Domstolsstyrelsen. 26. april Domstolsstyrelsens årsberetning 2006 om persondataloven. Indhold: Domstolsstyrelsens tilsynsopgave s.

Transkript

1 Domstolsstyrelsen KFJ12490/Sagsbeh. KFJ J.nr dir. tlf mail 26. april 2007 Domstolsstyrelsens årsberetning 2006 om persondataloven Indhold: Domstolsstyrelsens tilsynsopgave s. 2 Vejlednings- og tilsynsvirksomheden i 2006 s. 3 Konkrete sager s. 4 Oversigt over lovgivning, bekendtgørelser og vejledninger s. 9 ISSN

2 Side 2/9 Persondataloven - lov nr. 429 af 31. maj har som hovedformål at sikre, at personoplysninger ikke misbruges eller kommer til uvedkommendes kendskab. Loven gælder for alle behandlinger af personoplysninger, der foretages ved elektronisk databehandling, eller som indeholdes i et register, for eksempel en sagliste. Loven finder som udgangspunkt anvendelse på alle domstolenes sagsområder. Visse af lovens bestemmelser finder imidlertid ikke anvendelse på behandlinger, der foretages for domstolene på det strafferetlige område. Persondataloven gælder ikke for Færøerne og Grønland. Det fremgår af lovens 68, stk. 3, at Domstolsstyrelsen offentliggør en årlig beretning om sin virksomhed. Domstolsstyrelsens tilsynsopgave Domstolsstyrelsens kompetence vedrørende tilsynet med domstolene er reguleret i persondatalovens 67 og 68. Det følger af disse bestemmelser, at Domstolsstyrelsen fører tilsyn med domstolenes behandlinger af personoplysninger på det administrative område. Desuden fører styrelsen tilsyn med overholdelsen af reglerne for sikkerhed både på det judicielle og det administrative område. Domstolsstyrelsen påser både af egen drift og efter klage fra en registreret, at behandling sikkerhedsmæssigt finder sted i overensstemmelse med persondataloven og de dertil hørende regler og sikkerhedsforskrifter. Hvis en borger gør indsigelse imod en domstols behandling af personoplysninger, træffer domstolen derimod selv afgørelse herom, når det drejer sig om det judicielle område. Domstolens afgørelse kan ifølge persondatalovens 67, stk. 3, 2.pkt, kæres til højere ret. Kære sker efter de almindelige regler i retsplejeloven, dog således at kærefristen er 4 uger. Domstolsstyrelsens tilsynsopgave svarer til den opgave, som Datatilsynet udfører med hensyn til den offentlige forvaltning og det private erhvervsliv. På baggrund af den klart sammenlignelige opgave søger Domstolsstyrelsen så vidt muligt at tilrettelægge tilsynsopgaven i samklang med de normer, som Datatilsynet fastlægger for sin tilsynsvirksomhed. Domstolsstyrelsen og Datatilsynet samarbejder i øvrigt, i det omfang det er nødvendigt for at opfylde deres pligter, navnlig ved at udveksle relevante oplysninger. Det drejer sig for eksempel om afgrænsningsspørgsmål vedrørende afgørelseskompetencen. Samtidig med persondatalovens ikrafttræden den 1. juli 2000 er også tilsynet med tinglysningssystemet henlagt til Domstolsstyrelsen.

