prop · H503113 · 2018-02-27 00:00:00 — Regeringen ansåg dock att det finns flera fördelar med att göra det obligatoriskt för domstolarna att utse personuppgiftsombud. Ett personuppgiftsombud torde ofta få särskilda kunskaper om personuppgiftsfrågor och kan ge god service åt enskilda för att kunna ta tillvara sin rätt. Personuppgiftsombudet kan också bidra till kunskapsspridningen inom sin domstol och vara ett stöd för andra myndigheter. I syfte att åstadkomma ett stärkt integritetsskydd ansåg regeringen av dessa skäl att domstolarna borde vara skyldiga att utse ett eller flera personuppgiftsombud (prop. 2014/15:148 s. 91). Regleringen i domstolsdatalagen framstår som ändamålsenlig och det är inte känt att den har medfört några problem. Regeringen bedömer att ombuden är av central betydelse för skyddet för den personliga integriteten, även i den dömande verksamheten. Dataskydds- förordningens möjlighet att göra undantag för den dömande verksam- heten bör därför utnyttjas endast om det finns särskilda skäl för det. Som skäl mot att ha dataskyddsombud i den dömande verksamheten kan anföras att det riskerar att inskränka domstolarnas och domarnas självständighet. Förvaltningsrätten i anser i linje med detta att domarnas självständighet skulle begränsa dataskyddsombudens över- vakande roll i en inte obetydlig utsträckning. På det sätt dataskydds- ombudets uppgifter beskrivs i dataskyddsförordningen bedömer regeringen dock att ombudets roll gentemot den personuppgiftsansvarige och dess medarbetare i första hand är rådgivande. Ett dataskyddsombud ska visserligen följa upp att förordningen efterlevs, men denna kontroll torde vara inriktad på dataskyddsfrågor av betydelse för verksamheten i stort. Dataskyddsombudets ansvarsområde bör mot denna bakgrund kunna omfatta den dömande verksamheten utan att inskränka domarnas oberoende. Om dataskyddsombud ska utses även för den dömande verksamheten kan det uppstå vissa gränsdragningsproblem, vilket tas upp i promem- orian och av Kammarrätten i . Dataskyddsombudet ska enligt artikel 39.1 d och e i dataskyddsförordningen samarbeta med och fungera som kontaktpunkt för tillsynsmyndigheten. behörighet enligt artikel 55.3 omfattar emellertid inte domstolarnas dömande verksamhet, vilket torde innebära att dataskyddsombudet inte kan förväntas samråda med tillsynsmyndigheten i fråga om person- uppgiftsbehandling som sker i denna verksamhet. De gränsdragnings- problem som kan uppstå i detta sammanhang framstår dock som mindre än de som skulle bli följden av att dataskyddsombudet över huvud taget inte ska verka inom den dömande verksamheten. Som påpekar är det svårt att komma ifrån att det någonstans uppstår gränsdragningsproblem som har att göra med förordningens undantag för dömande verksamhet. Innebörden av uttrycket domstolarnas dömande verksamhet berörs inte i artikel 37.1 i dataskyddsförordningen eller i skälen till den bestämmelsen. Enligt regeringen bör begreppet i första hand tolkas mot bakgrund av övriga bestämmelser i förordningen och skälen till dessa. Tillsynsmyndigheterna ska enligt artikel 55.3 i dataskyddsförordningen inte vara behöriga att utöva tillsyn över domstolar som behandlar personuppgifter i sin dömande verksamhet. Syftet med denna bestäm- melse är enligt skäl 20 till förordningen att säkerställa domstolsväsendets oberoende när det utför sin rättskipande verksamhet, inbegripet när det fattar beslut. Avsikten med bestämmelsen synes alltså vara att undanta hela den rättskipande verksamheten, i vilken beslutsfattande ingår som en av flera delar. Enligt artikel 9.2 f i dataskyddsförordningen är behandling som sker som en del av domstolarnas dömande verksamhet undantagen från förbudet mot att behandla känsliga personuppgifter. Domstolarna har behov av att behandla känsliga personuppgifter redan från det att ett mål inleds, vilket talar för att bestämmelsen tar sikte på all handläggning av mål i domstol. Dataskyddsförordningens övriga bestämmelser och skälen till dessa ger således visst stöd för att begreppet dömande verksamhet i artikel 37.1 väsentligen motsvarar det som i domstolsdatalagen betecknas som rättskipande och rättsvårdande verksamhet. Den närmare innebörden av begreppet får dock betraktas som oklar och bör överlämnas till rättstillämpningen att utveckla. Om den dömande verksamheten undantas från dataskyddsombudets ansvars- område skulle det därmed, i vart fall inledningsvis, vara otydligt vilka delar av domstolarnas verksamhet som dataskyddsombuden ska verka inom, vilket påtalas av och . Dataskyddsförordningens reglering är mer utförlig än data- skyddsdirektivs och personuppgiftslagens reglering vad gäller ombudets kvalifikationer och arbetsuppgifter. Även förhållandet till den person- uppgiftsansvarige och dennes skyldigheter gentemot ombudet beskrivs mer detaljerat i förordningen. Regeringen bedömer dock att regleringen i dataskyddsförordningen inte innebär någon större skillnad i sak vad gäller de uppgifter som ett dataskyddsombud förväntas utföra. främst kommer att orsaka merarbete jämfört med är troligtvis det faktum att det införs helt ny och relativt komplicerad lagstiftning på Detta talar i sig för att ombudets ansvarsområde ska omfatta domstolarnas hela kärnverksamhet, eftersom intern sakkunskap inom rättsområdet bidrar till att upprätthålla skyddet för de registrerades Som anförs ovan ska tillsynsmyndigheten enligt artikel 55.3 i dataskyddsförordningen inte vara behörig att utöva tillsyn över domstolar som behandlar personuppgifter i sin dömande verksamhet. att i vart fall delar av domstolarnas kärnverksamhet kommer att vara undantagen från sådan tillsyn som sker enligt dataskyddsförordningen. Som Kammarrätten i är inne på finns det ur ett integritets- perspektiv därför ett ökat behov av att domstolarna biträds av en person som har goda kunskaper om dataskyddsbestämmelserna. Regeringen anser sammantaget – i enlighet med promemorians förslag och i likhet med , Förvaltningsrätten i och – att ombudets arbetsuppgifter även i fortsättningen bör omfatta domstolarnas dömande verksamhet. bestämmelse om att den personuppgiftsansvarige ska utse ett eller flera personuppgiftsombud bör därför behållas. ombudsmän anser regeringen att en sådan ordning framstår som lämplig även med beaktande av dataskyddsförordningens reglering av tillsyns- myndighetens behörighet och dataskyddsombudets uppgifter. följd av dataskyddsförordningens begreppsbildning bör ordet person- uppgiftsombud i bestämmelsen ersättas med ordet dataskyddsombud. I artikel 37 i dataskyddsförordningen anges att den personuppgifts- ansvarige ska utse ett dataskyddsombud. Enligt regeringens mening bör bestämmelsen inte tolkas så att endast ett ombud får utses. nuvarande möjligheten för domstolen att utse fler än ett ombud kan påpekar att bestämmelser om dataskyddsombud redan finns i dataskyddsförordningen och därför inte behöver upprepas i Som anförs ovan medför dataskyddsförordningen emellertid ingen skyldighet för domstolarna att utse dataskyddsombud när behandlingen av personuppgifter sker som en del av den dömande Det behövs därför en nationell föreskrift gäller den För att göra regeln om dataskyddsombud i domstolsdatalagen begriplig bör den enligt regeringens mening omfatta lagens hela tillämpningsområde. Kammarrätten i uppmärksammar att uppdraget som dataskyddsombud ställer höga krav på självständighet och integritet och anser att ombudet lämpligen bör vara ordinarie domare. arrendenämnden i och anser å sin sida att det med fördel kan vara en utomstående lämplig person och inte en på domstolen anställd domare som utses till dataskyddsombud. 2017/18:113 konstaterar att dataskyddsförordningen ger utrymme för båda dessa alternativ (artikel 37.6). Det är upp till den enskilda domstolen att avgöra vem som lämpligen bör utses till dataskyddsombud. Enligt 10 § andra stycket domstolsdatalagen ska den personuppgifts- ansvarige anmäla till tillsynsmyndigheten när ett personuppgiftsombud utses eller entledigas. Den personuppgiftsansvariges anmälningsskyldig- het framgår direkt av artikel 37.7 i dataskyddsförordningen. Bestäm- melsen i domstolsdatalagen bör därför upphävas. Enligt domstolsdatalagen ska den som är personuppgiftsombud föra en förteckning över de behandlingar som utförs med stöd av lagen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om vilka uppgifter en sådan förteckning ska innehålla (11 § domstolsdata- lagen). Enligt personuppgiftslagen ska den personuppgiftsansvarige anmäla till tillsynsmyndigheten vilka behandlingar som kommer att utföras (36 § PUL). Om den personuppgiftsansvarige har anmält till tillsynsmyndigheten att ett personuppgiftsombud har utsetts, behöver en sådan anmälan dock inte göras (37 § PUL). Dataskyddsförordningens bestämmelser ser något annorlunda ut. Det finns någon anmälningsskyldighet för personuppgiftsbehand- lingar. Dataskyddsombudets uppgifter enligt förordningen innefattar inte heller att föra en förteckning över sådana behandlingar. I stället har den personuppgiftsansvarige (och i tillämpliga fall personuppgiftsbiträdet) en skyldighet att föra ett register över den personuppgiftsbehandling som utförs under dess ansvar. Den personuppgiftsansvarige ska på begäran göra registret tillgängligt för tillsynsmyndigheten (artikel 30 i data- skyddsförordningen). Ansvaret för att föra en förteckning över person- uppgiftsbehandlingar har alltså flyttats från personuppgiftsombudet till den personuppgiftsansvarige. Domstolsdatalagens bestämmelse om att den som är personuppgiftsombud ska föra en förteckning över person- uppgiftsbehandlingar bör därför upphävas. Detsamma gäller upplysningsbestämmelsen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om vilka uppgifter en sådan förteckning ska innehålla. 