prop · H203148 · 2015-09-08 00:00:00 — Remissinstanserna: Samtliga remissinstanser tillstyrker prome- förslag eller har ingen invändning mot det. Skälen för regeringens förslag: Bestämmelsen i 8 § första stycket PUL innebär att personuppgiftslagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt offentlighetsprincipen, såsom den kommer till uttryck i 2 kap. tryckfrihetsförordningen. Bestämmelsen i 8 § PUL har tillkommit för att tydliggöra det som i och för sig ändå gäller, nämligen att bestämmelser i grundlag alltid har företräde framför bestämmelser i vanlig lag (prop. 1997/98:44 s. 46). Enligt regeringen bör det av tydlighetsskäl komma till uttryck att detta även gäller i fråga om domstolsdatalagen genom att lagen innehåller en hänvisning till 8 § första stycket PUL. Offentlighetsprincipen innebär ingen rätt för enskilda att ta del av allmänna handlingar i elektroniskt format. I vilken utsträckning domstolsdatalagen ska tillåta domstolarna att lämna ut handlingar elektroniskt behandlas i avsnitt 12. I avsnitt 13 behandlas frågan om huruvida domstolsdatalagen även bör hänvisa till 8 § andra stycket PUL, enligt vilken myndigheter ges möjlighet att bevara allmänna handlingar. Regeringens förslag: Domstolsdatalagen hänvisar till person- uppgiftslagens definitioner av beteckningar. Promemorians förslag överensstämmer med regeringens. Reminstanserna: Samtliga remissinstanser tillstyrker promemorians förslag eller har ingen invändning mot det. Skälen för regeringens förslag: I personuppgiftslagen definieras vissa beteckningar som är centrala vid behandling av personuppgifter, bl.a. behandling, personuppgifter, personuppgiftsansvarig, den registrerade man (3 §). Dessa beteckningar är avsedda att ha samma innebörd som motsvarande uttryck har i dataskyddsdirektivet (artikel 2). Personuppgifter definieras som ”[a]ll slags information som direkt eller Prop. 2014/15:148 indirekt kan hänföras till en fysisk person som är i livet”. kan utgöras av namn, personnummer, målnummer, registreringsnummer för fordon, fastighetsbeteckningar etc. Beteckningen personuppgift omfattar såväl objektiva upplysningar som subjektiva bedömningar och åsikter. Även bild- och ljudupptagningar kan utgöra personuppgifter. Med behandling avses ”[v]arje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring”. Detta innebär att det är fråga om behandling av personuppgifter t.ex. även när sådana skrivs ut på papper. För en enhetlig rättstillämpning är det viktigt att domstolsdatalagens terminologi överensstämmer med personuppgiftslagens. Regeringen föreslår därför att en hänvisning till 3 § PUL tas in i domstolsdatalagen 6.7Lagens förhållande till viss annan lagstiftning Regeringens förslag: Det anges i domstolsdatalagen att avvikande bestämmelser i lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen har företräde framför bestämmelserna i domstolsdatalagen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser tillstyrker förslag eller har ingen invändning mot det, utom Kammarrätten i som konstaterar att den föreslagna bestämmelsen inte är lika lätt att tillämpa som den bestämmelse i förslaget till domstolsdatalag som innehåller hänvisningar till personuppgiftslagen. Skälen för regeringens förslag: I lagen (2013:329) med vissa be- stämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen finns särskilda bestämmelser avseende behandling av personuppgifter i verksamhet som har till syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder. förutsättning för lagens tillämpning är att personuppgifterna, inom ramen för polissamarbete eller straffrättslig samarbete, utbyts mellan en svensk myndighet och en annan EU-medlemsstat, ett EU-organ, , , Även utbyte med ett informationssystem omfattas av lagen. Det innebär att lagen i vissa fall även kan bli tillämplig vid domstolarnas handläggning av exempelvis brottmål i fråga om uppgifter som utbyts med utländska stater och Bestämmelserna i den aktuella lagen avser bl.a. för vilka ändamål personuppgifter får behandlas och vad som gäller för den fortsatta behandlingen av uppgifterna. Lagen anger vidare i vilka situationer personuppgifter får överföras till enskilda, till tredjeland och till inter- 2014/15:148 nationella organ. Svenska myndigheter är därför skyldiga att följa de villkor om användningen av personuppgifter som ställts upp av den som överfört uppgifterna eller gjort dem tillgängliga. Den aktuella lagen har tillkommit för att genomföra rambeslutet /977/RIF