prop · H203148 · 2015-09-08 00:00:00 — Vidare framgår att upplysningarna ska omfatta i princip samma information som ska framgå av den förteckning som domstolarna föreslås bli skyldiga att föra. Enligt regeringen bör en motsvarande skyldighet gälla även enligt domstolsdatalagen. Av lagtekniska skäl är det dock inte lämpligt att hänvisa till 42 § PUL. En uttrycklig bestämmelse med motsvarande innehåll bör därför tas in i domstolsdatalagen. Det bör vidare, i linje med regleringen i 42 § PUL, förtydligas att skyldigheten att lämna upplysningar inte omfattar sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. Uppgiftsskyldighet i förhållande till den registrerade En ytterligare möjlighet att åstadkomma insyn i domstolarnas personuppgiftsbehandling är att införa en skyldighet för den personuppgiftsansvarige att under vissa förutsättningar lämna information till den registrerade. Sådana bestämmelser finns i 23–25 §§ PUL. Bestämmelserna är enligt nuvarande ordning tillämpliga i domstolarnas rättskipande och rättsvårdande verksamhet. Enligt 23 § PUL ska den personuppgiftsansvarige i samband med att personuppgifter samlas in självmant lämna den registrerade information om behandlingen av uppgifterna. Av 25 § PUL framgår att informationen ska omfatta uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen, och all övrig information som behövs för att den registrerade ska kunna ta tillvara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Regeringen anser, i likhet med vad som anförs i promemorian, att de registrerade som skickar in uppgifter till domstolarna (exempelvis parterna) i de flesta fall torde känna till vilka uppgifter som kommer att behandlas vid domstolarna eftersom detta framgår direkt av domstolsdatalagen, av den förteckning som domstolarna föreslås vara skyldig att sammanställa och av de processuella regelverken som styr domstolarnas verksamhet. 2014/15:148 innebär att domstolarna i praktiken sällan torde behöva lämna särskild information till den registrerade även om 23 och 25 §§ PUL görs tillämpliga för domstolarna. anser att promemorians förslag om att göra 23 § PUL tillämplig enligt domstolsdatalagen innebär att domstolarna kommer att vara skyldiga att underrätta t.ex. parter och vittnen om att deras personuppgifter kommer att behandlas och att en strikt tillämpning av denna paragraf torde innebära en betungande informationsskyldighet för domstolarna. Det bör dock poängteras att promemorians förslag om att införa en hänvisning till 23 och 25 §§ PUL i domstolsdatalagen inte innebär någon ändring av gällande rätt. Såvitt framkommit har domstolarnas tillämpning av 23 och 25 §§ PUL inte medfört några problem eller betungande administration i domstolarnas verksamhet. Bestämmelserna i 23 och 25 §§ PUL har sin grund i dataskyddsdirektivet. För att det inte ska råda någon tvekan om att domstolsdatalagen lever upp till de krav som följer av unionsrätten anser regeringen, i likhet med vad som anförs i promemorian, att dessa bestämmelser även fortsättningsvis bör vara tillämpliga i domstolarnas rättskipande och rättsvårdande verksamhet. Det bör därför i domstolsdatalagen tas in en hänvisning till bestämmelserna i 23 och 25 §§ PUL. Informationsskyldigheten enligt 23 § PUL gäller i de fall uppgifter om en person samlas in från personen själv. I 24 § PUL föreskrivs en skyldighet för den personuppgiftsansvarige att självmant lämna information till den registrerade i de fall personuppgifter samlas in från någon annan än den registrerade själv. Det är fråga om samma information som enligt 23 §. Av 24 § andra stycket följer emellertid att informationsskyldigheten enligt 24 §, till skillnad från 23 §, inte gäller om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. I fråga om domstolarnas rättskipande och rättsvårdande verksamhet kommer det att finnas sådana bestämmelser i domstolsdatalagen, , förvaltningsprocesslagen och övrig lagstiftning som styr domstolarnas verksamhet. Enligt regeringen bör det därför inte tas in någon hänvisning till 24 § PUL i domstolsdatalagen. Såsom uppmärksammar hänvisar 25 § PUL till både 23 och 24 §§ samma lag. Till skillnad mot hovrätten anser regeringen dock att det inte behövs något förtydligande i domstolsdatalagen om att 25 § PUL endast gäller i förhållande till 23 § PUL. Någon risk för tillämpningssvårigheter kan inte förutses. Förslaget i denna del är för övrigt identiskt med motsvarande reglering i 2 kap. 2 § första stycket polisdatalagen. 