3 Side 3/9 Vejlednings- og tilsynsvirksomheden Det overordnede formål med tilsynsbesøg er at påse, at behandlingen af personoplysninger ved domstolene sker i overensstemmelse med persondataloven og regler udstedt i medfør af denne lov. I forbindelse med et tilsynsbesøg lægger Domstolsstyrelsen betydelig vægt på at komme i dialog med de dataansvarlige om databeskyttelsesretlige spørgsmål. Der er således ikke kun tale om en kontrolforanstaltning. Det er styrelsens erfaring, at sådanne tilsynsbesøg er et værdifuldt værktøj i det løbende samarbejde mellem styrelsen og de enkelte retter om at sikre et højt databeskyttelsesniveau ved Danmarks Domstole. Domstolsstyrelsen har i 2006 kun foretaget et par tilsynsbesøg, idet styrelsen har vurderet, at den retskredsreform, der er trådt i kraft ved årsskiftet , medfører så betydelige administrative og bygningsmæssige ændringer i de enkelte retter, at et dialog-besøg kort før reformens ikrafttræden ville miste sit overordnede formål. Domstolsstyrelsen planlægger i stedet at gennemføre tilsynsbesøg, når de nye byretter har etableret sig i bygninger, som den enkelte byret skal bruge i længere tid. Hidtil har Domstolsstyrelsen kun foretaget anmeldte besøg, men således, at en konkret henvendelse eller klage over rettens persondatabehandling kan udløse et uanmeldt tilsynsbesøg. Denne ordning forventes videreført. Erfaringerne fra tidligere års tilsynsbesøg, hvor stort set alle byretter og enkelte overordnede retter er besøgt, har vist, at domstolene generelt har et tilfredsstillende sikkerhedsniveau for behandlingen af persondata. Domstolsstyrelsen har i 2006 desuden deltaget i tre tilsynsmøder hos den private databehandler CSC, der blandt andet behandler tinglysningsdata for domstolene. Disse møder afholdes sammen med repræsentanter for Datatilsynet og Rigsrevisionen. Anmeldelse af domstolenes behandling af fortrolige oplysninger Domstolenes hidtidige behandling af fortrolige oplysninger er anmeldt til Domstolsstyrelsen, der opbevarer en samlet fortegnelse over anmeldelserne. Domstolenes behandlingsanmeldelser er i sagens natur forholdsvis ensartede, og langt den største del af anmeldelserne er da også foretaget på grundlag af de standarder, som Domstolsstyrelsen har udarbejdet for sagsområderne skiftesager (dødsbosager og andre skiftesager), civilsager, fogedsager, notarialsager, tvangsauktionssager, straffesager, almindelige journalsager og domsresuméer på hjemmesider. Behandlingen af personoplysninger ved byretterne foretages som altovervejende hovedregel på samme måde og ved anvendelse af ens it-systemer. I forbindelse med retskredsreformen har Domstolsstyrelsen ikke fundet det nødvendigt at byretterne gen-anmelder persondatabehandlingen, idet der er tale om de samme typer sager, som fortsat behandles i de samme sagsbehandlingssystemer som før retskredsreformen. Sikkerhedspolitik

4 Side 4/9 Domstolsstyrelsen har i 2006 arbejdet med at udforme en sikkerhedspolitik i overensstemmelse med kravene i DS 484:2005. Konkrete sager vedrørende persondataloven Domstolsstyrelsen behandlede i 2006 følgende sager af mere generel interesse vedrørende domstolenes persondatabehandling: Klage over manglende indsigt efter persondatalovens 31 Domstolsstyrelsen har behandlet en klage over manglende indsigt efter persondatalovens regler. I den pågældende sag havde klager anmodet Østre Landsret om indsigt i de tre deludtalelser, der dannede grundlag for landsrettens samlede udtalelse til klager vedrørende forløbet af hans periode som konstitueret landsdommer. I sin første afgørelse til klager oplyste Østre Landsret indledningsvist, at