sou · H4B365 · 2016-10-05 00:00:00 — En inskränkning i dessa rättigheter får bara göras med stöd av lag och om det är nödvändigt med hänsyn till de ändamål som är angivna i artikeln. har tillträtt , och den gäller också som lag i . Enligt 2 kap. 19 § regeringsformen får en lag eller annan föreskrift inte meddelas i strid med åtaganden på grund av . Europeiska unionens stadga om de grundläggande rättigheterna är genom Lissabonfördraget rättsligt bindande i alla medlemsstater. Stadgan gäller den verksamhet som utförs av och institutioner och den blir tillämplig för medlemsstaterna när de tillämpar . Av stadgans artikel 7 följer att var och en har 21Utredningen om 2016 års dataskyddsdirektiv (2016:06, dir. 2016:21) ska i ett delbetänkande redovisa vissa frågor och senast slutredovisa uppdraget. 22Se t.ex. K.U. mot , nr 2872/02, och mot , nr 59320/00. Behandling av personuppgifter och skyddet av den personliga integriteten rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. I artikel 8 föreskrivs vidare att var och en har rätt till skydd för de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt och för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har vidare rätt att få tillgång till de insamlade uppgifter som rör honom eller henne och att få rättelse av dem. Härutöver skyddas den personliga integriteten i bland annat dataskyddskonvention, allmänna förklaring om de mänskliga rättigheterna och i dess konvention om medborgerliga och politiska rättigheter, samt i riktlinjer utarbetade inom . Det finns, inte minst inom EU, dessutom ett flertal sektorsspecifika rättsakter som syftar till att skydda den enskildes personliga integritet. En sådan är det s.k. e-privacydirektivet.23 23 och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation). Intresset för tillsyn som förvaltningspolitiskt instrument växte på allvar fram och har legat på en hög nivå. Till stor del torde det stora intresset sammanhänga med de förvaltningspolitiska förändringar som har skett under . Dessa kan sammanfattas med termer som renodling, avreglering, bolagisering, decentralisering och privatisering. Det har producerats ett stort antal studier, granskningar och utvärderingar om tillsyn. Här kan nämnas betänkanden Statlig tillsyn – Granskning på medborgarnas uppdrag (SOU 2002:14) och Tillsyn. Förslag om en tydligare och effektivare tillsyn (SOU 2004:100). Statskontoret har i ett stort antal publikationer behandlat tillsyn ur olika aspekter, t.ex. i studien till om tillsynen – Om utformningen av statlig tillsyn, 2012. Även inom forskningsvärlden har tillsynen granskats och studerats. Tillsyn kan ha många former och syfta till att kontrollera olika saker, såsom resultat, effektivitet och regelefterlevnad. Tillsyn är ett av många instrument i statsförvaltningen, ett sätt för och regeringen att försäkra sig om att den beslutade politiken och de övergripande målen för en viss verksamhet genomförs och uppnås i praktiken. Tillsyn utgör en kontroll i efterhand av hur en verksamhet fungerar, men kan också sägas ha en framåtblickande funktion eftersom de iakttagelser och erfarenheter som tillsynen ger upphov till kan användas som grund för planering, förbättring och effektivisering både av den granskade verksamheten och av andra verksamheter där liknande frågeställningar är aktuella. Tillsyn kan därigenom vara ett verktyg för att se till att demokratiskt fattade beslut genomförs på det sätt som var avsett. Tillsynen ska bidra till att medborgarnas rättssäkerhet garanteras samt till att respekten för folkviljan och förtroendet för staten upprätthålls. Härutöver kan tillsynen syfta till att säkerställa att den granskade verksamheten bedrivs effektivt och att konkurrerande verksamheter kan bedrivas på lika villkor. Bristande tillsyn kan leda till ett minskat förtroende för demokratiskt fattade beslut. Tillsyn kan uppfattas som synonymt med begrepp som