prop · H503113 · 2018-02-27 00:00:00 — Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa den registrerades rättigheter och friheter. Behandling av känsliga personuppgifter ska enligt artikel 9.1 i dataskyddsförordningen vara förbjuden. Begränsningen enligt artikel 9.1 ska dock inte tillämpas om behandlingen är nödvändig för arkivändamål Prop. 2017/18:113 av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 j). Dataskyddslagen innehåller ingen direkt motsvarighet till 8 § andra stycket första meningen PUL som tydliggör att dataskyddsregleringen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar. Den behandling av personuppgifter som myndigheter utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar, är emellertid en vidarebehandling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b i dataskydds- förordningen inte anses som oförenlig med de ursprungliga ändamålen. Det krävs då enligt skäl 50 till förordningen inte någon annan rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (prop. 2017/18:105 s. 111). Enligt 3 kap. 6 § dataskyddslagen får känsliga personuppgifter behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Bestämmelsen tydliggör att en myndighet får arkivera och bevara allmänna handlingar som innehåller känsliga personuppgifter. Den författningstekniska skillnaden mellan 8 § andra stycket första meningen PUL och 3 kap. 6 § dataskyddslagen innebär ingen saklig förändring (prop. 2017/18:105 s. 116 f.). Enligt 4 kap. 1 § dataskyddslagen får personuppgifter som behandlas enbart för arkivändamål av allmänt intresse inte användas för att vidta åtgärder i fråga om den registrerade, annat än om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen hindrar dock inte myndigheter från att använda personuppgifter som finns i allmänna handlingar (jfr 8 § andra stycket och 9 § fjärde stycket PUL). 13.3Dataskyddsförordningen tillåter behandling av personuppgifter för arkivändamål Regeringens förslag: Personuppgifter som behandlas för hand- läggningen av mål och ärenden får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Regeringens bedömning: Domstolarna har enligt gällande rätt en rättslig grund för att behandla personuppgifter för arkivändamål av allmänt intresse. Promemorians förslag överensstämmer i sak med regeringens. I promemorian föreslås en annan lagteknisk utformning. görs ingen bedömning. Remissinstanserna: Majoriteten av remissinstanserna, bl.a. Kammarrätten i och , tillstyrker promemorians förslag eller har ingen invändning mot det. kompletteringen av ändamålsbestämmelsen även bör innehålla en hänvisning till artikel 5.1 b i dataskyddsförordningen. i anser att det bör tydliggöras vilken lag som gäller för personuppgiftsbehandlingen när handlingarna arkiveras på domstolen respektive lämnas till en arkivmyndighet. påpekar att det skulle vara resurskrävande att avidentifiera exempelvis föredragningspromemorior och anser att det bör klargöras om detta är nödvändigt enligt dataskyddsförordningen. Skälen för regeringens förslag och bedömning Innebörden av regleringen i dataskyddsförordningen Av 8 § andra stycket PUL följer att den nu gällande dataskydds- regleringen inte hindrar att domstolarna arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Varken dataskyddsförordningen eller dataskyddslagen innehåller någon direkt motsvarighet till den bestämmelsen. Däremot framgår av data- skyddsförordningen att ytterligare behandling för arkivändamål av allmänt intresse inte ska anses oförenlig med de ursprungliga ändamålen (artikel 5.1 b). Finalitetsprincipen är alltså inte något hinder mot ytterligare behandling för arkivändamål av allmänt intresse. När person- uppgifter vidarebehandlas för ändamål som är förenliga med ursprungs- ändamålen, krävs det enligt skäl 50 till dataskyddsförordningen inte någon annan separat rättslig grund än den med stöd av vilken insamling- en av personuppgifter medgavs. Av skäl 50 framgår också att ytterligare behandling för arkivändamål av allmänt intresse bör betraktas som en förenlig och laglig behandling av uppgifter. Det står enligt regeringens mening klart att den behandling av person- uppgifter som domstolarna utför när de arkiverar allmänna handlingar i enlighet med det arkivrättsliga regelverket sker för arkivändamål av allmänt intresse. Behandlingen bör därmed enligt artikel 5.1 b i