sou · H4B341 · 2016-06-07 00:00:00 — I besluten framhåller Data- inspektionen bl.a. att besöksterminalerna innehåller fler och känsligare uppgifter än ett diarium måste innehålla samt gör det möj- ligt att genomföra sökningar baserat på namn och personnummer. Denna behandling går enligt Datainspektionen utöver vad som är nödvändigt för att tillgodose kraven enligt offentlighetsprincipen och strider därför mot personuppgiftslagen. Datainspektionen före- lade domstolarna att i besöksterminalerna endast behandla de upp- gifter som är nödvändiga för att tillhandahålla allmänna handlingar. Vidare rekommenderas domstolarna att överväga om gallring av uppgifter i kan göras tidigare än enligt de gallringsfrister som föreskrivs i Vera-förordningarna. Kort efter beslutet från Datain- spektionen stängde besöksterminalerna vid samt- liga domstolar. Exemplet med besöksterminaler illustrerar den motsättning som finns mellan offentlighetsprincipen och intresset av att skydda den personliga integriteten. Det är viktigt att effekterna för den person- liga integriteten beaktas när man avgör på vilket sätt behovet av in- syn ska tillgodoses. Det är naturligtvis också av stor vikt att person- uppgiftsbehandlingen görs i enlighet med gällande reglering och att t.ex. känsliga personuppgifter inte förekommer i diarium utan stöd i författning. 17.3Behandling av uppgifter i ljud- och bildupptagning dokumenteras förhör vid tingsrätt som huvudregel genom ljud- och bildupptagning i . En berättelse som lämnas i högre rätt får dokumenteras på samma sätt, men detta görs vanligtvis endast genom en ljudinspelning. 7 Datainspektionens beslut (dnr 1316-2013, 1317-2013, 1318-2013 och 1319-2013). Enligt 6 kap. 6 § ska tingsrätten som huvudregel dokumentera förhör som hålls i bevissyfte genom en ljud- och bild- upptagning. För att tingsrätten inte ska dokumentera förhöret på detta sätt krävs att det finns särskilda skäl mot det. Undantaget avser framför allt det fall att en upptagning av något skäl kan försämra ut- redningen i målet eller situationer då tekniken för inspelning av någon anledning inte finns tillgänglig. Bedömningen av om det finns skäl att avstå från att göra en ljud- och bildupptagning ska göras med beaktande av den sekretess bestämmelse som gäller i fråga om bilduppgiften. Av 43 kap. 4 § offentlighets- och sekretesslagen följer att sekretess gäller för själva bilduppgiften i en ljud- och bildupptagning, om det inte står klart att uppgiften kan röjas utan att den hörde lider men. Den som förhörs har alltså ett sådant skydd mot att bilduppgiften sprids, att utrym- met för att låta bli att dokumentera ett förhör genom en ljud- och bildupptagning av hänsyn till integritets- och utredningsskäl anses vara mycket begränsat.8 I rättsfallet NJA 2008 s. 883 förklarade att en part har en ovillkorlig rätt att ta del av en bildupptagning, men att det är en lämplighetsfråga om parten ska få ta del av upptagningen hos en domstol eller genom ett utlämnande av en kopia. Enligt är det inte lämpligt att en part får en kopia av bildupptag- ningen som parten kan behålla, kopiera eller sprida, om parten på ett rimligt sätt kan ta del av bildupptagningen på annat sätt, t.ex. genom ett besök hos en domstol. Som utgångspunkt gäller alltså att bild- upptagningar inte lämnas ut från domstolen. Ljud- och bildupptagningarna från tingsrättens förhandling ska gallras senast efter det att målet eller ärendet har avgjorts genom dom eller beslut som har vunnit laga kraft (20 § förordningen [1996:271] om mål och ärenden i allmän domstol). 