prop · H503113 · 2018-02-27 00:00:00 — De hänvisningar till dataskyddsförordningen som föreslås i denna proposition bör vara dynamiska till sin karaktär. Att hänvisningarna är dynamiska innebär att de avser förordningen i den gällande lydelsen. På så sätt säkerställs att eventuella ändringar i data- skyddsförordningen får genomslag. Det kan emellertid inte uteslutas att domstolsdatalagen ändå kan behöva ändras i samband med 2017/18:113 framtida ändringar i förordningen (prop. 2017/18:105 s. 24 f.). I fråga om övergångsbestämmelserna har särskilda överväganden gjorts och regeringen föreslår i det fallet en statisk hänvisningsteknik (avsnitt 15.2). Dataskyddslagen är, i likhet med personuppgiftslagen, subsidiär i förhållande till bestämmelser om behandling av personuppgifter i andra lagar och förordningar. Domstolsdatalagen gäller i stället för personuppgiftslagen och i lagen anges vilka bestämmelser i personupp- giftslagen som ändå ska tillämpas. I promemorian föreslås att domstols- datalagen ska ha motsvarande förhållande till dataskyddslagen. Som skäl anförs att regleringen på detta sätt blir tydlig och att bestämmelserna i domstolsdatalagen inte måste jämföras med bestämmelserna i dataskyddslagen för att det ska kunna fastställas vilka regler som är tillämpliga i ett enskilt fall. En annan lagteknisk lösning är att dataskyddslagen gäller inom domstolsdatalagens tillämpningsområde, om inte annat följer av dom- stolsdatalagen eller föreskrifter som har meddelats i anslutning till den. För en sådan lösning talar att den huvudsakliga regleringen på området, dvs. dataskyddsförordningen, är direkt tillämplig och inte kan göras subsidiär i förhållande till domstolsdatalagen. Domstolsdatalagen kan alltså inte som tidigare innehålla en uttömmande reglering av person- uppgiftsbehandling inom lagens tillämpningsområde. Till detta kommer att den kompletterande regleringen på generell nivå, dvs. dataskydds- lagen, nära anknyter till bestämmelserna i dataskyddsförordningen. Som påpekar riskerar den lagtekniska lösning som föreslås i promemorian därmed, trots ansatsen att skapa tydlighet, att leda till oklarhet om vad som gäller i förhållande till vissa bestämmelser i data- skyddslagen som det enligt förslaget i promemorian saknas hänvisningar till. Det gäller t.ex. sådana bestämmelser i dataskyddslagen som införlivar delar av dataskyddsförordningen i nationell rätt eller upplyser om innehållet i förordningen. Regeringen bedömer att dataskyddslagens bestämmelser i stora delar är relevanta för domstolarnas verksamhet och att det endast i begränsad utsträckning kommer att bli nödvändigt att införa undantag från dataskyddslagens regler i domstolsdatalagen. Vidare föreslår Utredningen om 2016 års dataskyddsdirektiv att direktivet i huvudsak genomförs genom en ny ramlag, brottsdatalagen, som för domstolarnas del kompletteras av en särskild registerförfattning, domstolarnas brottsdatalag. Domstolarnas brottsdatalag ska enligt utredningens förslag gälla utöver brottsdatalagen (SOU 2017:29 s. 141 och SOU 2017:74 s. 513). Regeringen anser att det finns ett värde i att domstolarnas personuppgiftsreglering i lagtekniskt hänseende utformas på ett enhetligt sätt. Som Justitiekanslern påpekar är det även i övrigt viktigt att eftersträva en likartad systematik i de lagar som reglerar personuppgiftsbehandling. Enligt förslag som gäller andra register- författningar kommer dataskyddslagen att gälla om inte annat följer av den aktuella registerförfattningen eller föreskrifter som har meddelats i anslutning till den, se t.ex. propositionen Anpassningar av vissa författ- ningar inom skatt, tull och exekution till EU:s dataskyddsförordning 2017/18:95) och propositionen Anpassning till EU:s dataskydds- förordning av lagen om behandling av personuppgifter i verksamhet med Prop. 2017/18:113 val och folkomröstningar (prop. 2017/18:115). övervägande skäl för att dataskyddslagen bör gälla vid