uppföljning, utvärdering och revision, men även om också dessa verksamheter innebär någon form av efterhandsgranskning, har de typiskt sett något olika innebörd. Uppföljning och utvärdering har det gemensamt att de, till skillnad från tillsyn, inte behöver vara och ofta inte heller är styrda av lagar och andra föreskrifter utan ofta är en frivillig efterhandsgranskning för att exempelvis dra lärdom av tidigare erfarenheter för att utveckla verksamheten. Vad som undersöks behöver heller inte vara formell regelefterlevnad eller i vilken utsträckning ärenden handlagts på ett resurseffektivt sätt, utan i stället exempelvis vilka effekter en viss bestämmelse har fått eller om målen med en verksamhet har uppnåtts. Statskontoret har definierat utvärdering som en systematiskt genomförd undersökning för att få fram tillförlitliga och användbara resultat om värdet eller förtjänsterna av en given aktivitet i ett givet sammanhang.1 Medan uppföljning ofta beskriver enbart utfallet av en insats, innebär utvärdering alltså också en bedömning av effekterna av insatsen, dvs. om utfallet är orsakat av insatsen. Den huvudsakliga skillnaden mellan tillsyn och utvärdering blir därmed att bedömningskriterierna är relaterade till relevanta lagar och andra föreskrifter, medan kriterierna vid utvärdering kan variera och vara beroende av vad utvärderaren är intresserad av att få veta. Tillsyn behöver emellertid inte avse handläggningen av enskilda ärenden efter exempelvis klagomål, utan kan också bestå i s.k. systemtillsyn, som granskar exempelvis en myndighets organisation och processer att hantera vissa uppgifter. Så kan t.ex. en systemtillsyn avse om en myndighet har tillförlitliga system – såsom kompetensutveckling för personalen eller en organisation som kan hantera variationer i tillströmningen av ärenden – för att 1 Utvärdera för ett bättre beslut! Att beställa utvärderingar som är till nytta i beslutsfattandet. Statskontorets rapport 2001:22. säkerställa att dess beslut fattas i enlighet med lagar och andra föreskrifter och utan onödigt dröjsmål. Revision å sin sida är ofta en reglerad granskning, som har sitt huvudsakliga fokus på frågan om verksamhetens resultat i förhållande till insatta resurser. Även möjligheten att överklaga ett beslut kan beskrivas som en form av tillsyn, eftersom det innebär att en högre instans kan ”granska” underinstansens handläggning och tillämpning av gällande föreskrifter. Tillsyn är dock ett betydligt vidare begrepp, som kan omfatta kontroll av mer än överklagbara beslut vid myndigheter eller domstolar.2 Utgångspunkten för oss är i denna utredning den definition av begreppet tillsyn som slagits fast av regeringen i den s.k. tillsynsskrivelsen.3 Begreppet tillsyn bör enligt denna definition användas för ”verksamhet som avser självständig granskning för att kontrollera om tillsynsobjekt uppfyller krav som följer av lagar och andra bindande föreskrifter och vid behov kan leda till beslut om åtgärder som syftar till att åstadkomma rättelse av den objektansvarige.” kan, med hänsyn till förhållandena inom ett visst tillsynsområde, avsteg från denna definition enligt regeringen behöva göras. Sådana avsteg kan vara motiverade om det leder till en mer ändamålsenlig tillsyn. Det går enligt regeringen inte att bortse ifrån att många tillsynsområden har väsentligt olika förutsättningar.4 4.2Olika typer av offentlig tillsyn Frågan om variationer i den statliga tillsynsverksamheten berördes bland annat i den förvaltningspolitiska propositionen (prop. 2009/10:175 s. 95 f.). Regeringen konstaterar där att dagens statliga tillsyn består av många skilda verksamheter och att en stor mängd statliga myndigheter har tillsynsuppgifter. 2En annan sak är givetvis att ett beslut i ett tillsynsärende kan vara möjligt att överklaga. Så kan exempelvis tillsynsbeslut meddelade av Datainspektionen eller överklagas till allmän förvaltningsdomstol. 