sou · H5B329 · 2017-04-05 00:00:00 — För den registrerade tillgodoses rätten till ersättning för skada som ett personuppgiftsbiträde har orsakat genom att den personuppgifts- ansvarige är ansvarig även för biträdets handlande. Det finns dock skäl att erinra om att ett personuppgiftsbiträde ibland är att anse som personuppgiftsansvarig för viss behandling och då givetvis kan bli skadeståndsskyldig i den egenskapen. Enligt artikel 22.5 gäller det om biträdet själv fastställt ändamålen och medlen för behandlingen (se avsnitt 10.6.3). Utredningen återkommer i slutbetänkandet till frågan om och i så fall i vilken utsträckning skadeståndsskyldighet enligt register- författningarna behöver regleras särskilt. Vad avses med varje annan myndighet? Enligt artikel 56 ska den som har lidit materiell eller immateriell skada ha rätt till ersättning för skadan från den personuppgifts- ansvarige eller från varje annan myndighet som är behörig enligt medlemsstaternas nationella rätt. I skäl 88 förklaras att den som lidit skada bör få ersättning av den personuppgiftsansvarige eller någon annan myndighet som är behörig enligt nationell rätt. Frågan är vad som avses med varje annan myndighet. Formu- leringen skulle enligt utredningens uppfattning kunna tolkas på tre olika sätt. För det första kan den tolkas som att inte bara den per- sonuppgiftsansvarige kan bli skadeståndsskyldig, utan även någon annan behörig myndighet som bidragit till den felaktiga person- uppgiftsbehandlingen. För det andra kan formuleringen avse att det i nationell rätt kan vara en annan myndighet än den personupp- giftsansvarige som är skadeståndsansvarig. För det tredje skulle formuleringen kunna syfta på att den enskilde kan vända sig till en särskild myndighet, som hanterar frågor om det allmännas skade- ståndsansvar. Att andra myndigheter vid sidan av den personuppgiftsansvariga myndigheten skulle kunna bli skadeståndsskyldiga anser utred- ningen inte vara en rimlig tolkning, eftersom det skulle urholka den ansvarsfördelning som direktivet bygger på. Att det däremot i vissa av medlemsstaterna kan finnas regler som gör att särskilt utpekade myndigheter i stället kan vara skadeståndsskyldiga kan inte uteslu- tas. Någon sådan ordning finns inte i svensk rätt. Om bestämmel- sen ska tolkas på det tredje sättet finns det redan en sådan myndig- het som kan avses, nämligen JK, som har det mandat som krävs. Utredningen anser att båda de senare tolkningarna är möjliga. Direktivet förutsätter inte att det införs en ordning där en särskild myndighet är skadeståndsansvarig. Det finns inte heller skäl att ändra den ordning som gäller. Den innebär att den personuppgifts- ansvarige bär ansvaret för behandlingen och kan bli skadestånds- skyldig, men att JK företräder staten när det gäller skade- ståndsfrågor i statlig verksamhet. Någon lagstiftningsåtgärd behövs därmed inte för att genomföra artikel 56 i denna del. Enligt artikel 56 ska både materiell och immateriell skada till följd av olaglig behandling av personuppgifter eller av någon annan åt- gärd som står i strid med regelverket ersättas. Begreppet skada bör enligt skäl 88 tolkas brett baserat på rättspraxis och på ett sätt som fullt ut återspeglar direktivets mål. Skade- ståndsansvaret är enligt direktivet strikt och förutsätter att en regi- strerad ersätts för all den skada han eller hon lidit till följd av be- handling i strid med regelverket. Det finns således ingen möjlighet att ha regler som innebär att viss personuppgiftsbehandling inte ska medföra skadeståndsansvar. Rätten till personlig integritet är en immateriell rättighet. Den personuppgiftsansvarige är därför ersättningsskyldig inte bara för ekonomisk skada utan även för ideell skada. Den enskilde har alltså, förutom rätt till ersättning för personskada, sakskada och ren för- mögenhetsskada, rätt till ekonomisk kompensation för kränk- ningen. Det är bara skada eller kränkning som behandlingen har fört med sig som ska