behandling av personuppgifter enligt domstolsdatalagen om inte annat följer av domstolsdatalagen eller anslutande föreskrifter. Detsamma bör gälla föreskrifter som har meddelats i anslutning till dataskyddslagen. När det gäller de bestämmelser i personuppgiftslagen som det hänvisas till i 5 § domstolsdatalagen kan det konstateras att dataskydds- förordningen och dataskyddslagen innehåller motsvarigheter till de flesta av dessa. Promemorian innehåller en redogörelse för detta (Ds 2017:41 s. 129–138). Dessa frågor behandlas nedan i den mån de föranleder särskilda överväganden. Det kan också nämnas att även om dataskyddslagen gäller, och det inte finns avvikande bestämmelser i domstolsdatalagen, kan vissa bestämmelser i dataskyddslagen sakna betydelse för domstolarnas behandling av personuppgifter. Som exempel kan nämnas 6 kap. 3 § dataskyddslagen om administrativa sanktionsavgifter vid överträdelser av dataskyddsförordningens reglering av behandling av uppgifter om lagöverträdelser. Sådana bestämmelser blir därmed inte aktuella att tillämpa. Flera av promemorians förslag innebär att domstolsdatalagen ska innehålla en hänvisning till en viss bestämmelse i dataskyddslagen. Dessa förslag behandlas nedan i fråga om enskildas rättigheter (avsnitt 11), användningsbegränsningar för arkiverade personuppgifter (avsnitt 13.5) och skadestånd (avsnitt 14.1). När det gäller övriga hänvisningar instämmer regeringen i promemorians bedömning att aktuella bestämmelser i dataskyddslagen bör gälla i domstolarnas rättskipande och rättsvårdande verksamhet. Att bestämmelserna blir tillämpliga följer av regeringens förslag att dataskyddslagen ska gälla vid behandling av personuppgifter enligt domstolsdatalagen, om inte annat följer av domstolsdatalagen eller anslutande föreskrifter. 5.2Förhållandet till den föreslagna brottsdatalagen Som redogörs för ovan föreslår Utredningen om 2016 års dataskydds- direktiv att direktivet i huvudsak genomförs genom en ny ramlag, brottsdatalagen (SOU 2017:29). Domstolsdatalagen gäller i domstolarnas hela rättskipande och rättsvårdande verksamhet. Om ingen ändring görs kommer domstolsdatalagen att vara tillämplig på behandling av personuppgifter inom både dataskyddsförordningens och brottsdatalagens tillämpningsområde. Utredningen om 2016 års dataskyddsdirektiv föreslår att en ny lag ska införas som ersätter dom- stolsdatalagen inom brottsdatalagens tillämpningsområde, domstolarnas brottsdatalag (SOU 2017:74). Domstolsdatalagen föreslås därför inte gälla vid behandling av personuppgifter i de allmänna domstolarna och de allmänna förvaltningsdomstolarna som omfattas av brottsdatalagens tillämpningsområde. Mycket talar för att regleringen av domstolarnas personuppgiftsbehandling lämpligen bör delas upp i två separata regelverk – ett för dataskyddsförordningens område och ett för brotts- 2017/18:113 datalagens. Regeringen avser dock att återkomma i denna fråga och då även bl.a. behandla frågan om avgränsningen av domstolsdatalagens tillämpningsområde i förhållande till den föreslagna brottsdatalagen. I detta lagstiftningsärende behandlas enbart de anpassningar av domstols- datalagen som behövs med anledning av dataskyddsförordningen. 6Hyres- och arrendenämndernas rättsliga ställning Regeringens bedömning: Hyres- och arrendenämnderna är domstolar i EU:s dataskyddsförordnings mening. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ett fåtal remissinstanser kommenterar promem- orians bedömning medan övriga lämnar den utan invändningar. i och framhåller att hyres- och arrendenämndernas sammansättning och uppgifter liknar domstolarnas. anser att en stor del av personuppgifts- behandlingen i hyres- och arrendenämnderna sker i verksamhet där det är tveksamt om nämnderna är att betrakta som domstolar i EU-rättslig mening. Tingsrätten nämner ärenden om medling och godkännande av avstående från besittningsskydd som exempel på handläggning som inte innefattar rättskipning i egentlig mening. Skälen för regeringens bedömning: Det finns flera bestämmelser i dataskyddsförordningen som specifikt berör domstolars behandling av personuppgifter. I artikel 9.2 f undantas domstolarnas dömande verksam- het från förbudet att behandla känsliga personuppgifter. Av artikel 37.1 a framgår att den personuppgiftsansvarige inte behöver utse dataskydds- ombud när behandlingen av personuppgifter sker som en del av domstolarnas dömande verksamhet. Vidare anges i artikel 55.3 att tillsynsmyndigheterna inte ska vara behöriga att utöva tillsyn över domstolar som behandlar personuppgifter i sin dömande verksamhet. Hyres- och arrendenämnderna har domstolsliknande uppgifter men betraktas enligt svensk rätt som förvaltningsmyndigheter. Nämnderna ingår i Domstolar och flera hyres- och arrendenämnders administration är samordnad med en tingsrätt på samma ort och nämnderna använder samma datasystem som domstolarna. I förarbetena till domstolsdatalagen uttalade regeringen att den nya regleringen bör omfatta hyres- och arrendenämnderna även om de inte är domstolar i formell mening, se propositionen Domstolsdatalag (prop. 2014/15:148 s. 24). Det finns mot bakgrund av regleringen i dataskyddsförordningen anledning att överväga om hyres- och arrendenämnderna ska anses utgöra domstolar i förordningens mening. Skälen till dataskyddsförordningen ger ingen vägledning om hur begreppet domstol ska tolkas. Det kan dock konstateras att EU- domstolen i andra sammanhang använder ett vidare domstolsbegrepp än det svenska. En domstol i en medlemsstat får begära förhandsavgöranden från i EU-rättsliga frågor (artikel 267 i fördraget om Prop. Europiska unionens funktionssätt). har i olika avgöranden tagit ställning till vilka organ som utgör domstolar Enligt denna praxis ska det beaktas om organet är upprättat enligt lag, om det är av stadigvarande karaktär och om dess jurisdiktion är av tvingande art. Vidare ska det beaktas om förfarandet är kontradiktoriskt, om organet tillämpar rättsregler och om det har en oberoende ställning (dom Gabalfrisa m.fl., C-110/98–C-147/98, EU:C:2000:145, punkt 33). har konstaterat att utgör en domstol i den mening som avses i artikel 267 och därmed har rätt att begära förhandsavgörande (dom och , C-407/98, EU:C:2000:367, punkterna 28–38). har dock inte ansetts utgöra en domstol i artikelns mening (dom , C-134/97, EU:C:1998:535, punkterna 12–19). praxis som anknyter till artikel 267 bör kunna ge ledning även när det gäller dataskyddsförordningens domstolsbegrepp. Hyres- och arrendenämnderna är inrättade enligt lag och är av stadig- varande karaktär. De består av kvalificerade ledamöter och har en lagfaren ordförande som utses av regeringen. Förfarandet är kontradikt- oriskt. Hyres- och arrendenämnderna är behöriga att pröva vissa hyres- och bostadsrättstvister respektive arrendetvister (8 kap. 30 § och 12 kap. 69 § jordabalken samt 1 och 4 §§ lagen [1973:188] om arrendenämnder och hyresnämnder). Denna behörighet att pröva tvister är av tvingande art och besluten är bindande för parterna. Hyres- och arrendenämndernas självständighet vid myndighetsutövning och lagtillämpning garanteras genom 12 kap. 2 § regeringsformen. Sammantaget uppvisar nämndernas uppgifter och ställning stora likheter med de allmänna domstolarnas och de allmänna förvaltningsdomstolarnas (jfr prop. 1987/88:69 om och rätten till domstolsprövning i s. 36). Detta gäller även med beaktande av att delar av nämndernas verksamhet, såsom medling och godkännande av avstående från besittningsskydd, uppvisar vissa särdrag, vilket tas upp av . Regeringen bedömer mot denna bakgrund, i likhet med i och , att hyres- och arrendenämnderna bör betraktas som domstolar i dataskyddsförordningens mening. När det i förordningen föreskrivs vissa regler för domstolar bör utgångspunkten därför vara att detta gäller även för hyres- och arrendenämnderna. Regeringens bedömning: Domstolsdatalagens verksamhetsspecifika ändamålsbestämmelser är förenliga med EU:s dataskyddsförordning och kan därför behållas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: De flesta av remissinstanserna, bl.a. tingsrätt och Kammarrätten i , instämmer i promemorians 2017/18:113 bedömning eller har ingen invändning mot den. och Datainspektionen anser att de rättsliga grunderna för domstolarnas personuppgiftsbehandling bör framgå av domstolsdatalagen. Skälen för regeringens bedömning: Domstolsdatalagen innehåller, i likhet med många andra registerförfattningar, verksamhetsspecifika ändamålsbestämmelser som anger den yttersta ram inom vilken person- uppgifter får behandlas. Enligt 6 § domstolsdatalagen får domstolarna behandla personuppgifter om det behövs för handläggning av mål och ärenden (primära ändamål). Enligt 7 § får personuppgifter som har samlats in eller på annat sätt behandlas för handläggningen av mål och ärenden även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning (sekundära ändamål). Ändamålsbestämmelser i lagstiftning som reglerar myndigheters personuppgiftsbehandling är en typ av specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling. Sådana bestämmelser är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen. I enlighet med artikel 23.2 a i dataskyddsförordningen ska dessutom, när så är relevant, lagstiftning som begränsar tillämpningsområdet för förordningens rättigheter och skyldigheter innehålla specifika ändamålsbestämmelser. Dataskydds- förordningen ger alltså utrymme för att ha bestämmelser om tillåtna ändamål i nationella registerförfattningar. Regeringen bedömer mot denna bakgrund att de nuvarande ändamålsbestämmelserna i domstols- datalagen är förenliga med dataskyddsförordningen och därför kan behållas. och Datainspektionen anser att de rättsliga grunderna för domstolarnas personuppgiftsbehandling bör framgå av domstolsdata- lagen. Enligt regeringens förslag kommer bl.a. 2 kap. 1 och 2 §§ dataskyddslagen om rättslig grund att gälla vid behandling av person- uppgifter enligt domstolsdatalagen (avsnitt 5.1). Det bedöms därför inte nödvändigt att i domstolsdatalagen införa bestämmelser om rättslig grund för behandling av personuppgifter. Regeringen föreslår i avsnitt 13.3 att den sekundära ändamåls- bestämmelsen i 7 § domstolsdatalagen ska kompletteras med en bestämmelse om finalitetsprincipen, som innebär att insamlade personuppgifter inte får behandlas för ändamål som är oförenliga med insamlingsändamålen. Ingen förändring av domstolarnas Regeringens bedömning: EU:s dataskyddsförordning ger utrymme för en bestämmelse som anger att en allmän domstol, en allmän förvaltningsdomstol eller en hyres- och arrendenämnd är person- uppgiftsansvarig för den behandling av personuppgifter som den domstolen eller nämnden utför. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians anser att utformningen av 9 § domstolsdata- lagen har orsakat vissa tillämpningsproblem och att bestämmelsen därför bör ses över. Skälen för regeringens bedömning: Av 9 § domstolsdatalagen framgår att en allmän domstol, en allmän förvaltningsdomstol eller en hyres- och arrendenämnd är personuppgiftsansvarig för den behandling av personuppgifter som den domstolen eller nämnden utför. I förarbetena framhölls att fördelarna med att varje enskild domstol ska vara person- uppgiftsansvarig bl.a. är att det blir tydligt för den enskilde vem han eller hon ska vända sig till med klagomål och att det skapas förutsättningar för en effektiv tillsyn av tillsynsmyndigheten. Enligt regeringen skulle ett delat eller gemensamt personuppgiftsansvar (mellan en domstol och ) medföra beaktansvärda nackdelar, inte minst gräns- dragningsproblem och otydligheter (prop. 2014/15:148 s. 34). Dataskyddsförordningens reglering om personuppgiftsansvar innebär att det är den som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter som är personuppgiftsansvarig. Om