prop · H503113 · 2018-02-27 00:00:00 — Förvaltningsrätten i och tar upp frågan om hur sökförbudet avseende direkta personuppgifter i 4 § domstolsdata- förordningen förhåller sig till rätten till registerutdrag enligt artikel 15 i dataskyddsförordningen. Skälen för regeringens bedömning Kapitel III i dataskyddsförordningen innehåller en omfattande reglering av den registrerades rättigheter. Det finns bestämmelser om bl.a. information och tillgång till uppgifter, rättelse och radering, begränsning av behandling och rätt att göra invändningar. flera direkt tillämpliga undantag från de rättigheter som föreskrivs. Förvaltningsrätten i anser att domstolsdatalagen bör påminna om dessa undantag för att göra regelverket tydligare och mer lättillgängligt. Regeringen anser dock att det inte finns tillräckliga skäl för att införa en sådan upplysningsbestämmelse. Enligt artikel 23.1 i dataskyddsförordningen finns det en generell möjlighet att i nationell rätt begränsa tillämpningsområdet för bestäm- melserna om den registrerades rättigheter. Sådana begränsningar måste göras med respekt för andemeningen i de grundläggande rättigheterna och friheterna och vara en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa angivna viktiga intressen. I detta avsnitt behandlas frågan om huruvida det finns behov av att i domstolsdatalagen införa särskilda regler om begränsningar av enskildas rättigheter enligt dataskyddsförordningen. Information och tillgång till personuppgifter Av 5 § första stycket 5 domstolsdatalagen framgår att bestämmelser om information till den registrerade i 23 och 25–27 §§ PUL gäller vid tillämpning av lagen. Däremot hänvisas inte till 24 § PUL om information som ska lämnas om personuppgifter som har samlats in från någon annan källa än den registrerade. Artiklarna 13 och 14 i dataskyddsförordningen reglerar vilken information som ska lämnas till den registrerade och har i allt väsentligt motsvarande innebörd som 23 och 24 §§ PUL, även om omfattningen av den information som ska tillhandahållas har utvidgats. Artikel 15 i data- skyddsförordningen reglerar den registrerades rätt till tillgång till person- uppgifter och motsvarar 26 § PUL om information som ska lämnas efter ansökan (s.k. registerutdrag). I dataskyddslagen finns undantag från vissa av dataskyddsförord- ningens rättigheter och skyldigheter. Artiklarna 13–15 i dataskydds- förordningen om information och rätt att få tillgång till personuppgifter gäller inte sådana uppgifter som omfattas av sekretess eller tystnadsplikt (5 kap. 1 § första stycket dataskyddslagen). Vidare gäller rätten till registerutdrag som huvudregel inte personuppgifter som finns i löpande text som inte har fått sin slutliga utformning eller som utgör minnes- anteckning eller liknande (5 kap. 2 §). Bestämmelserna, som motsvarar 26 § tredje stycket och 27 § PUL, bör gälla även när personuppgifter behandlas enligt domstolsdatalagen. I promemorian föreslås mot denna bakgrund att domstolsdatalagen ska innehålla hänvisningar till bestäm- melserna i dataskyddslagen. Att bestämmelserna i 5 kap. 1 § första stycket och 2 § dataskyddslagen blir tillämpliga följer emellertid redan av regeringens förslag att dataskyddslagen ska gälla vid behandling av personuppgifter enligt domstolsdatalagen, om inte annat följer av domstolsdatalagen eller anslutande föreskrifter (avsnitt 5.1). Förvaltningsrätten i tar upp frågan om hur informations- skyldigheten enligt artikel 15 i dataskyddsförordningen ska kunna fullföljas i fråga om personuppgifter i löptext i domstolarnas domar och anser att det finns behov av undantag för sådana uppgifter. Det kan konstateras att 5 a § PUL om undantag för behandling av personuppgifter i ostrukturerat material inte gäller i domstolarnas rätt- 2017/18:113 skipande och rättsvårdande verksamhet (jfr 5 § domstolsdatalagen och s. 28). registerutdrag enligt 26 § PUL i princip även omfattar uppgifter som endast förekommer i löptext. Detta har dock inte ansetts innebära några skyldigheter för domstolarna att inrätta sökfunktioner eller andra sammanställningsfunktioner endast för att kunna lämna så fullständig information som möjligt