen kan ge ledning om det exempelvis i ett enskilt fall framstår som tveksamt om vidarebehandling för utlämnande enligt 7 § är tillåten. Hänvisningen till 9 § andra stycket PUL innebär att vidarebehandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenliga med de ändamål för vilka uppgifterna samlades in. historiska, statistiska eller vetenskapliga ändamål gäller emellertid särskilda begränsningar för hur uppgifterna får användas (9 § fjärde stycket PUL). Slutligen innebär hänvisningen att personuppgiftslagens bestämmelser rörande bevarande av uppgifter som inte finns i allmänna handlingar ska Således gäller som huvudregel att personuppgifter inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket i PUL). får dock bevaras längre om det behövs för historiska, statistiska eller vetenskapliga ändamål, men då gäller särskilda begränsningar för hur uppgifterna får användas (9 § tredje stycket PUL). Vidare hänvisas i första stycket 4 till 22 § PUL. att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Genom hänvisningen i första stycket 5 till 23 och 25–27 §§ PUL säkerställs den registrerades rätt till information. Enligt 23 § PUL ska den personuppgiftsansvarige i samband med att personuppgifter samlas in självmant lämna den registrerade information om behandlingen av uppgifterna. Av 25 § första stycket PUL framgår att informationen ska omfatta uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Av 25 § andra stycket PUL framgår emellertid att information inte behöver lämnas om sådant som den registrerade redan känner till. I domstolarnas rättskipande och rättsvårdande verksamhet torde de registrerade som skickar in uppgifter till domstolarna (exempelvis parterna) i de flesta fall anses känna till den information som avses i 23 § PUL eftersom denna information framgår direkt av domstolsdatalagen, av den förteckning som domstolarna är skyldiga att sammanställa och av de processuella regelverk som styr domstolarnas verksamhet. Följden blir att domstolarna i praktiken sällan torde behöva lämna särskild information till den registrerade. Samma sak gäller hyres- och arrendenämnderna. Av 26 och 27 §§ PUL följer att den personuppgiftsansvarige är skyldig att en gång efter skriftlig ansökan lämna gratis information om huruvida personuppgifter som rör den sökande behandlas. Om sådan behandling sker, ska upplysning också lämnas om bl.a. ändamålet med behandlingen. Under vissa förutsättningar gäller undantag från informationsskyldigheten i fråga om personuppgifter i löpande text som inte fått sin slutliga utformning, minnesanteckningar och liknande. Informationsplikten gäller inte heller i den utsträckning det råder sekretess eller tystnadsplikt för informationen. Bestämmelserna innebär inga skyldigheter för domstolarna och nämnderna att inrätta sök- eller andra sammanställningsfunktioner endast för att kunna lämna så fullständig information som möjligt till den registrerade. För att fullgöra sina skyldigheter enligt bestämmelserna är det tillräckligt att den personuppgiftsansvarige utnyttjar de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade (se prop. 1997/98:44 s. 81 f.). Enligt hänvisningen i första stycket 6 till 28 § PUL ska den lagens bestämmelser om rättelse tillämpas. Den personuppgiftsansvarige är alltså skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med domstolsdatalagen – inklusive de bestämmelser i personuppgiftslagen till vilka lagen hänvisar – eller föreskrifter som har utfärdats i anslutning till lagen. Rättelse ska dock inte göras enbart därför att uppgifter som framstod som riktiga eller rimliga när de samlades in senare har visat sig vara oriktiga. Vad gäller frågan om när uppgifter är att betrakta som oriktiga, se första stycket 3. I första stycket 7 görs en hänvisning till 30 och 31 §§ samt 32 § första stycket PUL. Enligt 30 § första stycket PUL får ett personuppgiftsbiträde den som behandlar personuppgifter för den personuppgifts- ansvariges räkning) och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter enbart i enlighet med instruktioner från den personuppgiftsansvarige. det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet, gäller dock – enligt 30 § tredje stycket – dessa i stället. bestämmelsen syftar särskilt på bestämmelser om tystnadsplikt och sekretess (se prop. 1997/98:44 s. 136). Enligt 30 § andra stycket PUL ska det i fråga om personuppgiftsbiträden finnas ett skriftligt avtal