sou · H4B341 · 2016-06-07 00:00:00 — Kopian ger den enskilde en möjlighet att kontrollera att de uppgifter som lämnas är korrekta och fullständiga, och att bl.a. kravet på legi- timt behov följs. Lämnandet av en kopia kan också vara ett sätt att upptäcka missbruk av inloggning till en databas. Brister när det gäller distributionen av kopior kan därför få stora konsekvenser för den personliga integriteten. I praxis har konstaterats att det i och för sig kan vara tillräckligt att distribuera kopian digitalt, men att kopian ska sändas till en plats som är, eller kan jämställas med, den omfrågades adress. Det är alltså inte tillräckligt att utan föregående överenskom- melse skicka en länk till en webbsida där den omfrågade kan hitta den aktuella informationen.11 Det är inte heller tillräckligt att förse den 8 Förvaltningsrättens i dom i mål nr 14578-11. 9 Datainspektionens beslut , dnr 833-2103 och 834-2013. 10 Kammarrättens i dom i mål nr 8237-12. 11 Förvaltningsrättens i dom i mål nr 22551-11. verksamhet, kreditupplysning och inkasso omfrågade med all information som finns hos kreditupplysnings företaget, utan det ska av kopian framgå vilka av dessa uppgifter som har lämnats ut.12 Avslutningsvis ska nämnas att det även ställs krav på den som ta emot kreditupplysningen. Kreditgivaren får t.ex. inte använda alltför gamla uppgifter vid kreditprövningen, eftersom de inte längre anses vara adekvata och relevanta. Hänsynen till den enskilde kräver bl.a. att denne inte belastas med en uppgift om t.ex. enstaka betalningsförsummelser. Det är med andra ord inte tillräckligt att uppgifterna var aktuella när kreditgivaren erhöll kreditupplysningen.13 Se vidare kapitel 15 om bank- och kreditmark- naden. Särskilt om utgivna tekniska upptagningar Många av de integritetsskyddande reglerna, bl.a. bestämmelserna om legitimt behov, lämnande av kreditupplysningskopia och skyldighe- ten att sända en rättelse eller komplettering till var och en som har mottagit en upplysning med en oriktig eller missvisande uppgift eller en uppgift som har behandlats i strid mot lagen, gäller inte för utlämnande av kredituppgifter med hjälp av tekniska upptag- ningar, t.ex. usb-minnen, som är utgivna med stöd av yttrandefri- hetsgrundlagen. har det uppstått nya former av kreditupplysningstjänster via utgivna tekniska upptagningar. Även sådana utlämnanden kan göras med stöd av yttrande- frihetsgrundlagen, utan hänsyn till de integritetsskyddande bestäm- melserna i kreditupplysningslagen. Exempelvis ett usb-minne kan innehålla en stor mängd information om många personer, som dess- utom kan göras sökbar. Även sådana utlämnanden innebär alltså en stor risk för enskildas personliga integritet. Efter en inspektion av samtliga större kreditupplysnings- företag konstaterade Datainspektionen i en hemställan till regerings- kansliet, att syftet med lagstiftningen inte hade uppnåtts, eftersom det uppstått nya möjligheter för en abonnent att på ett lättillgängligt sätt ta del av kreditupplysningar utan hänsyn till nämnda regelverk.14 12 Datainspektionens beslut , dnr 1826-2010. 13 Datainspektionens beslut , dnr 1823-2013 och 1826-2013. 14 Datainspektionens hemställan , dnr 1821-2010. verksamhet, kreditupplysning och inkasso Att kreditupplysningar kan lämnas ut trots att beställaren av upplysningen saknar legitimt behov innebär att vem som helst kan få reda på uppgifter, som inte sällan är känsliga, om enskilda personer i . Den person som uppgifterna avser saknar därmed möjlighet att styra över vem som får ta del av kreditupplysningar om honom eller henne. Det är ett betydande intrång i den personliga integrite- ten. Att det i dessa fall inte heller skickas någon kreditupplysnings- kopia innebär ytterligare integritetsrisker, liksom att andra integri- tetsskyddande bestämmelser inte är tillämpliga. Det är av nämnda skäl mycket angeläget att en teknikoberoende lagstiftning kommer till stånd. Kommittén konstaterar dock att det redan