2014/15:148 14.2 Regeringens förslag: I domstolarnas rättskipande och rättsvårdande verksamhet har tillsynsmyndigheten samma befogenheter att utöva tillsyn som enligt personuppgiftslagen, med undantag för möjligheten att utfärda vitesföreläggande. Regeringen har, på samma sätt som enligt personuppgiftslagen, möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till tillsynsmyndigheten för förhandskontroll. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser kommenterar ombudsmän () anser att Datainspektionen inte bör ha möjlighet att under vissa förutsättningar meddela förbud för domstolarna att behandla personuppgifter på annat sätt än genom att lagra dem. Förvaltningsrätten i anser att det mot bakgrund av de allvarliga konsekvenser som ett förbud om att domstolarna inte får behandla personuppgifter på annat sätt än genom att lagra dem skulle medföra för rättssäkerheten, tilltron till rättsväsendet och för enskildas möjlighet att ta tillvara sin rätt bör övervägas om det i lagstiftningen bör uttryckas att tillsynsmyndigheten i det längsta ska undvika att tillgripa denna åtgärd. Alternativt bör det, enligt förvaltningsrätten, övervägas om det finns något annat, mindre ingripande påtryckningsmedel. ifrågasätter om det är lämpligt att tillsynsmyndigheten ska kunna ansöka hos förvaltningsrätten om att personuppgifter som har behandlats på ett olagligt sätt ska utplånas och att förvaltningsrätten ges befogenhet att fatta beslut i denna fråga. Förvaltningsrätten i konstaterar att forumregeln i personuppgiftslagen innebär att en ansökan om att personuppgifter som har behandlats på ett olagligt sätt ska utplånas ska prövas av Förvaltningsrätten i och anser att det framstår som oklart vilken domstol som ska pröva en ansökan avseende Förvaltningsrätten i . Övriga remissinstanser tillstyrker eller har inte något att invända mot promemorians förslag. Skälen för regeringens förslag: För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen i egenskap av tillsynsmyndighet enligt personuppgiftslagen vissa befogenheter gentemot den personuppgiftsansvarige. Enligt 32 § första stycket PUL får Datainspektionen i enskilda fall besluta om vilka säkerhetsåtgärder som den personuppgiftsansvarige ska vidta enligt 31 § PUL, dvs. lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som ska behandlas (se avsnitt 9.1). Vidare framgår av 43 § PUL att tillsynsmyndigheten har möjlighet att på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen och säkerheten vid denna och tillträde till lokaler. De redovisade bestämmelserna är enligt nuvarande ordning tillämpliga i domstolarnas rättskipande och rättsvårdande verksamhet. Regeringen anser, i likhet med promemorian, att tillsynsmyndigheten även i fortsättningen bör ha samma befogenheter som enligt den nuvarande ordningen. En hänvisning till de aktuella paragraferna bör därför tas in i domstolsdatalagen. Datainspektionen har, enligt 44 § PUL, möjlighet att vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem, om myndigheten inte efter begäran enligt 43 § PUL kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig. Ett sådant förbud får även meddelas enligt 45 § PUL om det inte går att få till stånd rättelse genom påpekanden eller liknande förfaranden mot felaktig personuppgiftsbehandling, eller om saken är brådskande. Även ett sådant förbud kan förenas med vite. Frågan är om Datainspektionen bör ha rätt att meddela förbud av nu aktuellt slag. Som JO och Förvaltningsrätten i konstaterar kan ett förbud för en domstol att behandla personuppgifter på något annat sätt än genom att lagra dem i många fall innebära att verksamheten blockeras, vilket kan ha allvarliga följder för rättsäkerheten, tilltron till rättsväsendet och för enskildas möjligheter att ta tillvara sin rätt. JO anser därför att Datainspektionen inte bör ha möjlighet att meddela denna typ av förbud. Regeringen konstaterar dock att 44 och 45 §§ PUL enligt den nuvarande ordningen är tillämpliga i domstolarnas rättskipande och rättsvårdande verksamhet. Det följer av de aktuella bestämmelserna att Datainspektionens möjligheter att besluta om förbud är begränsade. Enligt regeringen bör Datainspektionen även fortsättningsvis ha den principiella möjligheten att förbjuda viss behandling. Genom de redovisade bestämmelserna får Datainspektionen också goda möjligheter att stödja domstolarna i deras arbete med att säkerställa integritetsskyddet i verksamheten. Förvaltningsrätten i anser att det bör övervägas