sou · H5B339 · 2017-05-12 00:00:00 — Det faktum att även vite kan aktualisera dubbelprövningsförbudet om det utdöms för gärningar som också aktualiserar påförande av sanktionsavgifter, talar ytterligare emot att införa en sådan möjlighet. Vid sidan av systemet med sanktionsavgifter finns också det i det närmaste strikta skadeståndsansvar som gäller enligt förord- ningens artikel 82. De höga belopp som kan komma att dömas ut vid mer omfattande behandling får också antas ha en avskräckande effekt. Sammanfattningsvis menar vi att förordningens system med skade- stånd och sanktionsavgifter, tillsammans med den reglering som före- slagits ovan avseende artikel 10, uppfyller kraven på effektiva och avskräckande sanktioner för överträdelser av förordningen och att det därför inte finns behov av att införa några andra sanktioner i svensk rätt. 34 SOU 2013:38 s. 537. Utredningens förslag: Sanktionsavgifterna ska tillfalla staten och betalas från det att beslutet om att ta ut avgiften har fått laga kraft. Om en sanktionsavgift inte betalas ska den lämnas för indrivning. Som nämnts ovan framgår det inte uttryckligen av dataskyddsför- ordningen om de sanktionsavgifter som kan komma att tas ut ska betalas till EU eller till medlemsstaterna. Inte heller regleras det i för- ordningen hur betalningen eller den närmare verkställigheten av avgifterna ska ske. I avsaknad av reglering i förordningen om vem sanktionsavgif- terna tillfaller, måste utgångspunkten vara att avgifterna ska tillfalla staten. Detta bör framgå av dataskyddslagen. Det bör däremot läm- nas till regeringen att bestämma till vilken myndighet betalning ska ske. Föreskrifter om verkställighet av sanktionsavgifter kan meddelas av regeringen eller den myndighet regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen. Någon upplysningsbestämmelse om detta behöver enligt vår bedömning inte tas in i dataskyddslagen. Med stöd av nämnda bestämmelse i regeringsformen bör regeringen meddela föreskrifter om till vilken myndighet betalning ska ske, liksom sed- vanliga föreskrifter om betalningen i övrigt, om indrivning och om preskription, i likhet med vad som föreslagits i betänkandet Brotts- datalag, SOU 2017:29. Enligt kommittédirektiven ska vi analysera i vilken utsträckning det behövs kompletterande bestämmelser om de rättsmedel för enskilda som regleras i dataskyddsförordningen. Vi ska vidare analysera om det behövs kompletterande bestämmelser om sådana integritetsskydds- organisationer som regleras i förordningen eller om vilandeförklaring eller skadestånd, samt lämna sådana författningsförslag som är behöv- liga och lämpliga. Enligt direktiven ska vi även analysera i vilken utsträckning det behövs kompletterande bestämmelser om utövandet av tillsynsmyn- dighetens befogenheter. Det kan dock konstateras att själva utövan- det av befogenheterna har behandlats av Utredningen om tillsynen över den personliga integriteten i betänkandet SOU 2016:65. Den fråga som ankommer på oss att utreda rörande utövandet av tillsyns- myndighetens befogenheter är därmed främst att analysera i vilken utsträckning det behövs kompletterande processuella bestämmelser till skydd för bland andra den personuppgiftsansvarige och de registre- rade, i samband med att tillsynsmyndigheten utövar sina befogen- heter. Dataskyddsförordningen innehåller utförliga bestämmelser som förpliktar de nationella tillsynsmyndigheterna att samarbeta med och assistera andra medlemsstaters tillsynsmyndigheter. Detta innefattar bland annat skyldigheter att samråda och utbyta information. Till- synsmyndigheterna ges också möjlighet och skyldighet att genom- föra gemensamma insatser och utredningar, där personal från olika medlemsstaters tillsynsmyndigheter deltar. Vid gemensamma insatser får en tillsynsmyndighet, i enlighet med nationell rätt, medge företrädare för deltagande tillsynsmyndigheter i andra medlemsstater