sou · H5B329 · 2017-04-05 00:00:00 — I artikel 53.1 och skäl 86 slås fast att en fysisk eller juridisk person har rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut som avser dem och som meddelats av tillsynsmyndigheten. Enligt skäl 86 avses med beslut som får rättsliga följder bl.a. tillsynsmyn- dighetens beslut när den utövar sina utrednings- och korrigerings- befogenheter. Däremot tar rätten inte sikte på beslut om åtgärder som inte är rättsligt bindande, t.ex. yttranden eller rådgivning. Enligt 22 § förvaltningslagen får ett beslut överklagas av den som beslutet angår, om det har gått honom eller henne emot och är överklagbart. Enligt 51 § första stycket personuppgiftslagen får tillsynsmyndighetens beslut, med undantag av beslut om föreskrif- ter, överklagas till allmän förvaltningsdomstol. Paragrafen genom- för artikel 28.3 i det nu gällande direktivet som slår fast att sådana beslut av tillsynsmyndighetens som går en part emot ska kunna överklagas till domstol. Överklagandebestämmelsen i personuppgiftslagen är även till- lämplig när tillsynsmyndigheten fattat beslut enligt vissa av regis- terförfattningarna för de behöriga myndigheterna. Det beror på att registerförfattningen innehåller en uttrycklig hänvisning till över- klagandebestämmelsen (se t.ex. 2 kap. 2 § 13 åklagardatalagen). Några registerförfattningar innehåller överklagandebestämmelser med samma innebörd som överklagandebestämmelsen i personupp- giftslagen (se t.ex. 19 § domstolsdatalagen). En överklagandebestämmelse i ramlagen Om en myndighets befogenheter regleras i en författning bör det som huvudregel av samma författning framgå om och i så fall hur myndighetens beslut kan överklagas. En sådan ordning ger en sam- lad bild både av vilka befogenheter en myndighet har och hur den som blir föremål för myndighetens beslut kan angripa dem. Ut- redningen föreslår att tillsynsmyndighetens befogenheter regleras i ramlagen (se avsnitt 12.7). Den bör därför även reglera rätten att överklaga tillsynsmyndighetens beslut. Vilka beslut ska få överklagas? Enligt artikel 53.1 får endast rättsligt bindande beslut överklagas. Det ligger i linje med vad som allmänt gäller för överklagbarhet och klagorätt. Även om motsvarande artikel i det nu gällande direktivet har en något annorlunda språklig utformning beträffande vilka be- slut som får överklagas anser utredningen att det inte är någon sak- lig skillnad. Förvaltningslagen ger inget svar på frågan om ett beslut kan överklagas. Rätten att överklaga regleras i stället genom bestäm- melser i specialförfattningar och myndighetsinstruktioner. Även om det i en författning anges att ett beslut enligt författningen eller ett beslut av en viss myndighet får överklagas, innebär det inte att alla sådana beslut är överklagbara. Överklagbarheten är nämligen begränsad till följd av allmänna principer som har utbildats i rätts- praxis (jfr RÅ 2007 ref. 7 och där angivna rättsfall). En myndighets faktiska handlande eller underlåtenhet att handla kan exempelvis inte överklagas. En annan förutsättning för överklagande är att beslutet har en inte alltför obetydlig verkan för parter eller andra. Normalt saknas det också möjlighet att klaga över motiveringen till ett beslut (Översyn av förvaltningsprocessen; en allmän regel om domstolsprövning av förvaltningsbeslut m.m., prop. 1997/98:101, s. 49 f.). Frågan om överklagbarhet har prövats när det gäller till- synsmyndighetens beslut enligt personuppgiftslagen (för exempel se m.fl. s. 549 f.). Bestämmelsen i ramlagen bör med beaktande av det som har sagts i likhet med dagens reglering ha som utgångspunkt att till- synsmyndighetens beslut ska kunna överklagas. På samma sätt som får det avgöras i rättstillämpningen om ett beslut som tillsyns- myndigheten har fattat är överklagbart. I avsnitt 12.6.3 och 12.7.6 föreslår utredningen att tillsynsmyn- digheten ska kunna fatta vissa beslut som saknar motsvarighet i dagens reglering. får bl.a. i vissa fall vägra