dataskyddsförordningen inte anses som oförenlig med de ursprungliga ändamålen. Det krävs då inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Domstol- arna har alltså rättslig grund för behandling av personuppgifter för arkivändamål av allmänt intresse (jfr prop. 2017/18:105 s. 109–111). Med anledning av Förvaltningsrätten i synpunkter kan det noteras att det endast är behandling av personuppgifter i domstolens egen verksamhet som omfattas av domstolsdatalagens tillämpningsområde. Sådan behandling kan bestå i att domstolen själv arkiverar handlingar eller att den överlämnar uppgifterna till en arkivmyndighet. Den personuppgiftsbehandling som sker hos arkivmyndigheten regleras inte i domstolsdatalagen. Ändamålsbestämmelserna ska kompletteras med en bestämmelse om finalitetsprincipen Enligt domstolsdatalagens ändamålsbestämmelser får personuppgifter behandlas för vissa särskilt angivna ändamål (6 och 7 §§). Bestäm- melserna är enligt uttalanden i förarbetena en uttömmande reglering av vilka ändamål personuppgifter får behandlas för i domstolarnas rättskipande och rättsvårdande verksamhet. Bestämmelsen i 9 § första stycket d PUL, som ger uttryck för finalitetsprincipen, har därför inte ansetts ha någon självständig funktion inom domstolsdatalagens tillämpningsområde (prop. 2014/15:148 s. 104). Förutsättningarna för att behandla personuppgifter för arkivändamål framgår i dataskydds- förordningen i anslutning till finalitetsprincipen i artikel 5.1 b. När 8 § andra stycket PUL upphör att gälla uppkommer därför frågan om domstolsdatalagens ändamålsbestämmelser kan uppfattas som ett hinder mot att behandla personuppgifter för arkivändamål. Som anförs i promemorian bör det därför i domstolsdatalagen klargöras att bestäm- melserna i lagen inte hindrar att personuppgifter vidarebehandlas för arkivändamål av allmänt intresse. I promemorian föreslås att det i domstolsdatalagens sekundära ända- målsbestämmelse anges att personuppgifter som behandlas för handläggning av mål och ärenden även får behandlas om det behövs för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen. Detta bedöms vara ett sådant införlivande av dataskyddsförordningen som är tillåtet enligt skäl 8 till förordningen. Regeringen anser emellertid att kompletteringen av den sekundära ändamålsbestämmelsen lämpligen bör ta sin utgångspunkt i att finalitets- principen gäller och att behandling som är förenlig med denna är tillåten. På så sätt blir det tydligare att vidarebehandling för arkivändamål av allmänt intresse i enlighet med dataskyddsförordningen ska betraktas som en sådan ytterligare behandling som är förenlig med finalitets- principen. I domstolsdatalagen bör det således anges att personuppgifter som behandlas för handläggningen av mål och ärenden får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Med en sådan utformning anser regeringen till skillnad från Datainspektionen att bestämmelsen inte behöver innehålla en uttrycklig hänvisning till artikel 5.1 b i dataskyddsförordningen. En konsekvens av den lagtekniska lösning som regeringen föreslår är att domstolsdatalagens sekundära ändamålsbestämmelse kan betraktas som uttömmande. En nackdel med en sådan reglering är att det kan bli mindre tydligt för domstolar och enskilda vilken personuppgifts- behandling som får förekomma med stöd av domstolsdatalagen. Regeringen bedömer dock att finalitetsprincipen i sig innebär ett integritetsskydd eftersom den förbjuder ytterligare behandling av personuppgifter som är oförenlig med ursprungsändamålen och att den föreslagna ordningen är godtagbar ur integritetssynpunkt. Det är inte ovanligt att sekundära ändamålsbestämmelser i registerförfattningar innehåller hänvisningar till finalitetsprincipen (2 kap. 5 § patientdatalagen [2008:355] och 6 § lagen [2015:898] om behandling av 2017/18:113 personuppgifter i äktenskapsregister- och boupptecknings- verksamheter). Den praktiska skillnaden mellan promemorians och regeringens förslag lär sannolikt vara mycket begränsad. Enligt den primära ändamåls- bestämmelsen i 6 § domstolsdatalagen får domstolarna samla in och på annat sätt behandla uppgifter om det behövs för handläggningen av mål och ärenden. Denna bestämmelse har tidigare ansetts uttömmande och någon ändring i detta avseende är inte avsedd (jfr prop. 2014/15:148 s. 104). Domstolarna kommer alltså