sou · H3B339 · 2015-04-08 00:00:00 — Av 45 § första stycket PuL följer således att tillsynsmyndigheten i första hand ska försöka åstadkom- ma rättelse genom påpekanden eller liknande förfaranden och att befogenheter i förhållande till myndigheter detta gäller även om en behandling kan konstateras vara eller komma att bli olaglig. Personuppgiftslagen anvisar alltså samma slags åtgärder från till- synsmyndighetens sida oavsett om de avses användas i förebyggan- de syfte eller för att korrigera en behandling som konstaterats inte uppfylla lagens krav. Det har i praktiken bl.a. medfört att Data- inspektionen – med stöd av 45 § första stycket PuL – har förelagt en personuppgiftsansvarig att åtgärda konstaterade brister i sin person- uppgiftsbehandling. Genom den praxis som har utbildats kring till- synsmyndighetens befogenheter enligt personuppgiftslagen får denna ordning anses ha accepterats (se t.ex. Kammarrätten i dom , mål nr 2415-12). I personuppgiftslagens mening ryms alltså en åtgärd från tillsynsmyndighetens sida i form av ett föreläggande inom ramen för uttrycket ”påpekanden och lik- nande förfaranden”. Denna tolkning ska emellertid ses i ljuset av att dels 45 § första stycket PuL också omfattar de fall då en behandling konstateras vara otillåten, dels att den tvingande åtgärd som enligt lagen annars står till buds är att förbjuda behandlingen. I vissa fall då Datainspektionen konstaterat att en behandling inte uppfyller de krav som följer av de föreskrifter som gäller för den personuppgiftsansvariges verksamhet har det tidigare förekommit att inspektionen i sitt beslut, i stället för att förelägga vederbörande att åtgärda bristerna, uttalat att den personuppgiftsansvarige ”upp- manas ”att vidta vissa åtgärder eller att inspektionen ”förutsätter att” så sker. Det slaget av formuleringar från tillsynsmyndighetens sida har lett till oklarhet beträffande huruvida beslutet har sådana verk- ningar för den personuppgiftsansvarige eller andra att det är frågan om ett överklagbart beslut. I praxis har ett sådant beslut i sakligt hänseende ansetts ligga så nära ett formligt föreläggande att det har kunnat överklagas (se t.ex. Kammarrätten i beslut i mål nr 1173-2001). Avgörande synes alltså vara den omständigheten att tillsynsmyndigheten konstaterar att en per- sonuppgiftsbehandling inte uppfyller kraven i gällande föreskrifter även om den personuppgiftsansvarige trots det genom en inte tvingande formulering uppmanas att på eget initiativ komma till rätta med bristerna. Enligt vad vi har erfarit kan det finnas en risk för att ett sålunda utformat beslut kan uppfattas ha ett dubbelt och delvis motstridigt budskap och därför inte kommer att efterlevas. befogenheter i förhållande till myndigheter Av artikel 12 b i dataskyddsdirektivet följer att medlemsstaterna ska säkerställa att varje registrerad har rätt att från den registeransva- rige i förekommande fall få sådana uppgifter som inte behandlats i enlighet med direktivets bestämmelser korrigerade. Datainspektion- ens tillsynsuppgift innefattar visserligen efterlevnaden av hela lag- stiftningen och inte enbart att korrigera en felaktig behandling av personuppgifter, dvs. även krav på exempelvis information och tillräckliga säkerhetsåtgärder. Enligt vår uppfattning synes det emel- lertid vara mer förenligt med kravet på att den registrerades rätt säkerställs och det grundläggande syftet med lagen att skydda en- skildas personliga integritet att tillsynsmyndigheten genom någon form av påbud ingriper mot en personuppgiftsansvarig som brister i sina skyldigheter enligt lagen i stället för att anvisa denne att genom en frivillig åtgärd komma till rätta med bristerna. Mot denna bakgrund anser vi att tillsynsmyndigheten inte bör använda sig av påpekanden och andra åtgärder som inte har en tvingande karaktär i de fall då myndigheten har konstaterat att en myndighet behandlar personuppgifter på ett sätt som inte uppfyller lagens krav. Denna typ av åtgärder, som alltså har karaktär av upp- maningar och inte påbud, bör endast användas i de fall det exem- pelvis finns en farhåga om att en behandling kan komma att ske på ett otillåtet sätt eller att det annars behövs för att förebygga att en behandling ska bli otillåten. Vi anser att detta bör komma till klart uttryck i den nya lagen och föreslår därför en bestämmelse med ett sådant innehåll. 