att kontrollera om behandlingen av personuppgifter är författningsen- lig och kommer också att kunna meddela förelägganden om rade- ring av personuppgifter. I vilken utsträckning de nya typerna av be- slut kommer att kunna överklagas blir på motsvarande sätt en fråga för rättstillämpningen. Överklagandena bör på samma sätt som prövas av allmän förvaltningsdomstol. Av de skäl som angetts i avsnitt 14.4 bör instansordningen inte beskäras så att förvaltningsrättens avgörande inte får överklagas. Vid överklagande till kammarrätten bör det dock krävas prövningstillstånd för att klaganden ska få sitt överkla- gande prövat i sak. Vem får överklaga? För att någon ska få överklaga ett beslut ska han eller hon ha klago- rätt. Om en person har klagorätt måste bedömas i varje enskilt fall av den domstol som behandlar överklagandet. I 51 § personuppgiftslagen ställs det inte något krav på att den som klagar ska vara part. I praxis har det inte heller krävts att den som överklagar tillsynsmyndighetens beslut har ställning som part. I stället har det bl.a. förts resonemang dels om beslutet angått den som överklagat det, dels om det gått honom eller henne emot (jfr 22 § förvaltningslagen). Tillämpningen stämmer väl överens med de krav på klagorätt som ställs upp i direktivet. se kan därför utformas med 51 § första stycket personuppgiftslagen som mönster. Att det är den som beslutet angår och som det gått emot inne- bär i praktiken att det är den beslutet riktas mot som har rätt att överklaga tillsynsmyndighetens beslut. I ett tillsynsärende kommer det oftast att vara den personuppgiftsansvarige eller ett personupp- giftsbiträde. När det gäller avslag på begäran om kontroll av om viss behandling är författningsenlig berörs den registrerade som har begärt kontrollen. Det kan dock inte uteslutas att beslut av tillsyns- myndigheten i något annat fall skulle kunna få rättsliga följder även för någon annan än den som beslutet riktar sig mot. Vederbörande har då rätt att överklaga beslutet enligt förvaltningslagens regler om talerätt. Särskilt om tillsynsmyndighetens beslut i anledning av klagomål Enligt rättspraxis avseende personuppgiftslagen är Datainspektio- nens beslut att inte vidta någon åtgärd med anledning av en anmä- lan (klagomål) eller att skriva av ett ärende om tillsyn inte möjliga att överklaga (se RÅ 2010 ref. 29). har uttalat att artikel 28.3 i det nu gällande data- skyddsdirektivet ska förstås som att en enskild, som gett in en be- gäran till tillsynsmyndigheten, ska ha tillgång till ett rättsmedel som innebär att han eller hon vid nationell domstol kan angripa till- synsmyndighetens beslut om det gått honom eller henne emot (dom av , Schrems, C-362/14, punkten 64). Ut- redningen måste därför överväga om direktivet förutsätter att en- skilda ska ha generell rätt att överklaga tillsynsmyndighetens be- slut, t.ex. beslut att inte vidta någon åtgärd i anledning av klagomål. I skäl 85 i direktivet framhålls att en registrerad ska ha rätt till ett effektivt rättsmedel också om tillsynsmyndigheten helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när det är nödvändigt för att skydda den registrerades rättigheter. Av skäl 86 framgår att bl.a. den registrerade ska kunna vända sig till behörig nationell domstol. Vidare sägs i artikel 52.4 att tillsynsmyndigheten ska underrätta den enskilde om handläggningen och resultatet av ett klagomål som han eller hon gett in och om rätten till rättsmedel enligt artikel 53. Av artikel 53.1 följer emellertid att det enbart är den som ett rättsligt bindande beslut riktar sig mot som ska ha till- gång till ett effektivt rättsmedel. Direktivet innehåller således skrivningar som kan tala både för och emot en klagorätt för enskilda när det gäller tillsynsmyndig- hetens beslut i anledning av klagomål. En generell rätt till dom- stolsprövning av tillsynsmyndighetens beslut av det slag som är aktuellt skulle äventyra tillsynsmyndighetens oberoende ställning. Att