har presenterats ett förslag till sådan lagstiftning, som för när- varande bereds i regeringskansliet.15 Kommittén har därför valt att inte fördjupa sig ytterligare i den frågan. Den som inte betalar sina skulder kan bli föremål för inkassoåtgär- der. Med inkassoåtgärd menas en påtryckning på gäldenären, till exempel ett inkassokrav eller en ansökan om betalningsföreläggande. Det är däremot inte en inkassoåtgärd att på en faktura eller en betal- ningspåminnelse ange tid för betalning eller att fordran kommer att överlämnas för inkasso om den inte betalas. Inkassoverksamhet kan bedrivas som egeninkasso, dvs. när en fordringsägare som själv bedriver näringsverksamhet driver in ford- ringar som uppkommit i den egna verksamheten. Indrivningen kan också utföras genom ombud som bedriver inkassoverksamhet. Uppgifter som förekommer i inkassoverksamhet är normalt att anse som känsliga. 15 Ett teknikoberoende skydd för den enskildes integritet vid kreditupplysning, Ds 2013:27, be- redning pågår inom (dnr Ju/2013/3527/L2). verksamhet, kreditupplysning och inkasso Inkassoverksamhet regleras främst i inkassolagen (1974:182). Lagen syftar i första hand till att skydda gäldenärer mot otillbörliga inkasso- metoder, som trakasserier och onödiga kostnader. Lagen innehåller också. vissa bestämmelser om register i inkassoverksamhet och om förbud mot obehörigt röjande eller utnyttjande av uppgifter om personliga förhållanden, som man fått del av inom ramen för inkasso verksamhet. Den innehåller däremot inte några andra bestämmelser som rör behandling av personuppgifter. För den personuppgiftsbe- handling som utförs inom ramen för inkassoverksamhet gäller därför personuppgiftslagens regler (se kapitel 6 Den grundläggande rättsliga regleringen). För att få bedriva inkassoverksamhet som ombud krävs Data inspektionens tillstånd, om verksamheten inte bedrivs av företag som står under tillsyn eller av advokater. Datainspektionen har tillsyn över att inkassolagens bestämmelser följs och att inkassoverksamhet bedrivs enligt god inkassosed, dvs. att gäldenären inte vållas onödig skada eller olägenhet eller utsätts för otillbörlig påtryckning eller annan otillbörlig inkassoåtgärd. Datainspektionen har också tillsynsansvar för att personuppgifter behandlas på ett sätt som är förenligt med personuppgiftslagen. 16.4.4Risker för den personliga integriteten Eftersom inkassobolag behandlar uppgifter som är känsliga från integritetssynpunkt, är det bl.a. viktigt att behandlingen inte avser fler uppgifter än vad som behövs, att gallring görs på ett korrekt sätt och att oönskad spridning av uppgifterna undviks. De problem som uppmärksammats har främst gällt risken för oönskad spridning av uppgifterna. genomförde Datainspektionen ett projekt som benämndes Gäldenärswebbar. Inom ramen för detta projekt gran- skade Datainspektionen sex inkassobolags webbtjänster. Syftet var att undersöka för vilka ändamål gäldenärswebbarna användes, hur verksamhet, kreditupplysning och inkasso systemen var utformade, vilka personuppgifter om gäldenären som behandlades, hur skyddade personuppgifter hanterades och om inkassobolagen vidtog lämpliga säkerhetsåtgärder för att skydda de personuppgifter som behandlades. Vid denna granskning konstate- rade Datainspektionen sammanfattningsvis att den behandling som ägde rum i och för sig var tillåten, men att det var alltför enkelt för utomstående att bereda sig tillgång till informationen på webbtjäns- terna. Inloggning kunde i regel genomföras med enkla användarnamn och lösenord, vilka i vissa fall till och med bestod av kombinationer som ärendenummer och person- eller OCR-nummer. Data inspektionen förelade därför inkassobolagen att i webbtjänsterna säkerställa gäldenärernas identitet genom en teknisk funktion som ger en stark autentisering, t.ex. e-legitimation. Sedan vissa av inkas- sobolagen överklagat dessa beslut har Kammarrätten i bekräftat att det, för att uppfylla personuppgiftslagens