att utöva tillsynsbefogenheter. tiven anges därför att vi ska bedöma om det bör införas bestämmelser som möjliggör en överföring av den svenska tillsynsmyndighetens befogenheter till en annan medlemsstats tillsynsmyndighet. Vi ska även lämna lämpliga författningsförslag. De processuella frågor som aktualiseras när en behandling av person- uppgifter ifrågasätts behandlas i detta kapitel i den kronologiska ord- ning de normalt uppkommer. Först behandlas således vilka rätts- medel som står till buds för den registrerade i direkt förhållande till den personuppgiftsansvarige eller biträdet, dvs. utan inblandning av tillsynsmyndigheten (avsnitt 19.3). Därefter behandlas den registre- rades möjlighet att lämna in klagomål till tillsynsmyndigheten och få ett besked om myndigheten avser att vidta några åtgärder eller inte (avsnitt 19.4). I de påföljande avsnitten behandlas dels frågor som rör tillsynsmyndighetens handläggning av ärenden (avsnitt 19.5) och gemensamma insatser med utländska tillsynsmyndigheter (av- snitt 19.6), dels rätten att överklaga tillsynsmyndighetens beslut (av- snitt 19.7) och andra beslut enligt dataskyddslagen (avsnitt 19.8). Den registrerades möjligheter att få stöd av en ideell organisation behandlas därefter (avsnitt 19.9) och vissa frågor som rör dom- stolsförfarandet (avsnitt 19.10). 19.3Rättsmedel mot den personuppgiftsansvarige eller personuppgiftsbiträdet Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begä- ran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personupp- giftslagen eller föreskrifter som har utfärdats med stöd av lagen. I 48 § PUL anges att den personuppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgifts- lagen har orsakat. Med stöd av denna bestämmelse kan den registre- rade ansöka om stämning mot den personuppgiftsansvarige och yrka att den personuppgiftsansvarige ska åläggas att betala ersättning. Om den personuppgiftsansvarige är en statlig myndighet får begäran om ersättning ges in till Justitiekanslern. Enligt förordningen om hand- läggning av skadeståndsanspråk mot staten ska Justitiekanslern hand- lägga sådana anspråk som görs med stöd av personuppgiftslagens skadeståndsbestämmelse. Om den personuppgiftsansvarige är en myndighet har den regi- strerade också i vissa fall möjlighet att initiera en process i förvalt- ningsdomstol. Enligt 52 § PUL får nämligen några av de beslut som myndigheten fattar enligt personuppgiftslagen överklagas till allmän förvaltningsdomstol. Denna rätt gäller endast myndighetens beslut om information enligt 26 § PUL, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 §. Rätten att överklaga gäller inte beslut som fattats av , regeringen eller ombudsmän. Varje registrerad som anser att hans eller hennes rättigheter har åsido- satts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med förordningen ska ha rätt till ett effektivt rättsmedel, utöver rätten att lämna in ett klago- mål till en tillsynsmyndighet (artikel 79.1). Talan mot en personupp- giftsansvarig eller ett personuppgiftsbiträde ska väckas vid domsto- larna i den medlemsstat där den personuppgiftsansvarige eller person- uppgiftsbiträdet är etablerad. Talan får även väckas vid domstolarna i den medlemsstat där den registrerade har sin hemvist, såvida inte den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet som agerar inom ramen för sin myndighetsutövning (artikel 79.2). Artikel 82 innehåller bestämmelser om skadestånd. Enligt arti- kel 82.6 ska domstolsförfaranden för utövande av rätten till ersätt- ning tas upp vid de domstolar som är behöriga enligt artikel 79.2. Utredningens förslag: Om den personuppgiftsansvarige är en myndighet, ska myndighetens beslut avseende behandlingen av personuppgifter i vissa fall få överklagas av den registrerade till allmän förvaltningsdomstol. Det ska förtydligas i dataskyddslagen att rätten till ersättning enligt