tillsynsmyndigheten ska vara oberoende framgår bl.a. av arti- kel 42.1. Enligt artikel 46.1 f ska tillsynsmyndigheten behandla klagomål och när så är lämpligt undersöka den sakfråga klagomålet gäller. har därmed inte någon skyldighet att vidta tillsynsåtgärder eller ens att alltid närmare undersöka sakfrå- gan. Tvärtom har tillsynsmyndigheten enligt direktivet, på samma sätt som som i svensk tillsynstradition, ett uttalat utrymme att själv avgöra vilka tillsynsärenden som ska drivas och på vilket sätt det ska göras. I vilken utsträckning enskilda ska anses ha klagorätt får över- lämnas till rättstillämpningen. Det bör också understrykas att en registrerad alltid har möjlig- het att väcka talan i civilrättslig ordning mot en personuppgiftsan- svarig eller ett personuppgiftsbiträde, att begära skadestånd och i vissa fall även att överklaga en myndighets beslut i egenskap av personuppgiftsansvarig (se avsnitt 14.2, 14.3 och 14.4). En registre- rad kan välja att väcka en sådan talan eller överklaga ett sådant be- slut oavsett vad tillsynsmyndigheten gjort i sin tillsyn. Särskilt om myndigheters rätt att överklaga De allmänna förvaltningsrättsliga principerna om klagorätt anses bara vara tillämpliga på myndigheter när de uppträder i någon pri- vaträttslig egenskap, exempelvis som arbetsgivare eller fastighets- ägare. Då anses myndigheter ha samma rätt att överklaga som en- skilda. När myndigheter däremot uppträder i sin offentligrättsliga roll, vilket de gör i egenskap av personuppgiftsansvariga, är förhål- landena annorlunda. En myndighet får då överklaga en annan myn- dighets beslut bara under vissa förutsättningar. Utgångspunkten är att överklagande kräver författningsstöd. Det har också betydelse om det är fråga om en , en landstingskommunal eller en statlig myndighet (se och , Förvalt- ningslagen med kommentarer, 3 uppl., 2010, s. 300 f.). Till skillnad från vad som anges i t.ex. artiklarna 53.2 och 54 omfattar rätten till rättsmedel enligt artikel 53.1 inte bara den regi- strerade. Av artikel 53.1 jämförd med skäl 86 framgår att även myndigheter i sin egenskap av personuppgiftsansvariga ska ha rätt att överklaga tillsynsmyndighetens beslut. Både statliga, kommu- nala (t.ex. socialnämnden vid ungdomspåföljder) och landstings- kommunala (t.ex. rättspsykiatriska enheter) myndigheter kommer att vara personuppgiftsansvariga enligt ramlagen. Myndigheter som är personuppgiftsansvariga anses kunna överklaga tillsynsmyndighetens beslut till allmän förvalt- ningsdomstol enligt 51 § personuppgiftslagen. Detsamma bör gälla enligt ramlagen. Att kretsen av taleberättigade är vidare när det gäl- ler tillsynsmyndighetens beslut än vid övriga rättsmedel är enligt utredningens uppfattning naturligt. Det är främst myndigheter som kommer att vara personuppgiftsansvariga för den behandling som utförs enligt ramlagen. beslut kommer oftast att rikta sig direkt mot de personuppgiftsansvariga och de kommer därför att ha intresse av att kunna överklaga besluten. Be- stämmelsen om överklagande av tillsynsmyndighetens beslut måste därför ge både statliga, kommunala och landstingskommunala myndigheter rätt att överklaga. 14.7.2Det behövs ingen ny forumregel Utredningens bedömning: Det behövs ingen ny forumregel för talan mot tillsynsmyndighetens beslut. Skälen för utredningens bedömning: Enligt artikel 53.3 ska med- lemsstaterna föreskriva att talan mot en tillsynsmyndighet ska väckas vid domstol i den medlemsstat där tillsynsmyndigheten har sitt säte. Med väcka talan måste i detta sammanhang förstås att ett domstolsförfarande mot tillsynsmyndigheten initieras genom över- klagande av myndighetens beslut. Artikel 53.3 skulle kunna tolkas som en domsrättsregel. Efter- som det i artikel 41.1 anges att varje medlemsstat ska utse en eller flera tillsynsmyndigheter anser utredningen dock att artikeln bör tolkas som krav på att det ska finnas en forumregel. För att upp- fylla kraven i artikeln är det alltså tillräckligt att det