ersättas. Orsakssambandet ska vara adekvat. Den nuvarande skadeståndsregeln i personuppgiftslagen möter både kravet på att all skada ska ersättas och att det ska finnas ade- kvat kausalitet. Bestämmelsen i ramlagen kan därför utformas med den som mönster. Som tidigare nämnts finns det ingen exculpe- ringsregel i artikel 56. En personuppgiftsansvarig kan alltså inte undgå ansvar genom att t.ex. göra gällande att uppgifterna var fel- aktiga redan när de mottogs. Eftersom direktivet inte innehåller någon regel som motsvarar 48 § andra stycket personuppgiftslagen är det emellertid enligt utredningens mening inte möjligt att ha någon sådan jämkningsregel i ramlagen. Hur ska ersättningen för kränkning beräknas? Liksom bör ersättningen för kränkning uppskattas efter skä- lighet, mot bakgrund av samtliga omständigheter. Det som kan ha betydelse är bl.a. att personuppgifter spridits eller att det funnits risk för otillbörlig spridning av integritetskänsliga eller felaktiga personuppgifter. En annan omständighet kan vara att den registre- rade drabbats av beslut eller andra åtgärder som fått eller kunnat få negativa konsekvenser för honom eller henne. Om den registrerade själv har lämnat oriktig eller ofullständig information till den per- sonuppgiftsansvarige, kan den personuppgiftsansvariges behandling av personuppgifterna inte anses innebära en sådan kränkning av den personliga integriteten som bör föranleda ersättning. Ramlagens bestämmelse kommer i likhet med 48 § personuppgifts- lagen att vara en sådan specialbestämmelse om skadestånd som enligt 1 kap. 1 § skadeståndslagen tar över de allmänna reglerna i den lagen. Om en ersättningsfråga inte regleras i ramlagen – t.ex. hur ersättningen för en personskada eller sakskada ska beräknas (5 kap. skadeståndslagen) eller hur ansvaret ska fördelas när flera är skadeståndsskyldiga (6 kap. 4 § skadeståndslagen) – tillämpas de allmänna reglerna i skadeståndslagen. 14.4Överklagande av en myndighets beslut i egenskap av personuppgiftsansvarig Utredningens förslag: Om den personuppgiftsansvarige är en myndighet ska beslut angående rättelse, komplettering, radering eller begränsning av behandlingen, som meddelats på begäran av den registrerade, kunna överklagas till allmän förvaltningsdom- stol. Detsamma gäller beslut att inte lämna information på be- gäran av en registrerad, att ta ut avgift för att lämna sådan infor- mation eller att inte medge omprövning av ett automatiserat beslut. Vid överklagande till kammarrätten ska krävas pröv- ningstillstånd. Sådana beslut som meddelas av regeringen, Högsta domsto- len, eller ombudsmän ska inte kunna överklagas. Några andra beslut än de som uttryckligen anges i ramlagen ska inte få överklagas. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt direktivet krävs endast att tillsynsmyndighetens beslut ska kunna överklagas (se avsnitt 14.7.1). I övrigt ställs inga krav på att beslut ska kunna överklagas. Inte heller det nu gällande direktivet ställer några sådana krav. Enligt 52 § första stycket personuppgiftslagen får dock även vissa beslut som fattas av en personuppgiftsansvarig, som är en myndighet, överklagas till allmän förvaltningsdomstol. Det gäller emellertid bara vissa i paragrafen uppräknade beslut, nämligen be- slut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 §. Överklaganderätten gäller inte beslut av , regeringen eller ombudsmän. Skälet till att bestämmelsen infördes var troligtvis att beslut som en myndighet fattar i egenskap av personuppgiftsansvarig ses som ett utflöde av myndighetsutövning och inte som ett ställningsta- gande av myndigheten i ett civilrättsligt förhållande. därför inte behöva väcka talan vid allmän domstol i den ordning som gäller för tvistemål, utan i stället kunna överklaga besluten till allmän förvaltningsdomstol. De beslut som får överklagas har be- dömts vara sådana beslut som får återverkningar för enskilda (jfr SOU 2015:39 s. 663). Även i de behöriga myndigheternas registerförfattningar