prop · H203148 · 2015-09-08 00:00:00 — uppmärksammar att domstolarna ofta får ta emot uppgifter eller handlingar som saknar betydelse för handläggningen utan att de är att betrakta som felskickade. Skälen för regeringens förslag Genom att domstolsdatalagen föreslås hänvisa till 9 § första stycket c och d PUL kommer en generell ram att gälla för hur personuppgifter får samlas in respektive vidarebehandlas (avsnitt 8.1). I likhet med polisdatalagen, Vera-förordningarna och många andra registerförfattningar bör domstolsdatalagen dessutom innehålla en mer verksamhetsanpassad ram i form av verksamhetsspecifika ändamålsbestämmelser. Därigenom slås det fast vilka ändamål som domstolarna ska kunna behandla personuppgifter för. Det innebär för det första att domstolen eller de anställda inte själva kan besluta fritt om de ändamål för vilka personuppgifter behandlas i verksamheten. För det andra blir det genom sådana verksamhetsspecifika ändamålsbestämmelser tydligare vilka åtgärder som är tillåtna respektive otillåtna. Det är vanligt att i registerförfattningar dela upp ändamålen i primära Prop. 2014/15:148 och sekundära. Bestämmelserna om primära ändamål utformas för att tillgodose behoven av att behandla personuppgifter i de berörda myndigheternas egen verksamhet. Registerförfattningarna brukar innehålla ändamålsbestämmelser som innebär att uppgifter inte får samlas in för annat än primära ändamål. avser inte bara situationer då uppgifter lämnas till en domstol på begäran av domstolen, utan även andra tillvägagångssätt genom vilka domstolen får del av personuppgifter. Exempel på sådana situationer är att en åklagare skickar in stämningsansökan eller att en enskild lämnar in ett överklagande. Bestämmelser om primära ändamål ger rättsligt stöd både för insamling av uppgifter och för vidarebehandling av uppgifterna, exempelvis genom lagring eller utlämning. Bestämmelser om sekundära ändamål medger inte insamling, utan tillåter endast att uppgifter som redan behandlas i verksamheten får vidarebehandlas. Bestämmelserna i domstolsdatalagen bör utformas utifrån denna distinktion mellan primära och sekundära ändamål. Som framgår av avsnitt 6.2 ska domstolsdatalagen gälla för den rättskipande och rättsvårdande verksamheten, som är domstolarnas kärnverksamhet. Domstolarna behöver samla in och vidarebehandla personuppgifter i de fall då handläggningen av mål och ärenden kräver det. Insamlingen kan exempelvis bestå i att en part med e-post skickar in uppgifter till domstolen eller att en myndighet skickar uppgifter till domstolen med hjälp av de kanaler som har etablerats genom RIF- samarbetet. En väsentlig skillnad mot t.ex. polisens verksamhet är att domstolarnas insamlande av personuppgifter i hög grad styrs av andra regelverk än personuppgiftsregleringen såsom , förvaltningsprocesslagen (1971:291) och lagen (1996:242) om domstolsärenden samt tillhörande regler och principer. Vilka uppgifter som domstolarna ska samla in i mål och ärenden och hur de fortsatt ska hanteras inom ramen för handläggning av mål och ärenden är frågor som således styrs främst av processrätten och som inte ska regleras genom domstolsdatalagen eller andra personuppgiftsbestämmelser. Detta gör att det varken är möjligt eller lämpligt att i domstolsdatalagen i detalj ange för vilka ändamål personuppgifter ska få samlas in och vidarebehandlas. I domstolsdatalagen bör det därför anges att domstolarna får behandla (dvs. samla in eller vidarebehandla) personuppgifter om det behövs för handläggning av mål och ärenden. En sådan bestämmelse är tillräckligt flexibel för att domstolarnas organisation och arbetssätt ska kunna fortsätta att utvecklas och för att domstolarna ska kunna hantera nya måltyper. innebär bestämmelsen ett skydd mot integritetskränkning genom att bestämmelsen inte medger behandling av personuppgifter som inte är befogad i domstolarnas verksamhet. Avsikten är inte