om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. I de fall den aktuella lagen avviker från domstolsdatalagens bestämmelser ska den först nämnda lagen därför ges företräde. Enligt regeringen bör detta förhållande komma till tydligt uttryck i domstolsdatalagen genom en bestämmelse som klargör att avvikande bestämmelser i den aktuella lagen eller föreskrifter som regeringen har meddelat i anslutning till den lagen har företräde framför domstolsdatalagens bestämmelser. Som Kammarrätten i konstaterar blir en sådan bestämmelse mindre användarvänlig än den bestämmelse i domstolsdatalagen som innehåller hänvisningar till personuppgiftslagen. är det en fördel om regleringen på den här punkten överensstämmer med motsvarande bestämmelser för andra myndigheter som berörs av den aktuella lagen. På så sätt blir det tydligt att det är fråga om ett enhetligt regelsystem. Regeringen föreslår därför att den aktuella bestämmelsen i sak utformas i enlighet med vad som även gäller enligt bl.a. polisdatalagen. Med hänsyn till att bestämmelsen inte torde aktualiseras lika ofta i domstolarnas verksamhet som i t.ex. polisens, kan bestämmelsen i domstolsdatalagen ges en mer kortfattad utformning, dvs. på det i promemorian föreslagna sättet. 7.1Varje domstol är personuppgiftsansvarig Regeringens förslag: Varje domstol är personuppgiftsansvarig för den behandling som den utför. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna tillstyrker promemorians förslag eller har ingen invändning mot det. Flera remissinstanser, bl.a. , Hovrätten för , Attunda tingsrätt, Kammarrätten i och Datainspektionen, framhåller att domstolarnas faktiska möjligheter att påverka om och hur en enskild personuppgiftsbehandling ska företas kan vara begränsade eftersom det är som utformar datorsystemen. Datainspektionen anser att promemorians förslag inte helt stämmer med grundtanken att det är den som styr över behandlingen som också har ansvaret. Vidare efterlyser Datainspektionen en analys av de enskilda myndigheternas faktiska möjligheter att leva upp till de krav som ställs på personuppgiftsansvariga i fråga om säkerheten vid personuppgiftsbehandling. föreslår, i likhet med Kammarrätten i , ett delat personuppgiftsansvar där domstolarna respektive tar ansvar för vad de i praktiken kan påverka. Hovrätten för ifrågasätter om inte varje domstol tillsammans med ska vara ansvarig för den personuppgiftsbehandling som är knuten till den egna domstolens verksamhet. menar att det finns uppgifter som behandlas i enlighet med de överenskommelser träffat med övriga myndigheter inom RIF, utan att domstolarna har någon reell möjlighet att påverka behandlingen eller ibland ens är medvetna om vilka uppgifter som faktiskt behandlas. Det kan enligt myndigheten leda till komplikationer i RIF-samarbetet om domstolarna och har olika uppfattningar om hur personuppgifter får behandlas. ser positivt på promemorians förslag och framhåller att det delade ansvar som enligt den nuvarande ordningen råder mellan de enskilda domstolarna och skapar gränsdragningsproblem och en olycklig otydlighet gentemot den som exempelvis vill vända sig till den personuppgiftsansvarige för att få en viss personuppgift rättad. Skälen för regeringens förslag: Personuppgiftslagen (1998:204, PUL) definierar en personuppgiftsansvarig som den vilken ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (3 §). Den personuppgiftsansvarige har ett ansvar för att all behandling av personuppgifter sker i överensstämmelse med tillämpliga personuppgiftsbestämmelser. Personuppgiftsansvaret innebär bl.a. en skyldighet att kontrollera och ansvara för att de behandlingar som utförs är korrekta, vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas och rätta uppgifter. I personuppgiftsansvarets konstruktion ligger dessutom att även underlåtenhet att vidta föreskrivna åtgärder omfattas, t.ex. underlåtenhet att genomföra den behandling som krävs för att lämna ett registerutdrag. I registerförfattningar anges vanligtvis att den myndighet som registerförfattningen gäller för är personuppgiftsansvarig för personuppgiftsbehandlingen i den myndighetens verksamhet. Exempelvis är ansvarig för den behandling av personuppgifter som myndigheten utför enligt polisdatalagen (2010:361) och är ansvarigt för den behandling som verket utför enligt lagen (2001:185) om behandling av uppgifter i verksamhet. Genom en bestämmelse som pekar ut personuppgiftsansvaret blir det tydligt att den myndighet som