sou · H4B365 · 2016-10-05 00:00:00 — Vidare följer principen om maktutövningens lagbundenhet av 1 kap. 1 § regeringsformen som säger att den offentliga makten utövas under lagarna. Denna princip gäller även regeringen i styrningen av förvaltningen. Saklighetskravet i 1 kap. 9 § innebär vidare att förvaltningsmyndigheter och andra som fullgör offentliga förvaltningsuppgifter i sin verksamhet ska beakta allas likhet inför lagen samt iaktta saklighet och opartiskhet. I lagen (1994:260) om offentlig anställning () finns bestämmelser som förbjuder förtroendeskadliga bisysslor och i förvaltningslagen (1986:223) finns bestämmelser om jäv. En ytterligare skärpning av förvaltningens oberoende ligger i den begränsning av regeringens roll som beslutsfattare i enskilda ärenden som har genomförts . Många ärendetyper som tidigare avgjordes av regeringen har numera delegerats till förvaltningsmyndigheter med möjlighet att överklaga deras beslut till förvaltningsdomstol. Regeringen får därmed inte styra förvaltningsmyndigheterna genom att påverka dem i handläggningen av ärenden. Styrningen får bara ske på ett generellt plan och genom förordningar och särskilda regeringsbeslut. Finansmakten och regeringens regleringsbrev är en annan form av tillåten styrning. Kontakter mellan och förvaltningen har ansetts vara viktiga inslag i en effektiv förvaltning, men bör inskränkas till ett informations- och kunskapsutbyte.7 granskar verksamheten i de statliga förvaltningsmyndigheterna. Granskningen tar bland annat sikte på om myndigheterna använder statliga medel på ett avsett och effektivt sätt och om deras årsredovisningar är tillförlitliga och korrekta. Varje svensk förvaltningsmyndighet förfogar över en egen, offentlig årsbudget. 7 Se bl.a. prop. 2009/10:175, s. 101 f. och bet. 2009/10:FiU38. Anpassningar med anledning av EU:s dataskyddsreform har i mål mot , och haft vissa synpunkter på dataskyddsmyndigheternas oberoende enligt det nuvarande dataskyddsdirektivet, där bland annat frågan om deras relation till regeringen varit aktuell. Förhållandena var i de fallen dock helt andra än i , med sådan statlig kontroll av tillsynsmyndighetens beslutsfattande i enskilda fall att det inte kunde uteslutas att myndigheten påverkades av politiska hänsyn respektive den omständigheten att regeringen och tillsynsmyndigheten delvis hade gemensam personal.8 Den svenska förvaltningsmodellen innebär starka och till största delen grundlagsfästa garantier för oberoende i beslutsfattandet för förvaltningsmyndigheter under regeringen. De kommande EU- rättsakternas krav på tillsynsmyndighetens oberoende uppfylls enligt vår mening utan tvekan med den svenska ordningen. Det kan tilläggas att redan det nu gällande dataskyddsdirektivet ställer krav på att tillsynsmyndigheterna ska vara fullständigt oberoende. Datainspektionen är i den centrala tillsynsmyndigheten på dataskyddsområdet, med ett brett mandat att utöva tillsyn över i stort sett all behandling av personuppgifter. Datainspektionen motsvarar förordningens och direktivets krav på oberoende och har de befogenheter som krävs. Vi föreslår därför att Datainspektionen utses till tillsynsmyndighet enligt dataskyddsförordningen respektive det nya dataskyddsdirektivet. Datainspektionen ska därmed också delta i arbetet i dataskyddsstyrelsen, vilket bör anges i myndighetens instruktion. När det gäller sådan personuppgiftsbehandling som utförs inom direktivets tillämpningsområde konstaterar vi att tillsyn i utförs även av (). Denna myndighet saknar emellertid flera av de befogenheter som enligt direktivet är nödvändiga för en tillsynsmyndighet, såsom exempelvis att med bindande verkan kräva rättelse av en felaktig behandling. SIN kan därmed inte i sin nuvarande utformning utgöra en nationell tillsynsmyndighet enligt direktivet. 