att en bestämmelse med det beskrivna innehållet ska tolkas alltför snävt. och Hovrätten för befarar att bestämmelsen inte i tillräcklig utsträckning skulle medge sökning efter tidigare avgöranden eller hantering av sådana avgöranden i samband med praxisdiskussioner, domskrivningsarbete eller annat 2014/15:148 kompetensutvecklingsarbete. Regeringen delar inte denna farhåga, bl.a. eftersom det av bestämmelsens utformning kommer framgå att bedömningen av om en viss behandling är nödvändig ska göras i förhållande till mål- och ärendehandläggningen i stort och inte i förhållande till handläggningen av ett specifikt mål eller ärende. Sökning efter tidigare avgöranden och hantering av sådana avgöranden kommer således att rymmas inom vad som är tillåtet enligt ändamålsbestämmelserna, oavsett om åtgärderna sker i syfte att underlätta praxisdiskussioner, domskrivningsarbete eller annat kompetensutvecklingsarbete. påpekar att det ofta ges in handlingar till domstolarna som saknar betydelse för handläggningen utan att de är att betrakta som felskickade. Verket menar att det inte vore rimligt att domstolarna ska sålla bland det ingivna materialet så att endast det som är av faktisk betydelse för handläggning behandlas automatiserat. Regeringen gör samma bedömning. Den föreslagna bestämmelsen bör ge utrymme för domstolarna att elektroniskt hantera personuppgifter i handlingar som ges in i mål och ärenden utan att det i det enskilda fallet sker någon bedömning av hur relevant uppgiften är för ett visst mål eller ärende. Regeringen har i fråga om bl.a. lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och polisdatalagen gjort bedömningen att personuppgifter som får användas i myndighetens verksamhet också får användas för planering, uppföljning och utvärdering av verksamheten utan att detta uttryckligen anges i lagen, se propositionerna brottsbekämpning – Effektivare uppgiftsbehandling (prop. 2004/05:164 s. 66 f.) och Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 116). Någon särskild bestämmelse om att planering m.m. är ett tillåtet ändamål finns därför inte i dessa lagar. Datainspektionen föreslår att en sådan bestämmelse ändå ska tas in i domstolsdatalagen för att det ska bli tydligt för enskilda att deras personuppgifter kan komma att användas för planering, uppföljning och utvärdering. Det saknas enligt regeringen skäl att reglera denna fråga annorlunda i domstolsdatalagen än vad som har skett i exempelvis lagen om behandling av uppgifter i brottsbekämpande verksamhet och polisdatalagen. Någon särskild ändamålsbestämmelse om planering m.m. föreslås därför inte. En del tingsrätter använder målregistret för att söka information i syfte att kontrollera nämndemäns behörighet och JO väcker frågan om det bör införas någon särskild bestämmelse som uttryckligen tillåter sådan behandling. uppmärksammar att domstolarna kan behöva behandla personuppgifter för att bl.a. hantera in- och utbetalningar. Såsom anförs i avsnitt 6.2 bör behandling av sådana personuppgifter räknas till den administrativa verksamheten. Behandlingen kommer därmed inte att omfattas av domstolsdatalagens tillämpningsområde utan av personuppgiftslagen. Det saknas enligt regeringen skäl att tillåta insamlande av personuppgifter för andra ändamål och den nu föreslagna bestämmelsen innebär således en uttömmande reglering av de primära ändamål för vilka personuppgifter får behandlas i domstolarnas rättskipande och rättsvårdande verksamhet. Ändamålsregleringen innebär att den styrning av domstolarnas verksamhet som följer av processrätten får genomslag Prop. 2014/15:148 även i personuppgiftshänseende. Domstolarna behöver i många olika sammanhang tillhandahålla information till myndigheter, till andra utomstående eller internt inom domstolen. En allt större del av domstolarnas uppgiftshantering datoriseras och genom RIF-samarbetet utvecklas informationsflödena mellan rättskedjans