Remissyttrande över promemorian En omarbetad domstolsdatalag Anpassning till EU:s dataskyddsförordning

Transkript

1 YTTRANDE 1 (6) Avdelningen för domstolsutveckling Justitiedepartementet Enheten för processrätt och domstolsfrågor Stockholm Remissyttrande över promemorian En omarbetad domstolsdatalag Anpassning till EU:s dataskyddsförordning (Ds 2017:41) Ert dnr Ju2017/06965/Dom Domstolsverket, som har granskat promemorian främst mot bakgrund av den verksamhet verket och domstolarna bedriver, önskar framföra följande synpunkter på förslagen, vilka lämnas i anslutning till respektive avsnitt i promemorian. Utöver vad som redogörs för nedan har Domstolsverket ingenting att invända mot de förslag som lämnas. Allmänna synpunkter på promemorian Domstolsverket anser att förslagen i stort är väl avvägda och genomarbetade. Verket har löpande samrått med utredaren under utredningstiden. De synpunkter som framförts då har i stor utsträckning beaktats av utredaren. De synpunkter som lämnas nedan avseende de tekniska förutsättningarna för att medge olika myndigheter direktåtkomst till miljöboken har emellertid inte tidigare framförts till utredaren av det skäl att förutsättningarna blivit tydliga först efter promemorian färdigställts. Utredaren har i samråd med utredningen om 2016 års dataskyddsdirektiv kommit fram till att domstolarnas registerförfattning bör delas upp i två olika lagar med tillhörande förordningar. Domstolsdatalagen (DDL) och domstolsdataförordningen (DDF) föreslås därför endast gälla på dataskyddsförordningens 1 område. Utredningen om 2016 års dataskyddsdirektiv har i SOU 2017:29 lämnat förslag på en ny brottsdatalag som ska genomföra dataskyddsdirektivet 2, i svensk rätt. I SOU 2017:74 har samma utredning lämnat förslag på registerlagstiftning för domstolarna på direktivets område i form av domstolarnas brottsdatalag, som föreslås gälla utöver brottsdatalagen. Att domstolarnas registerlagstiftning delas upp på detta sätt innebär att den nya lagstiftningen kommer bli mer komplicerad och svåröverskådlig än den nuvarande regleringen på området. Det finns också en risk att gränsdragningsproblem 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). 2 Europaparlamentets och rådets direktiv (EU)2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF. R2B Jönköping Besöksadress: Kyrkogatan 34 Telefon: Fax: domstolsverket@dom.se Expeditionstid: Måndag-fredag kl. 8-12, 13-16