udtalelserne ikke længere forelå i elektronisk form. Endvidere udtalte landsretten, at selvom det antoges, at de omhandlede dokumenter alligevel var registre omfattet af persondatalovens registerbegreb, var de omhandlede udtalelser interne dokumenter omfattet af persondatalovens 32, stk.2, jf. offentlighedslovens 7. Efter landsrettens opfattelse var dokumenterne derfor undtaget fra retten til indsigt. Efter persondatalovens 31, stk. 1, skal den dataansvarlige på anmodning fra den registrerede oplyse denne om, hvorvidt der behandles oplysninger om vedkommende. Hvis der behandles sådanne oplysninger, skal der endvidere på en let forståelig måde gives den registrerede meddelelse om 1) hvilke oplysninger der behandles, 2) behandlingens formål, 3) kategorierne af modtagere af oplysningerne og 4) tilgængelig information om, hvorfra disse oplysninger stammer. Der gælder dog en række undtagelser til retten til indsigt. Blandt andet følger det af 30, stk.1, jf. 32, stk. 1, at der ikke er ret til indsigt, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv. Endvidere følger det af 30, stk. 2, jf. 32, stk. 1, at der ikke er ret til indsigt, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser. Bestemmelsen angiver herefter en række offentlige interesser, der navnlig kan tages hensyn til, herunder ex. hensynet til statens sikkerhed ( 30, stk. 2, nr. 1) samt hensynet til udførelsen af kontrol-, tilsyns- eller reguleringsopgaver, herunder opgaver af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i bestemmelsens nr. 3-5 nævnte områder (jf. 30, stk. 2, nr. 6). Bestemmelserne i 30, stk. 1 og 2, forudsætter, at der sker en konkret afvejning af på den ene side den registrerede interesse i at få kendskab til oplysningerne og på den anden side de i bestemmelserne nævnte afgørende hensyn til offentlige eller private interesser, herunder hensynet

5 Side 5/9 til pågældende selv. Herudover fremgår det af 32, stk. 2, at indsigt i oplysninger, der behandles for den offentlige forvaltning som led i administrativ sagsbehandling, kan begrænses i samme omfang som efter reglerne i offentlighedslovens 2 samt 7-11 og 14. Desuden er der efter 32, stk. 3, ikke ret til indsigt i oplysninger, der behandles for domstolene, hvis oplysningerne indgår i tekst, som ikke foreligger i endelig form. Dette gælder dog ikke, hvis oplysningerne er videregivet til en tredjemand. Der er heller ikke ret til indsigt i voteringsprotokoller og andre referater af domstolenes rådslagning samt materiale udarbejdet af domstolene til brug for rådslagningen. I forbindelse med Domstolsstyrelsens behandling af klagen oplyste Østre Landsret, at den ene deludtalelse stadig forefandtes i elektronisk form. Landsretten redegjorde endvidere nærmere for den procedure, der følges ved udarbejdelsen af udtalelser vedrørende et konstitutionsforløb. En landsretsudtalelse udarbejdes herefter på baggrund af tre deludtalelser, som indhentes fra retsformanden i hver af de tre afdelinger, hvor den konstituerede landsdommer har gjort tjeneste. Udtalelserne sammensættes derefter af præsidenten til brug for den samlede udtalelse til dommerfuldmægtigen. De tre afdelinger gøres ikke bekendt med hinandens udtalelser. Er der divergenser i udtalelserne, indkaldes retsformændene dog til et møde hos præsidenten. Domstolsstyrelsen traf herefter afgørelse i sagen. Domstolsstyrelsen lagde indledningsvist til grund, at Østre Landsret var dataansvarlig for behandlingen af personoplysninger i forbindelse med udarbejdelsen af deludtalelser til brug for præsidentens samlede udtalelse af et konstitutionsforløb, jf. også