dataskyddsförordningen även gäller vid överträdelser av bestämmelser som kompletterar dataskyddsförordningen. Utredningens bedömning: Den registrerades rätt till ett effektivt rättsmedel mot den personuppgiftsansvarige eller biträdet till- godoses genom möjligheten att föra talan om skadestånd i allmän domstol. En registrerad ska enligt dataskyddsförordningen ha rätt till ett effek- tivt rättsmedel mot en personuppgiftsansvarig eller ett personupp- giftsbiträde. Av kontexten framgår att rättsmedlet ska innefatta en rätt att föra talan i domstol. Vilken slags talan som den registrerade ska kunna väcka framgår däremot inte, vare sig av artikeltexten eller av skälen till förordningen. Även enligt dataskyddsdirektivet ska den registrerade ha rätt till ett rättsmedel mot en personuppgiftsansvarig eller ett personupp- giftsbiträde. I artikel 22 i direktivet anges att medlemsstaterna ska föreskriva att var och en har rätt att föra talan inför domstol om såda- na kränkningar av rättigheter som skyddas av den nationella lag- stiftning som är tillämplig på behandlingen. Vid genomförandet av dataskyddsdirektivet bedömdes att denna bestämmelse var genom- förd i svensk rätt genom möjligheten för enskilda att vid allmän domstol föra talan om skadestånd för kränkningar av alla rättigheter som direktivet och den svenska lagstiftningen ger enskilda.1 1997/98:44 s. 106. En myndighets beslut om personuppgiftsbehandling ska i vissa fall få överklagas till allmän förvaltningsdomstol Om den personuppgiftsansvarige är en myndighet får enligt gällande rätt vissa av de beslut som myndigheten fattar i denna egenskap över- klagas till allmän förvaltningsdomstol (52 § PUL). Denna bestäm- melse har inte sin grund i dataskyddsdirektivet, utan motiveras av allmänna förvaltningsrättsliga principer om att förvaltningsbeslut som direkt berör en enskild person ska kunna överprövas av domstol.2 Dessa allmänna förvaltningsrättsliga principer gör sig gällande även avseende vissa av de beslut som personuppgiftsansvariga myn- digheter kommer att fatta enligt dataskyddsförordningen, till följd av en begäran av en registrerad. När den personuppgiftsansvarige är en myndighet kan nämligen vissa beslut rörande behandlingen av per- sonuppgifter sägas vara ett utflöde av myndighetens myndighets- utövning. Dataskyddslagen bör därför, i likhet med personuppgifts- lagen, förses med en uttrycklig bestämmelse om att vissa myndig- hetsbeslut får överklagas till allmän förvaltningsdomstol. Prövnings- tillstånd bör krävas för överklagande till kammarrätten. Rätten att överklaga bör omfatta beslut som en personuppgifts- ansvarig myndighet fattar med anledning av att en registrerad utövar sina rättigheter enligt kapitel III i dataskyddsförordningen. De rättig- heter som kan föranleda överklagbara beslut rör information (arti- kel 12.5), registerutdrag m.m. (artikel 15), rättelse (artikel 16), rade- ring (artikel 17), begränsning (artikel 18), underrättelse till tredje man om rättelse, radering eller begränsning (artikel 19) och invänd- ningar (artikel 21). Det bör noteras att överklaganderätten bara kan gälla beslut som är av den karaktären att de är överklagbara enligt allmänna förvaltningsrättsliga principer, jfr t.ex. RÅ 2010 ref. 72 och RÅ 2007 ref. 7. En myndighets faktiska handlande eller underlåtenhet att handla kan exempelvis inte överklagas. En annan förutsättning för överklagande är att beslutet har någon inte alltför obetydlig verkan för parter eller andra. Normalt saknas också möjlighet att klaga över motiveringen till ett beslut. 