8 Regeringens proposition En modernare rättegång – reformering av processen i allmän domstol, prop. 2004/05:131 s. 228 f. 17.3.3Risker för den personliga integriteten Det har många fördelar att förhör filmas. Framför allt innebär det att hovrätterna får ett bättre underlag än vad enbart ljudupptagningar ger när det gäller att bedöma bevisvärdet av förhör som hållits i tings- rätten. Det medför också att antalet omförhör i hovrätt kan begrän- sas, vilket är till fördel för såväl för domstolen som för vittnen och andra förhörspersoner som inte behöver inställa sig i domstol på nytt. I många fall är det en fördel om tingsrättsförhöret läggs fram i hovrätten genom en videoupptagning i stället för att förhörsperso- nen hörs på nytt, eftersom berättelsen i tingsrätten, som lämnas i närmare anslutning till den aktuella händelsen än en berättelse i hov- rätten, i många fall ger ett bättre uttryck för vittnets verkliga iaktta- gelser.9 Vid förhör i domstol lämnas dock personuppgifter som kan vara känsliga. En inspelning av förhöret med ljud och bild kan vara mycket närgången. Den sekretess som gäller för dessa in- spelningar är därför av stor betydelse. Om bildupptagningar av för- hören lämnades ut kan det innebära en betydande risk för att dessa skulle spridas på exempelvis internet. Utöver den integritetskränk- ning som detta kan innebära, skulle det sannolikt ha negativ påver- kan på viljan att lämna känsliga uppgifter under förhören. Av nämnda skäl är det även viktigt att undvika obehörig spridning av uppgifterna internt på domstolarna, t.ex. genom att anställda av nyfikenhet tar del av ljud- och bildupptagningar som de inte behöver se för att utföra någon arbetsuppgift. Denna risk kan begränsas bl.a. genom loggning och uppföljning av loggningen. Som tidigare nämnts ska tillgången till personuppgifter enligt domstolsdatalagen begrän- sas till vad varje anställd behöver för att kunna fullgöra sina arbets- uppgifter. 9 Se vidare prop. 2004/05:131 s. 106 f. 17.4Informationsutbyte mellan domstolar och andra myndigheter Domstolarna och andra myndigheter har tidigare i huvudsak bytt information med varandra manuellt och pappersbaserat. Detta med- förde att uppgifter om till exempel namn, personnummer, adress och brottslig gärning, registrerades på nytt ett stort antal gånger hos olika myndigheter. Mycket tid ägnades åt att kopiera, hantera och skanna in pappersdokument i de olika myndigheternas verksamhets- system. pågår arbete inom ramen för Rådet för rätts- väsendets informationsförsörjning (RIF) som syftar till att skapa en helt elektronisk och strukturerad informationsförsörjning för rätts- väsendets myndigheter. I en första etapp, som avslutades , har ett elektroniskt informationsflöde skapats mellan de myn- digheter som hanterar de största ärendemängderna i brottmåls processen, dvs. , , Åklagarmyndighe- ten, , och Kriminalvården. Även får information, vilken den omvand- lar till statistik. I den andra etappen deltar även och Kust- bevakningen. Det elektroniska kommunikationsflödet innebär att bl.a. förundersökningsprotokoll och uppgifter om inblandade aktö- rer överförs elektroniskt från polis till åklagare och vidare från åkla- gare till domstolar, med stora tidsvinster och besparingar som följd. Myndigheterna som ingår i den första etappen har fattat överens- kommelser med varandra om informationsutbytet. I överenskom- melsen regleras bl.a. frågor om ansvar och säkerhet. När det gäller säkerheten anges t.ex. att informationsutbytet ska göras via det stat- liga SGSI-nätet – där kommunikationen är krypterad och inte pas- serar internet – och att parterna ansvarar för att kommunikationen intrångsskyddas av brandväggar. Det ska också finnas spårbarhet och loggning ska göras enligt vissa krav. För att en myndighet ska få lämna ut sekretessbelagda uppgifter till en annan myndighet krävs att någon sekretessbrytande bestämmelse är tillämplig, t.ex. att myndigheten är skyldig att lämna ut uppgiften eller att det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda (se fram- för allt 10 kap. offentlighets- och sekretesslagen). Eventuell över föring mellan myndigheter måste dessutom, precis som annan behandling, göras på ett säkert sätt (31 § personuppgiftslagen). Vi- dare är varje myndighet personuppgiftsansvarig för sin respektive