olika myndigheter. När personuppgifter ska lämnas ut behöver därför domstolarna i allt större utsträckning ta fram dessa uppgifter från sina datorsystem, vare sig uppgifterna ska lämnas ut i fysisk form eller elektroniskt. I båda fallen innebär framtagandet en automatiserad behandling av personuppgifter. Det som beskrivs är sekundära ändamål, eftersom behandlingarna endast avser redan insamlade uppgifter. De utlämnanden som behöver ske i anslutning till handläggningen av mål och ärenden, t.ex. kommunicering med parterna, kallelser osv. täcks av den ovan föreslagna ändamålsbestämmelsen som gäller handläggning av mål och ärenden. Därutöver finns det en rad situationer då domstolen behöver kunna behandla personuppgifter automatiserat för att lämna uppgifter till andra, och för vilka det behövs en regel som uttryckligen tillåter behandling för sådana ändamål. En allmän förutsättning för sådan behandling som sker för utlämnande till andra bör vara att uppgiftslämnandet sker i överenstämmelse med lag eller förordning, dvs. med stöd av bestämmelser som påbjuder eller tillåter utlämnande. När bestämmelser som påbjuder eller tillåter utlämnande har införts får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, och att man vid denna avvägning funnit att uppgiften ska eller får lämnas ut, jfr propositionen m.m. (prop. 2007/08:126 s. 60). Bestämmelser av detta slag som berör domstolarnas verksamhet finns i många olika sammanhang, vilket framgår av det följande. För det första är domstolarna enligt olika författningsbestämmelser skyldiga att på begäran lämna ut uppgifter. Domstolarna är t.ex. enligt 6 kap. 5 § offentlighets- och sekretesslagen (2009:400) skyldiga att på begäran av en annan myndighet lämna uppgifter som domstolen förfogar över under förutsättning att uppgifterna inte är sekretessbelagda och att det inte skulle hindra arbetets behöriga gång. För det andra är domstolarna enligt bestämmelser i olika författningar skyldiga att lämna uppgifter till utpekade myndigheter. Genom de reformer som följer av RIF-samarbetet kommer en del av denna hantering att bli helt automatiserad. Som och påpekar är det viktigt att domstolsdatalagens ändamålsbestämmelser inte förhindrar en sådan effektivisering. För det tredje bör de situationer beaktas i vilka det inte finns någon skyldighet att lämna uppgifter men där det ändå kan anses påbjudet eller önskvärt att en domstol lämnar uppgifter till andra domstolar, myndigheter eller andra utomstående. Det kan t.ex. vara fråga om en åtgärd som vidtas för att fullgöra serviceskyldigheten gentemot enskilda 2014/15:148 enligt 4 § förvaltningslagen (1986:223). Såsom påpekar kan också exempelvis växeltelefonister – vid en viss domstol eller vid en växel som är gemensam för flera domstolar – behöva ta fram uppgifter ur målhanteringssystemen. Domstolsdatalagens bestämmelse om sekundära ändamål bör enligt regeringen formuleras så att den ger stöd för samtliga dessa former av utlämnande. Det kan konstateras att domstolarnas uppgiftsutlämnande styrs av flera andra regelverk med mer eller mindre detaljerade bestämmelser om utlämnande. För att undvika dubbelreglering är det därför lämpligast att bestämmelsen om uppgiftslämnande som sekundärt ändamål i domstolsdatalagen får en generell utformning, i likhet med regleringen i t.ex. patientdatalagen (2008:355). Med en generellt formulerad bestämmelse blir det överflödigt att uttryckligen nämna RIF- samarbetet som ett tillåtet ändamål på sätt som efterlyser. Regeringen föreslår mot denna bakgrund, i likhet med promemorian, en sekundär ändamålsbestämmelse med innebörden att uppgifter som behandlas för ett primärt ändamål, också får behandlas för uppgiftslämnande som sker i enlighet med gällande lagar och förordningar. Därmed omfattas alla de former av utlämnande som redovisas ovan av den sekundära ändamålsbestämmelsen. Avslutningsvis bör det av tydlighetsskäl framhållas