prop · H503269 · 2018-06-19 00:00:00 — I det ärendet gjordes bedömningen att dataskyddsförordningens möjlighet att undanta den dömande verksamheten från dataskyddsombudets ansvarsområde inte bör utnyttjas. Som skäl anfördes bl.a. att ombuden är av central betydelse för skyddet av den personliga integriteten, även i den dömande verksamheten, och att ett undantag för den dömande verksamheten kan leda till gränsdragningsproblem (prop. 2017/18:113 s. 20–25). Regeringen anser, i likhet med bl.a. Datainspektionen, att dessa skäl gör sig gällande även på brottsdatalagens område. Som påpekar är det lämpligt att frågan om dataskyddsombud regleras på samma sätt på brottsdatalagens och dataskyddsförordningens områden. Det finns därför inte skäl att utnyttja möjligheten i artikel 32.1 i direktivet att undanta domstolarnas dömande verksamhet från skyldig- heten att utse dataskyddsombud. Till skillnad från ombuds- män anser regeringen att en sådan ordning framstår som lämplig även med beaktande av direktivets reglering av tillsynsmyndighetens behörig- het och dataskyddsombudets uppgifter. Förvaltningsrätten i efterfrågar ett klargörande av hur skyldigheten att utse dataskyddsombud enligt 3 kap. 13 § brottsdatalagen förhåller sig till motsvarande skyldighet enligt 10 § domstolsdatalagen. Regleringen innebär att domstolarnas skyldighet att utse ett eller flera dataskyddsombud gäller inom såväl dataskyddsförordningens som brottsdatalagens tillämpningsområde. Det finns inget hinder mot att ett dataskyddsombud har ansvar för personuppgiftsbehandling på båda områdena. Det finns även en möjlighet att utse ett gemensamt data- skyddsombud för flera domstolar (artikel 37.3 i dataskyddsförordningen, artikel 32.3 i dataskyddsdirektivet och prop. 2017/18:232 s. 201). 12.3.5Uppgifter om juridiska personer bör inte omfattas Regeringens bedömning: Lagen bör inte reglera behandling av upp- gifter om juridiska personer. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Kammarrätten i anser att om det finns tillräckliga skäl i sak för att införa ett skydd för juridiska personer, bör enhetlighet i domstolarnas personuppgiftsreglering uppnås genom att skyddet införs både i domstolsdatalagen och den nya lagen. Övriga remissinstanser har ingen invändning mot utredningens bedömning. 2017/18:269 Skälen för regeringens bedömning: Frågan om domstolsdatalagen skulle tillämpas på uppgifter om juridiska personer lyftes under lagstift- ningsarbetet men ledde inte till något förslag. Som skäl för det angavs bl.a. att det är tveksamt om begreppet personlig integritet har någon relevans för juridiska personer (Ds 2013:10 s. 49–51). Domstolsdata- lagen är alltså inte tillämplig på uppgifter om juridiska personer. Ipolisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrotts- datalagen och skattebrottsdatalagen föreskrivs däremot att vissa bestäm- melser i respektive lag ska tillämpas på uppgifter om juridiska personer. Även om juridiska personer inte har samma behov av integritetsskydd som fysiska personer har det på dessa områden ansetts att vissa grund- läggande bestämmelser om personuppgiftsbehandling bör tillämpas även på uppgifter om juridiska personer. Dessutom kan det vara svårt att i elektronisk hantering skilja uppgifter om juridiska personer från upp- gifter om fysiska personer som är ägare av eller ställföreträdare för sådana (prop. 2009/10:85 s. 78). Regeringen anser att det bör finnas bestämmelser i övriga registerförfattningar som rör behandling av uppgifter om juridiska personer, motsvarande de som finns i nuvarande reglering (avsnitt 5.4.1). Frågan är om det finns skäl att införa en motsvarande reglering i domstolarnas brottsdatalag, trots att uppgifter om juridiska personer inte har något särskilt skydd . Om den nya lagen skulle tillämpas på upp- gifter om juridiska personer skulle lagarna om domstolarnas person- uppgiftsbehandling skilja sig åt utan att det krävs för att genomföra dataskyddsdirektivet. Även om det finns fördelar med en enhetlig reglering för myndigheterna i rättskedjan bör en enhetlig reglering för domstolarna i detta fall väga tyngre. Mot den bakgrunden bör den nya lagen inte reglera behandling av uppgifter om juridiska personer. Som Kammarrätten i påpekar skulle enhetlighet i domstolarnas registerförfattningar i och för sig kunna uppnås genom att ett skydd för juridiska personer införs både i domstolsdatalagen och den nya lagen. Regeringen kan dock konstatera att det saknas underlag för att nu över- väga en sådan reglering. Grundläggande bestämmelser om behandling Rättsliga grunder för behandling Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för handläggning av mål och ärenden om utredning av eller lagföring för brott, om verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder eller om upprätthållande av allmän ordning och säkerhet. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: De flesta av remissinstanserna, t.ex. och Förvaltningsrätten i , tillstyrker förslaget eller har ingen invändning mot det. förslaget skiljer sig från domstolsdatalagen och anser att det kan leda till föreslår att det i domstolsdatalagen ska tas in en bestämmelse som liknar den föreslagna bestämmelsen i den Prop. 2017/18:269 nya lagen. Hovrätten för väcker frågan om det bör vara någon skillnad i tillämpningen av rekvisitet att behandlingen är nöd- vändig respektive att behandlingen behövs. Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdata- lagen, de aktuella registerförfattningarna och de regelverk som styr myndighetens verksamhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag En bestämmelse som ersätter brottsdatalagens bestämmelse om rättsliga grunder för behandling I 6 och 7 §§ domstolsdatalagen regleras för vilka ändamål domstolarna får behandla personuppgifter. Enligt den primära ändamålsbestämmelsen får personuppgifter behandlas om det behövs för handläggning av mål och ärenden. Enligt den sekundära ändamålsbestämmelsen får person- uppgifter som behandlas för handläggning av mål och ärenden även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Sedan domstolsdatalagen har anpassats till dataskyddsförordningen gäller dessutom att person- uppgifter som behandlas för handläggning av mål och ärenden får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelsen innebär att finalitetsprincipen gäller och att vidarebehandling som är förenlig med denna är tillåten (prop. 2017/18:113 s. 40–42). Den primära ändamålsbestämmelsen i 6 § domstolsdatalagen tydliggör att domstolarna får behandla personuppgifter när de fullgör sina arbets- uppgifter. Bestämmelsen anger den yttersta ram inom vilken person- uppgifter får behandlas. Det är inom denna ram som de särskilda, uttryckliga och berättigade ändamålen med behandlingen i enskilda fall ska bestämmas (2 kap. 3 § brottsdatalagen). Regeringen anser att den nya lagen bör innehålla en motsvarighet till domstolsdatalagens primära ändamålsbestämmelse. För att tydliggöra bestämmelsens funktion bör den emellertid betecknas som en bestämmelse om rättsliga grunder snarare än en ändamålsbestämmelse. På så sätt minskar risken att tilläm- paren godtar ett i lagen angivet allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål i det enskilda fallet (prop. Domstolarna bör få behandla personuppgifter om det är nödvändigt för att fullgöra en arbetsuppgift inom den nya lagens tillämpningsområde. För att terminologin ska stämma överens med dataskyddsdirektivet och brottsdatalagen bör ordet nödvändigt användas. Ordet bör tolkas som att det är fråga om något som behövs för att på ett effektivt sätt kunna utföra arbetsuppgiften (prop. 2017/18:232 s. 117). Som Hovrätten för Västra påpekar används ordet behövs i domstolsdatalagens ändamåls- Åtgärder som är en naturlig del av domstolarnas kärnverk- samhet, t.ex. handläggning av enskilda mål och ärenden eller planering, uppföljning och utvärdering av verksamheten, är både behövliga och 2017/18:269 nödvändiga (jfr prop. 2014/15:148 s. 108). Skillnaden i uttryckssätt bör därför inte få någon praktisk betydelse. De tillåtna rättsliga grunderna bör omfatta handläggning av mål och ärenden inom den nya lagens tillämpningsområde. Allmän domstol bör få behandla personuppgifter om det är nödvändigt för handläggning av mål och ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Allmän förvaltningsdomstol bör få behandla personuppgifter om det är nödvändigt för handläggning av mål om verkställighet av häktning eller straffrättsliga påföljder. Lagen om domstolarnas behandling av personuppgifter inom brotts- datalagens område föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur 2 kap. 1 § första stycket brottsdatalagen förhåller sig till bestämmelsen om rättsliga grunder i register- författningen bör den senare helt ersätta bestämmelsen i brottsdatalagen. Datainspektionen efterfrågar en ytterligare analys av om direktivets krav på en tydlig, precis och förutsägbar rättslig grund är uppfyllt för respektive myndighets behandling av personuppgifter. I propositionen Brottsdatalag finns ett utvecklat resonemang kring vad som avses med kravet på rättslig grund (prop. 2017/18:232 s. 116–119). Det konstateras där att genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna, är kravet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. För domstolarnas del kan t.ex. nämnas, i vilken framgår att de allmänna domstol- arna bl.a. har till uppgift att handlägga brottmål. Bestämmelserna i de processuella regelverken, tillsammans med den föreslagna bestämmelsen om rättsliga grunder i den nya lagen, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara entydig, precis och förutsägbar. Domstolsdatalagens terminologi ska inte ändras Regeringens förslag innebär att motsvarande bestämmelser i domstols- datalagen och domstolarnas brottsdatalag kommer att kategoriseras på olika sätt, dvs. som en ändamålsbestämmelse respektive en bestämmelse om rättsliga grunder. Terminologin i domstolsdatalagen och den nya lagen bör i möjligaste mån samordnas (avsnitt 12.1.2). föreslår i linje med detta att det i domstolsdatalagen ska tas in en bestämmelse som liknar den föreslagna bestämmelsen om rättsliga grunder i den nya lagen. Regeringen bedömer dock att domstolsdatalagens primära ändamåls- bestämmelse inte utan vidare kan betecknas som en bestämmelse om rättsliga grunder. Ett skäl till det är att det i brottsdatalagen, till skillnad från vad som gäller på dataskyddsförordningens område, inte finns någon bestämmelse om finalitetsprincipen. Anledningen till det är att olika ändamål inom brottsdatalagens tillämpningsområde ska betraktas som förenliga med varandra, under förutsättning att en behandling för ett nytt ändamål är nödvändig och proportionerlig (prop. 2017/18:232 s. 126). Både dataskyddsförordningen och domstolsdatalagen innehåller däremot bestämmelser om finalitetsprincipen (artiklarna 5.1 b och 6.4 i dataskyddsförordningen och 7 § andra stycket domstolsdatalagen). 2017/18:269 Förordningen använder i detta och andra sammanhang ordet ändamål på ett sätt som stämmer väl överens med terminologin i domstolsdatalagen. Om 6 § domstolsdatalagen skulle betecknas som en bestämmelse om rättsliga grunder kan det uppstå osäkerhet kring hur vidarebehandling av insamlade personuppgifter får ske och hur finalitetsprincipen enligt dataskyddsförordningen och domstolsdatalagen ska tillämpas. En förändring av domstolsdatalagens terminologi skulle därför kräva över- väganden som inte kan göras inom ramen för detta lagstiftningsärende. och befarar att avvikelsen i förhållande till bestämmelsen i domstolsdatalagen kan leda till tillämp- ningsproblem. Det bör framhållas att skillnaden mellan bestämmelserna i allt väsentligt är terminologisk. Oavsett hur bestämmelserna kategor- iseras syftar de till att ange den yttersta ram inom vilken personuppgifter får behandlas. Risken för tillämpningsproblem framstår därför som begränsad. 12.4.2Behandling för nya ändamål Regeringens förslag: Det ska genom en hänvisning till brottsdata- lagen framgå att personuppgifter som behandlas med stöd av den nya lagen får behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen. Regeringens bedömning: Ytterligare behandling av personupp- gifter som behandlas enligt domstolarnas brottsdatalag bör inte regleras i domstolsdatalagen. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen föreslår att någon prövning av om behandlingen är nödvändig och proportionerlig inte ska krävas när personuppgifter behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde och domstolsdata- lagen är tillämplig. Remissinstanserna: Ingen remissinstans invänder mot utredningens förslag. Hovrätten för efterfrågar vägledning om när något ska anses vara ett nytt ändamål. Promemorians förslag överensstämmer inte med regeringens bedöm- ning. I promemorian föreslås att det av domstolsdatalagen ska framgå att personuppgifter som behandlas enligt den nya lagen får behandlas även för uppgiftslämnande som sker i överensstämmelse med lag eller förord- ning eller för arkivändamål av allmänt intresse, vetenskapliga eller histo- riska forskningsändamål eller statistiska ändamål. Remissinstanserna: Ingen remissinstans invänder mot promemorians förslag. anser att lagstiftningen blir något komplicerad eftersom personuppgifter som behandlas enligt brottsdatalagen ska han- teras enligt domstolsdatalagen när de lämnas ut eller behandlas för arkiv- ändamål. Skälen för regeringens förslag och bedömning Nya ändamål inom brottsdatalagens tillämpningsområde Innan personuppgifter behandlas för ett nytt ändamål inom brottsdata- lagens tillämpningsområde ska det säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet (2 kap. 4 § brottsdatalagen). Hovrätten för efterfrågar vägledning om när något ska anses vara ett nytt ändamål. Enligt 2 kap. 3 § brottsdatalagen får personuppgifter bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Vad som utgör ett nytt ändamål ska bedömas i förhållande till ett sådant preciserat ändamål, t.ex. handläggningen av ett visst mål. Som exempel på behandling för ett nytt ändamål inom brottsdatalagens tillämpningsområde kan nämnas att personuppgifter i ett brottmål används för handläggningen av ett annat brottmål. Enligt 7 § första stycket domstolsdatalagen får personuppgifter som behandlas för handläggning av mål och ärenden även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Bestämmelsen innebär att domstolen får lämna ut personuppgifter inte bara om det finns en uttrycklig skyldighet i lag eller förordning att göra det, utan också i de situationer där det kan anses påbjudet eller önskvärt att domstolen gör det (prop. 2014/15:148 s. 41 f.). En prövning av nödvändighet och proportionalitet krävs enligt artikel 4.2 i dataskyddsdirektivet alltid innan personuppgifter behandlas för ett nytt ändamål inom tillämpningsområdet för direktivet. Regeringen anser att det bara är i de fall där det finns en uttrycklig uppgiftsskyldighet som lagstiftaren kan anses ha tagit ställning till att uppgiftslämnandet är nöd- vändigt och proportionerligt (prop. 2017/18:232 s. 138). Det skulle därför inte vara förenligt med direktivet att ha en bestämmelse som motsvarar domstolsdatalagens bestämmelse om behandling för uppgifts- lämnande i den nya lagen. Det bör i stället, i enlighet med utredningens förslag, tas in en bestämmelse som tydliggör att personuppgifter som redan behandlas får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde enligt de förutsättningar som anges i 2 kap. 4 § den lagen. Nya ändamål utanför brottsdatalagens tillämpningsområde Innan personuppgifter som behandlas med stöd av brottsdatalagen be- handlas för ett ändamål utanför lagens tillämpningsområde ska det säker- ställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet (2 kap. 22 § brottsdatalagen). Ett exem- pel på ett nytt ändamål utanför brottsdatalagens tillämpningsområde är när personuppgifter i ett brottmål används för handläggningen av ett tvistemål. Ett annat exempel är när personuppgifter i ett mål om rätts- psykiatrisk vård lämnas ut efter begäran från en enskild som inte är part i målet. Vid sådan behandling är dataskyddsförordningen tillämplig. Utredningen föreslår att någon prövning av om behandlingen är nöd- vändig och proportionerlig inte ska krävas när personuppgifter behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde och dom- stolsdatalagen är tillämplig. Som skäl anförs att en stor del av behand- lingen för nya ändamål utanför brottsdatalagens tillämpningsområde, t.ex. utlämnande på begäran, då skulle följa samma regelverk som dom- stolarnas personuppgiftsbehandling inom dataskyddsförordningens tillämpningsområde. En konsekvens av utredningens förslag är att det inte skulle krävas någon prövning av nödvändighet och proportionalitet om en domstol i den egna verksamheten behandlar personuppgifter för nya ändamål utanför brottsdatalagens tillämpningsområde, t.ex. om personuppgifter i ett brottmål används vid handläggningen av ett tviste- mål. Regeringen anser att det inte vore rimligt att kräva en noggrannare prövning för behandling för nya ändamål inom brottsdatalagens område än utanför det (prop. 2017/18:232 s. 134). När det gäller personuppgifter som lämnas ut efter begäran ska någon prövning av nödvändighet och proportionalitet inte göras i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning (2 kap. 22 § brottsdatalagen). Till skillnad från utredningens förslag gäller undantaget även uppgiftsläm- nande enligt 6 kap. 5 § offentlighets- och sekretesslagen (prop. 2017/18:232 s. 138). Brottsdatalagens reglering av uppgiftslämnande överensstämmer alltså med domstolsdatalagens när domstolen har en skyldighet att lämna uppgifter. En skillnad mellan regelverken finns endast i de fall då det inte finns någon uttrycklig skyldighet till uppgifts- lämnande. Domstolens prövning enligt brottsdatalagen torde i sådana fall emellertid ofta mynna ut i att det är nödvändigt och proportionerligt att lämna uppgifterna (prop. 2017/18:232 s. 138). Skillnaden mellan brotts- datalagen och domstolsdatalagen bör därför ha begränsad betydelse i praktiken. Regeringen anser sammantaget att det inte finns tillräckliga skäl att i domstolarnas brottsdatalag göra undantag från