säkerhetskrav, krävs stark autentisering i dessa fall.16 Det har även inträffat att inkassobolag har skickat brev, med uppgift om bl.a. namn, adress och skuld, till fel person. Ett uppmärk- sammat exempel på detta är att ett inkassobolag skickade drygt 7 000 sådana brev till fel personer.17 Inkasso bolaget har dock uppmärksammat Datainspektionen på felet och en utredning av det inträffade pågår fortfarande. Riskerna för sådana misstag torde öka om verksamheten effektiviseras ytterligare, exem- pelvis om vissa aktörer skulle överväga att börja distribuera inkasso- krav via e-post. 16.5Kommitténs samlade bedömning av området I detta kapitel har kommittén analyserat integritetsrisker i samband med , kreditupplysningsföretagens och inkassobolagens verksamhet. behandlar en stor mängd uppgifter om många enskildas personliga och ekonomiska förhållanden. Det är därför nödvändigt att den interna åtkomsten till uppgifterna begrän- 16 Kammarrättens i domar , mål nr 2415-12, 2416-12, 2417-12, 2418-12 och 2419-12. 17 Metro, Tusentals svenskar fick inkassobrev av misstag, publicerad på verksamhet, kreditupplysning och inkasso sas på lämpligt sätt. Myndigheten lämnar ut information om förändringar i utsöknings- och indrivningsdatabaserna samt om gäldenärernas totala skuldsaldo i elektronisk form till kreditupplys- ningsföretagen. Uppgifterna måste skyddas från en större spridning än vad som är motiverad samt att inte vilka aktörer som helst får tillgång till uppgifterna i digital form. behandlar känsliga uppgifter om gäldenärer, men behandlar inte uppgifter om hela befolkningen. Kommittén har inte fått informa- tion om stora brister i myndighetens hantering av personuppgifter. Mot den bakgrunden bedömer kommittén att det finns vissa risker den personliga integriteten i kronofogdemyndighetens verksamhet. Kreditupplysningsföretagens verksamhet bygger på att de samlar in stora mängder känsliga uppgifter om hela befolkningen som på olika sätt kan ha betydelse vid kreditgivning. Det ligger i sakens natur att det finns en risk att de samlar in fler uppgifter än vad som verkligen är motiverat. Det finns också en risk att vissa insamlade uppgifter inte är korrekta och aktuella samt för att de lagras längre än nödvän- digt. Den enskilde har i vart fall i teorin vissa möjligheter att påverka kreditupplysningsföretagens utlämnande av uppgifter, genom att undvika lån och krediter, men saknar i princip möjlighet att påverka vilka uppgifter som samlas in. För att minimera riskerna med kreditupplysningsföretagens verksamhet innehåller lagstiftningen olika typer av integritetsskyd- dande regler. Ett exempel på detta är kravet på att uppgifter som är oriktiga eller missvisande ska rättas, kompletteras eller uteslutas ur registret. Ett annat exempel är kravet på att obehörig tillgång till registren ska motverkas. I detta ligger bl.a. att företagen måste kon- trollera att mottagaren har ett legitimt behov av uppgifterna och att utlämnandet görs på ett säkert sätt. Även kravet på att en kreditupp- lysningskopia ska lämnas till den som upplysningarna avser är viktigt för att minimera risken för integritetsintrång. Tack vare denna kopia får den enskilde bl.a. en möjlighet att kontrollera att de uppgifter som lämnas är korrekta och fullständiga, och att bl.a. kravet på legi- timt behov följs. gäller de integritetsskyddande bestämmelserna i kreditupplysningslagen inte vid vissa former av offentliggörande enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Det gäller t.ex. utlämnanden av uppgifter på tekniska upptagningar, t.ex. verksamhet, kreditupplysning och inkasso Sådana utlämnanden innebär en avsevärd risk från integritetssynpunkt. Det är angeläget att de integritetsskyddande bestämmelserna görs tillämpliga även på sådana utlämnanden. Mot bakgrund av de ovannämnda riskerna i samband med hantering av känsliga uppgifter om hela befolkningen bedömer kommittén att det föreligger allvarliga risker den personliga