ändamålen och medlen för behand- lingen bestäms av medlemsstaternas nationella rätt, kan den person- uppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i medlemsstaternas nationella rätt (artikel 4.7). Förordningen ger alltså möjlighet att fastställa personuppgiftsansvaret i författning. Regeringen bedömer mot denna bakgrund att den nuvarande bestäm- melsen om personuppgiftsansvar i domstolsdatalagen är förenlig med dataskyddsförordningen och därför kan behållas. anser att utformningen av 9 § domstolsdatalagen har orsakat vissa tillämpningsproblem och att bestämmelsen därför bör ses över. Regeringen konstaterar att det saknas underlag för att i detta lagstiftningsärende göra en sådan översyn. Dataskyddsombud även i den dömande Regeringens förslag: Den personuppgiftsansvarige ska utse ett eller Domstolsdatalagens bestämmelse om att den personuppgifts- ansvarige ska anmäla till tillsynsmyndigheten när ett personuppgifts- ombud utses eller entledigas upphävs. melse om att den som är personuppgiftsombud ska föra en förteckning över personuppgiftsbehandlingar upphävs. upplysningsbestämmelsen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om vilka uppgifter en sådan förteckning ska innehålla. Regeringens bedömning: Behandling av personuppgifter i den dömande verksamheten bör inte undantas från dataskyddsombudets Promemorians förslag överensstämmer med regeringens. memorian görs ingen bedömning. Remissinstanserna: En stor majoritet av remissinstanserna, bl.a. Hovrätten för , , Kammarrätten i och Förvaltningsrätten i , tillstyrker eller har ingen invändning mot att dataskyddsombud ska utses även för den dömande och anser att en fördel är att gränsdragningsproblem på så sätt kan undvikas. Kammarrätten i anser att det ur ett integritetsperspektiv finns ett behov av att domstolarna biträds av en person som är kunnig i dataskyddsbestämmelserna eftersom större delen av domstolarnas kärnverksamhet kommer att vara undantagen från tillsynsmyndighetens Kammarrätten instämmer i promemorians överväganden om att den valda lösningen nog är den bästa, men anser att den kommer att leda till gränsdragningsproblem som bör analyseras ytterligare. finns oklarheter i det aktuella regelverket är det enligt tingsrätt svårt att komma ifrån att det någonstans uppstår gräns- Med hänsyn till att tillsynsmyndigheten inte är behörig att utöva tillsyn över domstolarna i deras dömande verksamhet och att dataskyddsombudets uppgifter enligt dataskyddsförordningen bl.a. är att övervaka efterlevnaden av dataskyddet och att samarbeta med tillsynsmyndigheten, anser ombudsmän att det inte är lämpligt att dataskyddsombud också ska utses i domstolarnas dömande Förvaltningsrätten i anser att ombudens ansvar inte bör utvidgas utan ytterligare överväganden och att domarnas självständighet skulle begränsa dataskyddsombudens övervakande roll i en inte obetydlig utsträckning. frågan om dataskyddsförordningen ska läsas på så sätt att domstolarnas dömande verksamhet helt undantas från förordningens både möjlighet och skyldighet att utse dataskyddsombud. uppmärksammar att uppdraget som dataskyddsombud ställer höga krav på självständighet och integritet och anser att ombudet lämpligen bör vara ordinarie domare. För att inte belasta domstolens kärnverksamhet anser i och Prop. 2017/18:113 att det med fördel kan vara en utomstående lämplig person och inte en på domstolen anställd domare som utses till dataskyddsombud. påpekar att bestämmelser om dataskyddsombud redan finns i dataskyddsförordningen och därför inte behöver upprepas i domstolsdatalagen. Skälen för regeringens förslag och bedömning Regleringen dataskyddsdirektiv, personuppgiftslagen och domstolsdatalagen dataskyddsdirektiv finns bestämmelser om motsvarigheten till det som i dataskyddsförordningen kallas för dataskyddsombud. Där framgår att en anmälan om behandling till tillsynsmyndigheten kan underlåtas om den registeransvarige i enlighet med