persondatalovens 3, nr. 4, der definere begrebet dataansvarlig. Styrelsen henviste herefter til persondatalovens 67, stk. 1, hvorefter Domstolsstyrelsen fører tilsyn med behandling af oplysninger, der foretages for domstolene. Ifølge 67, stk. 2, omfatter tilsynet behandling af oplysninger med hensyn til domstolenes administrative forhold. I lovbemærkningerne til bestemmelsen er det anført, at tilsynet bl.a. omfattter domstolenes førelse af en elektronisk oversigt over de ved et embede ansatte personers forhold. Dette er i Henrik Waabens og Kristian Korfitz Nielsens "Lovkommentar til persondataloven" blevet fortolket som omfattende bl.a. statistikker over sygefravær, optjent eller afholdt ferie, samt andre administrative personalemæssige forhold. Domstolsstyrelsen fandt med henvisning til persondatalovens 67, stk. 1 og 2, at klagen var omfattet af styrelsens tilsynskompetence. Domstolsstyrelsen fandt dernæst, at deludtalelsen, der fortsat forelå i elektronisk form, var omfattet af persondatalovens anvendelsesområde, jf. lovens 1, stk. 1, og dermed også af klagers ret til indsigt efter lovens 31, stk. 1, med de begrænsninger, der følger af 32, jf. 30. Angående de to øvrige udtalelser lagde Domstolsstyrelsen på baggrund af det i sagen oplyste til grund, at disse deludtalelser ikke længere forelå i elektronisk form, og at der derfor var tale om manuelle akter, som lå på en manuel sag (klagers konstitutionssag) og som derfor ikke var omfattet af persondatalovens registerbegreb jf. lovens 3, nr. 3. Dokumenterne var derfor ik-

6 Side 6/9 ke var omfattet af persondatalovens anvendelsesområde. Angående landsrettens udtalelse om muligheden for at få indsigt i de pågældende dokumenter, havde de foreligget i elektronisk form, fandt Domstolsstyrelsen ikke, at landsretten med rette havde kunnet afslå klagers anmodning om indsigt under henvisning til, at der var tale om interne arbejdsdokumenter omfattet af persondatalovens 32, stk. 2, jf. offentlighedslovens 7. Domstolsstyrelsen henviste i den forbindelse til, at bestemmelsen i 32, stk. 2, regulerer undtagelser fra indsigtsretten i oplysninger, der behandles for den offentlige forvaltning, og at det derfor følger umiddelbart af ordlyden af bestemmelsen, at den ikke finder anvendelse på domstolenes forhold. Derimod fandt Domstolsstyrelsen, at bestemmelsen i 32, stk. 3, regulerer begrænsninger i indsigtsretten i oplysninger, der behandles for domstolene, og at bestemmelsen også omfatter domstolenes udøvelse af administrativ virksomhed. Styrelsen henviste her til Betænkning nr. 1345/1997 om behandling af personoplysninger, s Idet Domstolsstyrelsen ikke fandt, at landsretten med rette havde kunnet afvise klagers anmodning om indsigt med henvisning til bestemmelsen i 32, stk. 2, og idet landsrettens afgørelse ikke var begrundet i andre forhold, henviste Domstolsstyrelsen sagen til fornyet behandling i landsretten, og anmodede landsretten om at tage stilling til klagers anmodning om indsigt i den deludtalelse, der fortsat forelå i elektronisk form. Domstolsstyrelsen gjorde samtidig klager opmærksom på, at landsrettens afgørelse ville kunne påklages til Domstolsstyrelsen. På baggrund af Domstolsstyrelsens afgørelse traf landsretten en ny afgørelse i sagen. I sin nye afgørelse afviste landsretten - nu med henvisning til persondatalovens 32, stk. 3 - igen klagers anmodning om indsigt. Landsretten henviste til, at der efter denne bestemmelse ikke er ret til indsigt i oplysninger, der behandles for domstolene, hvis oplysningerne indgår i en tekst, som ikke foreligger i endelig form, medmindre oplysningerne er videregivet