prop · H503113 · 2018-02-27 00:00:00 — Anpassning av domstolsdatalagen till EU:s dataskyddsförordning Regeringens proposition 2017/18:113 Anpassning av domstolsdatalagen till EU:s Regeringen överlämnar denna proposition till . EU:s dataskyddsförordning ska börja tillämpas . Regeringen bedömer att dataskyddsförordningen ger utrymme för en sådan särskild reglering om personuppgiftsbehandling som finns i dom- stolsdatalagen. Det krävs dock vissa ändringar i domstolsdatalagen för att anpassa den till dataskyddsförordningen. De flesta av de föreslagna ändringarna är en direkt följd av att dataskyddsförordningen ska börja tillämpas och att personuppgiftslagen kommer att upphävas. Regeringen föreslår bl.a. regler om dataskyddsombud och att domstolsdatalagens förbud mot att använda integritetskänsliga sökbegrepp ska omfatta fler typer av uppgifter. Förslagen innebär en förstärkning av skyddet för enskildas personliga integritet. Lagändringarna föreslås träda i kraft . 2017/18:113 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i domstolsdatalagen (2015:728)............. Ärendet och dess beredning .............................................................. Personuppgiftsbehandling i domstol ................................................. personuppgiftsbehandling i domstol................................... En fortsatt särskild reglering om personuppgiftsbehandling i domstol................................. Domstolsdatalagens förhållande till annan reglering ...................... Förhållandet till den generella Förhållandet till den föreslagna brottsdatalagen............... Hyres- och arrendenämndernas rättsliga ställning .......................... Ändamålsbestämmelserna kan behållas.......................................... Ingen förändring av domstolarnas personuppgiftsansvar................ Dataskyddsombud även i den dömande verksamheten................... Bestämmelserna om känsliga personuppgifter anpassas................. Dataskyddsförordningen tillåter att domstolarna behandlar känsliga personuppgifter.................................. Begränsning av behandling av känsliga personuppgifter och integritetskänsliga sökningar ........... Enskildas rättigheter bör inte begränsas.......................................... Uppgiftsskyldighet i förhållande till allmänheten och den Upplysningar till allmänheten .......................................... Sekretess ska gå före skyldigheten att informera om Bestämmelserna i personuppgiftslagen och Bestämmelserna i dataskyddsförordningen och Dataskyddsförordningen tillåter behandling av personuppgifter för arkivändamål .................................... Behandling av känsliga personuppgifter för Bestämmelser om skadestånd behövs inte i 14.2Bestämmelserna om överklagande i domstolsdatalagen är inte uttömmande ........................... 15 Ikraftträdande- och övergångsbestämmelser.................................. 15.2Behandling av personuppgifter som omfattas av Konsekvenser av förslagen ............................................................ och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning)........................................ Sammanfattning av departementspromemorian En omarbetad domstolsdatalag – anpassning till EU:s dataskyddsförordning (Ds 2017:41) .............................. Förteckning över remissinstanserna (Ds 2017:41) ........ Sammanfattning av betänkandet Brottsdatalag – kompletterande lagstiftning (SOU 2017:74) ................. Förteckning över remissinstanserna (SOU 2017:74)..... Utdrag ur protokoll vid regeringssammanträde 2017/18:113 1 Regeringen föreslår att antar regeringens förslag till lag om ändring i domstolsdatalagen (2015:728). Förslag till lag om ändring i domstolsdatalagen (2015:728) Härigenom föreskrivs i fråga om domstolsdatalagen (2015:728)1 dels att 5, 11, 12, 19 och 22 §§ ska upphöra att gälla, dels att rubrikerna närmast före 4, 11 och 12 §§ ska utgå, dels att nuvarande 3 § ska betecknas 5 §, dels att 4, 7, 10, 13, 14 och 20 §§ och rubriken närmast före 10 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 3 och 11 §§, och närmast före 3 och 11 §§ nya rubriker av följande lydelse. Förhållandet till annan reglering och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Om inte något annat anges i 5 §, Vid behandling av personupp- gäller denna lag i stället för gifter enligt denna lag gäller lagen personuppgiftslagen (1998:204). bestämmelser till EU:s dataskydds- har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 1 Senaste lydelse av 3 § 2016:759. Personuppgifter som behandlas enligt 6 § får även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. enligt 6 § får behandlas även för andra ändamål, under förutsätt- ning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna Den personuppgiftsansvarige ska utse ett eller flera personuppgifts- ombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen (1998:204) när ett personuppgifts- ombud utses eller entledigas. Den personuppgiftsansvarige ska utse ett eller flera dataskydds- ombud. Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgifts- incident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den person- uppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. 2 Ändringen innebär bl.a. att andra stycket tas bort. Vid sökning i personuppgifter är det förbjudet att använda sökbegrepp som avslöjar känsliga personuppgifter, uppgifter om nationell anknytning eller upp- gifter om brott eller misstanke om brott. Uppgifter om en person får inte Uppgifter om en person får inte behandlas enbart på grund av vad behandlas enbart på grund av vad som är känt om personens ras eller som är känt om personen utifrån etniska ursprung, politiska åsikter, sådana uppgifter som avses i religiösa eller filosofiska övertyg- else, medlemskap i fackförening, hälsa eller sexualliv. Vid sökning i personuppgifter är det förbjudet att som sökbegrepp använda uppgifter som avslöjar 1. ras eller etniskt ursprung, 2. politiska åsikter, 3. religiös eller filosofisk övertygelse, 4.medlemskap i fackförening, 7.nationell anknytning, eller 8.brott eller misstanke om brott. Användning av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp som sökbegrepp omfattas inte av förbudet i första stycket. Beslut enligt artiklarna 12.5 och upplysningar enligt 12 § eller om förordning som har meddelats av en hovrätt, tingsrätt eller förvalt- ningsrätt i egenskap av person- (1998:204) och om rättelse och uppgiftsansvarig får överklagas till underrättelse till tredje man enligt 28 § samma lag får överklagas till beslut i sådana frågor får överklagas till Högsta förvaltnings- beslut i sådana frågor får över- klagas till Högsta förvaltningsdom- Högsta domstolens och Högsta förvaltningsdomstolens beslut i frågor som avses i första stycket får inte överklagas. 1.Denna lag träder i kraft . 2.Äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet. 3.Äldre föreskrifter gäller fortfarande vid sådan behandling av person- uppgifter som avses i artikel 2.2 d i EU:s dataskyddsförordning, i den ursprungliga lydelsen. 2017/18:113 3 Ärendet och dess beredning antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), kallad EU:s dataskyddsförordning. Förordningen, som ska tillämpas , finns i bilaga 1. Chefen för gav en utredare i uppdrag att biträda departementet med att lämna förslag på de författningsändringar som behövs i domstolsdatalagen (2015:728) och domstolsdataförordningen (2015:729) med anledning av dataskydds- förordningen (Ju2016/06265/LP). Uppdraget redovisades i departementspromemorian En omarbetad domstolsdatalag – anpassning till EU:s dataskyddsförordning (Ds 2017:41). En sammanfattning av promemorian i relevanta delar finns i bilaga 2, och promemorians lagförslag i relevanta delar finns i bilaga 3. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 4. Remissyttrandena finns tillgängliga i (Ju2017/06965/DOM). I propositionen behandlar regeringen promemorians förslag om anpassning av domstolsdatalagen till dataskyddsförordningen. Övriga delar av promemorian bereds vidare i . Regeringen gav en särskild utredare i uppdrag att föreslå hur EU:s direktiv om skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet ska genomföras i svensk rätt (dir. 2016:21). Utredningen, som tog namnet Utredningen om 2016 års dataskyddsdirektiv, överlämnade betänkandet Brottsdata- lag – kompletterande lagstiftning (SOU 2017:74). En sammanfattning av betänkandet i relevanta delar finns i bilaga 5. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 6. Remissyttrandena finns tillgängliga i (Ju2017/07698/L4). I propositionen behandlar regeringen utredningens bedömning att det kan behövas en övergångsreglering i domstolsdatalagen om genom- förandet av direktivet fördröjs. Bedömningen innebär att domstolsdata- lagen i dess äldre lydelse och personuppgiftslagen (1998:204), förkortad PUL, bör fortsätta att gälla tills vidare för sådan behandling av personuppgifter som undantas från dataskyddsförordningens tillämpningsområde. Övriga delar av betänkandet bereds vidare i . Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 7. Lagrådets yttrande finns i bilaga 8. Regeringen följer Lagrådets synpunkter, som behandlas i författningskommentaren. I förhållande till lagrådsremissen har även en språklig ändring gjorts. 4 Personuppgiftsbehandling i domstol 4.1Gällande bestämmelser om personuppgiftsbehandling i domstol Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektiv). Direktivets syfte är att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Syftet är vidare att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. har genomfört direktivet främst genom personuppgiftslagen. Lagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen följer i princip samma struktur som direktivet och innehåller bestämmelser om bl.a. personuppgiftsansvar, grundläggande krav för behandling av personuppgifter och information till den registrerade. Personuppgifts- lagen gäller för både myndigheter och enskilda som behandlar person- uppgifter. Lagen är subsidiär, vilket innebär att personuppgiftslagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns ett stort antal sådana bestämmelser i de sektorsspecifika s.k. registerförfattningar som reglerar myndigheters