finns bestäm- melser som möjliggör överklagande av tillsynsmyndighetens beslut och som anger till vilken domstol besluten ska överklagas. Enligt 14 § lagen (1971:289) om allmänna förvaltningsdomstolar ska, om det i lag eller annan författning föreskrivs att talan ska väckas vid eller beslut överklagas till allmän förvaltningsdomstol, det göras vid en förvaltningsrätt. Beslut ska överklagas till den för- valtningsrätt inom vars domkrets ärendet först prövats, om det inte för ett visst slag av mål föreskrivs annat. Det finns således redan en regel som talar om till vilken domstol tillsynsmyndighetens beslut ska överklagas och något behov av särregler finns inte. Det krävs därför ingen åtgärd för att genom- föra artikel 53.3. Eftersom den föreslagna tillsynsmyndigheten, Datainspektionen, endast har verksamhet i finns det inga alternativa forum. 14.8Rättsmedlen är oberoende av varandra Utredningens bedömning: Den föreslagna regleringen lever upp till kravet på att användningen av ett rättsmedel inte ska få påverka rätten att använda andra rättsmedel eller administrativa förfaranden. Skälen för utredningens bedömning: Rätten till rättsmedel får enligt artikel 53.1 och skäl 86 inte påverka något annat administra- tivt prövningsförfarande eller prövningsförfarande utanför dom- stol. Även om den registrerade har rätt att överklaga ett beslut av en personuppgiftsansvarig myndighet ska han eller hon när som helst kunna utnyttja andra rättsmedel som står till buds. Den registrerade kan som framgått kräva skadestånd av den per- sonuppgiftsansvarige. Det förhållandet att den personuppgiftsan- svariges beslut i fråga om skadestånd inte får överklagas avskär inte den registrerade från möjligheten att väcka talan om skadestånd eller föra annan talan vid allmän domstol. Skadeståndsskyldighet inträder oberoende av om den person- uppgiftsansvarige fattat något formellt beslut och oavsett om ett beslut överklagats av den registrerade. Även om den personupp- giftsansvariges beslut ändras efter överklagande, kan den registre- rade ha rätt till skadestånd. Den registrerade kan således under vissa förutsättningar föra talan parallellt i både allmän förvaltningsdomstol (om ändring av ett myndighetsbeslut genom överklagande) och allmän domstol (om t.ex. skadestånd) om vad som i realiteten är samma sak. Den registrerade kan dessutom när som helst lämna in klagomål till tillsynsmyndigheten, som oberoende av domstolsprocesserna kan agera och utnyttja sina befogenheter. Möjligheten att lämna in klagomål även till andra organ än tillsynsmyndigheten står också öppen. Enligt utredningens bedömning lever således regleringen upp till kravet på att användningen av ett rättsmedel inte får påverka rätten att använda andra rättsmedel eller administrativa förfaranden. 14.9Rätt för ideella organisationer att företräda registrerade Utredningens bedömning: Det krävs inga lagstiftningsåtgärder för att en registrerad ska kunna ge en ideell organisation i upp- drag att företräda honom eller henne hos tillsynsmyndigheten eller i domstol. Skälen för utredningens bedömning Enligt artikel 55 ska en registrerad ha rätt att ge ett organ, en orga- nisation eller en sammanslutning utan vinstsyfte i uppdrag att lämna in klagomål till tillsynsmyndigheten och att utöva de rättig- heter som avses i artiklarna 52, 53 och 54 för hans eller hennes räk- ning. Förutom att ge in klagomål till tillsynsmyndigheten ska alltså den som fått ett sådant uppdrag kunna överklaga beslut, väcka dröjsmålstalan eller väcka talan vid allmän domstol. Organets, orga- nisationens eller sammanslutningens stadgeenliga mål ska vara av allmänt intresse och den ska vara verksam för att skydda registrera- des rättigheter och friheter vid behandling av personuppgifter. Enligt skäl 87 bör en registrerad som anser att hans eller hennes rättigheter enligt direktivet har kränkts ha rätt att ge ett organ som syftar till att skydda registrerades rättigheter och intressen vad