2009/10:79 En tydlig, rättssäker och effektiv tillsyn. har ställt sig bakom skrivelsen (bet. 2009/10:FiU12, rskr. 2009/10:210). Även enligt förvaltningspolitiska proposition ska skrivelsen vara vägledande för det fortsatta arbetet på tillsynsområdet (prop. 2009/10:175 s. 96). 2009/10:79 s. 13. tillsynen har utvecklats parallellt inom de många områden där den utförs. Definitioner, synsätt, lagstiftning, praxis och förhållningssätt har vuxit fram inom respektive område. De stora variationerna i tillsynens utformning och tillämpning kan enligt regeringen i vissa fall vara en tillgång, eftersom de skapar flexibilitet. kan variationerna göra att tillsynsinstrumentet blir svårtillämpat och otydligt. När tillsyn över offentlig verksamhet diskuteras är det i regel s.k. extern tillsyn som avses, dvs. tillsyn som utförs av ett annat organ än den vars verksamhet ska granskas. Detta gäller inte minst i sammanhang när tillsynens betydelse för att stärka förtroendet för verksamheten diskuteras. Men även intern tillsyn fyller en viktig funktion. Den som utför tillsynen har då framförallt en god kunskap både om den verksamhet som ska kontrolleras och de särskilda risker denna verksamhet kan innebära. Intern tillsyn är vidare normalt mindre kostsam och enklare att genomföra, och den innebär ofta färre verksamhetsstörande inslag, såsom att ta emot tjänstemän från den externa tillsynsmyndigheten och ställa samman det material som för tillsynen. Det kan också hävdas att om brister upptäcks under en intern tillsyn kan förändringsförslag ha bättre förutsättningar att få genomslag i praktiken eftersom de bygger på en god kännedom om den aktuella verksamheten och kanske till och med är förankrade i förväg. Det anförs emellertid ofta att extern tillsyn inger ett större förtroende hos allmänheten, eftersom det organisatoriska oberoendet kan uppfattas som en garanti för en större opartiskhet. De rollkonflikter som kan uppkomma inom en verksamhet vid intern kontroll har också ansetts vara något som bör undvikas.5 Fördelar och nackdelar med intern respektive extern tillsyn torde kunna variera beroende av vilken verksamhet som ska granskas. Tillsyn kan vara ordinär eller extraordinär. Ordinär tillsyn utövas av ett organ som i regel har som sin huvudsakliga uppgift att utöva kontroll över en viss verksamhet. Exempel på sådana organ är några av de myndigheter som är aktuella i denna utredning, såsom Datainspektionen och . Ett ordinärt tillsynsorgan kan ha befogenheter att, med respekt för myndigheters själv- 2009/10:175 Offentlig förvaltning för demokrati, delaktighet och tillväxt, s. 72 f. samt skr. 2013/14:155 Regeringens förvaltningspolitik, s. 26. ständighet enligt 12 kap. 2 § regeringsformen, ingripa i handläggningen av ärenden vid ett tillsynsobjekt, ändra fattade beslut och besluta om sanktioner. Extraordinär tillsyn utövas av ombudsmän (, JO) och Justitiekanslern (), som saknar dessa befogenheter. Dessa myndigheters beslut i tillsynsärenden saknar därmed rättslig verkan och utgör enbart vägledande och ibland kritiska uttalanden. Uttalanden av och Justitiekanslern åtnjuter emellertid av tradition en sådan respekt i den offentliga verksamheten att de kan sägas vara bindande i praktiken. Ordinär och extraordinär tillsyn kan avse samma tillsynsobjekt och samma frågeställning. Ordinära tillsynsmyndigheters s.k. ingripande- eller sanktionsmöjligheter varierar också. Inom vissa områden finns ingen annan egentlig sanktion utöver tillsynsmyndighetens möjlighet att vid upptäckta felaktigheter uttala kritik eller anmärkningar mot den granskade verksamheten. I andra fall kan tillsynsmyndigheten vid olika typer av brister exempelvis kräva rättelse, dra in ett tillstånd, förelägga vite, besluta om straffavgifter eller förbjuda fortsatt verksamhet. En konstaterad brist kan också gälla en straffsanktionerad föreskrift och i sådana fall åligger