8 Mål C‑518/07 (), C-614/10 () och C-288/12 (). Anpassningar med anledning av EU:s dataskyddsreform hindrar dock enligt vår mening att Datainspektionens tillsyn på nationell nivå kompletteras av ytterligare myndigheters tillsyn, förutsatt att detta inte begränsar Datainspektionens tillsynsmandat. Vi återkommer i kapitel 10 till frågor som rör Datainspektionens och SIN:s tillsyn över personuppgiftsbehandling inom polisens brottsbekämpande verksamhet. Datainspektionen är, liksom de flesta svenska statliga förvaltningsmyndigheter, en myndighet under regeringen. Vi finner, mot den ovan redovisade beskrivningen av de svenska förvaltningsmyndigheternas självständiga ställning, ingen anledning att föreslå någon förändring av den ordningen med anledning av förordningens och direktivets krav. Av förordningen och direktivet följer ett krav på att tillsynsmyndigheten ska vara inrättad med stöd av lag (artikel 54.1a i förordningen och artikel 44.1a i direktivet). Med detta ska, som redogjorts för i det föregående avsnittet, förstås både lag beslutad av och förordning beslutad av regeringen. Att Datainspektionen är tillsynsmyndighet enligt det nuvarande dataskyddsdirektivet följer av förordningen (2007:975) med myndighetsinstruktion, inte av lag. Vi anser att myndigheten även inom ramen för den nya ordningen kan inrättas genom bestämmelser i en förordning beslutad av regeringen. 9.3.3Tillsynsmyndighetens organisation samt utnämning och avsättande av myndighetens ledamöter Bedömning: Svensk rätt motsvarar i allt väsentligt dataskyddsförordningens och det nya dataskyddsdirektivets bestämmelser om tillsynsmyndighetens organisation och utnämningen respektive avsättandet av tillsynsmyndighetens chef. Detta gäller bland annat kraven på ett öppet rekryteringsförfarande, skydd mot godtyckligt avskedande och förbud mot förtroendeskadliga bisysslor, där allmänna författningsregleringar redan finns. Förslag: Att chefen för anställs genom beslut av regeringen för en period om , med möjlighet till förlängning, ska framgå av myndighetens instruktion. Anpassningar med anledning av EU:s dataskyddsreform I dataskyddsförordningen och det nya dataskyddsdirektivet finns bestämmelser som bland annat rör utnämningen och avsättandet av ledamöter. Vidare finns vissa bestämmelser som kan sägas ta sikte på myndighetens organisation i övrigt. Några motsvarande bestämmelser finns inte i det nuvarande dataskyddsdirektivet. Medlemsstaterna ska enligt dataskyddsförordningens artikel 53 föreskriva att varje ledamot av tillsynsmyndigheten ska utnämnas av parlamentet, regeringen, statschefen eller av ett särskilt oberoende, lagreglerat organ. Utnämningen ska göras genom ett öppet förfarande med insyn. I artikeln anges också att ledamöterna ska ha de kvalifikationer, den erfarenhet och den kompetens, särskilt på området skydd av personuppgifter, som krävs för att de ska kunna utföra sitt uppdrag och utöva sina befogenheter. En ledamots uppdrag ska upphöra då mandattiden löper ut eller om ledamoten avgår eller avsätts från sin tjänst i enlighet med lagstiftningen i den berörda medlemsstaten. En ledamot får avsättas endast som en följd av grov försummelse eller när ledamoten inte längre uppfyller de villkor som krävs för att utföra uppdraget. Motsvarande bestämmelser finns i direktivet i artikel 43. Av förordningen och direktivet följer vidare att medlemsstaterna ska säkerställa att varje tillsynsmyndighet väljer och förfogar över sin egen personal, som ska ta instruktioner uteslutande från tillsynsmyndighetens ledamöter (artikel 52.5 i förordningen och artikel 42.5 i direktivet). Av artikel 54.1 i förordningen och artikel 44.1 i direktivet (tillsammans med beaktandesatserna 41 i förordningen och 33 i direktivet, se ovan) följer vidare ett krav på författningsreglering i medlemsstaterna för vissa regleringar som gäller utnämningen och avsättandet av tillsynsmyndighetens ledamöter. De kvalifikationer och de villkor för lämplighet som krävs för utnämning av ledamöter ska fastställas i författning, liksom regler och förfaranden för utnämningen. Ledamöternas mandattider och huruvida de ska kunna ges förnyat mandat