till den registrerade (prop. 2014/15:148 s. 105). Ett sådant synsätt har även stöd i artikel 11 i dataskyddsförordningen, enligt vilken den personuppgiftsansvarige inte är tvungen att behandla ytterligare information för att identifiera den registrerade endast i syfte att följa förordningen. Om den personuppgiftsansvarige inte kan identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska bl.a. artikel 15 om rätten till tillgång till personuppgifter inte gälla, förutom när den registrerade tillhandahåller ytterligare information som gör identifier- Regeringen anser mot denna bakgrund att det saknas skäl att i domstolsdatalagen införa ytterligare begränsningar av rätten till registerutdrag utöver vad som följer av dataskyddslagen. I 4 § domstolsdataförordningen finns en bestämmelse som begränsar domstolars möjligheter att använda direkta personuppgifter som sök- begrepp vid sökning i slutligt avgjorda brottmål. och väcker frågan om hur denna bestämmelse förhåller sig till rätten till registerutdrag enligt artikel 15 i dataskydds- I den mån som en nationell sökbegränsning begränsar rätten till registerutdrag bedömer regeringen att den kan ha stöd i begränsningen syftar till att skydda den registrerades rättigheter och Sådana tillåtna sökbegränsningar bör således kunna ha företräde framför rätten till registerutdrag. Som nämns ovan är 24 § PUL, som rör personuppgifter som har samlats in från någon annan källa än den registrerade, inte tillämplig Enligt 24 § andra stycket PUL, som baseras på lämnas till den registrerade om det finns bestämmelser om registreringen eller utlämnandet av personuppgifterna i en lag eller någon annan författ- I förarbetena till domstolsdatalagen konstaterades att det i fråga om domstolarnas rättskipande och rättsvårdande verksamhet kommer att finnas sådana bestämmelser i domstolsdatalagen, , förvaltningsprocesslagen (1971:291) och övrig lagstiftning som styr Regeringen ansåg därför att det inte borde tas 2014/15:148 s. 87). En motsvarighet till 24 § PUL finns i förordningen (information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade). artikel 14.5 c tillämpas bestämmelsen inte om och i den mån erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. avses i artikel 14.5 c finns i Domstolsdatalagen innehåller lämpliga skydds- åtgärder i form av bestämmelser om tillåtna ändamål, tillgången till Prop. 2017/18:113 personuppgifter, sökbegränsningar och elektroniskt utlämnande av Regeringen bedömer, liksom promemorian, att detta innebär att förordningens bestämmelser om information som ska tillhandahållas när personuppgifter inte har erhållits från den registrerade, inte behöver tillämpas i domstolarnas rättskipande och rättsvårdande verksamhet. Eftersom undantaget följer direkt av dataskyddsförord- ningen finns det inget behov av att reglera frågan i domstolsdatalagen. Regeringen anser sammanfattningsvis att rätten till information och tillgång till personuppgifter enligt artiklarna 13–15 i dataskyddsförord- ningen inte bör begränsas för behandling av personuppgifter i domstol- arnas rättskipande och rättsvårdande verksamhet, utöver vad som följer av dataskyddslagen. Rättelse och radering av personuppgifter Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Bestämmelsen gäller vid behandling av personuppgifter enligt domstolsdatalagen (5 § första stycket 6 domstolsdatalagen). I förarbetena uttalades att felaktig behandling av personuppgifter innebär ett integritetsintrång och att det är viktigt att personuppgifter som behandlas felaktigt i domstolarna rättas, blockeras eller utplånas (prop. 2014/15:148 s. 92). När det gäller rättelse motsvaras 28 § PUL av artikel 16 i dataskydds- förordningen, som innebär att den registrerade har rätt att utan dröjsmål få felaktiga personuppgifter rättade. Med beaktande av ändamålet med behandlingen ska den registrerade även ha rätt att komplettera ofull- ständiga personuppgifter. Regeringen anser att det inte finns skäl att i domstolsdatalagen begränsa rätten till rättelse enligt dataskydds- förordningen. Möjligheterna för en enskild att enligt artikel 17 i dataskydds- förordningen få personuppgifter