om biträdets behandling för den personuppgiftsansvariges räkning. avtalet särskilt föreskrivas att biträdet får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige och att biträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket har en central roll i uppbyggnaden och driften av domstolarnas och nämndernas datorsystem. utför personuppgiftsbehandlingar för en domstols räkning behöver alltså domstolen och verket ingå ett avtal. Av 31 § PUL följer bl.a. att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de behandlade person- Enligt 32 § första stycket PUL får tillsynsmyndigheten i enskilda fall besluta om vilka åtgärder som den personuppgiftsansvarige ska vidta enligt 31 § samma lag. Med tillsynsmyndigheten avses här tillsynsmyndigheten enligt personuppgiftslagen, dvs. se 2 § personuppgiftsförordningen (1998:1191). En hänvisning görs i första stycket 8 till 33–35 §§ PUL. PUL är det förbjudet att överföra personuppgifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. fästas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och reglerna för behandlingen i tredjeland. I 34 och 35 §§ PUL föreskrivs undantag från förbudet enligt 33 § samma lag. Enligt 34 § PUL får uppgifter trots förbudet överföras dels om den registrerade har lämnat sitt samtycke till överföringen, dels om överföringen är nödvändig med hänsyn till vissa uppräknade syften. Det är också enligt den paragrafen tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonventionen. Av 35 § PUL framgår att regeringen, och för vissa fall även den myndighet som regeringen bestämmer, kan meddela föreskrifter om undantag från förbudet i 33 § Det framgår av 3 § att det i annan lagstiftning finns särskilda bestämmelser om överföring till bl.a. medlemsstater i Europeiska unionen som har företräde framför bestämmelserna i domstolsdatalagen. I första stycket 9 görs en hänvisning till 38 och 40 §§ PUL, där det framgår vilka närmare uppgifter ett personuppgiftsombud har. Domstolarna och nämnderna är enligt 10 § skyldiga att utse ett eller flera Den som är personuppgiftsombud självständigt se till att den personuppgiftsansvarige behandlar person- uppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister. misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, ska personuppgiftsombudet anmäla förhållandet till Datainspektionen. Även i övrigt ska personuppgiftsombuden samråda med Datainspektionen vid tveksamhet rörande tillämpningen av domstolsdatalagen. Slutligen har personuppgiftsombuden också till uppgift att hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. En hänvisning görs i första stycket 9 också till 41 § PUL. Enligt den paragrafen har regeringen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Genom hänvisningen i första stycket 10 till 43 och 44 §§, 45 § första stycket och 47 § PUL görs det klart vilka befogenheter tillsynsmyndigheten har, utöver möjligheten att besluta om säkerhetsåtgärder med stöd av hänvisningen till 32 § PUL. Enligt 43 § PUL har Datainspektionen möjlighet att på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen och säkerheten vid denna samt tillträde till lokaler. Om Datainspektionen efter en begäran enligt 43 § PUL inte kan få tillräckligt underlag för att konstatera att personuppgiftsbehandlingen är laglig, får myndigheten enligt 44 § PUL förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem. Enligt 45 § första stycket PUL ska Datainspektionen genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse om inspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. Om det inte går att få rättelse på något annat sätt eller om saken är brådskande, får Datainspektionen vidare förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. Datainspektionen har också möjlighet att hos förvaltningsrätten ansöka om att personuppgifter som har behandlats på ett olagligt sätt ska utplånas (47 § PUL). Beslut om utplåning får dock inte fattas om det är oskäligt. Det är i praktiken uteslutet att utplåna uppgifter som behövs för handläggningen av mål och ärenden eller som på grund av processrättsliga regler eller allmänna rättsprinciper ska bevaras. Genom hänvisningen i första stycket 11 till 48 § PUL regleras den registrerades rätt till skadestånd. Den personuppgiftsansvarige (domstolen eller nämnden) ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med domstolsdatalagen har orsakat. Detta gäller även om en behandling har skett