til tredjemand. Landsretten henviste samtidig til det i forarbejderne anførte om, at også oplysninger i tekst, der er under udarbejdelse i forbindelse med domstolenes udøvelse af administrativ virksomhed, vil kunne undtages fra indsigtsretten. Landsretten redegjorde herefter for karakteren af deludtalelserne, herunder at der er tale om bidrag fra de enkelte afdelinger vedrørende forløbet af en konstitutionsperiode i de pågældende afdelinger, og at disse udtalelser alene afgives til brug for den samlede landsretsudtalelse. I sin vurdering i forhold til indsigtsreglerne fandt landsretten dernæst, at idet deludtalelserne alene udgør bidrag til brug for præsidentens samlede vurdering af den konstitueredes kvalifikationer, er der tale om tekster, der ikke foreligger i endelig form. Deludtalelser er derfor at anse som interne dokumenter, der er udarbejdet til landsrettens eget brug, og som indgår i beslutningsprocessen om affattelsen af landsretsudtalelsen. Landsretten henviste i den forbindelse også til, at tilsvarende udtalelser i den offentlige forvalt-

7 Side 7/9 ning som udgangspunkt må anses som interne dokumenter, og at der ikke er grundlag for at antage, at der med udformningen af 32, stk. 3, er tilsigtet en snævrere mulighed for i administrative forhold inden for domstolsområdet i sammenligning med den offentlige forvaltning at kunne undtage interne arbejdsdokumenter fra indsigtsretten. Det var på den baggrund sammenfattende landsrettens opfattelse, at deludtalelserne i medfør af persondatalovens 32, stk. 3, var undtaget fra klagers ret til indsigt efter lovens 31, stk. 1. Landsretten fandt heller ikke, at der i øvrigt forelå grunde, der ud fra principperne om meroffentlighed talte for at imødekomme klagers anmodning. Klager har ikke efterfølgende påklaget landsrettens afgørelse til Domstolsstyrelsen. Anonymisering af elektroniske retslister og domsresumeer Domstolsstyrelsen modtager hvert år forespørgsler fra borgere om indholdet, herunder anonymiseringsgraden, af retternes retslister og domsresumeer. Retslister For så vidt angår retslister fremgår reglerne bekendtgørelse nr 546 af 18. juni 2004 som ændret ved bekendtgørelse nr af 6. oktober 2006 om retslister og om massemediernes aktindsigt i og opbevaring af kopier af anklageskrifter og retsmødebegæringer mv. Det følger af bekendtgørelsen, at der er en væsentlig forskel på de oplysninger, der fremgår af henholdsvis papirsaglisten og den elektroniske sagliste. På den elektroniske sagliste skal for eksempel oplysninger om sigtede eller tiltalte i straffesager anonymiseres, mens de samme oplysninger om den sigtedes navn m.v. skal fremgå af den papirsagliste, der opslås i retsbygningen. Hvis der er nedlagt navneforbud vedrørende en sigtet eller tiltalt, skal navnet medtages, men navneforbuddet skal udtrykkeligt fremgå af papirsaglisten. Men som nævnt ovenfor skal navnet anonymiseres på den elektroniske sagliste. Det følger også af bekendtgørelsen, at retten efter anmodning kan udlevere kopier af retslisterne, herunder de elektroniske, men retslister, der udleveres, må ikke indeholde oplysninger, der er omfattet af 7, stk. 1, i persondataloven. De i 7 nævnte oplysninger vedrører racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold. Domsresumeer I forbindelse med retternes muligheder for at offentliggøre domsresumeer på retternes hjemmesider, har Domstolsstyrelsen i cirkulæreskrivelse af 23. september 2003 opstillet vilkår for offentliggørelsen, herunder for anonymisering af de oplysninger, som efter persondataloven anses for følsomme og fortrolige, i de elektroniske domsresumeer.