ska också regleras, liksom villkor för utövande av tjänsten, förbud mot handlingar, yrkesverksamhet och förmåner och vilka bestämmelser som gäller för anställningens upphörande. Mandattiden för en ledamot får inte understiga , utom vid tillsättandet av de första ledamöterna efter det att förordningen har Anpassningar med anledning av EU:s dataskyddsreform trätt i kraft, då ett stegvis tillsättningsförfarande med kortare perioder för några av ledamöterna får tillämpas om detta är nödvändigt för att garantera myndighetens oberoende (artikel 54.1 d) i förordningen och artikel 44.1 d) i direktivet). Gällande svensk ordning för utnämning och avsättande av chefer för förvaltningsmyndigheter under regeringen samt övriga garantier för oberoende Av 12 kap. 5 § regeringsformen följer att arbetstagare vid förvaltningsmyndigheter under regeringen anställs av regeringen eller av den myndighet som regeringen bestämmer. Vid beslut om sådana anställningar ska avseende fästas endast vid sakliga grunder, såsom förtjänst och skicklighet. Med förtjänst avses erfarenhet av tidigare tjänstgöring och med skicklighet lämplighet för den aktuella anställningen, genom utbildning, yrkeskunnande, prestationsförmåga osv. Skicklighet ska enligt 4 § lagen (1994:260) om offentlig anställning () sättas främst, om inte särskilda skäl talar för annat. Det grundlagsfästa kravet på sakliga grunder gäller alla anställningar, dvs. även av myndighetschefer. Lagen (1982:80) om anställningsskydd, LAS, reglerar förhållandet mellan en arbetsgivare och en arbetstagare. Huvudregeln är att ett anställningsavtal gäller tills vidare (4 § LAS). I 1 § andra stycket LAS undantas vissa arbetstagargrupper från lagens tillämpning. Däribland finns arbetstagare ”som med hänsyn till arbetsuppgifter och anställningsvillkor får anses ha företagsledande eller därmed jämförlig ställning”. I förarbetena sägs att detta undantag gäller för bland annat generaldirektörer och överdirektörer vid statliga myndigheter, eftersom dessa arbetstagare har en utpräglad arbetsgivarfunktion och en särskild förtroendeställning i förhållande till arbetsgivaren.9 I princip alla chefer för förvaltningsmyndigheter under regeringen har tidsbegränsade förordnanden,10 normalt för en period med en möjlig förlängning om högst . Tiden som sådan är inte lagreglerad utan följer av förarbetsutta- Maj:ts proposition nr 1973, prop. 194–195 och s. 230, prop. 1981/82:71 s. 92 f. och bet. InU 1973:36 s. 28. 10 Det finns också ett fåtal myndighetschefer med fullmaktsanställningar. Anpassningar med anledning av EU:s dataskyddsreform landen och en upparbetad praxis.11 Kortare anställningstider än förekommer i undantagsfall, t.ex. om det i förväg är känt att en myndighet ska omorganiseras eller om myndighetschefen kommer att uppnå pensionsåldern tidigare än . Ett tidsbegränsat förordnande kan inte sägas upp innan anställningstiden har löpt ut men myndighetschefen kan avskedas om han eller hon grovt har åsidosatt sina skyldigheter mot arbetsgivaren. Myndighetschefer med tidsbegränsade förordnanden kan vidare, av organisatoriska skäl eller annars av hänsyn till myndighetens bästa, förflyttas till en annan statlig anställning som tillsätts på samma sätt (32 § andra stycket och 33 § andra stycket samt 18 § LAS). Chefer för myndigheter under regeringen som har tidsbegränsade förordnanden kan under vissa förhållanden få inkomstgaranti och avgångsvederlag. gäller att den som är när en anställning upphör, då har haft en eller flera chefsanställningar om och som inte erbjudits en fortsatt anställning i samma befattning har rätt till inkomstgaranti. Garantin ska minskas med bland annat en annan pensionsgrundande inkomst. Oavsett chefens ålder kan avgångsvederlag betalas ut till den som haft en eller flera chefsanställningar oavbrutet . Också avgångsvederlagen ska minskas med andra inkomster. Anställningar av myndighetschefer föregås numera i regel av ett öppet rekryteringsförfarande där den aktuella anställningen utannonseras. Inkomna ansökningshandlingar eller intresseanmälningar utgör allmänna handlingar när de har inkommit till . gäller enligt 39 kap. 5 b § offentlighets- och sekretesslagen (2009:400), förkortad OSL, att uppgifter om vem som sökt en anställning som chef för en förvaltningsmyndighet under regeringen kan omfattas av sekretess. Sekretessen gäller dock inte för beslutet i ärendet eller uppgiften om vem som har fått anställningen. 