att övervägandena i detta avsnitt avser frågan i vilken utsträckning personuppgifter bör få behandlas för att uppgiftslämnande ska kunna ske, oavsett om behandlingen leder till att personuppgifter skrivs ut på ett papper som lämnas ut i fysisk form eller om uppgiftslämnandet fullföljs genom utlämnande i elektroniskt format, exempelvis genom ett e-postmeddelande. I vilken utsträckning själva utlämnandet ska få ske i elektroniskt format övervägs i avsnitt 12. Det bör också sägas, såsom påpekar, att varken ändamålsbestämmelserna eller några andra bestämmelser i domstolsdatagen kan förhindra sådana åtgärder som är nödvändiga för att leva upp till offentlighetsprincipen enligt 2 kap. tryckfrihetsförordningen (se avsnitt 6.5). 9 Säkerhet och intern åtkomst Regeringens förslag: Den personuppgiftsansvarige ansvarar, på samma sätt som enligt personuppgiftslagen, för säkerheten vid personuppgiftsbehandlingen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna tillstyrker promemorians förslag eller har ingen invändning mot det. Enligt aktualiserar förslaget frågan om avgränsningen av ansvar mellan domstolarna och , eftersom verket tillhandahåller de system för personuppgiftsbehandling som domstolarna använder. Hovrätten menar att det med hänsyn till domstolarnas beroende av system inte är möjligt för domstolarna att fullgöra Prop. 2014/15:148 personuppgiftsansvaret utan verkets medverkan. Skälen för regeringens förslag: I 30 och 31 §§ personuppgiftslagen (1998:204, PUL) finns regler om hur den personuppgiftsansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Den personuppgiftsansvarige ska bl.a. ge instruktioner till personalen om hur personuppgifter får behandlas. Vidare ska den personuppgiftsansvarige genom tekniska och organisatoriska åtgärder se till att personuppgifter skyddas och att det åstadkoms en säkerhetsnivå som är lämplig med hänsyn till tillgänglig teknik, kostnader, särskilda risker och uppgifternas känslighet. Bestämmelserna i 30 och 31 §§ PUL ger uttryck för viktiga och allmängiltiga datorsäkerhetsprinciper. Regeringen anser, i likhet med vad som anförs i promemorian, att dessa principer även bör gälla i domstolarnas rättskipande och rättsvårdande verksamhet. En hänvisning till dessa bestämmelser bör därför tas in i domstolsdatalagen. Detta innebär att ansvaret för säkerheten vid personuppgiftsbehandlingen kommer att ligga på respektive personuppgiftsansvarig domstol som utför behandlingen (avsnitt 7.1). anser att domstolarna inte kan fullgöra sitt personuppgiftsansvar utan medverkan eftersom det är verket som konstruerar och ansvarar för driften av de itsystem som domstolarna använder. Frågan om förhållandet mellan de personuppgiftsansvariga domstolarna och funktion som konstruktör och driftsansvarig för systemen behandlas i avsnitt 7.1. Såsom anförs i det avsnittet förväntas varje domstol samarbeta med för att uppfylla de krav som ställs på den personuppgiftsansvarige enligt domstolsdatalagen. Om exempelvis en domstol inte på egen hand kan vidta lämpliga säkerhetsåtgärder i enlighet med kraven i 30 och 31 §§ PUL till följd av brister i datorsystem får domstolen alltså kontakta verket för att få hjälp med att lösa denna situation. På så sätt bör den frågeställning som väcker kunna hanteras. I avsnitt 14.2 föreslås att domstolsdatalagen ska hänvisa till 32 § PUL, vilket innebär att Datainspektionen i enskilda fall ska kunna besluta om vilka säkerhetsåtgärder som domstolarna ska vidta enligt 31 § PUL. I andra lagstiftningsärenden har regeringen konstaterat att närmare riktlinjer för informationssäkerhetsarbetet inte bör ges i lag utan vid behov bör ges på lägre föreskriftsnivå (prop. 2007/08:126 s. 149 och 2009/10:85 s. 271). Det bör mot den bakgrunden inte införas några särskilda bestämmelser om informationssäkerhet i domstolsdatalagen, vid sidan av hänvisningen till personuppgiftslagens bestämmelser om säkerheten vid behandlingen. 