i strid med de bestämmelser i personuppgiftslagen som domstolsdatalagen hänvisar till. I vissa fall kan ersättningen jämkas. Förbud enligt 44 eller 45 § PUL får normalt förenas med vite. Av andra stycket följer dock att förbud som meddelas i samband med tillsyn enligt domstolsdatalagen inte får förenas med vite. 2014/15:148 Ändamål 6 § Personuppgifter får behandlas om det behövs för handläggning av mål och ärenden. I paragrafen anges de primära ändamålen för personuppgiftsbehandlingen i den rättskipande och rättsvårdande verksamheten. Övervägandena finns i avsnitt 8.2. Enligt bestämmelsen får domstolarna och nämnderna behandla personuppgifter om det behövs för handläggning av mål och ärenden. Det är fråga om s.k. primära ändamål, dvs. ändamål för vilka domstolarna och nämnderna inte enbart får vidarebehandla lagrade uppgifter, utan även får samla in uppgifter, t.ex. genom att ta emot partsinlagor, föra protokoll vid förhandlingar eller göra tjänsteanteckningar. I 7 § regleras de s.k. sekundära ändamålen. Under den nu aktuella ändamålsbestämmelsen faller alla åtgärder som behöver vidtas i ett mål eller ärende. Inom ändamålsbestämmelsens tillämpningsområde faller exempelvis mottagande av uppgifter, diarieföring, kommunicering, protokollföring, sökning efter relevant praxis, upprättande av dom och expediering. Det förutsätts emellertid inte att en behandling är nödvändig för handläggningen av ett specifikt mål eller ärende utan behandling kan ske även för planering, uppföljning och utvärdering av verksamheten vid domstolarna eller nämnderna. Planering, uppföljning och utvärdering anses vara en integrerad del av själva verksamheten (se prop. 2004/05:164 s. 66 f. och prop. 2009/10:85 s. 116) och omfattas alltså av den nu aktuella ändamålsbestämmelsen. Därigenom kan sökningar efter relevant praxis och hantering av sådana uppgifter ske, oavsett om åtgärderna sker i syfte att underlätta domskrivningsarbete, praxisdiskussioner eller annat kompetensutvecklingsarbete. 7 § Personuppgifter som behandlas enligt 6 § får även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Paragrafen innehåller bestämmelser om de sekundära ändamål för vilka personuppgifter får behandlas. Övervägandena finns i avsnitt 8.2. Enligt bestämmelsen får personuppgifter som samlats in eller på annat sätt behandlas för handläggningen av mål och ärenden även behandlas om det behövs för att fullgöra uppgiftslämnande. Det är fråga om en s.k. Bestämmelsen ger inte stöd för att samla in personuppgifter till den rättskipande och rättsvårdande verksamheten, utan det kan enbart bli fråga om att vidarebehandla personuppgifter som behandlas i verksamheten med stöd av 6 §. Behandling av personuppgifter enligt 7 § förutsätter alltså att uppgifterna redan är föremål för behandling enligt 6 §. uppgiftslämnandet sker muntligt, genom utskrift på ett papper som lämnas ut eller genom t.ex. e-post är bestämmelsen tillämplig. Genom domstolsdatalagens hänvisning till 8 § första stycket person- uppgiftslagen (1998:204, PUL), se 5 § första stycket 2, tydliggörs att det alltid är tillåtet att utföra sådana behandlingar som är nödvändiga för att fullgöra skyldigheten enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter i allmänna handlingar. Genom den nu aktuella bestäm- Prop. 2014/15:148 melsen tillåts domstolarna och nämnderna att även i andra fall behandla personuppgifter för att kunna lämna uppgifter till utomstående eller till en annan del av verksamheten. Det kan röra sig om situationer där domstolarna och nämnderna enligt bestämmelser i olika författningar är skyldiga att lämna uppgifter till utpekade myndigheter, t.ex. uppgifter om brottmålsdomar till och Kriminalvården eller om domar i upphandlingsmål till . De utlämnanden som behöver göras från domstolarna t.ex. för att genomföra RIF-samarbetet, för att framställa rättsstatistik eller för att tillgodose polisens behov av återkoppling sker i överensstämmelse med lag eller förordning. Det kan också vara fråga om uppgiftslämnande som domstolen är skyldig att utföra enligt en EU-förordning. En domstol eller nämnd har också enligt 6 kap. 5 § offentlighets- och sekretesslagen (2009:400), en skyldighet att på begäran av en annan myndighet lämna uppgift som domstolen eller nämnden förfogar över, om uppgiften inte är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Bestämmelsen tillåter emellertid även att personuppgifter behandlas för att kunna lämnas ut i situationer då det inte finns någon uttrycklig skyldighet att lämna ut uppgifterna. Det kan t.ex. vara fråga om en åtgärd som vidtas för att fullgöra serviceskyldigheten gentemot enskilda enligt 4 § förvaltningslagen (1986:223). 