behandling av uppgifterna, även om uppgifterna har lagts in i en myndighets datasystem av någon annan myndighet. Den personupp- giftsansvarige ska bl.a. säkerställa att myndigheten inte behandlar fler uppgifter än vad som är nödvändigt med hänsyn till ändamålen, att de uppgifter som behandlas är riktiga och, om det är nödvändigt, att de är aktuella och att alla rimliga åtgärder vidtas för att rätta, blockera, eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Upp gifterna ska dessutom behandlas på ett korrekt sätt i enlighet med god sed (9 § första stycket, b personuppgiftslagen). Vad som är god sed vid behandling av personuppgifter får enligt förarbetena10 avgö- ras i rättstillämpningen mot bakgrund av bl.a. de mer preciserade föreskrifter som kan meddelas med stöd av personuppgiftslagen, de branschregler på området som kan ha utarbetats av etablerade branschorganisationer eller andra representativa sammanslutningar och hur ansvarsfulla personuppgiftsansvariga som regel beter sig. 17.4.3Risker för den personliga integriteten Merparten av uppgifterna som överförs mellan myndigheterna är uppgifter som under alla förhållanden måste behandlas där. Det elek- troniska flödet mellan myndigheterna medför dock att uppgifterna sprids snabbare, att de enskilda myndigheternas ansvar för uppgif- terna riskerar att bli otydligare och att bedömningarna av om uppgif- terna får behandlas kan bli svårare när uppgifterna levereras in i sys- temen mer eller mindre automatiskt. När det gäller denna typ av informationsbyte är det därför särskilt viktigt att det finns tydliga regler och rutiner för hur hanteringen ska gå till.11 Den nya regle- ringen kan förväntas innebära förtydliganden i dessa avseenden. 10 Regeringens proposition Personuppgiftslag, prop. 1997/98:44 s. 143. 11 Datainspektionens rapport 2012:1, Rättsväsendets informationsförsörjning och den personliga integriteten. 17.5Utlämnande av uppgifter på medium för automatiserad behandling Domstolarnas verksamhet innehåller många moment som innebär att personuppgifter lämnas ut, t.ex. skickas handlingar till parter och andra aktörer inom ramen för handläggningen av mål och ärenden. Vidare lämnas allmänna handlingar ut till allmänheten med stöd av offentlighetsprincipen, efter begäran av bl.a. privatpersoner, journa- lister, företag och organisationer. Utlämnandet kan göras på olika sätt, bl.a. i form av papperskopia av en av handling eller utskrift från dator. I allt större utsträckning lämnas handlingar också ut i elektro- nisk form, t.ex. per e-post eller på ett usb-minne. Framför allt de allmänna domstolarnas verksamhet präglas i stor utsträckning av den grundlagsfästa offentlighetsprincipen. Av 2 kap. 1 § tryckfrihetsförordningen följer att allmänna handlingar ska vara tillgängliga för alla och att domstolen har en skyldighet att lämna ut dem till allmänheten. Som framgår under avsnitt 17.1.3 gäller sekre- tess i vissa fall även hos domstol, bl.a. avseende enskildas personliga förhållanden. Sekretess hindrar dock i de flesta fall inte att parter i ett mål eller ärende tar del av uppgifter. Av offentlighetsprincipen följer endast en rätt att få ut en kopia av en allmän handling i pappersform. Domstolarna är alltså inte skyl- diga att lämna ut handlingar i elektronisk form, även om så görs som en serviceåtgärd. I personuppgiftslagen regleras inte heller särskilt på vilket sätt som personuppgifter får lämnas ut. E-post som skickas som ett led i ärendehanteringen, och som ingår i domstolens mål- och ärendehanteringssystem, anses vara en behandling av personuppgifter som fullt ut omfattas av regleringen i personuppgiftslagen. Viss annan e-postkorrespondens, exempelvis svar på frågor från allmänheten, anses däremot vara ostrukturerat material som enligt 5 a § personuppgiftslagen endast i begränsad omfattning omfattas av nämnda reglering.12 Det generella kravet på informationssäkerhet enligt 31 § personuppgiftslagen