integriteten i kreditupplys- ningsföretagens verksamhet. Kommittén noterar dock att frågan har utretts och bereds i regeringskanslitet. Även inkassobolag behandlar stora mängder uppgifter som är känsliga från integritetssynpunkt. De behandlar dock inte uppgifter om lika många personer som kreditupplysningsföretagen. Det finns dock också i sådan verksamhet en risk att behandlingen avser fler uppgifter än nödvändigt, att vissa uppgifter är felaktiga eller inaktu- ella och, framför allt, att uppgifterna sprids på ett oönskat sätt. I det sistnämnda ligger bl.a. att det måste säkerställas att uppgifterna inte skickas till, eller är åtkomliga för, utomstående. I denna verksamhet är därför personuppgiftslagens krav på säkerhetsåtgärder – och Datainspektionens tillsynsverksamhet – av särskild betydelse. Kommittén bedömer att det föreligger vissa risker för intrång i den enskildes integritet på grund av behandling av personuppgifter i inkassobolagens verksamhet. Kommitténs bedömning: Det finns en viss risk för den person- liga integriteten i samband med personuppgiftsbehandling i dom- stolarnas verksamhetsregister, i samband med ljud- och bild upptagningar och i samband med informationsutbyte med andra myndigheter. Det föreligger påtagliga risker för den personliga integriteten i samband med utlämnande av uppgifter på medium för automati- serad behandling. De allmänna domstolarna utgörs av tingsrätterna, hovrätterna och . Förvaltningsdomstolarna består av länsrätterna, kammarrätterna och . Därtill finns ett antal specialdomstolar, bl.a. och Arbets domstolen. I de allmänna domstolarna handläggs framför allt brottmål och tvistemål. Därutöver handlägger de allmänna domstolarna diverse ärenden, t.ex. rörande godmanskap, förvaltarskap och tillstånd till adoption. I förvaltningsdomstolarna handläggs framför allt olika typer av tvister mellan den enskilde och det allmänna i form av kommun, landsting eller stat. Vid förvaltningsdomstolarna handläggs t.ex. socialförsäkringsmål, skattemål, migrationsmål samt beslut om tvångsingripanden för ungdoms-, missbruks- eller psykiatrivård. Verksamheten i domstolarna är av sådan karaktär att det före- kommer uppgifter om enskildas personliga förhållanden i mycket stor utsträckning. Uppgifterna är dessutom av känslig natur. I vissa fall är det den enskilde själv som lämnar sina person- uppgifter till domstolen, t.ex. vid väckande av talan. I andra fall läm- nas uppgifterna av en motpart, vilket inte sällan är en myndighet, eller av någon annan aktör som lämnar uppgifter till domstol, t.ex. Även personuppgifter om andra än parterna behandlas i stor utsträckning, bl.a. namn och adressuppgifter för vittnen som åberopas i processerna, men också närmare uppgifter om t.ex. anhörigas personliga förhållanden i mål och ärenden där familjeförhållanden är av betydelse. Av rättssäkerhetsskäl är det av stor vikt att domstolarnas verk- samhet utövas under öppenhet. Möjligheten till insyn är också en förutsättning för allmänhetens förtroende för domstolarna. En utgångspunkt är därför att så mycket som möjligt ska vara offentligt. I domstolarnas verksamhet finns således en motsättning mellan den enskildes intresse av skydd för den personliga integriteten samt intresset av en rättssäker men även effektiv process. I detta kapitel behandlas domstolarnas användning av informa- tionsteknik i den rättsskipande och rättsvårdande verksamheten. 