prop · H203148 · 2015-09-08 00:00:00 — Regeringens proposition 2014/15:148 Regeringen överlämnar denna proposition till . Regeringen föreslår en lag om behandling av personuppgifter i de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas rättskipande och rättsvårdande verksamhet. Syftet med lagen är att ge domstolarna och nämnderna möjlighet att behandla personuppgifter på ett effektivt och ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. En utgångspunkt är att skapa en teknikneutral och flexibel lag som innehåller de bestämmelser som är av central betydelse för integritetsskyddet, däribland ändamålen med behandlingen och de begränsningar som ska gälla för behandlingen av vissa uppgifter. Lagen ska gälla i stället för personuppgiftslagen (1998:204), men innehåller hänvisningar till de bestämmelser i personuppgiftslagen som ska vara tillämpliga i domstolarnas och nämndernas verksamhet. Den nya lagen föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till domstolsdatalag .............................................................. Ärendet och dess beredning .............................................................. Övergripande rättslig reglering ......................................................... Nuvarande reglering av personuppgiftsbehandlingen i domstolarna och nämnderna ........................................................... En lag om domstolarnas behandling av personuppgifter ................ Behovet av en ny reglering............................................... Lagens förhållande till personuppgiftslagen..................... Lagens förhållande till offentlighetsprincipen.................. Beteckningar och definitioner .......................................... Lagens förhållande till viss annan lagstiftning ................. Personuppgiftsansvarig och personuppgiftsbiträden....................... Varje domstol är personuppgiftsansvarig ......................... Domstolarna får anlita personuppgiftsbiträden ................ Ramarna för domstolarnas personuppgiftsbehandling .................... Grundläggande krav på domstolarnas Säkerhet och intern åtkomst ............................................................ Säkerheten vid behandlingen............................................ Tillgång till personuppgifter............................................. Behandling av känsliga personuppgifter och personnummer ......... Allmänt om sökning ......................................................... Utgångspunkter för sökregleringens utformning .............. Någon särskild sekretessbestämmelse föreslås inte.......... Integritetskänsliga sökningar ska begränsas ..................... Generella undantag från sökbegränsningarna................... Utlämnande genom direktåtkomst.................................... Utlämnande på medium för automatiserad Överföring till tredjeland ................................................. Bevarande av personuppgifter........................................................ Insyn och tillsyn ............................................................................. Enskildas insyn i personuppgiftsbehandlingen ................ Åtgärder vid felaktig personuppgiftsbehandling ............. Ikraftträdande- och övergångsbestämmelser .................................. Konsekvenser av förslagen ............................................................ Sammanfattning av promemorian Domstolsdatalag (Ds 2013:10).................................................................. Förteckning över remissinstanserna .............................. Utdrag ur protokoll vid regeringssammanträde 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till domstolsdatalag. Härigenom föreskrivs följande. 1 § Syftet med denna lag är att ge de allmänna domstolarna, de allmänna förvaltningsdomstolarna och hyres- och arrendenämnderna möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin rättskipande och rättsvårdande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. 2 § Denna lag gäller vid behandling av personuppgifter i de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas rättskipande och rättsvårdande verksamhet. Lagen gäller också när personuppgifterna vidarebehandlas i den administrativa verksamheten för att lämnas ut efter begäran. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 3 § Om det i lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen eller i föreskrifter som regeringen har meddelat i anslutning till den lagen finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag. 4 § Om inte något annat anges i 5 §, gäller denna lag i stället för personuppgiftslagen (1998:204). 