gäller dock även för sådan e-post. Enligt domstolsdatalagen får personuppgifter endast lämnas ut på medium för automatiserad behandling om det inte är olämpligt. I författningskommentaren anges att en prövning av lämpligheten ska göras i varje enskilt fall och att det har betydelse vem mottagaren är. Lämplighetsprövningen blir särskilt viktig när uppgifterna ska läm- nas till enskild och det på grund av personuppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att be- fara att utlämnandet i förlängningen kan leda till integritetsrisker. Som exempel nämns att försiktighet är påkallad när det är fråga om fotografier eller ljudupptagningar samt uppgifter som är samman- ställda utifrån en sökning som framstår som integritetskänslig.13 I lagen upplyses vidare om möjligheten för regeringen eller den myn- dighet som regeringen bestämmer att meddela ytterligare föreskrif- ter om begränsningar av möjligheterna att lämna ut personuppgifter på medium för automatiserad behandling. 17.5.3Risker för den personliga integriteten Utlämnande av handlingar som innehåller personuppgifter görs i elektronisk form med hjälp av e-post. Det är natur- ligt eftersom uppgifter i allt högre grad skapas och eller lagras i dom- stolarnas datorsystem. För allmänheten förenklar och effektiviserar det tillgången till domstolarnas offentliga information, vilket i sig ökar möjligheterna till insyn och kontroll. Domstolarna kan inte heller vägra att ta emot handlingar som kommer via e-post. För parter och andra aktörer, inklusive domstolen, innebär det en förenkling och kostnadsbesparing att kommunicera per e-post. Ett utlämnande av uppgifter i elektronisk form innebär dock särskilda risker från integritetssynpunkt. Den elektroniska formen innebär som regel större möjligheter för mottagaren att på olika sätt bearbeta uppgifter – t.ex. genom strukturering och samkörning med 12 Datainspektionens yttrande , dnr 1020-2012, och rikt- linjer om e-posthantering, dnr 937-2009, s. 7 f. 2014/15:148 s. 113 f. andra uppgifter – och att sprida informationen, än om utlämnande görs på papper.14 Det kan t.ex. göra det möjligt för enskilda att sam- manställa uppgifter till egna belastningsregister och dylikt (jfr 21 § personuppgiftslagen om att uppgifter om lagöverträdelse m.m. endast får behandlas av myndighet). I detta sammanhang kan också pekas på bestämmelsen i 21 kap. 7 § offentlighets- och sekretessla- gen, som innebär att sekretess gäller för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Mot den bakgrunden är det viktigt att ett utlämnande i elektro- nisk form endast görs när detta bedöms vara lämpligt, dvs. när det inte finns några tecken på att uppgifterna kommer att missbrukas, och att överföringen görs på ett säkert sätt.15 När det handlar om strukturerat material är det också viktigt att man uppmärksammar bl.a. förbudet mot tredjelandsöverföring. Ett särskilt problem som uppmärksammats är tillhandahållandet av personuppgifter på internet, som blivit allt vanligare. Det före- kommer bl.a. webbplatser där det publiceras inkomstuppgifter och uppgifter om brottmålsdomar i stor omfattning. I många fall omfat- tas verksamheterna av den så kallade databasregeln i 1 kap. 9 § yttran- defrihetsgrundlagen. Den bestämmelsen reglerar under vilka förut- sättningar tillhandahållande av information från en databas över internet omfattas av lagen. Bestämmelserna i personuppgiftslagen, som bl.a. förbjuder andra än myndigheter att behandla uppgifter om lagöverträdelse, tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsför- ordningen och yttrandefrihetsgrundlagen. Detta medför att person- uppgiftslagens regler till skydd för den personliga integriteten i praktiken inte gäller för den som har utgivningsbevis och därmed grundlagsskydd för sin databas. Tanken med utgivningsbevis var ur- sprungligen att främst skydda nya former av massmedial verksam- het. Vid en ansökan om utgivningsbevis görs det dock inte någon prövning av databasens innehåll eller syfte. Det går alltså att få grundlagsskydd även för databaser som inte har någon massmedial karaktär. 