raderade är mer omfattande än möjlig- heterna till utplåning av personuppgifter enligt 28 § PUL. Bestämmelsen i förordningen gäller dock inte i den utsträckning som behandlingen är nödvändig bl.a. för att fastställa, göra gällande eller försvara rättsliga anspråk (artikel 17.3 e). Detta skäl för behandling återspeglar tydligt den kärnverksamhet som bedrivs i domstolarna och som, vad gäller person- uppgiftsbehandlingen, kommer till uttryck i domstolsdatalagens ända- målsbestämmelser (prop. 2014/15:148 s. 48). Rätten till radering ska inte heller gälla i den utsträckning som den sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med sådan behandling som sker för bl.a. arkivändamål av allmänt intresse (artikel 17.3 d i dataskydds- förordningen). Regeringen bedömer att regleringen i dataskyddsförord- ningen innebär att personuppgifter i pågående och avslutade mål och ärenden normalt är undantagna från rätten till radering. Det saknas skäl att i domstolsdatalagen ytterligare begränsa denna rätt. Rätten att göra invändningar och begära begränsning av behandling Artikel 21 i dataskyddsförordningen reglerar enskildas möjligheter att motsätta sig behandling av personuppgifter. Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e (behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning) eller artikel 6.1 f (den allmänna intresseavvägning som inte gäller för myndigheter när de fullgör sina uppgifter). Den personuppgiftsansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Rätten att göra invändningar enligt dataskyddsförordningen är mer generell än rätten att motsätta sig behandling enligt 11 § och 12 § första stycket PUL. Bestämmelserna i personuppgiftslagen gäller endast direkt marknads- föring och behandling som sker med stöd av samtycke. Domstolars behandling av personuppgifter sker för att utföra en uppgift av allmänt intresse eller som ett led i domstolens myndighetsutövning. När så är fallet är dataskyddsförordningens bestämmelse om rätten att göra invändningar tillämplig. Som anförs ovan får domstolarnas behandling av personuppgifter i kärnverksamheten emellertid anses ske för fastställande, utövande eller försvar av rättsliga anspråk. Detta innebär att domstolen får fortsätta att behandla personuppgifter även om en enskild har gjort en invändning mot denna behandling. Undantaget följer direkt av dataskyddsförordningen och frågan behöver därför inte regleras i domstolsdatalagen. Enligt artikel 18 i dataskyddsförordningen har den registrerade i vissa fall rätt att kräva att den personuppgiftsansvarige begränsar behandlingen av personuppgifter. Det gäller t.ex. som den personupp- giftsansvarige tar ställning till personuppgifters korrekthet eller till en invändning mot behandling av personuppgifter. Även om behandlingen har begränsats får personuppgifterna dock behandlas för att fastställa, göra gällande eller försvara rättsliga anspråk (artikel 18.2). Undantaget innebär enligt regeringens bedömning att handläggningen av mål och ärenden kan fortgå även om behandlingen av personuppgifter ska begränsas enligt artikel 18 i dataskyddsförordningen. Det saknas skäl att i domstolsdatalagen införa ytterligare undantag från rätten till begränsning av behandling. I artikel 19 i dataskyddsförordningen finns bestämmelser om under- rättelse till mottagare av personuppgifter om rättelser, raderingar eller begränsningar av behandling. Artikeln motsvarar i huvudsak vad som gäller (28 § PUL och 5 § första stycket 6 domstolsdatalagen). Det har inte framkommit skäl att i domstolsdatalagen begränsa denna rättighet. Uppgiftsskyldighet i förhållande till allmänheten och den registrerade Regeringens förslag: Domstolsdatalagens bestämmelse om skyldig- heten att lämna upplysningar till allmänheten upphävs. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens förslag: Den personuppgiftsansvarige ska enligt 12 § domstolsdatalagen skyndsamt och på lämpligt sätt lämna upplysningar om de behandlingar som utförs med stöd av lagen till var och en som begär det. Upplysningarna ska omfatta de uppgifter som en förteckning enligt 11 § domstolsdatalagen ska innehålla. Den person- uppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. En bestämmelse om upplysningar till allmänheten finns även i personuppgiftslagen. Regeringen anförde i förarbetena till domstols- datalagen att en skyldighet som motsvarar den som följer av 42 § PUL bör gälla även enligt domstolsdatalagen. Av lagtekniska skäl ansågs det dock inte lämpligt att hänvisa till 42 § PUL. En uttrycklig bestämmelse med motsvarande innehåll togs därför in i domstolsdatalagen (prop. 2014/15:148 s. 86). Det finns ingen motsvarighet till 42 § PUL i dataskyddsförordningen eller dataskyddslagen. Det saknas skäl för att domstolarna ska ha mer långtgående skyldigheter än andra personuppgiftsansvariga i detta avseende. Domstolsdatalagens bestämmelse om skyldighet att lämna upplysningar till allmänheten bör därför upphävas. 12.2Sekretess ska gå före skyldigheten att informera om personuppgiftsincidenter Regeringens förslag: Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta av remissinstanserna, såsom Förvaltningsrätten i och i , tillstyrker promemorians förslag eller har ingen invändning mot det. påpekar att bestämmelser om personuppgiftsincidenter redan finns i dataskyddsförordningen och därför inte behöver upprepas i Skälen för regeringens förslag: Genom dataskyddsförordningen införs en skyldighet för den personuppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en s.k. personuppgiftsincident (artikel 33). Med personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (artikel 4.12). uppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten. information krävs dock inte om (a) den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa åtgärder tillämpats på de personuppgifter som påverkas av personuppgiftsincidenten, (b) den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att den höga risken för de registrerades rättigheter och friheter sannolikt inte längre kommer att uppstå eller (c) det skulle inbegripa en oproportionell ansträngning. sistnämnda fallet ska i stället allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras på ett lika effektivt sätt (artikel 34). Till skillnad från vad tycks göra gällande omfattar de direkt tillämpliga undantagen i dataskyddsförordningen inte situationen att de uppgifter som ska lämnas till den registrerade omfattas av sekretess eller tystnadsplikt. en möjlighet att i nationell rätt föreskriva begränsningar av skyldigheten att informera den registrerade om en personuppgiftsincident (artikel 23). Det finns därför anledning att överväga om en sådan begränsning bör införas i domstolsdatalagen. Domstolarnas rättskipande och rättsvårdande verksamhet präglas av öppenhet och insyn. Bestämmelser som begränsar rätten till information är dock nödvändiga med hänsyn till enskilda och allmänna intressen. är framför allt regleringen i offentlighets- och sekretesslagen som tillgodoser det behovet. Det kan t.ex. vara nödvändigt att hemlighålla uppgifter om en tvångs- eller säkerhetsåtgärd för den som åtgärden avser, se t.ex. 17 kap. 2 § OSL och propositionen Offentlighet och sekretess för uppgifter i domstolsavgöranden (prop. 2015/16:144 s. 35). på när domstolen kan avstå från att underrätta en enskild om en tvångsåtgärd finns i 46 kap. 13 § skatteförfarandelagen (2011:1244) som Huvudregeln avseende underrättelse vid betalningssäkring är att den betalningsskyldige ska under- rättas om ett beslut om betalningssäkring. Underrättelse får dock ske i samband med att beslutet verkställs om det finns risk för att den betal- ningsskyldige undanskaffar egendom som kan betalningssäkras. heten att informera den registrerade om en personuppgiftsincident skulle i vissa fall kunna leda till att den betalningsskyldige får kännedom om en ansökan om betalningssäkring innan verkställighetsåtgärder har hunnit Regeringen anser mot denna bakgrund att den personuppgifts- ansvariges skyldighet att informera den registrerade om en person- uppgiftsincident inte bör gälla sådana uppgifter som den personuppgifts- ansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. En sådan begränsning av bedöms möjlig eftersom den sker i syfte att säkerställa skyddet för Prop. 2017/18:113 