finns det bestämmelser om överklagande av sådana beslut, men det varie- rar hur överklagandebestämmelserna är utformade. I t.ex. 2 kap. 2 § första stycket 13 polisdatalagen (2010:361), 2 kap. 2 § första stycket 13 åklagardatalagen (2015:433) och 2 kap. 2 § första stycket 13 kustbevakningsdatalagen (2012:145) hänvisas till 52 § första stycket personuppgiftslagen. Domstolsdatalagen (2015:728) har däremot egna överklagandebestämmelser som i sak i allt väsentligt motsvarar 52 § första stycket personuppgiftslagen, men har anpas- sats till följd av instansordningen (20–22 §§). I lagen (2001:617) om behandling av personuppgifter inom kriminalvården finns det också särskilda överklagandebestämmelser (12–16 §§). Behovet av en överklagandebestämmelse i ramlagen Det är naturligt att se en myndighets beslut i egenskap av person- uppgiftsansvarig, exempelvis i fråga om en personuppgift ska rättas eller inte, som ett utflöde av dess myndighetsutövning. I allmänhet har myndigheten behandlat personuppgifterna i syfte att fullgöra myndighetsuppgifter. Personuppgifterna har också normalt be- handlats med stöd av olika författningsbestämmelser, oberoende av den registrerades samtycke. Utredningen anser därför att ramlagen bör innehålla en bestämmelse som motsvarar 52 § personuppgifts- lagen, även om direktivet inte ställer krav på att andra beslut än till- synsmyndighetens ska kunna överklagas. Utredningen kommer att behandla frågan om det behövs sär- skilda överklagandebestämmelser i registerförfattningarna i slutbe- tänkandet. Vilka beslut ska kunna överklagas? När det gäller enskildas rätt att överklaga myndighetsbeslut, bör enligt utredningens uppfattning samma utgångspunkt gälla som i fråga om rätten att överklaga beslut enligt personuppgiftslagen. Överklaganderätten bör alltså enbart ta sikte på sådana beslut av myndigheten som den fattat i egenskap av personuppgiftsansvarig och som direkt berör den enskilde och som gått honom eller henne emot. Sådana beslut bör på samma sätt som andra förvaltningsbe- slut kunna överklagas till allmän förvaltningsdomstol. Utredningen har med den utgångspunkten övervägt vilka beslut som bör vara överklagbara. Beslut som fattas på begäran av en regi- strerad om att personuppgifter ska rättas, kompletteras eller rade- ras eller att behandlingen av personuppgifter ska begränsas bör kunna överklagas. Det bör gälla oavsett om myndigheten avslår be- gäran eller vidtar en annan åtgärd än den som begärts. Har myn- digheten helt eller delvis underlåtit att lämna information som den enskilde har begärt, bör beslutet kunna överklagas. Även beslut att ta ut avgift för information eller att vägra omprövning av ett auto- matiserat beslut bör kunna överklagas. Enbart vissa beslut som en myndighet i egenskap av personupp- giftsansvarig fattar bör alltså få överklagas. Det bör framgå direkt av ramlagen vilka beslut det är. Uppräkningen motsvarar i allt väsentligt de beslut som får överklagas enligt 52 § personupp- giftslagen. Överklagandena bör, på samma sätt som , prövas av allmän förvaltningsdomstol. Det finns inte skäl att beskära instansord- ningen så att förvaltningsrättens avgörande inte får överklagas. Vid överklagande till kammarrätten bör det dock, på samma sätt som , krävas att domstolen beviljar prövningstillstånd för att kla- ganden ska få sitt överklagande prövat i sak. Vad bör inte få överklagas? Alla beslut som en myndighet fattar i egenskap av personuppgifts- ansvarig bör dock inte få överklagas. En myndighets beslut att be- tala ut skadestånd för att personuppgifter behandlats i strid med ramlagen eller att avslå en framställning om det bör enligt utred- ningens mening inte få överklagas. Den enskilde har i sådana fall alltid möjlighet att väcka talan om saken vid allmän domstol. Admi- nistrativa beslut av en personuppgiftsansvarig myndighet, t.ex. i fråga om tillgången till personuppgifter, berör inte den enskilde på ett sådant sätt att de bör få överklagas. Det