brottsdatalagens reglering av behandling för nya ändamål utanför den lagens tillämpnings- område. Det bör i stället tas in en bestämmelse som tydliggör att person- uppgifter som redan behandlas får behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde enligt de förutsättningar som anges i 2 kap. 22 § den lagen. Domstolsdatalagens ändamålsbestämmelser bör inte ändras Dataskyddsförordningen och dataskyddslagen är tillämpliga när dom- stolar behandlar personuppgifter för ändamål utanför brottsdatalagens tillämpningsområde. Vid behandling av personuppgifter i den rättski- pande och rättsvårdande verksamheten och när personuppgifterna lämnas ut efter begäran, är även domstolsdatalagen tillämplig. Personuppgifter som behandlas enligt domstolsdatalagen kommer i vissa fall att ha sam- lats in för ändamål inom brottsdatalagens tillämpningsområde, t.ex. i samband med handläggningen av ett brottmål. Sådan behandling bör på samma sätt som vara tillåten. Frågan är om regleringen i domstols- datalagen uppfyller detta syfte eller om den behöver anpassas. Domstolarna kan behöva behandla personuppgifter som samlats in för handläggning av mål och ärenden inom tillämpningsområdet för den nya lagen, för handläggning av andra mål och ärenden. Till exempel kan en adressuppgift i ett brottmål återanvändas i ett tvistemål. Eftersom sådan behandling behövs för handläggning av mål och ärenden är den tillåten enligt 6 § domstolsdatalagen. 2017/18:269 Domstolsdatalagen kan även bli tillämplig vid utlämnande av uppgifter i exempelvis ett brottmål. I promemorian En omarbetad domstolsdatalag –anpassning till EU:s dataskyddsförordning (Ds 2017:41) föreslås att det i domstolsdatalagen ska framgå att personuppgifter som behandlas enligt den nya lagen får behandlas för uppgiftslämnande som sker i överens- stämmelse med lag eller förordning. Som skäl anförs att domstols- datalagens sekundära ändamålsbestämmelse endast gäller personupp- gifter som behandlas enligt lagens primära ändamålsbestämmelse, dvs. i den del av verksamheten som inte omfattas av den nya lagen. Regeringen instämmer i denna bedömning. Sedan domstolsdatalagen har anpassats till dataskyddsförordningen är den sekundära ändamålsbestämmelsen emellertid inte längre uttömmande (prop. 2017/18:113 s. 41). Det innebär att bestämmelsen inte utgör något hinder mot utlämnande av person- uppgifter som behandlas enligt domstolarnas brottsdatalag. Eftersom frågan om behandling för nya ändamål utanför brottsdatalagens tillämp- ningsområde regleras i den lagen, skulle den bestämmelse som föreslås i promemorian utgöra en form av dubbelreglering. Som påpekar innebär förslaget också att lagstiftningen skulle bli komplicerad. Regeringen bedömer därför att utlämnande av personuppgifter som behandlas enligt den nya lagen inte bör regleras särskilt i domstolsdatalagen. Däremot kan vissa befintliga bestämmelser i dom- stolsdatalagen bli tillämpliga vid sådan behandling, t.ex. bestämmelserna om elektroniskt utlämnande av personuppgifter. Dataskyddsförordningen, dataskyddslagen och domstolsdatalagen är även tillämpliga när domstolarna behandlar personuppgifter för arkiv- ändamål av allmänt intresse, t.ex. vid arkivering av allmänna handlingar i att avslutat mål. I promemorian föreslås att det i domstolsdatalagen ska tas in en bestämmelse som klargör att personuppgifter som behandlas enligt den nya lagen får behandlas även för arkivändamål av allmänt intresse. Att domstolarna får behandla personuppgifter för arkivändamål av allmänt intresse följer av dataskyddsförordningen och föreskrifter om arkiv (prop. 2017/18:105 s. 109–111 och prop. 2017/18:113 s. 40). Dom- stolsdatalagens sekundära ändamålsbestämmelse är inte uttömmande och utgör därför inte något hinder mot att handlingar i exempelvis ett brottmål tas om hand för arkivering. Regeringen bedömer att inte heller sådan behandling av personuppgifter behöver regleras särskilt i dom- stolsdatalagen. Sammantaget bedömer regeringen att ytterligare behandling av person- uppgifter som behandlas enligt domstolarnas brottsdatalag inte bör regleras i domstolsdatalagen. Regeringens bedömning: Lagen bör inte innehålla något undantag från brottsdatalagens bestämmelser om särskilda upplysningar. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot utredningens Skälen för regeringens bedömning: Enligt 2 kap. 3 § andra stycket Prop. 2017/18:269 brottsdatalagen ska det ändamål som personuppgifter behandlas för tydliggöras genom en särskild upplysning, om det inte framgår av sammanhanget eller på något annat sätt.