om det på något sätt ska komma till uttryck i lagstiftningen att Datainspektionen i det längsta ska undvika att meddela sådana förbud. Enligt regeringen behövs det dock inte någon uttrycklig reglering om detta i domstolsdatalagen. Det får anses tillräckligt att på samma sätt som polisdatalagen hänvisa till de aktuella paragraferna i personuppgiftslagen. En ytterligare fråga är om det bör vara möjligt för Datainspektionen att förena ett förbud av nu aktuellt slag med vite. I polisdatalagen och flera andra lagstiftningsärenden har en lösning valts som inte ger Datainspektionen någon sådan möjlighet. Detta har motiverats med grundsatsen att regler om vite inte bör tillämpas i förhållandet mellan statliga myndigheter, se prop. 2004/05:164 s. 54, propositionen Personuppgiftsbehandling hos Försvarsmakten och (prop. 2006/07:46 s. 105) och prop. 2009/10:85 s. 90. Samma skäl gör sig i högsta grad gällande i förhållande till domstolarna. Domstolsdatalagen bör alltså inte möjliggöra för Datainspektionen att vid vite förbjuda en domstol att behandla personuppgifter enligt domstolsdatalagen. Enligt 47 § första stycket PUL har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Bestämmelsen har sin grund i dataskyddsdirektivet (artikel 28.3). Där anges att varje nationell tillsynsmyndighet ska ha befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts, alternativt att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Regeringen anser, i likhet med promemorian, att Datainspektionen för att tillgodose direktivets krav bör ha möjlighet att 2014/15:148 ansöka om utplåning av uppgifter i domstolarnas rättskipande och rättsvårdande verksamhet. Detta åstadkoms genom en hänvisning till 47 § PUL. Beslut om utplåning får enligt 47 § andra stycket PUL inte meddelas om det är oskäligt, vilket innebär att det inte bör komma i fråga att utplåna uppgifter som behövs för handläggningen av mål och ärenden eller som på grund av processrättsliga regler eller allmänna rättsprinciper bör bevaras. Såsom Förvaltningsrätten i konstaterar ska en ansökan om utplåning enligt 47 § PUL prövas av förvaltningsrätten inom vars domkrets tillsynsmyndigheten är belägen. Eftersom Datainspektionen är belägen i ska denna fråga, enligt nuvarande forumregler, alltså prövas av Förvaltningsrätten i . Förvaltningsrätten i ställer frågan vilken domstol som ska pröva en ansökan som innefattar påståenden att personuppgifter har behandlats på ett olagligt sätt av Förvaltningsrätten i . Regeringen konstaterar att forumregeln i 47 § PUL redan nu gäller i domstolarnas verksamhet och att det inte framkommit några problem med den nuvarande ordningen. Det förekommer även på andra områden att en domstol kan vara part i ett mål eller ärende som handläggs vid samma domstol. Någon särskild forumregel för det nu aktuella fallet behövs därför inte. Enligt nuvarande ordning gäller även regeringens möjlighet att, med stöd av 41 § PUL, föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll i domstolarnas verksamhet. Bestämmelsen har sin grund i artikel 20.1 i dataskyddsdirektivet som innehåller krav på att medlemsstaterna ska bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter samt säkerställa att dessa behandlingar kontrolleras innan de påbörjas. Även om regeringen inte har meddelat några sådana föreskrifter som anges i 41 § PUL såvitt gäller domstolarnas verksamhet, saknas det skäl att inte behålla denna möjlighet. En hänvisning till nämnda bestämmelse bör därför, precis som i polisdatalagen, införas i domstolsdatalagen. Regeringens förslag: Den personuppgiftsansvarige ska utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige ska anmäla till Datainspektionen när ett personuppgiftsombud utses eller entledigas. Personuppgiftslagens bestämmelser om personuppgiftsombudets uppgifter gäller i domstolarnas verksamhet. Promemorians förslag överensstämmer med regeringen. promemorians förslag eller har ingen invändning mot det. Skälen för regeringens förslag: I personuppgiftslagen föreskrivs en möjlighet för den personuppgiftsansvarige att utse ett personuppgifts- Ombudet har till uppgift att självständigt se till att den person- uppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed. I första hand ska personuppgiftsombudet påpeka brister i uppgiftsbehandlingen för den personuppgiftsansvarige, men om den ansvarige inte rättar till bristerna är ombudet skyldigt att anmäla förhållandena till Datainspektionen. Personuppgiftsombudet ska också hjälpa