17.3.4Tvingande åtgärder i form av föreläggande eller förbud Förslag: ska kunna förelägga en myndighet att uppfylla sina skyldigheter om myndigheten inte uppfyller de krav som följer av den nya lagen eller föreskrifter som meddelats med stöd av den. I föreläggandet ska anges vad tillsynsmyndig- heten anser är nödvändigt för att avhjälpa de påtalade bristerna. ska också ha befogenhet att förbjuda en myndighet att fortsätta en behandling av personuppgifter på något annat sätt än att uppgifterna lagras. Ett sådant beslut förutsätter att myndigheten allvarligt brister i sin skyldighet att uppfylla de krav som gäller för behandlingen. befogenheter i förhållande till myndigheter Det är ett rimligt antagande att utgångspunkten är att myndigheter vill behandla personuppgifter på ett sätt som uppfyller de krav som gäller för myndigheten. Det finns emellertid exempel på att det kan uppstå situationer när Datainspektionen och myndigheten i fråga inte är överens om den aktuella behandlingen uppfyller kraven i gällande regelverk eller inte. I en sådan situation, dvs. då myndig- heten inte själv har vidtagit åtgärder för att komma till rätta med brister som enligt tillsynsmyndigheten kan konstateras, är det likaså rimligt att tillsynsmyndigheten har mer kraftfulla maktmedel att ta till än att försöka åstadkomma rättelse genom påpekanden eller andra åtgärder som inte har en tvingande karaktär. Ett sådant ställnings- tagande förefaller vidare, som redan påpekats, vara mer förenligt med kravet på medlemsstaterna som följer av dataskyddsdirektivet att säkerställa den registrerades rätt att få en personuppgiftsbehand- ling som inte uppfyller direktivets krav korrigerad. Till bilden hör vidare att om artikel 53.1 i förslaget till uppgiftsskyddsförordning blir verklighet kommer en befogenhet för tillsynsmyndigheten att förbjuda behandling att följa direkt av förordningen. Föreläggande att åtgärda en behandling som inte uppfyller gällande krav Den praxis som utbildats rörande tillsynsmyndighetens nuvarande befogenheter enligt 45 § första stycket PuL kan sägas inrymma en möjlighet för Datainspektionen att förelägga en personuppgifts- ansvarig att genom en viss påbjuden åtgärd komma till rätta med en otillåten behandling. En sådan möjlighet bör enligt vår uppfattning också följa av den nya lagen. Vi anser att den befogenheten emeller- tid bör komma till tydligare uttryck än vad som är fallet med formuleringen i 45 § första stycket PuL. Föreläggandet bör kunna ta sikte på samtliga skyldigheter som den personuppgiftsansvarige har enligt lagen eller föreskrifter som har meddelats med stöd av den. I den nya lagen bör det vidare ställas krav på att det av före- läggandet ska framgå vad inspektionen anser är nödvändigt för att påtalade brister ska avhjälpas. ska alltså kunna använda sig av ett före- läggande i de fall där de konstaterade bristerna kan åtgärdas utan att det är nödvändigt att behandlingen som sådan upphör, såsom kan vara fallet om t.ex. ett visst register inte längre bör få föras. befogenheter i förhållande till myndigheter exempel kan nämnas att personuppgifter som rör en viss registrerad har behandlats för länge på grund av att myndigheten i fråga om just dessa uppgifter inte har iakttagit de gallringsföreskrifter som gäller för behandlingen, vilken annars utförs för ett berättigat ända- mål och även i övrigt uppfyller gällande krav. Ett annat exempel kan vara att myndigheten behöver vidta en viss säkerhetsåtgärd för att behandlingen ska kunna anses omgärdad av en tillräcklig säker- hetsnivå eller att två myndigheter har börjat