11Vad gäller rektorer för universitet och högskolor finns det i förordning reglerat att dessa ska anställas för . Anställningen kan förnyas högst två gånger om vardera (2 kap. 8 § högskoleförordningen [1993:100]). 12Förordningen (2016:411) om tjänstepension, inkomstgaranti och avgångsvederlag till myndighetschefer ersätter förordningen (2003:55) om avgångsförmåner för vissa arbetstagare med statlig chefsanställning. Anpassningar med anledning av EU:s dataskyddsreform kan också enligt andra stycket meddela undantag från sekretessen. Denna möjlighet har utnyttjats genom att det i 10 a § offentlighets- och sekretessförordningen (2009:641) anges att sekretess enligt 39 kap. 5 b § OSL inte gäller i ärenden om anställning av rektor vid ett universitet eller en högskola som har staten som huvudman och som omfattas av högskolelagen. Sekretess hindrar heller aldrig att en uppgift lämnas till (10 kap. 15 § OSL). Regeringens utövande av sin utnämningsmakt anses vara en del av regeringens styrning av riket för vilken regeringen är ansvarig inför (1 kap. 6 § regeringsformen). Personalen vid en myndighet anställs av myndigheten.13 Att en förvaltningsmyndighet lyder under regeringen innebär, utöver att enskilda ministrar saknar befälsrätt över myndigheten, att föreskrifter och direktiv från regeringen ska riktas till myndigheten, inte till enskilda tjänstemän där.14 Av följer vidare ett förbud mot förtroendeskadliga bisysslor (7 §). Enligt bestämmelsen får en arbetstagare inte ha någon anställning eller något uppdrag eller utöva någon verksamhet som kan rubba förtroendet för dennes eller någon annan arbetstagares opartiskhet i arbetet eller som kan skada myndighetens anseende. Datainspektionen är en s.k. enrådighetsmyndighet som leds av en myndighetschef (generaldirektör) som bistås av ett insynsråd. uppgifter är att utöva insyn och att ge myndighetschefen råd. har inga beslutsbefogenheter. Myndighetschefen är ordförande i insynsrådet och ska hålla rådet informerat om verksamheten. Förordningen och direktivet talar om utnämnande och avsättande av tillsynsmyndigheternas ”ledamot eller ledamöter”. Detta tar enligt vår mening i ett svenskt perspektiv sikte på chefen för en förvaltningsmyndighet, i regel en generaldirektör. I en myndighet med ett kollektivt beslutsfattande torde dessutom ledamöterna i en styrelse eller nämnd omfattas av regleringen. 133 § anställningsförordningen (1994:373). 14Holmberg m.fl., Grundlagarna (3 uppl. 2012), s. 556. Anpassningar med anledning av EU:s dataskyddsreform Den svenska ordningen som har beskrivits ovan, som innebär delvis grundlagsfästa garantier för att endast sakliga skäl ska ligga till grund både för utnämning och avsättande av myndighetschefer, ett öppet rekryteringsförfarande samt lagreglerade förbud mot förtroendeskadliga bisysslor, uppfyller enligt vår mening förordningens och direktivets krav i dessa delar. Uppgifter om vilka som har sökt en utannonserad tjänst som chef för en förvaltningsmyndighet under regeringen kan visserligen omfattas av sekretess. Sekretessen tar sikte på allmänhetens möjligheter att med stöd av den svenska offentlighetsprincipen begära ut uppgifterna. Den hindrar däremot inte att utnämningsprocessen kan vara föremål för annan insyn, exempelvis inom ramen för granskning av regeringen. Gör man en annan bedömning i denna del finns möjligheten för regeringen att föreskriva att sekretess inte ska gälla i ärenden om anställning av chef för . Det saknas enligt vår mening anledning att ändra på den ordning