det ofta tillsynsmyndigheten att anmäla bristen till polis och åklagare. Det är inte ovanligt att en tillsynsmyndighet har uppgifter som snarare är främjande, normerande eller tillståndsgivande. Det finns också tillsynsmyndigheter som ger råd i enskilda fall. identifierade åtta olika modeller för kombinationen av reglering, råd och tillståndsgivning hos tillståndsmyndigheter, från tillsyn utan kompletterande föreskriftsrätt eller rådgivning (t.ex. ) till en tillsyn som kompletteras med alla övriga funktioner (t.ex. inom livsmedelskontrollen).6 Statskontoret, förvaltningskommitté, revisorer m.fl. har pekat på problem med att en tillsynsmyndighet också har främjande, normerande eller tillståndsgivande funktioner. Det kan uppstå rollkonflikter om exempelvis en och samma myndighet både ska främja en verksamhet för att den ska uppnå satta mål, och i efterhand granska om målen har uppnåtts. Rollkonflikter av detta slag riskerar att skada förtroendet för granskningsverk- 6 delbetänkande Statlig tillsyn – Granskning på medborgarnas uppdrag (SOU 2002:14) s. 65. samheten, då objektiviteten i granskningen kan ifrågasättas. Det är enligt Statskontoret direkt olämpligt att en tillsynsmyndighet också beslutar om olika typer av statsbidrag.7 förvaltningskommitté hade i uppdrag att se över den statliga förvaltningens uppgifter och organisation. I sitt slutbetänkande Styra och ställa – förslag till en effektivare statsförvaltning (SOU 2008:118) anförde kommittén bland annat att tillsyn är en av statens grundfunktioner. En oberoende och förtroendeskapande tillsyn kräver att tillsynsmyndigheten inte har andra uppgifter som kan ge upphov till rollkonflikter. ansåg att länsstyrelserna utgör en lämplig bas för att åstadkomma en oberoende och självständig statlig tillsyn. Myndighetsstrukturen på regional nivå skulle därigenom kunna förenklas och effektiviseras. Bara sådan tillsyn som kräver högt specialiserad kompetens bör enligt kommittén utföras av separata tillsynsmyndigheter (bet. s. 152 f.). I det här sammanhanget bör också ökade internationella samarbete uppmärksammas, särskilt frågan om vad EU-med- lemskapet har inneburit för svensk statlig tillsyn. I den mån det finns gemenskapsrättsliga regleringar på ett område kan dessa innebära krav på nationella organ för tillsyn. För att EU-rättsliga bestämmelser om exempelvis begränsningar i användningen av kemikalier eller regler på finansmarknadsområdet ska fungera krävs att varje medlemsstat kontrollerar att företag och andra följer reglerna. Därför måste medlemsstaterna ha fungerande och liknande system för tillsyn och sanktioner. ska denna tillsyn dessutom kombineras och samordnas med en tillsyn som utförs av ett EU-organ. Vidare kan unionen genom kommissionen sägas ha tillsyn över medlemsstaternas sätt att utöva en tillsynsuppgift, om denna följer av EU-lagstiftning.8 Utvecklingen inom EU går mot en ökad harmonisering av medlemsstaternas tillsyn. Detta gäller inom många områden, exempelvis finansmarknads- och miljöområdet, men i högsta grad också när det gäller skyddet för den personliga integriteten vid behandling av 7Se t.ex. revisorer (1994/95:RRV9), SOU 2008:118 (bilagedelen) och Statskontorets rapport till om tillsyn – om utformningen av statlig tillsyn (2012), s. 9 f. 8Frågan om EU-medlemskapets betydelse för svensk statlig tillsyn har varit föremål för kartläggning och analys av Statskontoret i studien till syn på tillsyn – hur svenska tillsynsmyndigheter påverkas av EU, på uppdrag av (se SOU 2002:14). Sedan studien genomfördes torde utvecklingen mot en ökad gemensam syn på tillsyn ha ökat ytterligare. Frågan om EU:s reformarbete beträffande dataskydd och vilken betydelse detta får för nationella tillsynsmyndigheter beskrivs närmare i kapitel 9. 