14 Domstolsdatalag, Ds 2013:10 s. 117 f. 15 riktlinjer för e-posthantering, dnr 937-2009; yttrande från Datainspektionen, Samråd om domstolarnas e-posthantering, dnr 1020-2012. har fått i uppdrag att analysera vilka konflikter med skyddet för den personliga integriteten som upp- kommer när information tillhandahålls ur databaser med utgivnings- bevis och att ta ställning till om förändringar behövs för att tillgo- dose integritetsskyddet. I direktiven anges att kommittén i sin analys ska göra en noggrann avvägning mellan intresset av yttrandefrihet och intresset att skydda enskildas personliga integritet. Vidare ska utgångspunkten vara att det även fortsättningsvis ska finnas möjlig- het att få grundlagsskydd genom utgivningsbevis. Uppdraget ska redovisas senast den 1 september 2016.16 17.6Kommitténs samlade bedömning av området I domstolarna behandlas en stor mängd uppgifter som rör enskildas personliga förhållanden. I många mål- och ärendetyper är det fråga om känsliga personuppgifter. Det ligger dessutom i sakens natur att domstolarna har mycket begränsade möjligheter att själva avgöra vilka personuppgifter som ska behandlas där. Om en part ger in ett dokument till domstolen, är domstolen – oavsett handlingens inne- håll – i regel skyldig att registrera handlingen och kommunicera den med motparten. Även den enskilde har i många fall begränsade möjligheter att påverka vilka personuppgifter som behandlas i domstolen. Det finns ett starkt intresse av att säkerställa att allmänheten har goda möjligheter till insyn i domstolarnas rättsvårdande och rätts- skipande verksamhet. Medborgarna tycks också förvänta sig en en- kel tillgänglighet, på samma sätt som när det gäller kontakter med andra aktörer i samhället. Det finns även ett starkt intresse av att domstolarnas verksamhet bedrivs effektivt, så att domar och beslut kan meddelas inom rimlig tid. Allt detta förutsätter bl.a. en ända- målsenlig användning av modern teknik. I detta kapitel om integritetsrisker som hör ihop med domstolar- nas hantering av personuppgifter har kommittén framför allt behandlat riskerna med verksamhetsregister, besöksterminaler, fil- made förhör, informationsutbyte med andra myndigheter och ut- lämnande av uppgifter på medium för automatiserad behandling. 16 Dir. 2014:97 En kommitté på det tryck- och yttrandefrihetsrättsliga området. En risk med domstolarnas verksamhetsregister är att fler uppgifter än nödvändigt behandlas i registren och att känsliga personuppgifter behandlas på ett felaktigt sätt. finns dock en lag som reglerar domstolarnas behandling av personuppgifter. Kommittén bedömer att det finns en viss risk för att behandling av personuppgifter i domstolarnas verksamhetsregister leder till intrång i den personliga integriteten. Risken med ljud- och bildupptagningar i domstol är att känsliga upp- gifter sprids till obehöriga. Om en sådan upptagning lämnas ut i strid mot den sekretess som gäller, skulle uppgifterna enkelt kunna spri- das på internet. Det finns också risker för att personal som inte är behörig tar del av upptagningarna av nyfikenhet. Det finns dock sekretessbestämmelser som skyddar uppgifterna. I domstolsdatala- gen finns bestämmelser om att tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att kunna full- göra sina arbetsuppgifter. Kommittén bedömer att det finns en viss risk för intrång i den personliga integriteten i samband med ljud- och bildupptagningar i domstol. Digitalt informationsutbyte med andra myndigheter Risken för kränkningar av den personliga integriteten i samband med domstolarnas informationsutbyte med andra myndigheter inom rättsväsendet består i att känsliga uppgifter kan spridas till obe- höriga inom eller utanför myndigheterna. Varje deltagande myndig- het måste ansvara för sin