som innebär att Datainspektionen är en enrådighetsmyndighet som leds av en generaldirektör som utses av regeringen. Myndigheten anställer sin egen personal. Förordningen och direktivet förutsätter också en nationell reglering av de kvalifikationer som krävs för en anställning som myndighetschef, förbud mot förtroendeskadliga bisysslor och villkor för anställningens upphörande. Bestämmelser som förbjuder förtroendeskadliga bisysslor finns som nämnts i . Vi menar vidare att det krav på förtjänst och skicklighet som följer av regeringsformen och samt saklighetskravet i 1 kap. 9 § regeringsformen sammantaget innebär ett krav på att den som anställs som chef för ska ha de kvalifikationer, den erfarenhet och den kompetens, särskilt på området för dataskydd, som krävs för att ledamoten ska kunna fullgöra sitt uppdrag och utöva sina befogenheter. Vad gäller föreskrifter om anställningens upphörande konstaterar vi att svensk rätt innehåller bestämmelser som ger ett starkt anställningsskydd och som innebär ett förbud mot godtyckliga avskedanden. En chef för en förvaltningsmyndighet under regeringen som har en tidsbegränsad anställning får visserligen förflyttas till en annan motsvarande statlig anställning. För detta förutsätts dock att en förflyttning krävs av organisatoriska skäl eller annars motiveras av hänsyn till myndighetens bästa. Anpassningar med anledning av EU:s dataskyddsreform krav innebär enligt vår mening ett tillräckligt skydd mot att regeringen, som dessutom fattar sina beslut under parlamentariskt ansvar, på godtyckliga grunder gör sig av med en myndighetschef. Om man vill förstärka detta skydd ytterligare skulle man kunna överväga att anställa chefen för med fullmakt. De enda myndighetschefer som är anställda med fullmakt är Justitiekanslern och Riksåklagaren. Att innehavare av dessa anställningar har ansetts böra ha ett ännu starkare anställningsskydd har förklarats med intresset av att rättskipningen är självständig och att dessa befattningshavares åtalsbedömningar står den dömande verksamheten nära.15 Om man vill ytterligare förstärka skyddet skulle man även kunna överväga att föreskriva ett undantag från förflyttningsmöjligheten för Datainspektionens chef, exempelvis genom följande tillägg (kursiverat) i 33 § andra stycket : Är chefen för någon annan förvaltningsmyndighet som lyder under regeringen anställd för bestämd tid, får han eller hon förflyttas till en annan statlig anställning som tillsätts på samma sätt, om det är påkallat av organisatoriska skäl eller annars är nödvändigt av hänsyn till myndighetens bästa. Detta gäller dock inte chefen för . Medlemsstaterna ska även genom en författningsreglering fastställa regler och förfaranden för att utse tillsynsmyndighetens ledamot eller ledamöter samt bestämmelser om ledamöternas mandattider. Den svenska ordningen, där myndighetschefer under regeringen utnämns av regeringen och förordnas för , med en möjlig förlängning , är inte författningsreglerad. Mot denna bakgrund föreslår vi en reglering i Datainspektionens myndighetsinstruktion där det fastställs att myndighetschefen anställs av regeringen för en period om , med möjlighet till förlängning. Förordningen föreskriver att den nationella regleringen också ska ange hur en anställning får förlängas. Vi menar att det med den föreslagna regleringen får anses framgå att regeringen är fri att förlänga anställningen hur som helst, vilket ur det oberoendeperspektiv som präglar förordningen torde vara acceptabelt.16 15Se t.ex. prop. 1975/76:105 bilaga 2, s. 210 och SOU 1992:60, s. 256 f. 16Om det bedöms lämpligare skulle ett alternativ kunna vara att införa en reglering motsvarande den som gäller för rektorer vid universitet och högskolor, se ovan. Anpassningar med anledning av EU:s dataskyddsreform 9.3.4Behöver tillsynsmyndigheten ytterligare befogenheter utöver dem som anges i dataskyddsförordningen? Bedömning: Det saknas behov av att föreskriva att Datainspektionen ska ha ytterligare