5 § När personuppgifter behandlas enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller följande bestämmelser i personuppgiftslagen (1998:204): 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 § om grundläggande krav på behandling av personuppgifter, 4.22 § om behandling av personnummer, 5.23 och 25–27 §§ om information till den registrerade, 6.28 § om rättelse, 7.30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 8.33–35 §§ om överföring av personuppgifter till tredjeland, 9.38, 40 och 41 §§ om personuppgiftsombud m.m., 10.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens 2014/15:148 11. 48 § om skadestånd. Förbud enligt 44 eller 45 § personuppgiftslagen får inte förenas med vite. 6 § Personuppgifter får behandlas om det behövs för handläggning av mål och ärenden. 7 § Personuppgifter som behandlas enligt 6 § får även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. 8 § Tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om tillgången till personuppgifter. 9 § En allmän domstol, en allmän förvaltningsdomstol eller en hyres- och arrendenämnd är personuppgiftsansvarig för den behandling av personuppgifter som den domstolen eller nämnden utför. 10 § Den personuppgiftsansvarige ska utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen (1998:204) när ett personuppgiftsombud utses eller entledigas. 11 § Den som är personuppgiftsombud ska föra en förteckning över de behandlingar som utförs med stöd av denna lag. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om vilka uppgifter en sådan förteckning ska innehålla. 12 § Den personuppgiftsansvarige ska skyndsamt och på lämpligt sätt lämna upplysningar om de behandlingar som utförs med stöd av denna lag till var och en som begär det. Upplysningarna ska omfatta de uppgifter som en förteckning enligt 11 § ska innehålla. Den person- Prop. 2014/15:148 uppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. Behandling av känsliga personuppgifter 13 § Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. 14 § Vid sökning i personuppgifter är det förbjudet att som sökbegrepp använda uppgifter som avslöjar 1.ras eller etniskt ursprung, 3.religiös eller filosofisk övertygelse, 4.medlemskap i fackförening, 7.nationell anknytning, eller 8.brott eller misstanke om brott. Användning av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp som sökbegrepp omfattas inte av förbudet i första stycket. 15 § Förbudet i 14 § första stycket gäller inte användning 1.i allmän domstol av sökbegrepp som avslöjar brott eller misstanke om brott, och 2.i allmän förvaltningsdomstol av sökbegrepp som avslöjar hälsa, brott eller misstanke om brott. Förbudet i 14 § första stycket gäller inte heller vid sökning i en viss handling eller i ett visst mål eller ärende. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av möjligheten att använda de sökbegrepp som anges i första stycket. Elektroniskt utlämnande av personuppgifter 16 § Personuppgifter får lämnas ut på medium för automatiserad behandling om det inte är olämpligt. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av möjligheterna att lämna ut personuppgifter på medium för automatiserad behandling. 2014/15:148 17 § Direktåtkomst får endast medges 1.en allmän domstol, 2.en allmän förvaltningsdomstol, 3.en hyres- och arrendenämnd, eller 4.en part eller partens ombud, biträde eller försvarare. Direktåtkomst enligt första stycket 4 får endast avse personuppgifter i partens mål eller ärende. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av direktåtkomst enligt första stycket och om behörighet och säkerhet vid sådan åtkomst. Personuppgifter i avgjorda mål och ärenden 18 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft. 19 § beslut enligt denna lag eller enligt de bestämmelser i personuppgiftslagen (1998:204) som anges i 5 § om annat än föreskrifter får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. 20 § En hovrätts, tingsrätts eller förvaltningsrätts beslut om upplysningar enligt 12 § eller om information till den registrerade enligt 26 § personuppgiftslagen (1998:204) och om rättelse och underrättelse till tredje man enligt 28 § samma lag får överklagas till kammarrätten. En kammarrätts beslut i sådana frågor får överklagas till . Högsta domstolens och Högsta förvaltningsdomstolens beslut i frågor som avses i första stycket får inte överklagas. 21 § En hyres- och arrendenämnds beslut i frågor som avses i 20 § första stycket får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. 