2005/06:173 s. 51 f. Den registrerade får föra talan om skadestånd Den registrerades rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet vid skada som uppstått till följd av behandling som strider mot dataskyddsförordningen regleras i arti- kel 82. Med behandling som strider mot dataskyddsförordningen av- ses enligt skäl 146 även behandling som strider mot nationella bestämmelser som specificerar förordningen. Artikel 82, som är direkt tillämplig, tar över de allmänna skadeståndsreglerna i skadestånds- lagen, jfr 1 kap. 1 § i den lagen. Domstolsförfaranden rörande skadestånd ska enligt artikel 82.6 tas upp vid de domstolar som är behöriga enligt artikel 79.2, dvs. vid en domstol i den medlemsstat där den personuppgiftsansvarige eller biträdet är etablerad. Såvida den ansvarige eller biträdet inte är en myndighet får talan i stället väckas vid en domstol i den medlemsstat där den registrerade har sin hemvist. Bestämmelsen tar över rätte- gångsbalkens allmänna forumregler, jfr 10 kap. 21 § . Ersättningen ska enligt förordningen täcka såväl materiell som immateriell skada, dvs. med svenska termer ekonomisk och ideell skada. Kränkning, som i 48 § PUL nämns särskilt vid sidan av skada, utgör en immateriell eller ideell skada.3 Förarbetsuttalanden rörande personuppgiftslagen och den praxis som har utvecklats vid tillämp- ningen av 48 § PUL bör därför kunna vara vägledande även vid pröv- ning av rätten till ersättning enligt artikel 82 i dataskyddsförord- ningen. Se även avsnitt 18.3.1. I likhet med den bedömning som gjordes vid genomförandet av dataskyddsdirektivet anser vi att den registrerades rätt till ett effek- tivt rättsmedel mot en personuppgiftsansvarig eller ett personupp- giftsbiträde tillgodoses i svensk rätt genom möjligheten att vid allmän domstol föra talan om ersättning för den skada som en behandling av personuppgifter i strid med förordningen har gett upphov till. Samma rätt till ersättning gäller enligt skäl 146 även vid skada som uppstått genom behandling av personuppgifter i strid med de natio- nella bestämmelser som specificerar dataskyddsförordningen. Detta bör förtydligas genom en upplysningsbestämmelse i dataskyddslagen. Denna bestämmelse bör erinra om att rätten till ersättning gäller även 3 För en närmare beskrivning av det skadeståndsrättsliga begreppet kränkning, se SOU 2010:87 s. 104 f. vid överträdelser av bestämmelser i dataskyddslagen och i andra för- fattningar som kompletterar dataskyddsförordningen. Några natio- nella bestämmelser i övrigt, utöver dem som redan finns i rättegångs- balken och skadeståndslagen, behövs däremot inte för att uppfylla dataskyddsförordningens krav på rättsmedel enligt artikel 79. Den registrerades möjlighet att ge in ett klagomål till Datainspek- tionen är inte reglerad i författning. På inspektionens hemsida anges dock att inspektionen tar del av alla klagomål, bedömer om tillsyn ska inledas och lämnar ett besked till den som framfört klagomålet. Varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot dataskyddsförordningen ska ha rätt att lämna in ett klagomål till en tillsynsmyndighet (artikel 77.1). ska underrätta den enskilde bland annat om hur arbetet med klagomålet fortskrider och vad resultatet blir (arti- kel 77.2). Om tillsynsmyndigheten underlåter att behandla ett klagomål eller att informera den registrerade om hur det fort- skrider med klagomålet eller vilket beslut som har fattats med anled- ning av det, ska varje registrerad person ska ha rätt till ett effektivt rättsmedel (artikel 78.2). Utredningens förslag: Om tillsynsmyndigheten inte behandlar ett klagomål, ska den registrerade kunna begära besked i frågan om tillsynsmyndigheten avser att utöva till- syn. Myndigheten ska då antingen lämna ett sådant besked eller i ett särskilt beslut avslå begäran om besked. Om tillsynsmyndigheten avslår begäran om besked får den registrerade begära nytt besked i ärendet först . Utredningens bedömning: Det behövs inga författningsbestäm- melser om den registrerades rätt att lämna in klagomål till tillsyns- myndigheten. Den registrerade får lämna in klagomål till tillsynsmyndigheten Det finns i gällande svensk rätt inga uttryckliga bestämmelser om rätten att framföra