nationell lagstiftning utser ett uppgiftsskyddsombud. Ombudet ska ha till uppgift att på ett oberoende sätt säkerställa den interna tillämpningen av de nationella bestämmelser som antagits till följd av direktivet. Ombudet ska även ha till uppgift att föra ett register över de behandlingar som utförs av den registeransvarige (artikel 18.2 dataskyddsdirektiv). Direktivets bestämmelser har genomförts i svensk rätt genom bestämmelserna om personuppgiftsombud i 37–40 §§ PUL. Enligt domstolsdatalagen ska den personuppgiftsansvarige utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten när ett personuppgiftsombud utses eller entledigas (10 § domstolsdatalagen). Den som är personuppgiftsombud ska föra en förteckning över de behandlingar som utförs med stöd av domstols- datalagen (11 §). Personuppgiftslagens bestämmelser om personuppgifts- ombudets uppgifter gäller i domstolarnas verksamhet (5 § första stycket 9 domstolsdatalagen). I dataskyddsombudets uppgifter ingår att informera den personuppgifts- ansvarige eller personuppgiftsbiträdet och de anställda om deras skyldig- heter enligt dataskyddsförordningen och andra dataskyddsbestämmelser. Ombudet ska också bl.a. övervaka att förordningen följs och samarbeta med tillsynsmyndigheten (artikel 39 i dataskyddsförordningen). I artiklarna 37.5 och 38 finns bestämmelser om dataskyddsombudets kvalifikationer och ställning. Enligt artikel 37.1 i dataskyddsförordningen ska den personuppgifts- ansvarige under alla omständigheter utnämna ett dataskyddsombud när behandling av personuppgifter genomförs av en myndighet eller ett offentligt organ, förutom när detta sker som en del av domstolarnas dömande verksamhet. I andra fall än de som avses i artikel 37.1 får eller, om så krävs enligt unionsrätten eller medlemsstaternas nationella rätt, ska den personuppgiftsansvarige utnämna ett dataskyddsombud (artikel 37.4). Bör domstolarnas dömande verksamhet undantas från dataskyddsombudets ansvarsområde? Ett personuppgiftsombud som utses enligt domstolsdatalagen har ett ansvarsområde som omfattar behandling av personuppgifter inom hela den rättskipande och rättsvårdande verksamheten. Enligt data- skyddsförordningen finns det ingen skyldighet att utse dataskyddsombud när behandling av personuppgifter sker som en del av domstolarnas dömande verksamhet. Undantaget motiveras inte särskilt i skälen till dataskyddsförordningen (jfr skäl 97). Det kan dock noteras att ett likartat undantag när det gäller tillsynsmyndighetens behörighet har införts i syfte att säkerställa domstolsväsendets oberoende när det utför sin rättskipande verksamhet (skäl 20). Förvaltningsrätten i väcker frågan om huruvida dataskydds- förordningen ska läsas på så sätt att domstolarnas dömande verksamhet helt undantas från både möjligheten och skyldigheten att utse dataskyddsombud. Regeringen bedömer dock att artikel 37.4 ger möjlig- het att föreskriva att den personuppgiftsansvarige ska utse dataskydds- ombud även i den dömande verksamheten. Det finns inget i skälen till dataskyddsförordningen som motsäger en sådan tolkning. Det kan i detta sammanhang noteras att medlemsstaterna enligt artikel 32.1 dataskyddsdirektiv får undanta domstolars dömande verksamhet från skyldigheten att utse dataskyddsombud. Någon skyldighet att undanta den dömande verksamheten finns dock inte enligt direktivet och det framstår som rimligt att dataskyddsförordningen ska förstås på samma sätt. Det är mot denna bakgrund som det bör övervägas om den nuvarande ordningen ska behållas eller om den dömande verksamheten bör undantas från dataskyddsombudets ansvarsområde. I förarbetena till domstolsdatalagen framhölls att hanteringen av personuppgifter i den rättskipande och rättsvårdande verksamheten in- direkt begränsas av de processuella regelverken och att risken för att det i verksamheten utförs obefogade integritetskänsliga behandlingar därför får anses vara mindre än inom t.ex. polisen.