bör av ramlagen framgå att andra beslut än de som räknas upp inte får överklagas. Rätten att överklaga bör inte heller gälla beslut av myndigheter vilkas beslut normalt inte får överklagas. En uttrycklig bestäm- melse om det bör tas in i ramlagen. Det gäller för beslut av rege- ringen (jfr regleringen av utlämnande av allmänna handlingar i 6 kap. 7 § offentlighets- och sekretesslagen). För utlämnande av all- männa handlingar gäller samma ordning för JO som för och regeringen (se 4 § andra stycket lagen [1989:186] om överkla- gande av administrativa beslut av och riks- dagens myndigheter). Beslut som fattas av ombudsmän i egenskap av personuppgiftsansvarig myndighet därför inte kunna överklagas. Högsta domstolens och Högsta förvaltningsdomstolens beslut får inte överklagas (jfr 11 kap. 1 § regeringsformen, 3 kap. 1 § rätte- gångsbalken och 1 § lagen [1971:289] om allmänna förvaltnings- domstolar). Därför bör inte heller deras beslut enligt ramlagen få överklagas (jfr prop. 2014/15:148 s. 94). Utredningens bedömning: En registrerads rätt att lämna in klagomål till en tillsynsmyndighet om han eller hon anser att hans eller hennes personuppgifter har behandlats felaktigt krä- ver inga lagstiftningsåtgärder. Skälen för utredningens bedömning I direktivet finns bestämmelser om hur klagomål över behandling av personuppgifter ska hanteras. Med klagomål avses här missnöje som uttrycks av enskilda och som inte avser begäran om rättelse, omprövning, överklagande eller någon annan formellt reglerad åt- gärd. Enligt artikel 52.1 har alla registrerade som anser att behandling av personuppgifter som avser dem står i strid med de bestämmelser som genomför direktivet rätt att lämna in klagomål till en enda tillsynsmyndighet. Av artikel 46.1 f framgår att det ska ingå i till- synsmyndighetens uppgifter att behandla klagomål från registre- rade. Rätten att ge in klagomål får inte påverka andra administrativa prövningsförfaranden eller rättsmedel och rätten till andra rättsme- del får inte påverka rätten att ge in klagomål. Artiklarna 46.1 f, 46.2 och 52.2–4 innehåller bestämmelser av processuell karaktär som anger hur tillsynsmyndigheten ska han- tera ett klagomål i förhållande till den enskilde. Där regleras bl.a. vilken information som tillsynsmyndigheten ska ge den enskilde om handläggningen och resultatet. Av artikel 53.2 framgår att det ska göras . Myndigheten riskerar annars att bli föremål för en s.k. dröjsmålstalan. Enligt artiklarna 13.1 d och 14 f ska den personuppgiftsansvarige göra information om rätten att lämna in klagomål till tillsynsmyndigheten tillgänglig för den registrerade. Den frågan behandlas i avsnitt 11.2.6 och 11.2.8. Dagens hantering av klagomål I artikel 28.4 och skäl 63 i det nu gällande direktivet finns också bestämmelser om klagomålshantering. I korthet innebär de att var och en kan vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter vid personupp- giftsbehandling och att den som framställt en sådan begäran har rätt att få besked om vad den lett till. Indirekt framgår också att tillsynsmyndigheten har till uppgift att hantera klagomål. finns det inte någon uttrycklig regel om att den som är missnöjd med behandlingen av personuppgifter har rätt att ge in klagomål. Av 4 § förvaltningslagen (1986:223) följer dock att en enskild alltid kan kontakta en myndighet och framföra synpunkter. Datainspektionen är tillsynsmyndighet enligt personuppgiftsla- gen och de behöriga myndigheternas registerförfattningar. Enligt inspektionens praxis kan en enskild ge in klagomål dit. Myndighe- ten brukar informera den enskilde om vilka åtgärder klagomålet lett till. Om myndigheten anser att det krävs, genomför den tillsyn med anledning av klagomålet. Av avsnitt 12.1.2 framgår att Säker- hets- och integritetsskyddsnämnden också har tillsyn över viss per- sonuppgiftsbehandling. Regleringen avseende klagomål har två perspektiv Det nya dataskyddsdirektivet innehåller betydligt fler och mer