17.1.2Domstolarnas användning av informationsteknik Modern informationsteknik är en naturlig del i domstolarnas arbete och den elektroniska ärendehanteringen har ökat. I princip all fram- ställning av skriftlig information hos domstolarna görs på elektro- nisk väg, och domstolarna tar i allt större utsträckning emot och lag- rar information i elektronisk form. Diarieföring i mål och ärenden görs i det elektroniska verksamhetsstödet . I görs också ljud- och bildupptagning av framför allt förhör som hålls vid för- handling i domstol. Vidare används e-post i allt större utsträckning för domstolarnas kommunikation med bl.a. parter och ombud. Domstolarna får ta emot handlingar, t.ex. yttranden från parter, per e-post och använder också e-post för att bl.a. expediera handlingar såsom domar och beslut till inblandade aktörer. allmänna handlingar görs till viss del per e-post. Uppgifter överförs även elektroniskt mellan olika tekniska system hos domstolarna och vissa andra myndigheter inom rättsväsendet. Offentlighet och sekretess vid domstol En grundläggande princip i det svenska statsskicket är offentlighets- principen. Principen innebär att var och en har stora möjligheter till insyn i myndigheternas arbete. Reglerna om allmänhetens rätt att ta del av allmänna handlingar återfinns i 2 kap. tryckfrihetsförord- ningen samt offentlighets- och sekretesslagen (2009:400). En dom- stol är skyldig att lämna ut allmänna handlingar, om inte sekretess gäller för uppgifterna i handlingen. Sekretess innebär ett förbud att röja uppgifter och vilka uppgifter som omfattas av sekretess följer av offentlighets- och sekretesslagen. I domstol gäller sekretess för olika slags uppgifter, t.ex. när det gäller sexualbrottsmål, personalia i brott- mål, familjemål, affärs- och driftförhållanden, offentlig upphandling samt ärenden som rör socialförsäkring. Under vissa förutsättningar kan också sekretess för uppgifter överföras till och från en annan myndighet. Sekretess hindrar i princip inte att en part i ett mål eller ärende tar del av handling eller annat material i målet eller ärendet. Det finns ett starkt intresse av insyn i domstolarnas verksamhet, vilket i många fall leder till att uppgifter som i andra sammanhang är skyddade genom sekretess blir tillgängliga för utomstående. I promemorian Offentlighet och sekretess för uppgifter i domstolsav- göranden1 föreslås vissa ändringar av de bestämmelser som reglerar offentlighet och sekretess för uppgifter som tas in i vissa avgöranden hos domstolarna. Det föreslås bl.a. att en domstol ska kunna besluta om fortsatt sekretess för uppgift i domslut eller motsvarande del i ett beslut, om domstolen gör bedömningen att intresset av sekretess för uppgiften väger väsentligt tyngre än intresset av offentlighet. Det handlar framför allt om möjligheten att med hänsyn till den person- liga integriteten hemlighålla identiteten på t.ex. en part. 1 Ds 2014:33. Domstolsdatalagen (2015:728) trädde i kraft och ersätter förordningarna om registerföring m.m. vid domstolarna och nämnderna. Som skäl för förslaget till en ny lag angavs i propositio- nen2 bl.a. att en stor omfattning av personuppgiftsbehandlingen i domstolarna medför ett sådant intrång i enskildas personliga integri- tet som avses i 2 kap. 6 § regeringsformen, vilket innebär att behand- lingarna endast kan tillåtas genom bestämmelser i lag (jfr 2 kap. 20 § första stycket 2 RF). Lagen innehåller ramarna för domstolarnas personuppgiftsbehandling samt de bestämmelser som är av central betydelse för integritetsskyddet. Enligt propositionen bör komplet- terande bestämmelser meddelas genom förordning. De föreskrifter regeringen meddelar får dock inte innebära ett betydande intrång i den personliga integriteten (jfr 2 kap. 6 § andra stycket RF).3 Enligt domstolsdatalagen får personuppgifter behandlas om det behövs för handläggning av mål och ärenden eller för författnings enligt uppgiftslämnande. Vidare ska tillgången till personuppgifter begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. Personuppgifter får lämnas ut på medium för auto- matiserad behandling om det inte är olämpligt. Med utlämnande på medium för automatiserad behandling avses bl.a. utlämnande på ett usb-minne, genom e-post, eller annan elektronisk överföring. Lämp- lighetsprövningen ska göras i varje enskilt fall. Det har vid lämplig- hetsprövningen betydelse vem mottagaren är. I fråga om utlämnande till en annan domstol eller en myndighet bör enligt förarbetena4 utlämnande på medium för automatiserad behandling som utgångs- punkt vara tillåtet enligt bestämmelsen. I fråga om utlämnande av processmaterial till en part eller partens ombud, biträde eller försva- rare måste kravet på en rättvis rättegång och andra processrättsliga principer beaktas. Exempelvis bör en part som regel få ta del av pro- cessmaterialet i elektronisk form om det behövs för att säkerställa att parterna i en process är likställda. 