behandling och upprätthålla rätt säkerhets- nivå. Domstolsdatalagen reglerar under vilka förutsättningar direktåtkomst till domstolens personuppgifter är tillåten. Kommit- tén bedömer att det finns en viss risk för intrång i den personliga integriteten i samband med detta informationsutbyte. Utlämnande av uppgifter på medium för automatiserad behandling Vid utlämnande av uppgifter i elektronisk form, per e-post eller på ett usb-minne finns det en risk för att känsliga personuppgifter kan spridas till obehöriga. Den elektroniska formen innebär större möj- ligheter för mottagaren att på olika sätt bearbeta uppgifter och sprida informationen än om utlämnande görs på papper.17 Det kan t.ex. göra det möjligt för enskilda att sammanställa uppgifter till egna belastningsregister . Kommittén bedömer att det föreligger påtagliga risker för intrång i den personliga integriteten i samband med utläm- nande av uppgifter på medium för automatiserad behandling. Skydda integriteten med sekretess En viktig del i skyddet för den personliga integriteten är möjlighe- terna att låta sekretess gälla för vissa uppgifter om enskilda. En allt- för långtgående offentlighet kan medföra skador på såväl enskilda som allmänna intressen. Intresset av offentlighet i domstol måste exempelvis vägas mot rätten till skydd för privat- och familjeliv enligt artikel 8 i . En konsekvens av en långtgående offentlighet kan också bli att domstolarna av integritetsskäl låter bli att i sina avgöranden närmare gå in på vissa uppgifter som är av bety- delse i målet. Därigenom riskeras att en ofullständig bild ges av de skäl som lett domstolen fram till sitt ställningstagande, vilket i sin tur kan ha en negativ inverkan på medborgarnas förtroende för domstolarnas verksamhet.18 17 Domstolsdatalag, Ds 2013:10 s. 117 f. 18 Regeringens proposition med förslag till sekretesslag, prop. 1979/80:2 Del A, s. 102; se även Ds 2014:33 s. 37 f. 18De brottsbekämpande myndigheternas verksamhet Kommitténs bedömning: De olika företeelser som vi kartlagt inom området brottsbekämpning är förknippade med risker av olika allvarlighetsgrad: såväl vissa risker som påtagliga risker för den personliga integriteten kan konstateras. Läs mer om hur vi bedömt riskerna avseende de olika företeelserna i avsnitt 18.11. 18.1.1De brottsbekämpande myndigheternas användning av informationsteknik Staten har en skyldighet att vidta effektiva åtgärder till skydd för den enskildes säkerhet. I detta ligger en skyldighet för staten att försöka förebygga och förhindra brott. Vidare krävs att brott utreds och att gärningsmän lagförs för brottsliga handlingar. Ansvaret för denna brottsbekämpande verksamhet ligger i första hand på Polismyndig- heten, Säkerhetspolisen, och Åklagarmyn- digheten. Visst brottsbekämpande arbete bedrivs dock av andra myndigheter, exempelvis . För att fullgöra dessa uppgifter har de brottsbekämpande myn- digheterna behov av olika typer av information, däribland person- uppgifter och uppgifter om brott. Sådan information kan inhämtas genom exempelvis spaning och förhör eller genom användning av olika tvångsmedel. Information samlas i allt större utsträckning in med användning av informationsteknik. Ljud- och bildupptagningar samt tillgång till uppgifter om elektronisk kommunikation har blivit allt viktigare i myndigheternas underrättelse- och utredningsarbete. De brottsbekämpande myndigheternas verksamhet Informationsteknik, bl.a. i olika former av datoriserade register, används också vid dessa myndigheters efterföljande behandling av insamlade uppgifter. I detta kapitel behandlas ett antal företeelser inom de brotts bekämpande myndigheternas verksamhet som gäller informations- teknik och som är av särskild betydelse ur ett integritetsskyddsper- spektiv. Kapitlet tar sin utgångspunkt i integritetsrisker för misstänkta personer. Flera av dessa risker kan dock även drabba andra personer, exempelvis vittnen och brottsoffer.