2 YTTRANDE 2 (6) uppstår. Domstolsverket vill understryka vikten av att den rättsliga regleringen som ska gälla för domstolarnas rättsskipande och rättsvårdande verksamhet i möjligaste mån är densamma inom det direktivstyrda och det förordningsstyrda området. Det kan konstateras att utredningen om 2016 års dataskyddsdirektiv har en något annorlunda syn på vissa frågor än vad utredaren ger uttryck för i den nu remitterade promemorian. Vad som i 16 DDL och 14 DDF kallas medium för automatiserad behandling benämns i 2 kap. 11 domstolarnas brottsdatalag och 10 domstolarnas brottsdataförordning elektroniskt utlämnande på annat sätt än genom direktåtkomst. Det är dock samma behandling som avses i författningarna. Som kommer behandlas närmare nedan görs också olika tolkningar av begreppet dömande verksamhet. Vidare finns olika uppfattningar avseende vad en ändamålsbestämmelse är och om sådana bestämmelser bör finnas i registerlagstiftningen. Det blir mycket problematiskt om dessa frågor behandlas olika på förordningens och direktivets område. Regeringen måste därför i det fortsatta lagstiftningsarbetet se till att de olika författningarna reglerar dessa frågor på likande sätt, samt att det ges ett entydigt besked om hur centrala begrepp som finns i både direktivet och förordningen ska tolkas. Nedan kommer vidare redogöras för vissa frågor som hade kunnat analyseras något djupare eller förklaras lite tydligare i promemorian, så som rättelse och begränsning av personuppgifter samt hur sökförbudet i 4 DDF förhåller sig till rätten att på begäran få ett s.k. registerutdrag i artikel 15 i dataskyddsförordningen. Synpunkter kommer också lämnas på regleringen av personuppgiftsansvaret i 9 DDL. Kapitel 8 Dömande verksamhet I promemorian görs en grundlig genomgång av hur begreppet dömande verksamhet bör tolkas i ett unionsrättsligt perspektiv. Utredaren anser att begreppet sannolikt omfattar all den personuppgiftshantering som utförs i det enskilda målet eller ärendet från att det anhängiggjorts vid domstolen tills ett slutligt avgörande har meddelats. I SOU 2017:29 görs en betydligt snävare tolkning som utgår från att dömande verksamhet i svensk rätt brukar avse att domar eller beslut utformas och meddelas. Bestämmelserna om den dömande verksamheten är utformade på liknande sätt i direktivet och förordningen. Tillsynsmyndighetens befogenheter och sanktionsavgifter regleras också på samma sätt i de båda rättsakterna. Det är därför enligt Domstolsverket problematiskt att det har gjorts så olika tolkningar av begreppet på förordningens och direktivets tillämpningsområde. Frågan får stor betydelse för domstolarnas verksamhet, bland annat styr tillsynsmyndighetens tillsynsområde vilken information som ska lämnas till den registrerade i olika sammanhang. Domstolsverket delar utredarens bedömning att begreppet bör tolkas i ljuset av EU-rätten och inte utifrån svensk rättspraxis. Kapitel 9 Ändamålsbestämmelser Domstolsverket instämmer i utredarens bedömning att det även fortsättningsvis bör finnas ändamålsbestämmelser och att 6 och 7 DDL ska kvarstå med vissa tillägg. Bestämmelserna är lämpligt utformade och torde omfatta all den personuppgiftsbehandling som kommer ske inom lagens tillämpningsområde. Att lagstiftningen blir något komplicerad eftersom personuppgifter som behandlats

3 YTTRANDE 3 (6) enligt brottsdatalagen ska hanteras enligt DDL när de lämnas ut och behandlas för arkivändamål har framförts i remisyttrandet över SOU 2017:29. I SOU 2017:74 anförs att det som idag benämns ändamålsbestämmelser i 6 DDL egentligen är en precisering av den rättsliga grunden. Några ändamålsbestämmelser förutom vad avser behandling för nya ändamål - föreslås inte, vare sig i brottsdatalagen eller i domstolarnas brottsdatalag. Domstolsverket anser att det är av stor vikt att frågan om ändamålsbestämmelser behandlas på samma sätt i domstolarnas registerlagstiftning. Det framstår inte som en tillfredställande lösning att det som på förordningens område benämns ändamålsbestämmelse kallas rättslig grund på direktivets område. En sådan ordning riskerar att leda till förvirring och tillämpningsproblem. Vidare finns det enligt Domstolsverket ingen anledning till att det ska finnas ändamålsbestämmelser i DDL, men inte på direktivets område. Kapitel 12 Personuppgiftsansvar I promemorian föreslås inte någon ändring av 9 DDL, som stadgar att en allmän domstol, en allmän förvaltningsdomstol eller en hyres- och arrendenämnd är personuppgiftsansvarig för den behandling av personuppgifter som den domstolen eller nämnden utför. Domstolsverket instämmer i utredarens bedömning att dataskyddsförordningen i sig inte föranleder någon ändring av bestämmelsen om personuppgiftsansvarets placering. Utformningen av 9 DDL har dock orsakat vissa tillämpningsproblem för Domstolsverket och domstolarna och det hade därför varit önskvärt om även denna bestämmelse kunde ses över när nu genomgående förändringar görs av DDL. Enligt de tidigare så kallade Vera-förordningarna 3 var en domstol personuppgiftsansvarig för den behandling av personuppgifter som domstolen utförde i Vera och Domstolsverket för den behandling verket utförde i samma system. I lagstiftningsarbetet inför införandet av DDL var flera remissinstanser kritiska till förslaget på utformning av 9 och framhöll att domstolarnas faktiska möjligheter att påverka om och hur en enskild personuppgiftshantering ska företas kan vara begränsade eftersom det är Domstolsverket som utformar datorsystemen. Datainspektionen anförde vidare att förslaget inte helt stämmer överens med grundtanken att det är den som styr över behandlingen som också har ansvaret. Regeringen ansåg emellertid att det är respektive domstol som bör vara personuppgiftsansvarig för den behandling som domstolen utför, bl.a. eftersom det blir tydligt för den enskilde vem han eller hon ska vända sig till vid klagomål. Eftersom varje domstol är självständig och på ett formellt plan är den som styr vilka åtgärder som vidtas i den rättskipande och rättsvårdande verksamheten är det enligt regeringen naturligt att det formella personuppgiftsansvaret också ligger på den berörda domstolen. I propositionen angavs vidare att domstolarna ska kunna ingå personuppgiftsbiträdesavtal med Domstolsverket för att verket ska kunna utföra behandlingar för domstolens räkning. 4 Domstolsverket har mot bakgrund av bestämmelserna i DDL och förarbetsuttalandena gjort bedömningen att verket och respektive domstol ska ingå person- 3 Förordningarna (2001: ) om registerföring m.m. med hjälp av automatiserad behandling vid allmänna domstolar, vid förvaltningsrätt, vid Högsta förvaltningsdomstolen och kammarrätterna samt vid hyres- och arrendenämnderna. 4 Prop. 2014/15:148 s