att ha samma möjligheter som tidigare att samla in personuppgifter. När det gäller de sekundära ända- målen medger 7 § domstolsdatalagen att uppgifter vidarebehandlas för uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Bestämmelsen omfattar både fall där domstolarna är skyldiga att lämna ut uppgifter och fall där ett uppgiftslämnande kan anses påbjudet eller önskvärt. Det kan t.ex. vara fråga om en åtgärd som vidtas för att fullgöra den allmänna förvaltningsrättsliga serviceskyldigheten gentemot enskilda (prop. 2014/15:148 s. 41 f.). Domstolarnas möjlig- heter att lämna personuppgifter till utomstående eller till en annan del av verksamheten påverkas inte av regeringens förslag. Bevarande av personuppgifter som inte finns i allmänna handlingar Regeringen anförde i förarbetena till domstolsdatalagen att det kan finnas behov av elektroniskt bevarande av vissa personuppgifter som inte finns i allmänna handlingar, t.ex. personuppgifter i en föredragningspro- memoria. För att åstadkomma en heltäckande bevarandereglering infördes därför en hänvisning till 9 § första stycket i och tredje stycket PUL (prop. 2014/15:148 s. 81). En reglering som motsvarar aktuella bestämmelser i personuppgiftslagen finns i artikel 5.1 e i dataskydds- förordningen. Hovrätten för påpekar att det skulle vara resurs- krävande att avidentifiera exempelvis föredragningspromemorior och anser att det bör klargöras om dataskyddsförordningen kräver sådan avidentifiering. Regeringen konstaterar att principen om lagrings- minimering innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5.1 e i dataskyddsförordningen). Avgörande för hur länge personuppgifter i exempelvis en föredragningspromemoria får behandlas är således om behandlingen är nödvändig för handläggningen av mål och ärenden (6 § domstolsdatalagen). Bedömningen bör göras i förhållande till mål- och ärendehandläggningen i stort och inte i förhållande till ett specifikt mål eller ärende (prop. 2014/15:148 s. 39 f.). Behandling av känsliga personuppgifter för Regeringens bedömning: Bestämmelsen i dataskyddslagen om behandling av känsliga personuppgifter för arkivändamål av allmänt intresse bör gälla när personuppgifter behandlas enligt domstols- datalagen. Promemorians bedömning överensstämmer i sak med regeringens. Mot bakgrund av promemorians förslag om komplettering av ändamåls- bestämmelserna görs bedömningen att det inte behövs någon hänvisning till dataskyddslagens bestämmelse om möjligheten att behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Remissinstanserna: Ingen remissinstans invänder mot promemorians bedömning eller kommenterar den särskilt. Skälen för regeringens bedömning: Enligt 3 kap. 6 § dataskydds- lagen får känsliga personuppgifter behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Denna bestämmelse motiveras av att dataskyddslagen bör innehålla en uttrycklig bestämmelse som tydliggör att en myndighet får arkivera och bevara allmänna handlingar som innehåller känsliga personuppgifter (prop. 2017/18:105 s. 117). Dessa överväganden gör sig gällande även i domstolarnas rättskipande och rättsvårdande verksamhet. I promemorian görs bedömningen att det inte behövs någon hänvisning till 3 kap. 6 § dataskyddslagen. Som skäl anförs att den nya ändamålsbestämmelse som föreslås i promemorian ger stöd för att känsliga personuppgifter behandlas för arkivändamål i domstol. Den ändring av ändamålsbestämmelserna som regeringen föreslår innehåller dock ingen uttrycklig hänvisning till behandling för arkivändamål (avsnitt 13.3). Av tydlighetsskäl bör bestämmelsen i 3 kap. 6 § dataskyddslagen därför gälla på domstolsdatalagens tillämp- ningsområde. Att bestämmelsen blir tillämplig följer av regeringens förslag att dataskyddslagen ska gälla vid behandling av personuppgifter enligt domstolsdatalagen, om inte annat följer av domstolsdatalagen eller anslutande föreskrifter (avsnitt 5.1). 13.5Användningsbegränsningar för arkiverade personuppgifter Regeringens bedömning: Bestämmelsen i dataskyddslagen om användningsbegränsningar för arkiverade personuppgifter bör gälla när personuppgifter behandlas enligt domstolsdatalagen. Promemorians förslag överensstämmer i sak med regeringens bedömning. I promemorian föreslås en annan lagteknisk lösning. Remissinstanserna: Ingen remissinstans invänder mot promemorians förslag eller kommenterar det särskilt. 