registerförfattningen avser är personuppgiftsansvarig trots att det är som genom lag – eller regeringen som genom förordning – i registerförfattningen faktiskt bestämmer för vilka ändamål personuppgifter får behandlas hos myndigheten. En fördel med att låta den aktuella domstolen vara personuppgiftsansvarig är att en enskild som vill framföra ett klagomål slipper att analysera och ta ställning till vem som ska anses som personuppgiftsansvarig för en viss behandling. Att det råder klarhet i frågan om vem som är ansvarig för de behandlingar som en domstol utför innebär också att det skapas goda förutsättningar för en effektiv tillsyn av Datainspektionen. Med hänsyn till domstolarnas självständighet skulle det vidare väcka principiella betänkligheter att peka ut någon annan myndighet, exempelvis , som personuppgiftsansvarig för de behandlingar som en domstol utför i den rättskipande och Regeringen anser därför, i likhet med promemorian, att det är respektive domstol som bör vara personuppgifts- ansvarig för den behandling som domstolen utför. anser att en sådan ordning inte helt stämmer med grundtanken att det är den som styr över behandlingen som också har ansvaret. dock framhålla att eftersom varje domstol är självständig och på ett formellt plan är den som styr vilka åtgärder som vidtas i den rättskipande och rättsvårdande verksamheten är det naturligt att det formella person- uppgiftsansvaret också ligger på den berörda domstolen. Det stämmer som uppmärksammar att domstol- arna på ett praktiskt plan är styrda av de överenskommelser som träffar med andra myndigheter inom RIF-samarbetet. domstolarna i vissa avseenden är styrda av omständigheter som helt eller delvis ligger bortom den egna kontrollen är emellertid inget unikt. andra personuppgiftsansvariga myndigheter är i praktiken styrda av författningsbestämmelser, myndighetsinstruktioner, samarbetsavtal samt andra praktiska realiteter och yttre faktorer. ligger då en skyldighet att sammanjämka dessa olika krav och vidta nödvändiga åtgärder, inom de ramar som föreligger, för att på bästa sätt säkerställa att gällande personuppgiftsbestämmelser följs och leva upp till gällande åtaganden och förpliktelser. Några remissinstanser invänder att i praktiken har ett stort inflytande över domstolarnas datorsystem och att respektive domstol därför i praktiken har begränsade möjligheter att vidta åtgärder för att garantera säkerheten vid behandlingarna och att påverka vilka behandlingar som över huvud taget utförs. och Kammarrätten i förespråkar i linje med detta att en domstols personuppgiftsansvar ska delas eller vara Datainspektionen efterlyser en analys av de enskilda myndigheternas faktiska möjligheter att leva upp till kraven i fråga om säkerheten vid personuppgiftsbehandling. Varje domstol förväntas självklart samarbeta på olika sätt med för att kunna uppfylla de krav som följer av Om en personuppgiftsansvarig domstol skulle upptäcka att datorsystemen i något avseende är utformade på ett sådant sätt att domstolen inte kan leva upp till dessa krav är det naturligt att den domstolen kontaktar för att komma till rätta med Detta gäller även i de fall en domstol blir varse brister i datorsystemet eller otillåtna behandlingar genom ett påpekande från någon utomstående, exempelvis genom ett tillsynsbeslut från Datainspektionen eller en begäran om rättelse från en registrerad. Regeringen utgår från att kommer att göra det möjligt för domstolarna att fullgöra sitt personuppgiftsansvar. varje enskild domstol ska vara personuppgiftsansvarig är som nämns ovan bl.a. att det blir tydligt för den enskilde vem han eller hon ska vända sig till med klagomål och att det skapas förutsättningar för en effektiv tillsyn av Datainspektionen. Enligt regeringen skulle ett delat eller gemensamt personuppgiftsansvar medföra beaktansvärda nackdelar, inte minst gränsdragningsproblem och otydligheter, som tingsrätt 7.2Domstolarna får anlita personuppgiftsbiträden Regeringens förslag: Den personuppgiftsansvariga domstolen får, på samma sätt som enligt personuppgiftslagen, anlita ett personuppgiftsbiträde för att utföra behandlingar för den egna domstolens räkning. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna tillstyrker promemorians förslag eller har ingen invändning mot det. Attunda tingsrätt, och Kammarrätten i , är dock kritiska till att förslaget förutsätter att varje domstol ska vara beredd att ingå ett skriftligt avtal med för att verket ska kunna utföra personuppgiftsbehandlingar för domstolarnas räkning. Attunda tingsrätt ifrågasätter om roll som central förvaltningsmyndighet, med bemyndigande att meddela föreskrifter för hur domstolarna ska använda tekniska system, är förenlig med att vara avtalspart i fråga om hantering av personuppgifter, och anser att en bättre lösning hade varit att i lag eller förordning bestämma att är personuppgiftsbiträde åt domstolarna när verket behandlar personuppgifter i domstolarnas rättskipande och rättsvårdande verksamhet. Skälen för regeringens förslag: Av 3 § PUL framgår att ett personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Det torde följa av denna definition att personuppgiftsbiträdet kan utföra behandlingarna med stöd av den registerförfattning som gäller för den personuppgiftsansvarige, trots att personuppgiftsbiträdet annars inte skulle ha omfattats av dessa regler. Personuppgiftsbiträdet är vanligtvis ett externt organ som anlitas för att utföra uppgifter för den personuppgiftsansvariges räkning, vilket innebär att personuppgifter behandlas. Av 30 § PUL följer att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Det ska finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. Av 31 § andra stycket PUL framgår vidare att den personuppgiftsansvarige ska förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas för att skydda uppgifterna och se till att biträdet verkligen vidtar åtgärderna. Den personuppgiftsansvariga domstolen bör, på samma sätt som enligt personuppgiftslagen, kunna anlita personuppgiftsbiträden för att utföra personuppgiftsbehandlingar för domstolens räkning. Respektive domstol bör därmed kunna anlita och andra utomstående, t.ex. tekniska konsulter, som personuppgiftsbiträden. För att det ska finnas rättsligt stöd för och andra utomstående att utföra personuppgiftsbehandlingar med stöd av domstolsdatalagen för en eller flera domstolars räkning bör domstolsdatalagen hänvisa till bestämmelserna i 3, 30 och 31 §§ PUL. Bland andra och Kammarrätten i ifrågasätter lämpligheten i att låta domstolarna teckna avtal med för att verket ska kunna fungera som personuppgiftsbiträde åt domstolarna. 2014/15:148 Attunda tingsrätt anser att roll som personuppgiftsbiträde kan komma i konflikt med verkets roll som systemansvarig för de verksamhetsstöd som domstolarna använder och med en möjlig föreskriftsrätt för verket. Enligt regeringen finns det inga principiella hinder mot att två offentligrättsliga organ ingår ett sådant avtal, även om den ena parten har föreskriftsrätt. Ett personuppgiftsbiträde är en fysisk eller juridisk person som utför uppgifter på grundval av ett uppdragsavtal. Det ligger i själva definitionen av ett personuppgiftsbiträde att det är en funktion som skapas genom avtal mellan den personuppgiftsansvarige och den som ska behandla personuppgifter för den personuppgiftsansvariges räkning. Det finns även ett värde i att dokumentera instruktionerna och relationen i övrigt mellan den personuppgiftsansvarige och personuppgiftsbiträdet i det aktuella avtalet. Att som Attunda tingsrätt föreslår reglera rollen som personuppgiftsbiträde i författning framstår därför inte som lämpligt. Något sådant förslag lämnas således inte. 8Ramarna för domstolarnas personuppgiftsbehandling 8.1Grundläggande krav på domstolarnas personuppgiftsbehandling Regeringens förslag: Domstolsdatalagen hänvisar till personuppgiftslagens bestämmelser om grundläggande krav för personuppgiftsbehandling. Det innebär bl.a. att •de behandlingar som utförs måste vara lagliga och göras på ett korrekt sätt och i enlighet med god sed, •personuppgifterna som behandlas måste vara nödvändiga, adekvata, relevanta och riktiga, •personuppgifter får samlas in endast för särskilda och uttryckligt angivna ändamål, och •insamlade personuppgifter inte får vidarebehandlas för ett ändamål som är oförenligt med det ändamål som uppgifterna samlades in för. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Hovrätten för påpekar att de verksamhetsspecifika ändamålsbestämmelserna i domstolsdatalagen torde täcka in flertalet av de grundläggande krav som personuppgiftslagen (1998:204, PUL) ställer på personuppgiftsbehandlingar. har liknande synpunkter. I övrigt ställer sig samtliga remissinstanser bakom promemorians förslag eller har ingen invändning mot det. Skälen för regeringens förslag: I personuppgiftslagen slås det fast ett antal grundläggande krav som gäller för all behandling av person- Syftet med dessa krav är att behandlingar som på ett otillbörligt sätt kränker den personliga integriteten Kraven gäller enligt Vera-förordningarna och uppgiftslagen även i domstolarnas rättskipande och De aktuella kraven riktar sig mot den personuppgiftsansvarige, som ska se till att personuppgifter endast behandlas om det är lagligt och att personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed (9 § första stycket a och b PUL). Den personuppgiftsansvarige ska vidare se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, att fler personuppgifter än vad som är nödvändigt inte behandlas, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, och att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen (9 § första stycket e–h PUL). Ett ytterligare grundläggande krav är att personuppgifter får samlas in endast för särskilda och uttryckligt angivna ändamål (9 § första stycket c PUL). Slutligen är det otillåtet att behandla personuppgifter för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (9 § första stycket d PUL). Detta brukar kallas finalitetsprincipen. Denna princip begränsar dock inte möjligheterna att behandla personuppgifter för historiska, statistiska eller vetenskapliga ändamål (9 § andra stycket PUL). Regeringen anser, i likhet med promemorian, att de nu redovisade grundläggande kraven bör gälla för sådan personuppgiftsbehandling som sker med stöd av domstolsdatalagen och att detta bör åstadkommas genom att det i domstolsdatalagen tas in hänvisningar till de relevanta bestämmelserna i personuppgiftslagen. Hovrätten för påpekar att flertalet av bestämmelserna om grundläggande krav också torde täckas av de verksamhetsspecifika ändamålsbestämmelserna som föreslås i avsnitt 8.2. har liknande synpunkter. Även om dessa olika bestämmelser i viss mån kan sägas överlappa varandra anser regeringen att bestämmelserna fyller en funktion var för sig. De grundläggande kraven utgör de yttre gränserna för vilken behandling som får ske som de verksamhetsspecifika ändamålsbestämmelserna klargör att bestämmelserna om grundläggande krav ska tillämpas på ett sätt som är anpassat till den rättskipande och rättsvårdande verksamheten. Det kan tilläggas att både polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145) är uppbyggda enligt denna struktur. Regeringens förslag: Personuppgifter får behandlas om det behövs för handläggning av mål och ärenden. Personuppgifter som behandlas på denna grund får även vidarebehandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna tillstyrker promemorians förslag eller har ingen invändning mot det. Hovrätten för ifrågasätter om alla de sökningar som domstolarna utför kan sägas falla inom de föreslagna ändamålsbestämmelserna. Som exempel nämner hovrätten sökningar som görs för att få en uppfattning om gällande praxis, för att göra praxissammanställningar eller för att ta fram underlag till olika utbildningar och praxisdiskussioner. betonar att en strikt tolkning av ändamålsbestämmelserna kan förhindra domstolarna från att använda äldre domar och beslut i det interna kompetensutvecklingsarbetet (praxisdiskussioner, domskrivningsarbete m.m.). ombudsmän () väcker frågan om det bör införas någon bestämmelse som uttryckligen tillåter behandlingar i syfte att kontrollera nämndemäns behörighet. uppmärksammar ett antal åtgärder som utförs vid domstolarna och som det behöver finnas stöd för i domstolsdatalagens ändamålsbestämmelser, såsom kallelse och indelning av nämndemän, utlämnande av handlingar till parter, in- och utbetalningar av avgifter och ersättningar samt framtagande av uppgifter som växeltelefonister behöver tillgång till. menar att man genom den föreslagna lagen inte kan skydda människors integritet mer än marginellt eftersom offentlighetsprincipen alltid har företräde. påpekar att det krävs en regelbunden elektronisk återkoppling för att polisen ska kunna fullgöra sina skyldigheter enligt 3 kap. polisdatalagen och efterlyser en tydlig reglering som gör RIF- samarbetet till ett ändamål för utlämnande. framhåller att ändamålsbestämmelserna måste ge tillräcklig höjd för behandling av uppgifter som är nödvändig för framställning av rättsstatistik av god kvalitet och för att genomföra de överenskommelser som finns inom ramen för RIF-samarbetet. Enligt Datainspektionen är det för den enskilde alltför otydligt att de primära ändamålen även omfattar vidarebehandling av personuppgifter för planering, uppföljning och utvärdering hos de enskilda myndigheterna.