4 YTTRANDE 4 (6) uppgiftsbiträdesavtal för att reglera de fall då verket behandlar domstolarnas personuppgifter i den rättsskipande och rättsvårdande verksamheten. Flera domstolar har dock motsatt sig att ingå personuppgiftsbiträdesavtal med Domstolsverket och har som skäl härför bland annat angett att det är Domstolsverket som styr över medlen för personuppgiftsbehandlingen. Genom dataskyddsförordningen kommer den personuppgiftsansvariges skyldigheter att utökas än mer, och denne kommer t.ex. kunna drabbas av höga sanktionsavgifter om personuppgiftsbehandlingen inte sker på ett korrekt sätt. Det är därför än viktigare att hitta en rimlig lösning för fördelningen av personuppgiftsansvar mellan Domstolsverket och domstolarna när dataskyddsförordningen ska börja tillämpas. Domstolsverket instämmer i utredarens slutsats om att det inte är påkallat med någon förändring vad gäller förhållandet att personuppgiftsansvaret ska ligga hos varje domstol för den behandling av personuppgifter som den domstolen utför. Den närmare innebörden av detta behöver dock klargöras på något sätt. Antingen skulle domstolarnas personuppgiftsansvar kunna förtydligas i lagtexten, exempelvis genom att 9 ändras så att det tydligare framgår att domstolarna är ansvariga för den personuppgiftshantering som utförs i deras verksamhet (i stället för den hantering som de utför, som nuvarande formulering ser ut). Ett annat alternativ hade möjligtvis varit att Domstolsverkets hantering som personuppgiftsbiträde regleras i en rättsakt (t.ex. DDF) vilket är ett alternativ till avtal enligt artikel 28.3 dataskyddsförordningen. Det är enligt verkets mening i vart fall inte tillräckligt att denna fråga klargörs i förarbetena. Kapitel 13 Dataskyddsombud Domstolsverket instämmer i utredarens bedömning att dataskyddsombud också bör utses för domstolarnas dömande verksamhet. Så som begreppet dömande verksamhet definieras i promemorian kommer i stort sett hela den rättskipande och rättsvårdande verksamheten omfattas av begreppet. Det finns ett behov av dataskyddsombud också på detta område. Den osäkerhet som finns kring begreppet dömande verksamhet innebär också att det kommer bli svårt att dra en tydlig gräns för dataskyddsombudets uppdrag om detta område inte ska omfattas. Kapitel 15 Registrerades rättigheter Avsnitt 15.5 Information efter begäran I 4 DDF anges att det vid sökning i personuppgifter i brottmål som har avgjorts slutligt genom en dom eller beslut får personnamn, personnummer, samordningsnummer och andra uppgifter som direkt kan hänföras till en fysisk person som är i livet inte användas som sökbegrepp fem år efter utgången av det kalenderår då avgörandet fick laga kraft. Bestämmelsen finns redan i nu gällande DDF och i promemorian föreslås endast vissa små språkliga ändringar. I promemorian berörs inte frågan hur sökbegränsningen förhåller sig till rätten till registerutdrag i artikel 15 i dataskyddsförordningen. Rätt till registerutdrag gäller även personuppgifter som behandlas i arkiv. Det är oklart om sökbegränsningen inskränker rätten till registerutdrag på så sätt att ett registerutdrag inte kommer kunna omfatta brottmål äldre än fem år eller om rätten till registerutdrag tar över sökförbudet. Denna fråga behöver analyseras djupare i det fortsatta lagstiftningsarbetet.