utbyta personuppgifter genom direktåtkomst utan att träffa en sådan överenskommelse som vi föreslår ska krävas enligt den nya lagen (jfr kapitel 10). Förbud mot att fortsätta en behandling Det kan konstateras att Datainspektionens befogenhet enligt 44 och 45 §§ PuL att under vissa förutsättningar förbjuda annan behandling av personuppgifter än lagring kan få långtgående konsekvenser om ett sådant förbud meddelas för en myndighet. Såsom påpekades i promemorian med förslag till en ny domstols- datalag skulle det i många fall innebära att verksamheten hindras helt och hållet (Ds 2013:10 s. 161). Det föranledde JO att i sitt remissvar avstyrka förslaget att Datainspektionen skulle ha möjlig- het att meddela denna typ av förbud på domstolsområdet. Det kan tyckas att domstolarna intar en särställning i samhället genom sin för rättssäkerheten principiellt viktiga uppgift såsom i många fall exklusiv utövare av makt i förhållande till enskilda och som den slutliga uttolkaren av en lagstiftnings innehåll. Men även vad gäller myndigheter i allmänhet torde det kunna konstateras att ett förbud att behandla personuppgifter på annat sätt än genom att lagra dem kan få allvarliga följder, inte bara för verksamhetens be- drivande som sådan utan även för enskildas möjligheter att i olika hänseenden tillvarata sina rättigheter liksom deras krav på service. Att myndigheters verksamhet kan hindras innebär därmed risker för den allmänna tilltron till det allmännas förmåga att bedriva samhälls- nyttig verksamhet, vilket är allvarligt. I vissa registerförfattningar har gjorts undantag från personupp- giftslagens nu aktuella bestämmelser på så sätt att Datainspektionen på myndighetsområdet i fråga inte har getts befogenhet att för- bjuda en personuppgiftsbehandling. Utan att frågan har behandlats befogenheter i förhållande till myndigheter särskilt utförligt i förarbetena får slutsatsen dras att i dessa lagstift- ningsärenden har Datainspektionens möjlighet enligt 45 § första stycket att försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden, dvs. inbegripet möjligheten att förelägga en myndighet att åtgärda en behandling som konstaterats brista i något avseende, samt befogenheten enligt 47 § att hos domstol ansöka om utplåning av uppgifter ansetts utgöra tillräckligt effektiva be- fogenheter. Det kan mot den angivna bakgrunden ifrågasättas om tillsyns- myndigheten generellt sett alls bör ha en sådan långtgående befogen- het på myndighetsområdet och om så, om det bör införas bestäm- melser som reglerar förutsättningarna för att meddela ett sådant förbud. Vårt förslag att tillsynsmyndigheten också enligt den nya lagen ska ha möjlighet att förelägga en myndighet att åtgärda brister i en viss personuppgiftsbehandling som myndigheten utför innebär att denna åtgärd bör vidtas då en iakttagen brist kan åtgärdas utan att behandlingen som sådan behöver upphöra. Men den situationen kan alltså uppstå att det förekommer sådana allvarliga brister ur integritetsskyddssynpunkt i samband med en viss personuppgifts- behandling att behandlingen som sådan bör upphöra. Som exempel kan nämnas det s.k. hos dåvarande Polismyn- digheten i . Vid sin granskning fann Säkerhets- och integritet- skyddsnämnden, SIN, att det förekommit generella och allvarliga brister vid polisens behandling av personuppgifter i registret, exem- pelvis att ändamålet med behandlingen var alldeles för vitt och att tillgången till personuppgifter i registret inte hade begränsats till varje tjänstemans behov (SIN:s uttalande , dnr 173-2013). beslutade därefter att avsluta re- gistret (se SIN:s uttalande , dnr 463-2013). Ett annat exempel är tingsrätts behandling av personupp- gifter i form av att domstolens uppropslistor publicerades på dom- stolens webbplats. Datainspektionen konstaterade att publiceringen utgjorde en kränkning av registrerades personliga integritet enligt den s.k. missbruksregeln i 5 a § PuL och förelade tingsrätten att upphöra med publiceringen (beslut , dnr 655-2012, se HFD 2014 ref. 32). Som vi ser det kan man, sett till förvaltningsmyndigheters verk- samhet i stort, alltså knappast utesluta att situationer kan uppstå där behovet av verksamma åtgärder i syfte att kunna avbryta pågå- befogenheter i förhållande till myndigheter ende kränkningar av enskildas integritet är sådant att tillsynsmyndig- heten måste ha befogenhet att kunna stoppa pågående behandlingar. Det går alltså inte att utesluta att det kan behövas en befogenhet för tillsynsmyndigheten att stoppa en pågående behandling även så- vitt avser myndigheter. Däremot bör det gälla särskilda förutsätt- ningar för ett ingripande av det slaget. Enligt vår mening bör till- synsmyndigheten få ingripa genom ett förbud mot en fortsatt behand- ling av personuppgifter bara då en myndighet på ett allvarligt sätt har åsidosatt sina skyldigheter som personuppgiftsansvarig enligt den nya lagen och bristerna är av sådant slag att de inte kan åtgärdas på så sätt att ett tillräckligt skydd för personuppgifterna uppnås annat än genom att den aktuella behandlingen upphör. Det ska alltså exem- pelvis vara frågan om att en myndighet i en inte obetydlig omfatt- ning behandlar känsliga personuppgifter trots att myndigheten saknar författningsstöd för det. Ett annat exempel kan vara att en myndig- het har medgett en aktör direktåtkomst till sekretessreglerade per- sonuppgifter trots att myndigheten saknar stöd för det i lag eller förordning. Att en myndighet på ett allvarligt sätt åsidosätter sin skyldighet att vidta åtgärder för att upprätthålla en tillräckligt hög säkerhetsnivå för en stor mängd känsliga personuppgifter är ytter- ligare exempel på en situation då tillsynsmyndigheten bör ha befogen- het att kunna förbjuda en fortsatt behandling. Trots att myndigheten förbjuds att fortsätta en viss behandling av personuppgifter bör den ändå inte vara förhindrad att behandla uppgifterna genom att i någon form lagra dem, exempelvis för att det kan vara nödvändigt för att i ett senare skede kunna använda informationen som bevismedel i ett eventuellt skadeståndsärende. Detta bör framgå uttryckligen av den bestämmelse som vi nu före- slår. 17.3.5Befogenhet att besluta om vite Bedömning: bör inte ha befogenhet att rikta vitesförelägganden mot vare sig statliga eller kommunala myn- digheter vars behandling av personuppgifter regleras av den nya lagen. Någon sådan bestämmelse föreslås därför inte. befogenheter i förhållande till myndigheter Allmänt om viten på det offentligrättsliga området Enligt 2 § lagen (1985:206) om viten, viteslagen, ska ett vitesföre- läggande vara riktat till en eller flera namngivna fysiska eller juridiska personer. Det förefaller inte vara möjligt att utifrån rådande praxis på området få ett heltäckande svar på frågan om ett vite kan riktas till ett offentligrättsligt juridiskt objekt. Frågan behandlas utförligt i kommentaren till viteslagen (Lavin, Viteslagstiftningen, , Zeteo, kommentaren till 2 § viteslagen). Där redovisas bl.a. följande. Det finns författningsbestämmelser som innehåller ut- tryckliga förbud mot att vite föreläggs staten eller en kommun (se t.ex. 9 kap. 8 § andra stycket RB, ”staten” och 18 kap. 27 § fastig- hetstaxeringslagen [1979:1152], ”staten, kommun eller tjänsteman i tjänsten”). har emellertid rätt att meddela vissa vites- förelägganden mot den som bedriver verksamhet enligt socialtjänst- lagen (2001:453) och lagen (1993: 387) om stöd och service till vissa funktionshindrade, vilket kan vara en kommun. I den mån ut- tryckliga regler saknas, är rättsläget alltså oklart beträffande i vilken utsträckning ett vitesföreläggande kan, eller bör, riktas mot en offentligrättslig juridisk person. Det förekommer dock i praxis att viteshot har riktats mot en kommun och inte bara då den uppträtt som privaträttsligt subjekt. Det är däremot omöjligt att säga något bestämt om huruvida staten, då främst närmast ansvarig statlig myn- dighet, utan särskilt lagstöd kan vara