2014/15:148 9.2 Regeringens förslag: Tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att fullgöra sina arbetsuppgifter i domstolarna. I lagen upplyses det om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorians förslag används uttrycket ”varje anställd” i stället för ”varje tjänsteman”. Remissinstanserna: En del remissinstanser, bl.a. , Kammarrätten i och , är positivt inställda till att en begränsningsregel tas in i domstolsdatalagen men poängterar att regleringen inte får förhindra ett rationellt arbetssätt vid domstolarna. Många remissinstanser, bl.a. , Hovrätten för och ser svårigheter med hur bestämmelsen ska tillämpas eftersom flera personalkategorier inom domstolarna kan behöva åtkomst till personuppgifter för att fullgöra sina arbetsuppgifter. Bland dessa remissinstanser poängteras det att den föreslagna regleringen inte bör få medföra en begränsning av de anställdas möjligheter att få tillgång till de personuppgifter som behövs för att de effektivt ska kunna fullgöra sina arbetsuppgifter. Vidare framhålls att behovet av en bestämmelse om att begränsa tillgången till personuppgifter, som bygger på motsvarande reglering i polisdatalagen (2010:361), är mindre i domstolarnas verksamhet än i polisens verksamhet. , Attunda tingsrätt och lämnar förslag på förtydliganden i den föreslagna bestämmelsen. Några remissinstanser, bl.a. , Kammarrätten i och Förvaltningsrätten i , lyfter fram flera praktiska problem med förslaget. En synpunkt som förs fram är att förslaget kan leda till att verksamhetsstödet behöver byggas om och att domstolarnas arbetsrutiner behöver förändras. ser svårigheter med att genom tekniska och organisatoriska åtgärder begränsa varje anställds tillgång till personuppgifter. Skyddet för den enskilde bör snarare kunna tillgodoses genom en varnings- och loggningsfunktion. Förvaltningsrätten i framför en liknande synpunkt. Justitiekanslern anser att en ordning som innebär att bedömningen av en åtgärds tillåtlighet i praktiken överlämnas till den enskilde användaren inte skulle stämma överens med bestämmelsens utformning och kan medföra risk för missbruk. i ifrågasätter om det krävs eller är motiverat med sådana föreskrifter som enligt promemorians förslag ska få meddelas i förordning eller i myndighetsföreskrifter. Datainspektionen anser att den föreslagna bestämmelsen i domstolsdatalagen är mycket vid och bör kompletteras med mer preciserade bestämmelser, i första hand i förordningsform. Inspektionen menar att det finns integritetsrisker med att överlåta till varje domstol att säkerställa åtkomstbegränsningarna och att den enskilde bör åtnjuta samma integritetsskydd oavsett hos vilken domstol dennes personuppgifter behandlas. skydd för uppgifter i domsutkast redan finns i och offentlighets- och sekretesslagen (2009:400). Skälen för regeringens förslag Behovet av en begränsningsregel i lag I föregående avsnitt föreslås att personuppgiftslagens bestämmelser om hur den personuppgiftsansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten ska vara tillämpliga i domstolarnas verksamhet (30 och 31 §§ PUL). Detta innebär bl.a. att den som arbetar med personuppgifter får behandla dessa endast i enlighet med instruktioner från den personuppgiftsansvarige och att den person- uppgiftsansvarige är skyldig att vidta tekniska och organisatoriska åtgärder för att skydda personuppgifterna. I polisdatalagen och flera andra registerförfattningar har det, utöver en hänvisning till 30 och 31 §§ PUL, tagits in en särskild bestämmelse som föreskriver att enbart de som behöver uppgifterna för att fullgöra sina arbetsuppgifter ska ha tillgång Regeringen anser att en sådan bestämmelse bör tas in även i Syftet är att tydliggöra att personuppgifterna inte får spridas till obehöriga personer i domstolarna och att fler uppgifter än nödvändigt inte får behandlas . I polisdatalagen och kustbevakningsdatalagen (2012:145) anges