personuppgiftsbehandling. Personuppgiftslagen kom- pletteras av bestämmelser i personuppgiftsförordningen (1998:1191) som bl.a. pekar ut Datainspektionen som tillsynsmyndighet. regleras all automatiserad behandling av personuppgifter i den rättskipande och rättsvårdande verksamheten i de allmänna domstolarna, de allmänna förvaltningsdomstolarna och hyres- och arrendenämnderna i domstolsdatalagen. Syftet med lagen är att ge domstolarna och nämnderna möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin rättskipande och rättsvårdande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Lagen innehåller hänvisningar till personuppgifts- lagens bestämmelser om bl.a. grundläggande krav på behandling av personuppgifter, överföring av personuppgifter till tredjeland och skadestånd. Kompletterande bestämmelser finns i domstolsdata- förordningen. För enkelhetens skull används i fortsättningen domstolarna som samlingsbegrepp för de myndigheter som omfattas av domstolsdata- lagens tillämpningsområde. Om inget annat särskilt anges, avses med detta de allmänna domstolarna, de allmänna förvaltningsdomstolarna och hyres- och arrendenämnderna. 2017/18:113 4.2 Europeiska kommissionen presenterade 2012 förslag till en genom- gripande reform av om skydd för personuppgifter. Förslagen avsåg dels en förordning som ersätter dataskyddsdirektiv, dels ett nytt direktiv med särregler för personuppgiftsbehandling som utförs för bl.a. brottsbekämpning, lagföring och straffverkställighet. Syftet med förord- ningen är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter, och att främja det fria flödet av personuppgifter inom unionen. Dataskyddsförordningen kommer att ersätta dataskydds- direktiv och utgöra den generella regleringen av personuppgifts- behandling inom EU. med dataskyddsförordningen antogs och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (dataskyddsdirektiv). Dataskyddsförordningen gäller inte för sådan personuppgiftsbehandling som omfattas av direktivets tillämp- ningsområde (artikel 2.2 d i dataskyddsförordningen). Den föreslagna lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, här kallad dataskyddslagen, innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan. Lagen reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens hand- läggning och beslut samt skadestånd och överklagande. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i registerförfattningar. Regeringen utgår i denna proposition från att dataskyddslagen kommer att få det innehåll som föreslås i propositionen Ny dataskyddslag (prop. 2017/18:105). 4.4En fortsatt särskild reglering om personuppgiftsbehandling i domstol Regeringens bedömning: EU:s dataskyddsförordning ger utrymme för en sådan särskild reglering om behandling av personuppgifter som finns i domstolsdatalagen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser instämmer i promem- orians bedömning eller har ingen invändning mot den. Skälen för regeringens bedömning: EU-förordningar ska enligt artikel 288 i fördraget om Europeiska unionens funktionssätt ha allmän giltighet och vara till alla delar bindande och direkt tillämpliga i varje medlemsstat. Förordningar gäller alltså fullt ut och med samma innehåll inom hela EU och ska inte genomföras i nationell rätt. En medlemsstat kan dock behålla eller införa nationell lagstiftning på det område som en förordning reglerar om förordningen ger utrymme för det. Även om dataskyddsförordningen är direkt tillämplig så både förutsätter och medger förordningen nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag. Detta gäller särskilt sådan personuppgiftsbehandling som sker inom den offentliga sektorn. Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämp- ningen av bestämmelserna i förordningen genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Detta förutsätter emellertid att det är fråga om sådan personuppgiftsbehandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgifts- ansvarige (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). När myndigheter behandlar personuppgifter för att fullgöra sina uppgifter sker det normalt med stöd av de rättsliga grunder som avses i artikel 6.1 c och e i förordningen. I enlighet med skäl 8 till dataskyddsförordningen kan medlemsstaterna dessutom under vissa förutsättningar, och i den utsträckning det är nödvändigt för sam- stämmigheten och för att göra de nationella bestämmelserna begripliga, införliva delar av förordningen i nationell rätt. Enligt artikel 6.3 första stycket i dataskyddsförordningen ska de grunder för behandlingen som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. Den rättsliga grunden kan enligt artikel 6.3 andra stycket innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen. Bestäm- melserna kan bl.a. gälla de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas och vilka registrerade som berörs. Bestämmelserna kan vidare gälla de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstider samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. De särskilda bestämmelserna i den nationella rätten ska i detta avseende uppfylla ett mål av allmänt intresse och vara proportionerliga