8 § Tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om tillgången till personuppgifter. Paragrafen, som är utformad efter mönster av 2 kap. 11 § polisdatalagen (2010:361), reglerar den interna tillgången till personuppgifter för domstolens eller nämndens personal. Övervägandena finns i avsnitt 9.2. I första stycket slås det fast att tillgången till personuppgifter i domstolarna och nämnderna ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Beroende på hur en domstol eller nämnd är organiserad kan skilda personalkategorier behöva vidta åtgärder i ett mål eller ärende och därför också ha behov av tillgång till relevanta personuppgifter. Utöver den personal som deltar i den dömande verksamheten eller i målens och ärendenas beredning kan exempelvis en växeltelefonist behöva ha tillgång till en inlaga i ett mål för att besvara en fråga från en part eller allmänheten. Uttrycket ”varje tjänsteman” omfattar såväl fast anställd personal som t.ex. pensionerade domare som tillfälligt anlitas för att avgöra enstaka mål. I andra stycket finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om förutsättningarna för tillgången till personuppgifter. Detaljbestämmelser kan således utformas så att tillgången till personuppgifter begränsas till vad som är nödvändigt för att bedriva verksamheten. 2014/15:148 Personuppgiftsansvar 9 § En allmän domstol, en allmän förvaltningsdomstol eller en hyres- och arrendenämnd är personuppgiftsansvarig för den behandling av personuppgifter som den domstolen eller nämnden utför. Paragrafen innehåller bestämmelser om personuppgiftsansvar. Övervägandena finns i avsnitt 7.1. Enligt 3 § personuppgiftslagen (1998:204, PUL) är det den personuppgiftsansvarige som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Domstolsdatalagen hänvisar i 5 § första stycket 1 till denna definition. I den nu aktuella paragrafen förtydligas att varje enskild domstol eller nämnd ska vara personuppgiftsansvarig för den behandling som den domstolen eller nämnden utför. Genom ett sådant tydligt utpekat ansvar kan en enskild som vill framföra ett klagomål lätt identifiera vem som är personuppgiftsansvarig för en viss behandling. Flera bestämmelser i personuppgiftslagen, till vilka domstolsdatalagen hänvisar, innebär särskilda skyldigheter för den personuppgiftsansvarige. Det är t.ex. enligt 9 § första stycket e och f PUL den personuppgiftsansvariges skyldighet att se till att de behandlade uppgifterna är adekvata och relevanta i förhållande till ändamålen för behandlingen och att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det ankommer också på den personuppgiftsansvarige att se till att information lämnas till den registrerade (23, 25 och 26 §§ PUL). Enligt domstolsdatalagen gäller vidare att den personuppgiftsansvarige ska utse ett eller flera personuppgiftsombud (10 §). 10 § Den personuppgiftsansvarige ska utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen (1998:204) när ett personuppgiftsombud utses eller entledigas. Paragrafen innehåller bestämmelser om personuppgiftsombud. Övervägandena finns i avsnitt 14.3. Enligt första stycket är den personuppgiftsansvarige skyldig att utse personuppgiftsombud. Hänvisningen i 5 § första stycket 9 till 38 och 40 §§ personuppgiftslagen (1998:204) innebär att personuppgiftslagens bestämmelser om personuppgiftsombudets uppgifter är tillämpliga vid domstolarna och nämnderna. Enligt andra stycket ska den personuppgiftsansvarige anmäla till den myndighet som är tillsynsmyndighet enligt personuppgiftslagen, dvs. Datainspektionen, när ett personuppgiftsombud utses eller entledigas. En motsvarande bestämmelse om personuppgiftsombud finns i 2 kap. 5 § polisdatalagen (2010:361). 11 § Den som är personuppgiftsombud ska föra en förteckning över de behandlingar som utförs med stöd av denna lag. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av Prop. 2014/15:148 8 kap. 7 § regeringsformen meddela närmare föreskrifter om vilka uppgifter en sådan förteckning ska innehålla. I paragrafen regleras den personuppgiftsansvariges skyldighet att föra en förteckning över personuppgiftsbehandlingar. Övervägandena finns i avsnitt 14.1.