befogenheter utöver dem som följer av förordningen. Det ingår i vårt uppdrag att överväga om tillsynsmyndigheten bör ges andra befogenheter än de som anges i dataskyddsförordningen.17 När det gäller anpassningar i svensk rätt med anledning av det nya dataskyddsdirektivet finns inte något motsvarande uttryckligt uppdrag till oss att överväga om tillsynsmyndighetens befogenheter.18 I artikel 58 i dataskyddsförordningen anges det vilka utredningsbefogenheter, korrigerande befogenheter samt befogenheter att utfärda tillstånd och att ge råd som de nationella tillsynsmyndigheterna ska ha. Här framgår att myndigheten som utredningsbefogenheter ska kunna –beordra den personuppgiftsansvarige, personuppgiftsbiträdet eller deras företrädare att lämna all information som behövs för att myndigheten ska kunna fullgöra sina uppgifter, –genomföra undersökningar i form av dataskyddstillsyn, –genomföra en översyn av certifieringar som utfärdats i enlighet med artikel 42.7 i förordningen, –meddela den personuppgiftsansvarige eller biträdet om en påstådd överträdelse av förordningen, –från den personuppgiftsansvarige och ett biträde få tillgång till alla personuppgifter och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina uppgifter, samt 2016:15 s. 10. 10–11. Anpassningar med anledning av EU:s dataskyddsreform –få tillträde till alla lokaler som tillhör den personuppgiftsansvarige och personuppgiftsbiträdet, inbegripet tillgång till all utrustning och alla andra medel för behandling av personuppgifter i överensstämmelse med unionens eller medlemsstaternas processrätt. En tillsynsmyndighet ska som korrigerande befogenhet enligt förordningen kunna –utfärda varningar till en personuppgiftsansvarig eller till personuppgiftsbiträdet om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i förordningen, –utfärda reprimander till en personuppgiftsansvarig eller biträdet om en behandling bryter mot förordningens bestämmelser, –förelägga den personuppgiftsansvarige eller biträdet att tillmötesgå den registrerades begäran att få utöva sina rättigheter enligt förordningen, –förelägga en personuppgiftsansvarig eller ett biträde att se till att behandling sker i enlighet med förordningens bestämmelser och om så krävs på ett specifikt sätt och inom en specifik period, –förelägga den personuppgiftsansvarige att meddela den registrerade att en personuppgiftsincident har inträffat, –införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling, –förelägga om rättelse eller radering av personuppgifter enligt artiklarna 16, 17 och 18 och lämna vissa underrättelser om detta, –återkalla en certifiering eller beordra certifieringsorganet att inte utföra en certifiering, –påföra administrativa sanktionsavgifter, samt –förelägga om att flödet av uppgifter till en mottagare i tredje land eller en internationell organisation ska avbrytas. Anpassningar med anledning av EU:s dataskyddsreform Slutligen ska en tillsynsmyndighet enligt förordningen ha sådana befogenheter att utfärda tillstånd och att ge råd som innebär att den kan –ge råd till den personuppgiftsansvarige i enlighet med förordningens förfarande för förhandssamråd i artikel 36, –på eget initiativ eller på begäran avge yttranden till det nationella parlamentet, medlemsstatens regering eller andra institutioner och organ samt till allmänheten, i frågor som rör skydd av personuppgifter, –ge tillstånd till behandling enligt artikel 36.5 om medlemsstatens lagstiftning kräver ett sådant förhandstillstånd, –avge ett yttrande om och godkänna utkast till uppförandekodexar enligt artikel 40.5, –ackreditera certifieringsorgan enligt artikel 43, –utfärda certifieringar och godkänna kriterier för certifiering enligt artikel 42.5, –anta standardiserade dataskyddsbestämmelser enligt artiklarna 28.8 och 46.2 d, –godkänna avtalsklausuler enligt artikel 46.3 a, –godkänna administrativa överenskommelser enligt artikel 46.3 b, samt –godkänna bindande företagbestämmelser enligt artikel 47.