2017/18:113 10 10.1Dataskyddsförordningen tillåter att domstolarna behandlar känsliga personuppgifter Regeringens bedömning: EU:s dataskyddsförordning innebär att känsliga personuppgifter får behandlas inom domstolsdatalagens tillämpningsområde. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det i domstolsdata- lagen bör göras en hänvisning till artikel 9.2 f och g i dataskydds- förordningen för att klargöra med vilket stöd behandlingen av känsliga personuppgifter sker. Övriga remissinstanser har inga invändningar mot bedömningen. Skälen för regeringens bedömning: Dataskyddsförordningen inne- håller i likhet med dataskyddsdirektiv och personuppgiftslagen ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter (artikel 9.1 i dataskyddsförordningen). Förbudet om- fattar uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Artikel 9.1 i förord- ningen omfattar nya kategorier av uppgifter jämfört med motsvarande bestämmelse dataskyddsdirektiv (artikel 8.1 i direktivet). Direktivets bestämmelse innefattar inte genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person eller uppgifter om en persons sexuella läggning. Artikel 8.1 i direktivet har genomförts i svensk rätt genom 13 § PUL, som är avsedd att ha samma innebörd som direktivets bestämmelse, se propositionen Personuppgiftslag (prop. 1997/98:44 s. 122 f.). Uppgifter om sexuell läggning har i svensk rätt ansetts ingå i begreppet sexualliv och införandet av det uttrycket i förordningen innebär således inte någon egentlig utvidgning från svenskt perspektiv, se propositionen Behandling av personuppgifter inom kriminalvården (prop. 2000/01:126 s. 31) och propositionen Ett starkare skydd mot diskriminering (prop. 2007/08:95 s. 125–129). Tillägget av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person utgör dock en utvidgning jämfört med den nuvarande ordningen. I rubriken till artikel 9 i dataskyddsförordningen anges att bestäm- melsen avser behandling av särskilda kategorier av personuppgifter. I skäl 10 och 51 omnämns dessa uppgifter i stället som känsliga respektive särskilt känsliga uppgifter. I personuppgiftslagen och andra svenska författningar används benämningen känsliga personuppgifter. Den benämningen är väl inarbetad, även på EU-nivå, och är språkligt lättare att använda och förstå, inte minst i författningstext. därför att uttrycket känsliga personuppgifter bör användas som samlings- benämning för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som avses i artikel 9 i dataskyddsförordningen (prop. 2017/18:105 s. 75). Dataskyddsförordningens förbud mot behandling av känsliga person- uppgifter kompletteras av ett antal undantag som tillåter sådan behandling i vissa fall. Ett av undantagen innebär att förbudet inte gäller om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet (artikel 9.2 f i dataskyddsförordningen). Det första ledet i bestämmelsen har en motsvarighet dataskyddsdirektiv, där det bl.a. framgår att förbudet mot att behandla känsliga personuppgifter inte gäller om behandlingen är nödvändig för att kunna fastslå, göra gällande eller försvara rättsliga anspråk (artikel 8.2 e i direktivet). Motsvarande framgår av personuppgiftslagen (16 § första stycket c). Det uttryckliga undantaget för domstolarnas dömande verksamhet är en nyhet i dataskyddsförordningen. Enligt dataskyddsförordningen får känsliga personuppgifter alltså behandlas om det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk. Själva behandlingen behöver inte gå ut på att fastställa, göra gällande eller försvara sådana anspråk. Det är tillräckligt att behandlingen är nödvändig för att någon, t.ex. den person- uppgiftsansvarige, ska kunna göra detta. Denna grund för behandling av känsliga personuppgifter återspeglar tydligt den kärnverksamhet som bedrivs i domstolarna och som, vad gäller personuppgiftsbehandlingen, kommer till uttryck