gäl- ler skyddet av deras personuppgifter, i uppdrag att lämna in klago- mål och utöva hans eller hennes rätt till rättsmedel. Den registre- rades rätt att bli företrädd bör inte påverka nationella processuella regler enligt vilka det kan vara obligatoriskt att registrerade inför domstol företräds av en advokat. För enkelhetens skull benämns organet, organisationen eller sammanslutningen i det följande ideell organisation. Processrätten medger som huvudregel inte att organisationer intar partställning vid sidan av den egentliga parten i en process. Undan- tag gäller dock för arbetstvister, (4 kap. 5 § lagen [1974:371] om rättegången i arbetstvister), tvister mellan konsumenter och näringsidkare om varor, tjänster eller andra nyttigheter (5 § lagen [2002:599] om grupprättegång), mål om skadestånd för vissa mil- jöskador och andra enskilda anspråk (32 kap. 13 och 14 §§ miljö- balken) och mål om diskriminering (6 kap. 2 § diskriminerings- lagen [2008:567]). I personuppgiftslagen och annan reglering om personuppgiftsbehandling finns inga regler om talerätt för orga- nisationer. En enskild får enligt 48 § förvaltningsprocesslagen i en rättegång i allmän förvaltningsdomstol anlita ett ombud eller ett biträde. En- ligt 12 kap. 1 § får en enskild anlita ett ombud i en process vid allmän domstol. I såväl förvaltningsprocesslagen som ställs uttryckliga kompetenskrav på ombudet eller biträdet (48 § första stycket förvaltningsprocesslagen respektive 12 kap. 2 § ), varför juridiska personer inte kan uppträda som ombud i en rättegång (se Fitger m.fl., Rättegångsbal- ken, del 1, supplement 81, , s. 12:5 och En mer ända- målsenlig förvaltningsprocess, prop. 2012/13:45, s. 106 f.). I för- valtningsärenden kan däremot även en juridisk person agera ombud eller biträde, eftersom motsvarande kompetenskrav saknas (9 § första stycket förvaltningslagen, Förslag till lag om allmänna för- valtningsdomstolar m.m., prop. 1971:30, del 2, s. 362 och RÅ 1963 ref. 37). Om ett ombud eller ett biträde är oskickligt, visar oför- stånd eller är olämpligt på något annat sätt får myndigheten eller domstolen avvisa ombudet (48 § andra stycket förvaltningspro- cesslagen, 12 kap. 5 § och 9 § andra stycket för- valtningslagen). Behövs det en särskild reglering av organisationers rätt att företräda enskilda? Artikel 55, som saknar motsvarighet i det nu gällande direktivet, kan tolkas på två sätt. Den kan antingen tolkas som att ideella organisationer ska medges talerätt vid sidan av registrerade eller att registrerade ska kunna anlita en sådan organisation som ombud i mål och ärenden som rör personuppgiftsbehandling. Enligt utredningens bedömning kan bestämmelsen inte uppfat- tas på det sättet att ideella organisationer ska ges talerätt vid sidan av registrerade. Det framgår tydligt av att det i artikeln sägs att den registrerade ska kunna ge organisationen i uppdrag att för hans eller hennes räkning vidta vissa åtgärder. Med den formuleringen kan regleringen inte förstås på annat sätt än att registrerade ska kunna anlita en ideell organisation som ombud. Dagens regler medger att registrerade i förvaltningsärenden an- litar en juridisk person, t.ex. en ideell organisation. Behovet av att kunna anlita en sådan organisation i frågor som rör klagomål hos tillsynsmyndigheten är alltså redan tillgodosett. I lagrådsremissen med förslag till ny förvaltningslag föreslås att det även i förvalt- ningslagen ska ställas kompetenskrav på ombud (s. 88 f.). Kravet motsvarar de krav som finns i förvaltningsprocesslagen och rätte- gångsbalken. Den nya förvaltningslagen föreslås träda i kraft . Om ett sådant kompetenskrav införs kommer det inte längre vara möjligt att anlita en juridisk person som ombud i ett förvaltningsärende. När det gäller kravet på att registrerade ska ha rätt att anlita så- dana organisationer som ombud i en rättegång i domstol är det visserligen inte möjligt för organisationen som sådan att företräda dem. Däremot kan en företrädare