2 Regeringens proposition Domstolsdatalag, prop. 2014/15:148. 2014/15:148 s. 22 f. 2014/15:148 75 f. och 113 f. ombudsmän, , utövar tillsyn bl.a. över statliga myndigheter – däribland domstolarna – och ska särskilt utöva tillsyn över att grundläggande fri- och rättigheterna inte kränks i den offentliga verksamheten. Även Justitiekanslern utövar tillsyn över domstolarna och har bl.a. i uppgift att värna integriteten samt rättssäkerheten i den offentliga verksamheten. Datainspektionen är tillsynsmyndighet enligt personuppgifts lagen och har i uppgift att värna skyddet för enskildas personliga integritet vid behandling av personuppgifter. 17.2Behandling av uppgifter i verksamhetsregister och besöksterminaler Diarieföringen i den rättsskipande och rättsvårdande verksamheten görs i det elektroniska verksamhetsstödet . Där registreras olika sorters uppgifter som rör handläggningen av mål och ärenden, såsom måluppgifter (bl.a. målnummer och saken), partsuppgifter (t.ex. namn, personnummer och adress), uppgifter om vittnen och ombud m.fl. samt uppgifter om domstolens handläggningsåtgärder och beslut . Varje domstol har ett eget verksamhetsregister i , men uppgifterna lagras hos . trädde domstolsdatalagen i kraft. Lagen ersätter bl.a. de förordningar (Vera-förordningarna) som tidigare reglerade olika domstolars behandling av personuppgifter. Enligt denna lag får domstolarna behandla personuppgifter om det behövs för handlägg- ning av mål och ärenden. Domstolsdatalagen hänvisar till personuppgiftslagens bestäm- melser om grundläggande krav för personuppgiftsbehandling. Det innebär bl.a. att •de behandlingar som utförs måste vara lagliga och göras på ett korrekt sätt och i enlighet med god sed, •personuppgifterna som behandlas måste vara nödvändiga, adek- vata, relevanta och riktiga, •personuppgifter får samlas in endast för särskilda och uttryckligt angivna ändamål, och •insamlade personuppgifter inte får vidarebehandlas för ett ända- mål som är oförenligt med det ändamål som uppgifterna samlades in för. Enligt domstolsdatalagen är det vidare förbjudet att som sökbegrepp använda uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackfören- ing, hälsa, sexualliv, nationell anknytning, eller brott eller misstanke om brott. Förbudet gäller dock inte användning av uppgifter som avslöjar brott eller misstanke om brott i de allmänna domstolarnas och de allmänna förvaltningsdomstolarnas verksamheter samt an- vändning av uppgifter som avslöjar hälsa i de allmänna förvaltnings- domstolarnas verksamhet.5 17.2.3Risker för den personliga integriteten Ett automatiskt register som kan vara mycket effektivt och gör det bl.a. enkelt att anteckna olika händelser i diariet. Registret kan också användas för att via s.k. besöksterminaler ge allmänheten till- gång till uppgifter som de har rätt att ta del av. Det är dock viktigt att diariet inte innehåller personuppgifter som inte får behandlas på sådant sätt. Justitiekanslern har vid inspektion vid en tingsrätt noterat i ett flertal akter att tingsrättens dagboksblad innehöll anteckningar om känsliga personuppgifter avseende enskildas hälsotillstånd, vilket inte varit förenligt med regleringen i 13 § personuppgiftslagen.6 2014/15:148 s. 57 f. 6 Justitiekanslerns beslut , dnr 7004-13-28. Vidare har Datainspektionen i fyra beslut7 efter inspektion hos tre tingsrätter och en förvaltningsrätt, riktat kritik mot att det i domsto- larnas besöksterminaler var möjligt att kartlägga hur enskilda perso- ner förekommer i olika mål och ärenden.