2017/18:113 Skälen för regeringens bedömning: Enligt 4 kap. 1 § dataskydds- lagen får personuppgifter som behandlas enbart för arkivändamål av allmänt intresse inte användas för att vidta åtgärder i fråga om den registrerade, annat än om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen hindrar dock inte myndig- heter från att använda personuppgifter som finns i allmänna handlingar. Paragrafen motsvarar delvis 8 § andra stycket andra meningen och delvis 9 § fjärde stycket PUL. Bestämmelsen har sin grund i bl.a. artikel 9.2 j i dataskyddsförordningen som rör behandling av känsliga personuppgifter för arkivändamål. Enligt bestämmelsen förutsätts att den nationella rätten ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Domstolsdatalagen innehåller hänvisningar till 8 § andra stycket andra meningen och 9 § fjärde stycket PUL (5 § första stycket 2 och 3 domstolsdatalagen). Av regleringen följer att domstolarna, i likhet med andra myndigheter, är oförhindrade att använda personuppgifter i arkiverade allmänna handlingar för att vidta åtgärder i fråga om den registrerade. Som anförs i promemorian bör bestämmelsen i 4 kap. 1 § dataskyddslagen gälla vid personuppgiftsbehandling enligt domstolsdata- lagen. Detta innebär att domstolarna även i fortsättningen, under de i dataskyddslagen angivna förutsättningarna, kommer att kunna åter- använda personuppgifter i arkiverade mål och ärenden. I promemorian föreslås att domstolsdatalagen ska innehålla en uttrycklig hänvisning till 4 kap. 1 § dataskyddslagen. Att bestämmelsen blir tillämplig följer emellertid redan av regeringens förslag att dataskyddslagen ska gälla vid behandling av personuppgifter enligt domstolsdatalagen, om inte annat följer av domstolsdatalagen eller anslutande föreskrifter (avsnitt 5.1). Bestämmelser om skadestånd behövs inte i Regeringens bedömning: Rätten till ersättning enligt artikel 82 i EU:s dataskyddsförordning gäller vid överträdelser av bestämmelser i domstolsdatalagen eller föreskrifter som har meddelats i anslutning till Bestämmelser om skadestånd behövs därför inte i Promemorian innehåller inte någon bedömning i denna del. promemorian föreslås att domstolsdatalagen ska innehålla en hänvisning till 7 kap. 1 § dataskyddslagen om skadestånd. i sak med regeringens bedömning. Remissinstanserna: De flesta av remissinstanserna, bl.a. och , tillstyrker promemorians förslag eller har ingen invändning mot det. Justitiekanslern ifrågasätter om den föreslagna hänvisningen är nödvändig och påpekar att en sådan lagteknisk lösning Prop. 2017/18:113 inte synes ha tillämpats i vissa andra promemorior och betänkanden. Skälen för regeringens bedömning: Artikel 82 i dataskydds- förordningen föreskriver att en person ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för materiell eller immateriell skada som denne har lidit till följd av en överträdelse av förordningen. Av skäl 146 till dataskyddsförordningen följer att behandling som strider mot förordningen även avser behandling som strider mot medlemsstaternas nationella rätt med närmare specifikation av förordningens bestämmelser. Regeringen bedömer därför att rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller vid över- trädelser av bestämmelser i domstolsdatalagen eller föreskrifter som har meddelats i anslutning till den lagen. I 7 kap. 1 § dataskyddslagen finns en bestämmelse som tydliggör att rätten till ersättning från den person- uppgiftsansvarige eller personuppgiftsbiträdet enligt artikel 82 i förordningen gäller även vid överträdelser av bestämmelser i dataskydds- lagen och andra föreskrifter som kompletterar dataskyddsförordningen (prop. 2017/18:105 s. 148–150). Att bestämmelsen i dataskyddslagen blir tillämplig följer av regeringens förslag att dataskyddslagen ska gälla vid behandling av personuppgifter enligt domstolsdatalagen, om inte annat följer av domstolsdatalagen eller anslutande föreskrifter (avsnitt 5.1). Regeringen anser därför att det inte behövs några regler om skadestånd i domstolsdatalagen. Den lagtekniska lösning som föreslås ligger i linje med Justitiekanslerns synpunkter. 