för organisationen som har till- räcklig kompetens uppträda som ombud, eftersom det inte finns något krav på att ett ombud ska vara advokat eller jurist eller på någon särskild relation till huvudmannen. Den registrerade kan ut- forma en fullmakt för den ideella organisationen på ett sådant sätt att företrädare för organisationen omfattas av den. Det kan tilläg- gas att även om det skulle skapas förutsättningar för att anlita en organisation som ombud i domstol, skulle det i praktiken ändå vara en fysisk person – en representant för organisationen – som för den registrerades talan. Utredningen anser mot den bakgrunden att det inte finns skäl att föreslå någon regel om att ideella organisa- tioner ska kunna vara ombud. Registrerades rätt att ge en ideell organisation sådana uppdrag som avses i direktivet tillgodoses en- ligt utredningens mening genom de möjligheter som befintlig lag- stiftning ger. 15Överföring till tredjeland och internationella organisationer Dataskyddsrambeslutet (se avsnitt 4.1.3) reglerar behandlingen av personuppgifter vid de flesta informationsöverföringar som görs inom tillämpningsområdet för det nya dataskyddsdirektivet. I rambeslutet fastställs gemensamma regler för behandling av per- sonuppgifter inom ramen för polisiärt och straffrättsligt samarbete när personuppgifter överförs eller görs tillgängliga mellan EU- medlemsstater, , , och och EU- organ och EU:s informationssystem. Dataskyddsrambeslutet är genomfört i huvudsakligen genom lag. Lagen reglerar möjligheterna för en svensk myndighet att föra över personuppgifter till ett tredjeland eller ett internationellt organ. Enligt 7 § får personuppgifter överföras till ett tredjeland eller ett internationellt organ om den som har överfört eller gjort uppgifterna tillgängliga för den svenska myndigheten har medgett att de överförs, överföringen är nödvändig för något av de ändamål som omfattas av lagens tillämpningsområde och mottagaren har ansvar för ett sådant ändamål. Därtill ska staten där den mot- tagande myndigheten eller organet finns ha en adekvat skyddsnivå för den avsedda behandlingen. Undantag från kravet på adekvat skyddsnivå görs i vissa enskilda fall som framgår av paragrafen. På samma sätt föreskrivs undantag från kravet på medgivande i förväg. Eftersom lag enbart är tillämplig på personuppgifter som härrör från andra medlemsstater eller från de andra stater, organ och informationssystem som nämnts, gäller personupp- giftslagen (1998:204) för andra överföringar bl.a. genom hänvis- Överföring till tredjeland och internationella organisationer ningar dit i myndigheters registerförfattningar. Som exempel på när personuppgiftslagen är tillämplig kan nämnas överföringar till , eller av personuppgifter som har sitt ursprung i . står för en stor del av överföringarna av personuppgifter till tredjeland. Sådana överföringar kan göras med stöd av, förutom nämnda lagar, lagen (1998:620) om belast- ningsregister, lagen (1998:621) om misstankeregister och polis- datalagen (2010:361). Syftet med det nu gällande dataskyddsdirektivet (se avsnitt 4.1.2) har varit att skapa en gemensam, hög nivå på integritetsskyddet vid behandling av personuppgifter för att på så sätt möjliggöra ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet har också genomförts i övriga stater som är anslutna till EES. Ett fritt flöde av personuppgifter till tredjeland är däremot inte tillåtet. Det har genom direktivet lagts fast en gemensam nivå till skydd för personuppgifter som överförs till tredjeland. Artiklarna 25 och 26 i det nu gällande dataskyddsdirektivet om överföring till tredjeland har genomförts i 33–35 §§ personupp- giftslagen och 12–14 §§ personuppgiftsförordningen (1998:1191). I förarbetena till lagen framhålls att direktivets bestämmelser om överföring till tredjeland är detaljerade och komplicerade. En mer komplicerad reglering än vad som är nödvändig borde därför inte införas i lagstiftningen (prop. 1997/98:44 s. 95).