22 § Andra beslut än sådana som avses i 19–21 §§ eller i 47 § personuppgiftslagen (1998:204) får inte överklagas. Vid överklagande av förvaltningsrättens beslut i frågor som avses i 47 § personuppgiftslagen krävs prövningstillstånd vid överklagande till kammarrätten. Denna lag träder i kraft . Ärendet och dess beredning är modern informationsteknik en naturlig del av de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas verksamhet. Den nuvarande regleringen av den automatiserade behandlingen av personuppgifter vid domstolarna och nämnderna tillkom som en provisorisk lösning för att tillgodose de behov av regler som uppstod då datalagen (1973:289) upphörde att gälla. har de sätt på vilka personuppgifter behandlas i domstolarnas och nämndernas verksamhet förändrats. Mot bakgrund av den digitala teknikens utveckling finns ett behov av att modernisera det nuvarande regelverket som styr den automatiserade behandlingen av personuppgifter i domstolarnas och nämndernas verksamhet. Inom har därför upprättats en departementspromemoria (Ds 2013:10 Domstolsdatalag) med förslag till en ny lag om behandling av personuppgifter i domstolarna och nämnderna. Syftet med regleringen är att ge domstolarna och nämnderna möjlighet att behandla personuppgifter på ett effektivt och ändamålsenligt sätt i den rättskipande och rättsvårdande verksamheten och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. En sammanfattning av promemorian finns i bilaga 1. Promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissyttrandena finns tillgängliga i (Ju2013/01684/DOM). anordnande ett seminarium för att kartlägga behovet av att kunna utföra sökningar med integritetskänsliga sökbegrepp i domstolarnas och nämndernas verksamhet. Minnesanteckningar från seminariet finns tillgängliga i (Ju2013/01684/DOM). Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådet lämnade förslaget utan erinran. Vissa språkliga ändringar har gjorts i förhållande till lagrådsremissens lagförslag. 4 Övergripande rättslig reglering Grundläggande bestämmelser till skydd för den personliga integriteten finns i regeringsformen. I målsättningsstadgandet i 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. 6 § andra stycket följer att var och en gentemot det allmänna är skyddad 2014/15:148 mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar av denna fri- och rättighet får dock under vissa förutsättningar göras i lag (2 kap. 20 och 21 §§). I en övergångsbestämmelse anges att äldre föreskrifter som innebär betydande intrång i den personliga integriteten behåller sin giltighet, dock längst t.o.m. . Efter detta datum kommer det således inte vara möjligt att behålla förordningsregler som är av den angivna karaktären i förhållande till den personliga integriteten. Enligt artikel 8 i den europiska konventionen om skydd för de mänskliga rättigheterna och grundläggande friheterna () har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. När det gäller laglighetskriteriet krävs bl.a. att den nationella författningen uppfyller vissa minimikrav i fråga om kvalitet och tydlighet. Reglerna ska vara tillräckligt tydliga för att tillämpningen ska vara förutsebar och den ska vara allmänt tillgänglig. Kravet att ett ingripande ska vara nödvändigt i ett demokratiskt samhälle innebär att det ska finnas ett angeläget samhälleligt behov av åtgärden i fråga. I det ligger bl.a. en begränsning som innebär att åtgärden inte får gå längre än vad som är nödvändigt med beaktande av proportionalitetsprincipen, dvs. den ska stå i rimlig relation till det intresse åtgärden är avsedd att tillgodose. Vid denna avvägning har staterna ett visst handlingsutrymme att inom rimliga gränser avgöra vilka åtgärder som kan anses nödvändiga för att tillgodose det eftersträvade ändamålet. I artikel 13 i föreskrivs att var och en, vars i konventionen angivna fri- och rättigheter kränkts, ska ha tillgång till ett effektivt rättsmedel inför en nationell myndighet. Detta gäller även om kränkningen förövats av någon under utövning av offentlig myndighet. Innebörden av artikeln är att den enskilde ska ha tillgång till en nationell instans för att kunna få saken prövad och få rättelse. Prövningen kan göras av domstol, men även prövning av en stats regering eller av en förvaltningsmyndighet kan vara tillräcklig. gäller som lag i . Av regeringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen (2 kap. 19 §). Även i FN:s konvention om medborgerliga och politiska rättigheter finns en bestämmelse till skydd mot godtyckligt eller olagligt ingripande i någons privat- och familjeliv (artikel 17). Reglering om automatiserad behandling av personuppgifter finns i bl.a. konvention om skydd för enskilda vid auto- matisk databehandling av personuppgifter (Dataskyddskonventionen) och dess tilläggsprotokoll. Konventionen trädde i kraft 1985 och har, i likhet med övriga medlemsstater i EU, anslutit sig till den. Ett arbete med att se över konventionen har inletts. Dataskyddskonventionens syfte är att säkerställa den enskildes rätt till personlig integritet i samband med automatiserad behandling av Konventionens innehåll