14.2Bestämmelserna om överklagande i domstolsdatalagen är inte uttömmande Regeringens förslag: Beslut enligt artiklarna 12.5 och 15–21 i EU:s dataskyddsförordning som har meddelats av en domstol i egenskap av personuppgiftsansvarig får överklagas. Högsta domstolens och Högsta förvaltningsdomstolens beslut får dock inte överklagas. Beslut av en hovrätt, tingsrätt eller förvaltningsrätt överklagas till kammarrätten. Beslut av en kammarrätt överklagas till Högsta förvalt- ningsdomstolen. Beslut av en hyres- och arrendenämnd överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs i dessa fall vid över- klagande till kammarrätten. Övriga bestämmelser om överklagande i domstolsdatalagen upphävs. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås en annan lagteknisk lösning som innebär att det i domstolsdatalagen anges vad som gäller i fråga om överklagande av tillsynsmyndighetens och domstolarnas beslut. Promemorian innehåller inget förslag om att beslut enligt artikel 20 i dataskyddsförordningen ska få överklagas. Remissinstanserna: De flesta av remissinstanserna, bl.a. tingsrätt och Kammarrätten i , tillstyrker promemorians förslag 2017/18:113 eller har ingen invändning mot det. i och anser i likhet med promemorian att dataskyddsförordningen inte bör föranleda någon ändring av domstolsdatalagens reglering av instansordningen beträffande de beslut som en hyres- och arrendenämnd fattar som personuppgiftsansvarig. menar att bestämmelser om överklagande finns i dataskyddslagen och därför inte behöver upprepas i domstolsdatalagen. Skälen för regeringens förslag Bestämmelser om överklagande finns i dataskyddslagen I 7 kap. dataskyddslagen finns bestämmelser om överklagande. Bestämmelserna reglerar rätten att överklaga personuppgiftsansvariga myndigheters beslut, tillsynsmyndighetens beslut och vissa andra beslut i enskilda fall. Det finns även ett förbud mot att överklaga andra beslut enligt dataskyddslagen än de som särskilt anges. I promemorian föreslås att domstolsdatalagen, på samma sätt som , ska innehålla en uttömmande reglering av vad som gäller i fråga om överklagande av tillsynsmyndighetens och domstolarnas beslut. Regeringen föreslår i avsnitt 5.1 att dataskyddslagen ska gälla vid behandling av personuppgifter enligt domstolsdatalagen, om inte annat följer av domstolsdatalagen eller anslutande föreskrifter. Det framstår mot denna bakgrund inte som ändamålsenligt att i domstolsdatalagen ta in överklagandebestämmelser med samma innehåll som de i dataskydds- lagen. Domstolsdatalagen bör i stället endast innehålla bestämmelser om överklagande som avviker från den generella regleringen. Den lag- tekniska lösning som föreslås tillgodoser Dataskydd.nets synpunkt att bestämmelser som finns i dataskyddslagen inte bör upprepas i domstols- datalagen. Beslut av den personuppgiftsansvarige överklagas på samma sätt som tidigare Bestämmelser om överklagande av beslut som har meddelats av en personuppgiftsansvarig domstol finns i 20 § domstolsdatalagen. En hovrätts, tingsrätts eller förvaltningsrätts beslut om upplysningar enligt 12 § domstolsdatalagen eller om information till den registrerade enligt 26 § PUL och om rättelse och underrättelse till tredje man enligt 28 § samma lag får överklagas till kammarrätten. En kammarrätts beslut i sådana frågor får överklagas till . Högsta domstolens och Högsta förvaltningsdomstolens beslut får inte över- klagas. Bestämmelsen i 20 § domstolsdatalagen motsvarar 52 § och 53 § andra stycket PUL, men föreskriver en avvikande instansordning som motiveras av att förvaltningsrätterna inte ska behöva överpröva sina egna eller högre instansers beslut (jfr prop. 2014/15:148 s. 94). För beslut av en hyres- och arrendenämnd gäller den vanliga ordningen för över- klagande av förvaltningsbeslut, dvs. att nämndernas beslut överklagas till allmän förvaltningsdomstol och att prövningstillstånd krävs vid över- klagande till kammarrätten (21 § domstolsdatalagen). Enligt 7 kap. 2 § dataskyddslagen får beslut enligt artiklarna 12.5 och 15–21 i dataskyddsförordningen som har meddelats av en myndighet i egenskap av personuppgiftsansvarig överklagas till allmän förvaltnings- domstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Beslut av regeringen, , eller ombudsmän får dock inte överklagas. Bestämmelsen motiveras av att rätten att överklaga bör omfatta beslut som en personuppgiftsansvarig myndighet fattar med anledning av att en registrerad utövar sina rättigheter enligt kapitel III i dataskydds- förordningen (prop. 2017/18:105 s. 151).