klagomål till Datainspektionen. Inte heller data- skyddsförordningen ger anledning till nationell reglering av rätten att ge in klagomål. Den registrerades rätt regleras direkt i artikel 77 i förordningen och tillsynsmyndighetens skyldighet att handlägga sådana klagomål föreskrivs i artikel 57.1 f. Vi lämnar därför inget författningsförslag i denna del. Vid utebliven eller långsam handläggning av ett klagomål ska den registrerade kunna begära besked ansvarar för att behandla klagomål, vilket inne- fattar en skyldighet att, där så är lämpligt, undersöka den sakfråga som klagomålet gäller. ska också inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet (artikel 57.1 f och artikel 77.2 i dataskyddsförord- ningen). Om tillsynsmyndigheten inte uppfyller dessa skyldigheter, ska den registrerade ha rätt till ett effektivt rätts- medel. En motsvarande rätt för enskilda att föra passivitets- eller dröjs- målstalan mot myndigheter som inte agerar inom föreskriven tidsfrist återfinns i flera unionsrättsakter, bland annat inom det finansiella området och i tullagstiftningen. Det har dock inte varit självklart hur denna rätt bäst ska tillgodoses inom ramen för den svenska förvalt- ningsprocessuella traditionen, eftersom denna innebär att domstolen överprövar ett skriftligt myndighetsbeslut. På flera områden har EU- rättsliga bestämmelser om dröjsmålstalan genomförts på så sätt att den enskilde har getts en möjlighet att hos förvaltningsdomstol begära förklaring att ärendet onödigt uppehålls. Om myndigheten inte har meddelat ett beslut inom från det att domstolen har lämnat en sådan förklaring, ska ansökan anses ha avslagits.4 Detta fingerade avslagsbeslut kan därefter överklagas i samma ordning som om ett formellt beslut verkligen hade fattats. 2016/17:180, En modern och rättssäker förvaltning – ny förvaltningslag, som bygger på betän- kande (SOU 2010:29), föreslås en lösning som i stället syftar till att framtvinga ett överklagbart beslut i handläggningsfrågan. Enligt det förslaget ska den enskilde inte i första skedet vända sig till förvalt- ningsdomstol, utan hos myndigheten begära att ärendet avgörs. Myn- digheten ska då antingen avgöra ärendet eller i ett särskilt beslut avslå framställningen. Ett sådant avslagsbeslut får sedan överklagas till den domstol eller förvaltningsmyndighet som är behö- rig att pröva ett överklagande av avgörandet i ärendet (se 12 § i för- slaget till förvaltningslag). Med tanke på att regeringens förslag, om det antas av , innebär att ett nytt rättsmedel mot långsam myndighetshandläggning införs i på generell nivå, anser vi att dataskyddsförordningens bestämmelse om dröjs- målstalan bör genomföras på ett sätt som följer samma principiella konstruktion. Om tillsynsmyndigheten inte behandlar ett klagomål inom den tidsfrist som anges i förordningen, bör myndigheten således vara skyldig att på skriftlig begäran av den registrerade lämna besked i frågan om tillsynsmyndigheten tänker utöva tillsyn eller inte med anledning av klagomålet. Om tillsynsmyndigheten inte kan lämna ett sådant besked , t.ex. på grund av att ärendet kräver ytterligare utredning, bör tillsynsmyndigheten vara skyldig att i ett särskilt beslut avslå den registrerades begäran om besked. Ett sådant avslagsbeslut utgör myndighetsutövning och ska därför enligt 20 § förvaltningslagen innehålla skälen för beslutet. Endast på så sätt skapas förutsättningar för att i domstol göra en prövning av om handläggningstiden hos tillsynsmyndigheten är rimlig, se avsnitt 19.7 om överklagande av tillsynsmyndighetens beslut. Om tillsynsmyndigheten avslår begäran om besked bör den regi- strerade ha möjlighet att på nytt begära besked i ärendet. Tillsyns- myndigheten bör dock få en rimlig tid på sig att faktiskt handlägga klagomålet. Enligt vår mening är en rimlig tids- 4 Se t.ex. 6 kap. 26 § tullagen (2016:253) och 26 kap. 2 § lagen (2007:528) om värdepappers- marknaden. Om en ny begäran om besked kommer in till tillsynsmyndig- heten innan har förflutit sedan myndigheten avslog den första begäran om besked, bör således tillsynsmyndigheten avvisa begäran. 