kan ses som en precisering av skyddet för den personliga integriteten som följer av artikel 8 i Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste iaktta i sin nationella lagstiftning. Personuppgifter som är föremål för automatiserad behandling ska samlas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. måste uppgifterna vara relevanta för ändamålen med behandlingen och får inte senare användas på ett sätt som är oförenligt med dessa. Uppgifterna måste också vara riktiga och aktuella och de får inte bevaras längre än vad som är nödvändigt för ändamålen. Vissa kategorier av personuppgifter får, enligt konventionen, behandlas endast om den nationella lagstiftningen ger ett ändamålsenligt skydd. sådana personuppgifter hör uppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv och uppgifter För att skydda personuppgifter mot bl.a. oavsiktlig eller otillåten förstörelse föreskriver konventionen att lämpliga skyddsåtgärder ska Vidare föreskrivs att den registrerade bl.a. ska ha möjlighet till in- syn i register och till att få uppgifter rättade. får undantag göras från bestämmelserna i konventionen bl.a. i fråga om uppgifternas beskaffenhet och rätten till insyn. förutsätter stöd i den nationella lagstiftningen och att inskränkningen är nödvändig i ett demokratiskt samhälle för vissa angivna ändamål, t.ex. statens ekonomiska intressen och brottsbekämpning, och för att skydda enskildas fri- och rättigheter. Stadgan om de grundläggande rättigheterna Genom Lissabonfördraget blev Europeiska unionens stadga om de grundläggande rättigheterna rättsligt bindande (se artikel 6.1 i EU- Stadgan samlar de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och inter- nationella förpliktelser, , EU:s och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. I stadgans artikel 7 föreskrivs att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. skrivs i artikel 8 att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs. Av artikel 51 i stadgan framgår att den riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och att den blir tillämplig för medlemsstaterna endast i de fall där de tillämpar . Stadgan är följaktligen inte tillämplig på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens. När det gäller de garanterade rättigheternas räckvidd följer av artikel 52 i stadgan att varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan ska vara föreskriven i lag och vara förenlig med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättigheterna. I den mån rättigheterna i stadgan motsvarar rättigheter som skyddas av ska de ha samma innebörd och räckvidd som enligt konventionen. Av artikel 53 följer att stadgans artiklar inte får tolkas som att de inskränker eller inkräktar på rättigheter enligt andra konventioner eller överenskommelser om fri- och rättigheter. och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Medlemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller inte för sådan behandling av personuppgifter som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Dataskyddsdirektivet är endast tillämpligt på behandling av uppgifter om fysiska personer och berör således inte skyddet för juridiska personer. Direktivet omfattar inte bara automatiserad behandling, utan också behandling av personuppgifter som ingår eller kommer att ingå i ett register. Direktivet omfattar inte behandling av personuppgifter för privat bruk. Enligt dataskyddsdirektivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Här kan nämnas att uppgifter får behandlas i första hand efter att den registrerade otvetydigt har lämnat sitt samtycke, men också om det är nödvändigt för att fullgöra en rättslig förpliktelse som åligger den registeransvarige eller för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighetsutövning. Personuppgifter får även behandlas om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får inte behandlas. Det gäller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening och uppgifter som rör hälsa och sexualliv. I direktivet görs undantag från detta förbud i vissa särskilt angivna situationer, bl.a. om det finns ett uttryckligt samtycke av den registrerade. Medlemsstaterna får vidare under förutsättning att lämpliga skyddsåtgärder införs och av hänsyn till ett viktigt allmänt intresse besluta om undantag från förbudet. Dataskyddsdirektivet innehåller vidare regler om bl.a. information till den registrerade och om rätt för denne att få sådana personuppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blockerade. Direktivet innehåller även regler om säkerhet vid behandlingen och överföring av personuppgifter till tredjeland. Europeiska kommissionen presenterade ett förslag till en genomgripande reform av om skydd för personuppgifter.