5Några tidigare och pågående utredningar på integritetsskyddsområdet Ett antal utredningar har på olika sätt berört frågor om skyddet för den personliga integriteten, några med särskild koppling till frågan om integritetsskyddet vid behandling av personuppgifter. Inte minst har flera olika utredningsdirektiv på detta område beslutats, många med kopplingar till det anpassningsarbete som är nödvändigt med anledning av EU:s dataskyddsreform. Vi beskriver några av dessa utredningar i detta kapitel, men vill tillägga att det härutöver finns ytterligare utredningar som på ett eller annat sätt berör frågor om personlig integritet. Det stora antalet utredningar, dessutom inom olika departements ansvarsområden, innebär att behovet av samordning inom ökar. Utan tillräcklig samordning finns det en uppenbar risk att förlora överblick och helhetssyn i det pågående lagstiftningsarbetet. genomförde en omfattande kartläggning och analys av sådan lagstiftning som rör den personliga integriteten. I delbetänkandet Skyddet för den personliga integriteten – Kartläggning och analys (SOU 2007:22) presenterades regelverket inom en mängd olika områden, tillsammans med Några tidigare och pågående utredningar på integritetsskyddsområdet kommitténs bedömning av rättsläget utifrån ett integritetsskyddsperspektiv. I en sammanfattande bedömning anförde kommittén bland annat att de teknikrelaterade riskerna för integritetskränkningar i dagens samhälle är mångfalt större än förr, som det även sker en teknisk utveckling för att förhindra eller begränsa skadeverkningarna. fann påfallande var att lagstiftaren inte har någon samlad kontroll över utvecklingen, och därmed också begränsade möjligheter att vidta åtgärder när sådana behövs liksom att bedöma i vad mån en ny företeelse som tycks utgöra ett hot mot privatlivets skydd trots allt bejakas av allmänheten. Datainspektionen riskerar enligt kommittén att i sin övervakning av regelefterlevnaden alltför mycket fastna i detaljkontroll och fjärma sig från vad medborgarna finner angeläget och oroar sig för. Det vore därför önskvärt om det kunde skapas förutsättningar för Datainspektionen att inom sitt område uppfattas mera som en allmänhetens ombudsman än vad som är fallet . I sitt slutbetänkande Skyddet för den personliga integriteten – Bedömningar och förslag (SOU 2008:3) anförde kommittén att Datainspektionens uppdrag borde breddas och utvecklas, så att myndigheten bland annat ges i uppdrag att uppmärksamma de teknikrelaterade riskerna för kränkningar av den personliga integriteten, framför allt med hänsyn till teknikens tillämpning i människors vardag. I detta arbete borde Datainspektionen samverka med de myndigheter och andra organ som har övergripande ansvar för konsumentskydd. Kommittén menade också att det finns en brist på systemtänkande och helhetssyn i lagstiftningsarbetet som, särskilt med den rådande snabba lagstiftningstakten, riskerar att leda till att överblicken går förlorad. Kommittén ansåg därför att mycket talade för inrättandet av ett integritetsskyddsråd, med uppgift att vaka över integritetsskyddet i dess helhet. Frågan om inrättandet av ett sådant råd borde hållas levande och aktualiseras på nytt om det skulle visa sig behövas även efter den översyn av Datainspektionens roll som kommittén också föreslog. Härutöver konstaterade kommittén att det var en brist att det på grundlagsnivå saknades bestämmelser om skydd för den personliga integriteten som på ett mer påtagligt sätt balanserade övriga i regeringsformen angivna fri- och rättigheter. Några tidigare och pågående utredningar på integritetsskyddsområdet ansåg man, tydligare erkänna den självständiga betydelsen av rätten till personlig integritet. En svag förankring av skyddet för den personliga integriteten i grundlagen kunde enligt kommittén innebära att integritetsskyddsaspekterna inte ges tillräcklig vikt när ny lagstiftning arbetas fram och står dessutom i kontrast till den uppfattning som kommer till uttryck i , där rätten till respekt för privat- och