mot det legitima mål som eftersträvas. Enligt artikel 23 i dataskyddsförordningen får begränsningar ske i nationell rätt av vissa av de rättigheter och skyldigheter som föreskrivs i förordningen. Detta förutsätter dock att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt 2017/18:113 samhälle. Det förutsätter också att begränsningen sker i syfte att säkerställa något av de ändamål som anges i artikel 23, t.ex. unionens eller en medlemsstats viktiga mål av generellt allmänt intresse eller skydd av rättsväsendets oberoende och rättsliga åtgärder (artikel 23.1 e och f). Regeringen bedömer att det finns ett utrymme att behålla nationell reglering av myndigheters personuppgiftsbehandling. Det måste dock vara fråga om sådana kompletteringar eller undantag till förordningens bestämmelser, eller sådana specifika bestämmelser som kan anses anpassa tillämpningen av förordningens bestämmelser, som är tillåtna enligt förordningen. I domstolsdatalagen finns bestämmelser om bl.a. tillåtna ändamål (6 och 7 §§), tillgången till personuppgifter (8 §), behandling av känsliga personuppgifter (13 §), sökbegränsningar (14 och 15 §§) och elektroniskt utlämnande av personuppgifter (16 och 17 §§). Bestämmelserna innehåller specifika krav för uppgiftsbehandlingen som säkerställer en laglig och rättvis behandling av personuppgifter. Det bedöms därmed vara möjligt att behålla denna typ av kompletterande reglering även när dataskyddsförordningen ska börja tillämpas (artikel 6.2 i dataskydds- förordningen). Det finns dock behov av att ändra bestämmelserna om hur lagen förhåller sig till annan reglering (avsnitt 5). Vidare finns det skäl att överväga om vissa av bestämmelserna i lagen bör ändras eller upphävas med anledning av dataskyddsförordningen (avsnitt 6–14). Domstolsdatalagens bestämmelser om lagens syfte (1 §), lagens tillämpningsområde (2 och 3 §§), tillgången till personuppgifter (8 §) och elektroniskt utlämnande av personuppgifter (16 och 17 §§) behandlas inte särskilt i följande avsnitt. Regeringen instämmer i promemorians bedömning att dessa bestämmelser är förenliga med dataskyddsförord- ningen och därför inte bör ändras. 5Domstolsdatalagens förhållande till annan reglering 5.1Förhållandet till den generella dataskyddsregleringen Regeringens förslag: Domstolsdatalagens bestämmelse om hur lagen förhåller sig till personuppgiftslagen upphävs och alla hänvisningar till personuppgiftslagen tas bort. I domstolsdatalagen införs en bestämmelse som klargör att lagen kompletterar EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt domstolsdatalagen gäller dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av domstolsdatalagen eller föreskrifter som har meddelats i anslutning till den. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås att domstolsdatalagen ska gälla i stället för data- skyddslagen och att det i lagen särskilt ska anges vilka bestämmelser i dataskyddslagen som ska gälla. Remissinstanserna: De flesta av remissinstanserna, såsom och Förvaltningsrätten i , tillstyrker förslagen eller har ingen invändning mot dem. avstyrker förslaget att domstolsdatalagen ska gälla i stället för dataskyddslagen och att det i lagen särskilt ska anges vilka bestämmelser i dataskyddslagen som ska gälla. anser att dataskyddslagen bör gälla om inget annat framgår av domstolsdatalagen. Justitiekanslern anser det viktigt att så långt möjligt eftersträva en likartad systematik i alla lagar som reglerar personuppgiftsbehandling och uppmärksammar att vissa andra promemorior och betänkanden tillämpar en annan lagteknisk lösning. Kammarrätten i anser att domstolsdatalagens förhållande till dataskyddsförordningen och dataskyddslagen bör framgå redan i inledningen av domstolsdatalagen. Skälen för regeringens förslag Enligt 4 § domstolsdatalagen gäller den lagen i stället för personuppgifts- lagen om inte något annat anges i 5 §. Den senare bestämmelsen innehåller i sin tur hänvisningar till de bestämmelser i personuppgifts- lagen som gäller när personuppgifter behandlas enligt domstolsdatalagen eller enligt föreskrifter som har meddelats i anslutning till lagen. Domstolsdatalagen innehåller även andra bestämmelser som hänvisar till personuppgiftslagen. När dataskyddsförordningen börjar tillämpas kommer personuppgifts- lagen att upphävas, vilket innebär att hänvisningar till den lagen inte kan finnas kvar. Domstolsdatalagens bestämmelse om hur lagen förhåller sig till personuppgiftslagen bör därför upphävas och alla hänvisningar till personuppgiftslagen tas bort. Förhållandet till dataskyddsförordningen och hänvisningsteknik Dataskyddsförordningen kommer att utgöra den generella reglering för behandling av personuppgifter som domstolsdatalagen måste anpassas till. Domstolsdatalagen kommer, som konstateras i avsnitt 4.4, att innehålla bestämmelser som kompletterar dataskyddsförordningen. Det bör införas en bestämmelse i lagen som upplyser om detta. Regeringen anser, till skillnad från Kammarrätten i , att bestämmelserna om förhållandet till annan reglering på samma sätt som bör placeras efter bestämmelserna om lagens syfte och tillämpningsområde.