19.5En rättssäker handläggning hos tillsynsmyndigheten utredningsbefogenheter regleras i 43 § PUL. Enligt denna bestämmelse har tillsynsmyndigheten rätt att för sin till- syn på begäran få a)tillgång till de personuppgifter som behandlas, b)upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerheten vid denna, och c)tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. har inte några maktbefogenheter att ta till om den personuppgiftsansvarige vägrar att t.ex. tillhandahålla informa- tion eller bereda myndigheten tillträde till lokalerna. Myndigheten kan inte heller begära handräckning av polisen eller Kronofogde- myndigheten i en sådan situation. Enligt 44 § PUL får tillsynsmyndigheten vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem, om myndigheten efter begäran enligt 43 § inte kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig. Detta ansågs vid införan- det av personuppgiftslagen som en lämpligare åtgärd än regler om att myndigheten skulle få genomdriva sina rättigheter med t.ex. polishjälp.5 Om tillsynsmyndigheten kan konstatera att personuppgifter be- handlas eller kan komma att behandlas på ett olagligt sätt, ska myndig- heten enligt 45 § PUL genom påpekanden eller liknande förfaranden 1997/98:44 s. 102 f. och SOU 1997:39 s. 446 f. försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande, får myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgif- terna på något annat sätt än genom att lagra dem. Vite får även före- skrivas om den personuppgiftsansvarige inte frivilligt följer ett beslut om säkerhetsåtgärder enligt 32 § som vunnit laga kraft. I 46 § första stycket PUL anges att den personuppgiftsansvarige ska ha fått tillfälle att yttra sig innan tillsynsmyndigheten beslutar om vite enligt 44 eller 45 §. Om saken är brådskande, får dock myndig- heten i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet ska omprövas, när tiden för yttrande har gått ut. får inte själv besluta om utplåning av per- sonuppgifter. Enligt 47 § PUL får dock myndigheten ansöka hos förvaltningsrätten om att sådana personuppgifter som har behand- lats på ett olagligt sätt ska utplånas. Beslut om utplånande får inte meddelas om det är oskäligt. Dataskyddsförordningen innehåller direkt tillämpliga bestämmelser om tillsynsmyndighetens befogenheter. Dessa befogenheter är fler, eller i vart fall mer detaljerat reglerade, än dem som anges i person- uppgiftslagen. utredningsbefogenheter, som regleras i artikel 58.1 i förordningen, motsvarar i stora drag de befogenheter som tillkommer myndigheten enligt personuppgifts- lagen. De s.k. korrigerande befogenheterna, som framgår av arti- kel 58.2, är däremot mer omfattande. Som exempel kan nämnas att tillsmyndigheten enligt led g i den angivna artikeln får förelägga om radering av personuppgifter och att den enligt led i får påföra admi- nistrativa sanktionsavgifter. Vidare anges i artikel 58.3 vilken möj- lighet myndigheten har att utfärda tillstånd och att ge råd. Enligt artikel 58.5 ska det i den nationella lagstiftningen fastställas att tillsynsmyndigheten har befogenhet att upplysa de rättsliga myn- digheterna om överträdelser av förordningen och vid behov inleda eller på annat vis delta i rättsliga förfaranden, för att verkställa bestämmelserna. Varje medlemsstat får enligt artikel 58.6 föreskriva att dess till- synsmyndighet ska ha ytterligare befogenheter, utöver dem som av- ses i punkterna 1, 2 och 3. Om den svenska myndigheten bör ges sådana ytterligare befogenheter är en fråga som har övervägts av Utredningen om tillsynen över den personliga integriteten. Utred- ningen har i sitt betänkande konstaterat att det inte finns något sådant behov.6