ut- förliga bestämmelser om klagomålshantering än det nu gällande direktivet. fanns bestämmelserna enbart i kapitlet om till- synsmyndigheten. I det nya direktivet har artiklarna delvis annat innehåll och annan placering. De finns både i det kapitel som rör tillsynsmyndighetens uppgifter och i det kapitel som rör rättsmedel för enskilda. Klagomålshanteringen har därmed fått en tydlig kopp- ling även till registrerades rättigheter. Artikel 52.1 behandlar främst hanteringen av klagomål från regi- strerades perspektiv. I artiklarna 46.1 f, 46.2 och 52.2–52.4 regleras klagomålshanteringen huvudsakligen från tillsynsmyndighetens perspektiv. Även om de sistnämnda artiklarna främst riktar sig till tillsynsmyndigheten, genom att de definierar dess uppgifter och anger hur klagomål ska behandlas av myndigheten, får de indirekt betydelse även för registrerade. De ger uttryck för vad registrerade kan förvänta sig av tillsynsmyndigheten och tydliggör därmed innebörden av rätten i artikel 52.1. Regleringen har alltså två tydliga perspektiv: tillsynsmyndighe- tens och de registrerades. Reglernas syfte – att ge den registrerade ett rättsmedel Att registrerade kan framföra klagomål till en tillsynsmyndighet är ägnat att öka förtroendet för och därmed legitimiteten i den verk- samhet som tillsynen avser. Syftet med en klagomålsfunktion är dels att skapa tilltro, dels att säkerställa att det finns en fristående instans som den som anser sig vara utsatt för felaktig behandling kan vända sig till med klagomål. De registrerades behov av att få klagomål utredda står alltså i centrum. I direktivet är utgångspunkten att ge den som anser sig vara fel- aktigt behandlad en uttrycklig möjlighet att framföra sitt klagomål och få det hanterat. Möjligheten för den registrerade att ge in kla- gomål till tillsynsmyndigheten uttrycks som en rättighet. tillsynsmyndigheten väljer att inte genomföra tillsyn med anled- ning av klagomålet, ska den alltid ge den registrerade besked om vad klagomålet lett till. Han eller hon ges också rätt att väcka dröjsmålstalan mot myndigheten om klagomålet inte hanteras . Placeringen av artikel 52 i kapitlet som behandlar rättsmedel, ansvar och sanktioner understryker enligt utredningens mening att rätten att ge in klagomål ska ses som ett rättsmedel. Behövs det en tydligare reglering av rätten att ge in klagomål? Enligt utredningens mening har kraven på tillsynsmyndighetens hantering av klagomål skärpts i förhållande till vad som gäller . Artikel 52.1 innebär emellertid endast en rätt för den registrerade att vända sig till myndigheten med synpunkter på hur hans eller hennes personuppgifter behandlats. Vad den registrerade kan upp- nå genom att ge in ett klagomål skiljer sig från vad han eller hon kan uppnå genom en domstolsprövning och kan inte heller jäm- ställas med rätten att överklaga ett beslut fattat av tillsynsmyndig- heten (se avsnitt 14.7.1). Artikel 52.1 bör därför enligt utredningens mening inte ges någon annan innebörd än att en registrerad ska tillförsäkras rätt att framföra eventuella klagomål till en tillsynsmyndighet. Att regi- strerade ska ha rätt till ett annat rättsmedel om de inte informerats om handläggningen eller resultatet av klagomålet på- verkar inte den bedömningen. Frågan är då om den mer detaljerade regleringen av klagomål i direktivet innebär att det behövs en uttrycklig bestämmelse i ram- lagen som ger en registrerad rätt att ge in klagomål till tillsynsmyn- digheten. Det vore enligt utredningens uppfattning av flera skäl inte lämp- ligt att ta in en sådan regel i ramlagen. I andra lagstiftningsärenden där motsvarande fråga har behandlats har lagstiftaren valt att reg- lera rätten att ge in klagomål indirekt genom att i stället reglera till- synsmyndighetens uppgifter (se Ny postlag, prop. 2009/10:216, s. 77 f., jfr också El- och naturgasmarknaderna – europeisk harmo- nisering, SOU 2003:113, s. 122 f.). Inte ens i 5 § lagen (1986:765) med instruktion för ombudsmän – vars främsta uppgift är att behandla klagomål från allmänheten – har möjligheten att klaga på myndigheter konstruerats som en rättighet för enskilda. Att uttryckligen föreskriva rätt att ge in klagomål avseende per- sonuppgiftsbehandling skulle alltså avvika från systematiken i den svenska lagstiftningen. Det utgör det främsta skälet till varför ut- redningen inte föreslår en sådan bestämmelse. En annan viktig aspekt är att regleringen inte bör ge enskilda fel förväntningar. finns det tyvärr ofta felaktiga förvänt- ningar på vad klagomål kan leda till och vilka åtgärder en tillsyns- myndighet kan vidta med anledning av klagomål. Enskilda förvän- tar sig t.ex. att tillsyn alltid ska utövas när klagomål har getts in eller att tillsynsmyndigheten kan ändra eller på annat sätt påverka ett beslut i sak. Att reglera rätten att ge in klagomål skulle enligt utredningens mening kunna skapa felaktiga förvänt- ningar hos enskilda om vad som kan uppnås genom ett klagomål (jfr Skapa tilltro – Generell tillsyn, enskildas klagomål och det all- männa ombudet inom socialförsäkringen, SOU 2015:46, s. 109 f.). Risken för felaktiga förväntningar skulle öka med en särskild regel, eftersom en sådan regel skulle avvika från vad som gäller vid annan klagomålshantering. I förlängningen skulle det kunna leda till att allmänhetens förtroende för verksamheten snarare undergrävs än motsatsen, eftersom de flesta klagomål inte leder till det resultat som klaganden förväntar sig. Mot den bakgrunden anser utredningen att rätten att ge in kla- gomål endast bör regleras indirekt som en av tillsynsmyndighetens uppgifter (se avsnitt 12.6.1 och 12.6.2). Vad avses med en enda tillsynsmyndighet? Enligt artikel 52.1 ska den registrerade ha rätt att lämna in klagomål till en enda tillsynsmyndighet. Det är oklart vad som avses med det. Artikeln skulle kunna förstås som att en registrerad ska ha rätt att lämna in ett klagomål till vilken behörig tillsynsmyndighet som helst i en stat som är bunden av direktivet. En registrerad som bor i , vars uppgifter behandlas av en personuppgiftsansvarig i , skulle vid en sådan tolkning kunna lämna in sitt klagomål till en svensk tillsynsmyndighet. Omvänt skulle någon som bor i , vars personuppgifter behandlas av en personuppgifts- ansvarig i , kunna lämna in sitt klagomål i . Det finns exempel på unionsrättsakter där det föreskrivs att en- skilda ska kunna vända sig med en begäran till en behörig myndig- het i valfri medlemsstat. Myndigheten som tagit emot begäran är sedan skyldig att vidarebefordra den till rätt myndighet, se t.ex. artikel 37.1 Europolförordningen. Eftersom det inte finns någon bestämmelse av motsvarande slag i direktivet anser utredningen att hänvisningen till en enda tillsynsmyndighet inte kan ha den inne- börden. Uttrycket bör i stället tolkas så att den registrerade ska kunna vända sig till valfri tillsynsmyndighet med sitt klagomål, om det finns flera sådana myndigheter i en medlemsstat. Frågan aktuali- seras därmed bara om en medlemsstat väljer att utse flera tillsyns- myndigheter. I föreslås enbart Datainspektionen bli till- synsmyndighet enligt direktivet. Någon lagstiftningsåtgärd krävs därmed inte i den delen. 14.6.1En särskild reglering behövs Utredningens bedömning: Det behövs en särskild reglering om dröjsmålstalan i ramlagen. Skälen för utredningens bedömning Inom är det vanligt med bestämmelser som har till syfte att förhindra passivitet och förebygga långsam handläggning hos myndigheter, s.k. dröjsmålstalan. Den enskilde får genom en sådan talan möjlighet att i domstol få prövat om den myndighet som ska fatta beslut i ärendet fördröjer handläggningen av det. Bestämmel- serna innehåller ofta tidsfrister för handläggningen och reglerar konsekvenserna av att fristerna inte iakttas. Överskrids den fast- ställda tiden, presumeras den enskilde – enligt den vanligaste typen av dröjsmålstalan – ha fått avslag på sin ansökan och kan överklaga det beslutet till domstol.