rättsliga åtgärder (artikel 23.1 f i dataskyddsförordningen). bedömer också att begränsningen kan göras med respekt för andemeningen i de grundläggande rättigheterna och friheterna och att den är en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det bör framhållas att den föreslagna begränsningen endast gäller som uppgifterna omfattas av sekretess. När sekretessen inte längre gäller, t.ex. för att verkställighet har skett, bör den personuppgifts- ansvarige alltså informera den registrerade om personuppgiftsincidenten, om inte något av undantagen i artikel 34.3 i dataskyddsförordningen är tillämpligt. Regeringen anser till skillnad från vad som föreslås i promemorian att bestämmelsens utformning bör ta sin utgångspunkt i den personuppgiftsansvariges skyldighet att informera om person- uppgiftsincidenter. Bestämmelserna i personuppgiftslagen och Varje myndighet är enligt 3 § arkivförordningen (1991:446) skyldig att arkivera allmänna handlingar i ett ärende sedan ärendet har Att allmänna handlingar bevaras hos myndigheterna är en förutsättning för att offentlighetsprincipen ska kunna utnyttjas. Myndigheternas arkivbildning syftar också till att tillgodose behovet av information för rättskipningen och förvaltningen samt forskningens behov (3 § arkivlagen [1990:782]). I personuppgiftslagen finns vissa centrala bestämmelser som gäller lagens förhållande till myndigheters arkivering av allmänna handlingar och sådan personuppgiftsbehandling som sker för historiska, statistiska eller vetenskapliga ändamål. Av 8 § andra stycket PUL framgår att lagens bestämmelser inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkiv- I 9 § PUL – där de grundläggande kraven på behandlingen av personuppgifter regleras – finns vissa bestämmelser som särskilt gäller behandling för historiska, statistiska eller vetenskapliga ändamål. 9 § första stycket d, som ger uttryck för den s.k. finalitetsprincipen, får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. En behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in (9 § andra stycket). Det finns vidare regler om hur länge personuppgifter får behandlas för historiska, statistiska eller vetenskapliga ändamål (9 § tredje stycket) och begränsningar av när personuppgifter som behandlas för sådana ändamål får användas för att vidta åtgärder i fråga om den registrerade (9 § fjärde stycket). Enligt 8 § andra stycket PUL gäller begränsningen i 9 § fjärde stycket dock inte för myndigheters användning av personuppgifter i allmänna handlingar. 2017/18:113 vis innebär regleringen i personuppgiftslagen att behandling av person- uppgifter för arkivändamål är särskilt gynnad och att sådan behandling kan ske i större omfattning och än behandling för andra ändamål. Domstolsdatalagen innehåller hänvisningar till de aktuella bestäm- melserna i personuppgiftslagen (5 § första stycket 2 och 3 domstolsdata- lagen). Enligt uttalanden i förarbetena är syftet med hänvisningen till 8 § andra stycket PUL att möjliggöra en elektronisk hantering av uppgifter i mål och ärenden genom det arkivrättsliga regelverket (prop. 2014/15:148 s. 81). I 18 § domstolsdatalagen finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft. Sådana föreskrifter finns i domstolsdataförordningens bestämmelser om sökbegränsningar och direktåtkomst (3–5 och 13 §§). 13.2Bestämmelserna i dataskyddsförordningen och dataskyddslagen Dataskyddsförordningen innehåller ett antal bestämmelser som särskilt gäller behandling av personuppgifter för arkivändamål. Enligt artikel 5.1 b ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. Av artikel 89.1 framgår att behandling för bl.a. arkivändamål av allmänt intresse ska omfattas av lämpliga skyddsåtgärder i enlighet med förordningen för den registrerades rättigheter och friheter. Skydds- åtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. I artikel 6.4 anges vilka omständigheter den personuppgiftsansvarige ska beakta för att fastställa om en ytterligare behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Enligt artikel 5.1 e i dataskyddsförordningen får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka person- uppgifterna behandlas.