adressat i ett vitesförelägg- ande. Den omständigheten att staten i princip betraktas som ett enhetligt rättssubjekt borde principiellt sett innebära att vitesföre- lägganden inte ska förekomma inom statlig offentlig verksamhet. Mer problematiskt är det fall då staten uppträder som privaträttsligt subjekt, t.ex. som arbetsgivare. Vidare kan eventuellt statliga affärs- drivande verk exempelvis kunna bli föremål för ett vitesföreläg- gande, eftersom verksamheten inte skiljer sig nämnvärt från den som bedrivs i ett statligt aktiebolag. Enligt 4 kap. 5 § diskrimineringslagen (2008:567) kan ett vites- föreläggande riktas även mot staten som arbetsgivare när den inte fullgör sin skyldighet att vidta aktiva åtgärder enligt vad som före- skrivs i 3 kap. samma lag. Bestämmelsen motsvarar 35 § i den tidigare jämställdhetslagen (1991:433). I samband med att den bestämmel- sen infördes erinrade Lagrådet om uttalandena i förarbetena till vites- lagen (prop. 1984/85:96 s. 100) att det krävs att ett helt speciellt befogenheter i förhållande till myndigheter undantagsfall är för handen för att vitesföreläggande mot staten ska komma i fråga (prop. 1999/2000:143 s. 156). Enligt Lagrådet hade det i lagrådsremissen inte anförts några bärande skäl för att denna mycket restriktiva inställning till att förelägga staten vite ska från- gås just på jämställdhetsområdet. Regeringen delade emellertid inte Lagrådets bedömning utan ansåg att frågorna om jämställdhet och mångfald i arbetslivet är av sådan vikt att denna allmänt restriktiva inställning nu borde frångås (a. prop. s. 98 f.). Även i arbetsmiljölagen (1977:1160) har det införts en möjlighet att rikta vitesförelägganden mot staten som arbetsgivare (7 kap. 7 § andra stycket). I förarbetena anförde regeringen att frågan om effek- tiva sanktioner för att förebygga skador och ohälsa i arbetslivet även på arbetsmiljö- och arbetstidsområdet är av sådan vikt att den restriktiva inställningen till att förelägga staten vid vite bör frångås (prop. 2012/13:143 s. 66 f.). I sammanhanget kan noteras att Skolinspektionen har befogen- het enligt skollagen (2010:800) att rikta vitesföreläggande mot den som bedriver sådan verksamhet som står under inspektionens tillsyn, vilket kan vara både kommuner och enskilda. Vidare följer det av 21 § andra stycket lagen (1986:765) med instruktionen för ombudsmän att JO får förelägga vite om högst när om- budsman inom ramen för sin tillsyn begär upplysningar och yttranden som domstolar, förvaltningsmyndigheter samt anställda hos staten eller kommun eller annan som står under en ombudsmans tillsyn är skyldiga att lämna enligt 13 kap. 6 § andra stycket RF. Det gäller emellertid inte i de ärenden där en ombudsman har beslutat om förundersökning. Bör befogenheten att besluta om viten som riktas mot myndigheter finnas kvar? Vid personuppgiftslagens införande fördes i förarbetena inga prin- cipiella resonemang angående den omständigheten att lagförslaget innehöll föreskrifter som gav Datainspektionen befogenhet att rikta vitesförbud även mot myndigheter, både statliga och kommunala, såsom personuppgiftsansvariga. Resonemangen rörde endast frågor om behovet av ett vitessanktionerat förbud och förutsättningar för att vitet skulle kunna dömas ut (prop. 1997/98:44 s. 102 f.). Någon remissinstans framförde synpunkten att ett förbud borde kunna befogenheter i förhållande till myndigheter föregås av ett med vite förenat föreläggande för att uppnå det resultat som önskas. Enligt regeringens mening var det emellertid viktigt att tillsynsmyndigheten i första hand kunde fungera som ett stöd vid de personuppgiftsansvarigas behandling av personupp- gifter och ge råd om hur behandlingen bör gå till för att vara laglig. Möjligheten till ett vitessanktionerat förbud fick anses tillräckligt för att förmå de personuppgiftsansvariga att följa tillsynsmyndig- hetens råd. Som framgått har det i flera registerförfattningar som reglerar be- handling av personuppgifter vid