5 YTTRANDE 5 (6) Avsnitt 15.6 Rättelse och radering samt rätt att göra invändningar och begära begränsning av behandling I förordningen regleras den registrerades rätt till rättelse, radering och begränsning av personuppgifter. Det hade varit önskvärt med en djupare analys kring vad som menas med begreppet rättelse samt hur denna rättighet förhåller sig till arkivlagstiftningens krav på bevarande av allmänna handlingar. Den registrerade har i vissa fall också rätt att kräva att behandlingen av personuppgifter ska begränsas. I dataskyddsförordningen finns dock sådana undantag som medför att domstolen trots begränsningen får behandla personuppgifterna som vanligt. Det saknas en mer djupgående diskussion kring detta förhållande i promemorian. Det är oklart vad det konkret innebär det att en uppgift begränsas men ändå får behandlas, exempelvis om uppgiften i sådana fall behöver markeras eller märkas på något sätt. Kapitel 21 Övriga myndigheters direktåtkomst till mark- och miljödomstolarnas miljöbok Domstolsverket välkomnar den grundliga genomgång av vilket rättsligt stöd som finns för personuppgiftsbehandling i miljöböckerna och de förslag till författningsändringar som utredningen lämnar i denna del. I promemorian anges att de tekniska lösningar som krävs för myndigheternas åtkomst till miljöboken redan torde finnas, eftersom länsstyrelserna sedan tidigare har direktåtkomst till miljöboken. Domstolsverket vill i detta sammanhang lyfta fram följande. Det är Länsstyrelsen i Västra Götalands län som har utvecklat miljöboken och som sköter driften av systemet, vilket innebär att det i första hand är denna myndighet som kan bedöma de tekniska förutsättningarna för utökad direktåtkomst. Domstolsverket ställer sig dock tveksam till om en sådan åtkomst är tekniskt möjlig och tillräckligt säker i nuvarande system. Som anges i promemorian kommer en ny version av miljöboken behöva utvecklas som på ett bättre sätt kan möta kraven på en utökad direktåtkomst i enlighet med utredarens förslag. Domstolsverket vill i sammanhanget framhålla att ett nytt system inte kommer kunna finnas på plats till den 25 maj 2018 då förslaget ska träda i kraft. Kapitel 23 Konsekvenser av förslagen Vad gäller förslaget om utökad direktåtkomst till miljöboken, så måste med all sannolikhet, som angivits ovan, ett helt nytt system utvecklas för att detta ska kunna möjliggöras på ett tekniskt och informationssäkerhetsmässigt godtagbart sätt. En sådan utveckling kommer kräva omfattande resurser. Oavsett om möjligheten till direktåtkomst utökas eller inte kommer Domstolsverket behöva utveckla en ny version av miljöboken. Eftersom det ännu inte finns något färdigt lösningsförslag avseende detta är det i nuläget inte möjligt att beräkna hur mycket ytterligare resurser som kommer krävas för att fler myndigheter ska kunna medges direktåtkomst på det sätt som föreslås i promemorian. I övrigt kan konstateras att dataskyddsreformen innebär stora förändringar för såväl Domstolsverket som domstolarna. Den sammantagna regleringen som ska vara på plats i maj 2018 innebär att domstolarna kommer behöva tillämpa inte mindre än fyra lagar med tillhörande förordningar samt den data-

6 YTTRANDE 6 (6) skyddsförordning som är grunden för nu aktuellt lagstiftningsarbete. Ingen av de utredningar som har redovisats har haft i uppgift att göra en konsekvensanalys av de sammantagna effekterna för Domstolsverket eller domstolarna. Det är av det skälet svårt att kunna ge en någorlunda komplett bild av de konsekvenser det sammantagna regelkomplexet leder till. Detta yttrande har beslutats av generaldirektören Martin Holmgren. I beredningen har även deltagit chefsjuristen Charlotte Driving samt hovrättsassessorn Sofia Lyth (föredragande). Martin Holmgren Charlotte Driving