registrerade personer att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. (38 och 40 §§ PUL) I polisdatalagen har det föreskrivits en skyldighet för polisen att utse personuppgiftsombud, medan personuppgiftslagens bestämmelser innebär en valfrihet för den personuppgiftsansvarige att själv bestämma om ett sådant ombud ska utses. Det obligatoriska kravet för polisen på att utse personuppgiftsombud har enligt förarbetena till polisdatalagen motiverats med att behandlingen av personuppgifter i polisens brottsbekämpande verksamhet i stor utsträckning rör uppgifter som får anses integritetskänsliga, vilket gör det särskilt angeläget med den kontroll som kan utövas av ett personuppgiftsombud (prop. 2009/10:85 s. 93). I domstolarnas rättskipande och rättsvårdande verksamhet begränsas hanteringen av personuppgifter indirekt av de processuella regelverken. Jämfört med polisen har domstolarna därför ett mindre utrymme att styra över vilka personuppgifter som ska samlas in och behandlas på andra sätt inom verksamheten. Risken för att det i verksamheten utförs obefogade integritetskänsliga behandlingar avseende personuppgifter får därför anses vara mindre än inom polisen. Enligt regeringen finns det dock flera fördelar med att göra det obligatoriskt för domstolarna att utse ett personuppgiftsombud. Ett personuppgiftsombud torde ofta få särskilda kunskaper om personuppgiftsfrågor och kan då ge god service åt enskilda som behöver hjälp för att kunna ta tillvara sin rätt. Enskilda får genom personuppgiftsombudet en tydlig kontaktpunkt vid varje domstol i frågor som rör bl.a. information om behandlingen och rättelse av felaktiga uppgifter. Personuppgiftsombudet kan också bidra till kunskapsspridningen inom sin domstol och vara ett stöd för andra medarbetare. I syfte att åstadkomma ett förstärkt integritetsskydd bör det av dessa skäl enligt regeringen vara obligatoriskt för domstolarna att utse ett eller flera personuppgiftsombud. Regeringen lämnar därför, i likhet med promemorian, ett förslag om att domstolarna ska vara skyldiga att utse personuppgiftsombud. Av 36 § andra stycket PUL framgår att den personuppgiftsansvarige ska anmäla till Datainspektionen när ett personuppgiftsombud utses och entledigas. Detta bör även gälla enligt domstolsdatalagen. Skyldigheten att utse personuppgiftsombud och anmäla dessa till Datainspektionen bör framgå direkt av domstolsdatalagen. Det finns enligt regeringen inte anledning att utforma arbetsuppgifter och skyldigheter för ett personuppgiftsombud som utses med stöd av domstolsdatalagen annorlunda än vad som gäller enligt personuppgiftslagen. Domstolsdatalagen bör därför hänvisa till 38 och 40 §§ PUL. 2014/15:148 15 15.1Åtgärder vid felaktig personuppgiftsbehandling Regeringens förslag: Den personuppgiftsansvarige är, på samma sätt som enligt personuppgiftslagen, skyldig att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som har behandlats felaktigt i domstolarnas verksamhet. Den personuppgiftsansvarige har även samma skyldighet som enligt personuppgiftslagen att underrätta tredje man om sådana åtgärder. Den registrerade har samma rätt som enligt personuppgiftslagen att få skadestånd vid skada eller kränkning som uppstår när personuppgifter behandlas på ett felaktigt sätt. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser tillstyrker prome- förslag eller har ingen invändning mot det. Skälen för regeringens förslag Skyldigheten att rätta felaktigt behandlade uppgifter Enligt 9 § första stycket h personuppgiftslagen (1998:204, PUL), till vilken domstolsdatalagen ska hänvisa (se avsnitt 8.1), ska den personuppgiftsansvarige se till att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Det finns också en möjlighet för den registrerade att begära att sådana åtgärder vidtas. Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personuppgiftslagens bestämmelser. Vidare följer av denna bestämmelse att när den personuppgiftsansvarige rättar en personuppgift ska han eller hon underrätta dem som fått del av uppgiften om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelserna i 28 § PUL är redan enligt nuvarande ordning tillämpliga i domstolarnas rättskipande och rättsvårdande verksamhet. Felaktig behandling av personuppgifter innebär ett integritetsintrång och för att i så stor utsträckning som möjligt begränsa sådana intrång är det, enligt regeringen, viktigt att personuppgifter som behandlas felaktigt i domstolarna även i fortsättningen rättas, blockeras eller utplånas. En hänvisning till 28 § PUL bör därför tas in i domstolsdatalagen. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till skadestånd (48 § PUL). Rätten till ersättning omfattar varje typ av skada eller kränkning av den personliga integriteten orsakad genom en behandling i strid med reglerna i personuppgiftslagen eller föreskrifter som har Prop. 2014/15:148 meddelats med stöd av den lagen. Personuppgiftslagens bestämmelser om skadestånd är enligt gällande rätt tillämpliga i domstolarnas rättskipande och rättsvårdande verksamhet. Om personuppgifter skulle behandlas i strid med domstolsdatalagen är det principiellt viktigt att den som drabbas av skada eller kränkning även fortsättningsvis på ett rimligt sätt kan kompenseras genom skadestånd. En hänvisning till 48 § PUL bör därför tas in i domstolsdatalagen. Regeringens förslag: Beslut av domstol om upplysningar till allmän- heten, om information och om rättelse och underrättelse till tredje man Högsta domstolens och Högsta förvaltningsdomstolens beslut får dock inte överklagas. Beslut av en hovrätt, tingsrätt och förvaltningsrätt överklagas till Beslut av en kammarrätt överklagas till Högsta Beslut av en hyres- eller arrendenämnd överklagas till allmän Prövningstillstånd krävs i dessa fall vid överklagande till kammarrätten. Datainspektionens beslut får, på samma sätt som enligt person- Datainspektionens möjlighet att enligt personuppgiftslagen bestämma att dess beslut ska gälla även om det överklagas gäller dock inte i Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås en annan lagteknisk lösning. promemorians förslag eller har ingen invändning mot det. Förvaltningsrätten i ställer frågan vilken domstol som ska pröva ett överklagande av Datainspektionens beslut som riktar sig mot exempelvis eller Förvaltningsrätten i Förvaltningsrätten i anser att det bör övervägas att utförligt och samlat i domstolsdatalagen ange samtliga de beslut som Liknande synpunkter framförs av Skälen för regeringens förslag Beslut av den personuppgiftsansvarige Enligt 52 § PUL får en myndighets beslut om information enligt 26 § PUL, om rättelse och underrättelse till tredje man enligt 28 § PUL, om information enligt 29 § andra stycket PUL och om upplysningar enligt 42 § PUL överklagas hos allmän förvaltningsdomstol (förvaltningsrätt). Frågan är inledningsvis vilka beslut enligt domstolsdatalagen som ska En principiell utgångspunkt bör vara att beslut angående behandling av personuppgifter som direkt berör den enskilde 2014/15:148 ska kunna överklagas medan beslut som kan betecknas som interna eller administrativa och som inte direkt berör den enskilde, t.ex. ett beslut att inte medge direktåtkomst, inte ska kunna överklagas, jfr propositionen Översyn av personuppgiftslagen (prop. 2005/06:173 s. 52). Beslut enligt 26 och 28 §§ PUL, till vilka domstolsdatalagen ska hänvisa, bör mot denna bakgrund kunna överklagas. Även beslut om upplysningar till allmänheten, som enligt vad regeringen föreslår i avsnitt 14.1 ska regleras särskilt i domstolsdatalagen, bör på motsvarande sätt som gäller enligt personuppgiftslagen kunna överklagas (jfr 42 och 52 §§ PUL). Övriga beslut som kan meddelas av den personuppgiftsansvarige enligt domstolsdatalagen bedöms däremot inte vara av sådan karaktär att de bör kunna överklagas. För att förvaltningsrätterna inte ska behöva överpröva sina egna eller högre instansers beslut har det i Vera-förordningarna införts en avvikande instansordning i fråga om överklagande av domstolars beslut. Enligt dessa förordningar gäller att förvaltningsrätts beslut överklagas till kammarrätt, kammarrätts beslut till och att tingsrätts och hovrätts beslut överklagas till kammarrätt. Det är också vad som gäller för beslut om utlämnande av handling i domstolarnas administrativa verksamhet enligt offentlighets- och sekretesslagen (6 kap. 8 § offentlighets- och sekretesslagen [2009:400]). Den nu redovisade instansordningen framstår som ändamålsenlig och bör gälla även vid överklagande av beslut enligt domstolsdatalagen. De beslut som är överklagbara utgör administrativa beslut i respektive domstol. Kammarrätten kommer därmed i realiteten att vara första domstolsinstans. Mot den angivna bakgrunden och i enlighet med vad som gäller enligt Vera-förordningarna bör det därför inte gälla något krav på prövningstillstånd vid överklagande till kammarrätt. är högsta allmänna domstol och är högsta förvaltningsdomstol (11 kap. 1 § regeringsformen).