familjelivet har en med andra grundläggande fri- och rättigheter jämbördig ställning. Mot denna bakgrund föreslog kommittén ett utvidgat materiellt grundlagsskydd för den personliga integriteten genom en begränsning av möjligheterna till betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Kommittén lämnade också förslag på en ny straffbestämmelse, som efter vissa justeringar har kommit att bli bestämmelsen om kränkande fotografering i 4 kap. 6 a BrB, och på en skyldighet för regeringen att lämna information till om utvecklingen på integritetsskyddsområdet.1 delade bedömning att det var angeläget att grundlagsskyddet för den personliga integriteten förstärktes och att ett skydd för den personliga integriteten i linje med kommitténs förslag borde införas i regeringsformen. Utredningen lämnade därmed förslag på den bestämmelse som efter viss justering av den närmare utformningen finns i 2 kap. 6 § andra stycket regeringsformen.2 , som lämnade sitt slutbetänkande Datalagring och integritet (SOU 2015:31) , hade bland annat i uppdrag att föreslå eventuella förstärkningar av den personliga integriteten i förhållande till lagen (2003:389) om elektronisk kommunikation. Härutöver skulle utredningen bland annat kartlägga och utvärdera hur lagen (2012:278) om inhämtning av upp- 1Frågan om en sådan rapporteringsskyldighet behandlas också i delbetänkande Hur står det till med den personliga interiteten? (SOU 2016:41), se nedan och i kapitel 10. 2SOU 2008:125, s. 469 f., prop. 2009/10:80, bet. 2009/10:KU19. Några tidigare och pågående utredningar på integritetsskyddsområdet gifter om elektronisk kommunikation i de brottsbekämpade myndigheternas underrättelseverksamhet (inhämtningslagen) har tillämpats och om det finns behov av några förändringar för att stärka rättssäkerheten eller skyddet av den personliga integriteten.3 Bakgrunden till uppdraget var att slog fast att det s.k. datalagringsdirektivet5 var ogiltigt. Domstolen konstaterade att direktivet innebar ett omfattande och särskilt allvarligt intrång i rätten till privatliv och i skyddet av personuppgifter. Lagring av trafikuppgifter var enligt domstolen i och för sig en ändamålsenlig åtgärd för att uppnå syftet att bekämpa allvarlig brottslighet och upprätthålla allmän säkerhet. Direktivet fastställde dock inte tydliga och preciserade regler för omfattningen av intrånget i de aktuella rättigheterna, varför intrången enligt domstolen inte begränsades till vad som var absolut nödvändigt för att uppnå sitt syfte. Utredningen fann att svensk rätt i huvudsak innehåller det skydd för den personliga integriteten som datalagringsdirektivet enligt saknar. Så omfattar exempelvis lagringsskyldigheten i svensk rätt enligt utredningen inte annat än vad som är strikt nödvändigt för att uppnå syftet med regleringen, dvs. att utgöra ett led i den brottsbekämpande verksamheten. Det behövs därför enligt utredningen ingen förändring i fråga om vilka uppgiftskategorier som ska lagras. Vidare fann utredningen att det svenska regelverket är utformat på ett sådant sätt att har möjlighet att bedriva en aktiv och ändamålsenlig tillsynsverksamhet även gentemot leverantörer som väljer att lagra uppgifter utanför EU. Personuppgifter får dessutom bara föras över till ett land utanför EU om landet i fråga säkerställer en adekvat nivå att skydd för uppgifterna. Utredningen ansåg därför att den oberoende myndighetskontrollen är garanterad i svensk rätt och att det inte behövs ett förbud mot att uppgifter som lagras 4Dom i målen C-293/12 och C-594/12, Digital Rights m.fl., angående giltigheten av datalagringsdirektivet. 5Europaparlamentets och rådets direktiv /24/EG om lagring av trafikuppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv /58/EG. SOU 2016:65 Några tidigare och pågående utredningar på integritetsskyddsområdet enligt de svenska datalagringsreglerna förs över till tredje land för lagring där.