statliga myndigheter införts bestäm- melser som föreskriver att Datainspektionens befogenhet enligt personuppgiftslagen att besluta om vite inte ska gälla i samband med tillsyn över den aktuella myndigheten. Som skäl har anförts att det följer av allmänna rättsgrundsatser att vite inte bör användas som sanktionsmedel mellan statliga myndigheter. Av redovisningen ovan framgår alltså att det förekommer att viten kan riktas mot kommunala myndigheter, inte bara i de fall då de uppträder som ett privaträttsligt subjekt och även om det inte finns en uttrycklig bestämmelse som ger tillsynsmyndigheten i fråga en sådan befogenhet. Att en statlig tillsynsmyndighet kan rikta ett vite mot en annan statlig myndighet har emellertid ansetts strida mot allmänna rättsgrundsatser. Något uttryckligt förbud mot att rikta ett vite mot staten finns emellertid inte och från senare tid finns alltså ett par exempel på att lagstiftaren har frångått denna restrik- tiva inställning. Datainspektionens nuvarande befogenhet att besluta om vite mot både staten och kommuner aktualiserar enligt vår mening återigen frågan om myndigheters behandling av personuppgifter ska ses som en verksamhet som innebär att myndigheter såsom personuppgifts- ansvariga ska jämställas med privaträttsliga subjekt såvitt avser sådana skyldigheter som personuppgiftsansvaret innebär eller medför. Be- handling av personuppgifter är visserligen i sig en verksamhet som kan bedrivas av både enskilda och det allmänna. Den behandling av personuppgifter hos myndigheter som den generella lagen avser att träffa sker emellertid uteslutande inom ramen för ett offentligrätts- ligt uppdrag. På det statliga området bedrivs denna verksamhet exklusivt av statliga myndigheter. Därmed finns enligt vår mening principiellt sett inget behov av att jämställa statliga myndigheters behandling av personuppgifter med enskilda aktörers behandling i befogenheter i förhållande till myndigheter så måtto att samma villkor i alla delar bör gälla. Bilden är delvis annorlunda när det gäller det kommunala området, där t.ex. verk- samhet inom den kommunala och hälso- och sjuk- vården också bedrivs av enskilda. På skolområdet finns aktörer som fristående från såväl stat som kommun bedriver både grund- och gymnasieskola. Enligt vår uppfattning innebär statliga myndigheters behandling av personuppgifter, som är en integrerad del i en myndighets hela verksamhet och myndighetsutövning, inte på något sätt att myndig- heter kan anses agera på en marknad eller av annat skäl bör jämställas med eller anses agera som ett privaträttsligt subjekt. Eftersom dessa myndigheters behandling av personuppgifter sker i en verksamhet som i allmänhet inte förekommer utanför det allmänna och som omgärdas av helt andra krav och regler än vad som annars är fallet finns inga bärande skäl för att i alla delar ha samma sanktionsmöjlig- heter mot både myndigheter och enskilda. Det finns därmed inget sådant starkt vägande skäl som talar för att myndigheters behand- ling av personuppgifter utgör ett sådant undantagsfall att man bör avvika från den allmänna rättsgrundsatsen att staten inte kan rikta viten mot sig själv. Vi föreslår därför att tillsynsmyndigheten inte ska ha befogenhet att rikta viten mot andra statliga myndigheter, vare sig i samband med föreläggande eller för att sanktionera ett förbud mot behandling. Vår ovan uttalade principiella syn på vad myndigheters behand- ling av personuppgifter utgör, dvs. en integrerad del i myndigheters egentliga uppdrag och verksamhet vilket normalt saknar privaträtts- liga inslag, talar enligt vår uppfattning för att tillsynsmyndigheten som huvudregel inte heller ska ha någon befogenhet på det kom- munala området att rikta viten mot myndigheterna där. Vi är emel- lertid väl medvetna om att det inom viss verksamhet såsom socialtjänst och hälso- och sjukvård däremot finns starka skäl för att så långt som möjligt jämställa villkoren för kommunala respek- tive enskilda aktörer.