att till- gången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. I promemorian föreslås i stället att begränsningen ska gälla varje anställd. Det är en fördel om regleringen i detta avseende överensstämmer med regleringen för andra myndigheter, t.ex. polisen och . tjänsteman” bör således användas i stället för ”varje anställd”. Några remissinstanser ifrågasätter om behovet av en bestämmelse av detta slag i domstolarnas verksamhet är lika stort som i exempelvis polisens eftersom fler personalkategorier hos domstolarna än hos polisen kan behöva en bredare tillgång till personuppgifter för att i olika skeden av handläggningen av mål och ärenden kunna vidta nödvändiga åtgärder. Förutom den eller de domare och notarier som handlägger mål och ärenden kan även kanslipersonal, växeltelefonister och vaktmästare behöva ha tillgång till personuppgifter i mål och ärenden för att kunna fullgöra sina arbetsuppgifter. Regeringen delar remissinstansernas upp- fattning att kretsen som behöver ha möjlighet att komma åt lagrade personuppgifter i domstolarna i många fall kan behöva göras tämligen vid och att en begränsningsregel inte bör få hindra ett rationellt arbetssätt Beroende på hur en domstol är organiserad är det inte alltid från början givet vilka personer som kommer att vidta olika handläggningsåtgärder i ett mål eller ärende. heller ovanligt att personer som inte deltar i handläggningen ändå behöver kunna komma åt de personuppgifter som behandlas exempelvis för att kunna besvara förfrågningar från allmänheten. som föreslås – att tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att fullgöra sina arbetsuppgifter – har den fördelen att den innebär en hög grad av flexibilitet. utgår från de berättigade behov av åtkomst som finns eller som kan förutses i varje enskild verksamhet. Den ger utrymme för att åtkomst 2014/15:148 medges dem som potentiellt kan behöva åtkomst, även om det i efterhand kan konstateras att alla i den grupp som beviljas åtkomst faktiskt inte behövde utnyttja åtkomsten. Att bestämmelsen till sin ordalydelse ansluter nära till motsvarande bestämmelser i andra registerförfattningar, såsom exempelvis polisdatalagen, innebär inte att tillgången till personuppgifter i domstolarna ska begränsas på samma sätt som i polisens verksamhet. Bestämmelsen är således enligt regeringen tillräckligt flexibel för att inte stå i vägen för en effektiv verksamhet i domstolarna. Några remissinstanser lyfter frågan om det ska krävas tekniska lösningar för att begränsa åtkomsten till personuppgifter i domstolarnas verksamhet. Det kan i detta sammanhang framhållas att modern teknik ger ständigt nya möjligheter att på ett mer sofistikerat sätt reglera tillgången till uppgifter som behandlas automatiserat. Det finns också olika sätt att leva upp till bestämmelsens krav – såväl genom föreskrifter och instruktioner som genom tekniska åtgärder. Vilka begränsningsåtgärder som bör vidtas får bedömas fortlöpande utifrån domstolarnas olika förutsättningar och behov och med beaktande bl.a. av vad det skulle kosta att genomföra åtgärderna (jfr 31 § PUL). om tillgången till personuppgifter Några remissinstanser uttrycker en oro för att en ytterligare begränsning av åtkomstregleringen i förordning eller myndighetsföreskrifter kommer att hindra domstolarna i deras arbete och i anser att några närmare föreskrifter inte behövs. I kontrast till dessa synpunkter anser Datainspektionen att bestämmelsen i domstolsdatalagen är mycket vid och bör kompletteras med mer preciserade bestämmelser som, i syfte att skydda den enskildes personliga integritet, främst bör meddelas i förordningsform. Regeringen vill i detta sammanhang framhålla följande. Domstolarna skiljer sig åt sinsemellan i fråga om vilka typer av mål, och därmed vilka typer av personuppgifter, som behandlas i verksamheten. Domstolarna är också olika stora och deras inre organisation varierar.