8 Side 8/9 Anonymisering består i udeladelse af personnavne, præcise adresseangivelser samt eventuelt andre identifikationsoplysninger om personer. For eksempel kan en oplysning om en fødselsdato gengives, mens løbenummeret i et personnummer skal anonymiseres. Journalnummer, saglistenummer m.v. kan også gengives. Et vejnavn skal typisk anonymiseres. De opstillede vilkår er gengivet i Domstolsstyrelsens årsberetning 2003 om persondataloven. Abonnement på cpr-registeret Domstolsstyrelsen har modtaget to forespørgsler om årsagen til, at Retten i Århus har fået oplysninger fra cpr-registeret om de to spørgere. Begge har oplyst, at de aldrig har været i kontakt med Retten i Århus. Retten i Århus har oplyst, at retten abonnerer på cpr-registeret for at sikre, at retten til enhver tid har opdaterede adresseoplysninger om personer, der er registreret i Bil- og personbogen eller i testamentsregisteret, der er retternes interne arbejdsregister. De nævnte registre føres kun ved Retten i Århus, og det er derfor kun denne ret, der har abonnementet. De øvrige byretter har ikke samme behov for oplysninger om borgere, der ikke har et konkret ærinde i den pågældende ret. Opkaldsliste fra en teleleverandør En part klagede til Den Særlige Klageret over sagsbehandlingen i en civil sag. Parten bestred herunder, at dommeren, der behandlede sagen, har ført en samtale med en af partens ansatte på et bestemt tidspunkt på en bestemt dato. Til brug for klagesagens behandling ønskede dommeren oplysninger fra teleselskabet om det telefonnummer, som retten på det pågældende tidspunkt har foretaget opkald til. Domstolsstyrelsen udtalte i denne anledning følgende: Ifølge lov om behandling af personoplysninger 13, stk. 1, må offentlige myndigheder og private virksomheder m.v. ikke foretage automatisk registrering af, hvilke telefonnumre der er foretaget opkald til fra deres telefoner. Registrering må dog ske efter forudgående tilladelse fra tilsynsmyndigheden (her Domstolsstyrelsen) i tilfælde, hvor afgørende hensyn til private eller offentlige interesser taler herfor. Tilsynsmyndigheden kan fastsætte nærmere vilkår for registreringen. Det er Domstolsstyrelsens opfattelse, at det som udgangspunkt ikke er i overensstemmelse med persondatalovens 6, stk. 1, at et telefonselskab udleverer et fuldt specificeret telefonnummer, som en medarbejder har foretaget opkald til fra rettens telefon. Dette skyldes, at retten herved vil få overladt oplysninger, som retten ikke selv må registrere i henhold til lovens 13, stk. 1, 2. pkt. Domstolsstyrelsen kan som tilsynsmyndighed give tilladelse til udlevering af et specifikt telefonnummer efter persondatalovens 13, stk. 1, 2. pkt.

9 Side 9/9 Under henvisning til sagens omstændigheder tillod Domstolsstyrelsen udlevering af den ønskede opkaldsspecifikation på det vilkår, at oplysningen udelukkende må bruges i forbindelse med Den Særlige Klagerets behandling af den nævnte sag. Domstolsstyrelsen lagde vægt på, at det udspecificerede telefonnummer skulle indgå i klagesagsbehandlingen ved Den Særlige Klageret, og at det alene drejede sig om udlevering af de sidste cifre i et nærmere angivet telefonnummer, hvortil der er foretaget opkald på et præcist angivet tidspunkt. Oversigt over lovgivning, bekendtgørelser og vejledninger Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger, som ændret ved lov nr. 280 af 25. april Bekendtgørelse nr. 532 af 15. juni 2000 om undtagelse fra pligten til anmeldelse af visse behandlinger, som foretages for domstolene. Bekendtgørelse nr. 535 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for domstolene. Bekendtgørelse nr. 546 af 18. juni 2004 som ændret ved bekendtgørelse nr af 6. oktober 2006 om retslister og om massemediernes aktindsigt i og opbevaring af kopier af anklageskrifter og retsmødebegæringer mv Cirkulæreskrivelse nr. 622 af 17. september 2004 om retslister. Cirkulæreskrivelse nr. 605 af 25. juni 2004 om retslister. Vejledning af 17. juni 2004 om aktindsigt mv. ved domstolene. Cirkulæreskrivelse af 23. september 2003 om vilkår for offentliggørelse af domsresumeér på hjemmesider. Retningslinier af 13. november 2002 om anvendelsen af . Domstolsstyrelsens generelle vejledning af februar 2006 om persondataloven. Domstolsstyrelsens vejledning af februar 2006 om anmeldelsesordningen m.v. inden for domstolsområdet efter persondataloven. Domstolsstyrelsens vejledning af februar 2006 om de registreredes rettigheder efter persondataloven.