i domstolsdatalagens ändamålsbestämmelser (prop. 2014/15:148 s. 48). I dataskyddsförordningen anges dessutom uttryckligen att domstolarnas dömande verksamhet är undantagen från förbudet mot att behandla känsliga personuppgifter. Regeringen bedömer mot denna bakgrund att bestämmelsen i artikel 9.2 f i dataskydds- förordningen innebär att känsliga personuppgifter får behandlas i dom- stolarnas rättskipande och rättsvårdande verksamhet. Enligt domstolsdatalagens sekundära ändamålsbestämmelse får person- uppgifter som behandlas för handläggningen av mål och ärenden även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning (7 §). Genom bestämmelsen tillåts domstolarna, även i andra fall än när det krävs enligt offentlighets- principen, att behandla personuppgifter för att kunna lämna uppgifter till utomstående eller till en annan del av verksamheten. Det kan röra sig om situationer där domstolarna enligt bestämmelser i olika författningar är skyldiga att lämna uppgifter till utpekade myndigheter, t.ex. uppgifter om domar i upphandlingsmål till . En domstol har också enligt 6 kap. 5 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, en skyldighet att på begäran av en annan myndighet lämna uppgift som domstolen förfogar över, om uppgiften inte är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Bestämmelsen tillåter emellertid även att personuppgifter behandlas för att kunna lämnas ut i situationer då det inte finns någon uttrycklig skyldighet att lämna ut uppgifterna. Det kan t.ex. vara fråga om en åtgärd som vidtas för att fullgöra service- skyldigheten gentemot enskilda enligt 4 § förvaltningslagen (1986:223), se prop. 2014/15:148 s. 108 f. I promemorian görs bedömningen att den behandling av personuppgifter som sker med stöd av domstolsdatalagens 2017/18:113 sekundära ändamålsbestämmelse inte kan anses nödvändig i den dömande verksamheten eller för att fastställa rättsliga anspråk. Sådan behandling av känsliga personuppgifter skulle enligt promemorian i stället kunna ske med stöd av artikel i dataskyddsförordningen om behandling som är nödvändig för ett viktigt allmänt intresse. Regeringen bedömer emellertid att sådant uppgiftslämnande som omfattas av bestämmelsen i 7 § domstolsdatalagen är en del av domstolarnas kärn- verksamhet och i den meningen är nödvändigt för att fastställa rättsliga anspråk (jfr prop. 2014/15:148 s. 48). I den mån uppgiftslämnandet omfattar behandling av känsliga personuppgifter är behandlingen därför tillåten enligt artikel 9.2 f i dataskyddsförordningen. Det kan också nämnas att dataskyddslagen innehåller en generellt tillämplig bestämmelse om myndigheters behandling av känsliga person- uppgifter i vissa fall (3 kap. 3 § första stycket). Bestämmelsen har sin grund i dataskyddsförordningens bestämmelse om behandling som är nödvändig med hänsyn till ett viktigt allmänt intresse. Enligt bestämmelsen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel i dataskyddsförordningen (1) om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, (2) om behandlingen är nödvändig för handläggningen av ett ärende eller (3) i annat fall, om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Enligt regeringens förslag kommer dataskyddslagen att gälla vid behandling av personuppgifter enligt domstolsdatalagen, om inte annat följer av domstolsdatalagen eller anslutande föreskrifter (avsnitt 5.1). Bestämmelsen i 3 kap. 3 § första stycket dataskyddslagen kan bli aktuell att tillämpa om en domstols behandling av känsliga personuppgifter i något fall inte kan ske med stöd av artikel 9.2 f i dataskyddsförordningen. Eftersom frågan om sökbegränsningar är särskilt reglerad i domstolsdatalagen blir det emellertid inte aktuellt att tillämpa 3 kap. 3 § andra stycket dataskyddslagen om förbud att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Datainspektionen anser att det i domstolsdatalagen bör göras en hänvisning till artikel 9.2 f och g i dataskyddsförordningen för att klargöra med vilket stöd behandlingen av känsliga personuppgifter sker. Regeringen bedömer att en sådan hänvisning är överflödig. 10.2Begränsning av behandling av känsliga personuppgifter och integritetskänsliga sökningar Regeringens förslag: Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personen utifrån sådana uppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning. Vid sökning i personuppgifter är det som huvudregel förbjudet att använda sökbegrepp som avslöjar sådana uppgifter som avses i artikel 9.1 i dataskyddsförordningen, uppgifter om nationell anknyt- ning eller uppgifter om brott eller misstanke om brott. Domstolsdatalagens bestämmelser om behandling av känsliga personuppgifter och sökförbud utvidgas till att omfatta genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en person och uppgifter om en persons sexuella läggning. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser, bl.a. och Justitiekanslern, tillstyrker promemorians förslag eller har ingen invändning mot det. Förvaltningsrätten i påpekar att de sökbegränsningar som föreslås går längre än kraven i dataskyddsförordningen och är tveksam till bedömningen att förordningen inte hindrar mer restriktiva bestämmelser för myndig- heternas personuppgiftsbehandling än vad som följer av förordningen. anser att hänvisningen till artikel 9.1 i dataskydds- förordningen innebär att lagstiftningen kommer att brista i tydlighet och att det därför bör övervägas att i stället komplettera den nuvarande uppräkningen med de tre nya kategorierna av uppgifter som ingår i begreppet känsliga personuppgifter. Skälen för regeringens förslag: Regleringen i domstolsdatalagen innebär att behandling av känsliga personuppgifter som utgångspunkt är tillåten och begränsas endast genom de grundläggande kraven för behandling av personuppgifter och de verksamhetsspecifika ändamåls- bestämmelserna. Uppgifter om en person får dock inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (13 § domstolsdatalagen). Syftet med bestämmelsen är att minimera riskerna för att känsliga personuppgifter missbrukas (prop. 2014/15:148 s. 49 f.). Enligt domstolsdatalagen är det vid sökning i personuppgifter som huvudregel förbjudet att som sökbegrepp använda uppgifter som avslöjar känsliga personuppgifter, nationell anknytning eller brott eller misstanke om brott (14 §). Regeringen uttalade i förarbetena att det finns risker med att tillåta domstolspersonalen att använda känsliga sökbegrepp, inte minst eftersom allmänheten med stöd av offentlighetsprincipen därigenom får möjlighet att begära att domstolspersonalen ska använda dessa sökbegrepp för att sammanställa och lämna ut personuppgifter (prop. 2014/15:148 s. 62). Domstolsdatalagens bestämmelser om begränsning av behandling av känsliga personuppgifter och sökförbud har införts i syfte att skydda den personliga integriteten. Som Förvaltningsrätten i påpekar är 2017/18:113 sökbegränsningarna mer långtgående än vad dataskyddsförordningen kräver. Regeringen bedömer dock att bestämmelserna om begränsning av behandling av känsliga personuppgifter och sökförbud är sådana specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen, som är tillåtna enligt artikel 6.2 i för- ordningen. Av skäl 10 till förordningen framgår att medlemsstaternas handlingsutrymme att specificera sina bestämmelser även gäller för behandlingen av känsliga personuppgifter. Reglerna i domstolsdatalagen kan därför behållas, men behöver anpassas till den utvidgade innebörd av begreppet känsliga personuppgifter som gäller enligt dataskyddsförord- ningen. Detta kan lämpligen göras genom en hänvisning till artikel 9.1 i dataskyddsförordningen, där de särskilda kategorierna av personuppgifter räknas upp. anser att en sådan lösning innebär att lagstiftningen kommer att brista i tydlighet. Regeringen har förståelse för denna synpunkt men anser att det finns ett värde i att domstolsdatalagen uttryckligen knyter an till de grundläggande bestämmelser om behand- ling av känsliga personuppgifter som finns i dataskyddsförordningen. 11 Enskildas rättigheter bör inte begränsas Regeringens bedömning: Domstolsdatalagen bör inte innehålla några undantag från den registrerades rättigheter enligt artiklarna 13–19 och 21 i EU:s dataskyddsförordning. Promemorians bedömning överensstämmer i huvudsak med regeringens. Promemorians bedömning gäller dock artiklarna 16–19 och 21 i dataskyddsförordningen. I övrigt lämnas förslag i promemorian som i sak överensstämmer med regeringens bedömning. Remissinstanserna: De flesta av remissinstanserna, såsom hov- rätt och , är positiva till promemorians förslag och bedömning eller har ingen invändning mot dem. Förvaltningsrätten i anser att det finns behov av undantag från rätten till tillgång till personuppgifter enligt artikel 15 i dataskyddsförordningen, utöver vad som följer av 5 kap. 2 § dataskyddslagen. Förvaltningsrätten anser också att regelverket skulle bli tydligare och mer lättillgängligt om domstols- datalagen påminner om de undantag från de registrerades rättigheter som finns i artiklarna 16–19, 21 och 22 i dataskyddsförordningen.