sou · H5B339 · 2017-05-12 00:00:00 — Rättslig grund för behandling av personuppgifter tagare som är medlemmar i en annan arbetstagarorganisation än den som avtalet slutits med. Reglering i kollektivavtal har i praxis ansetts i sig förenlig med kravet enligt att åtgärder med rättighetsbegränsande effekter ska ha stöd i lag. En bedömning får ske i det enskilda fallet med beaktande av de krav på bland annat proportionalitet som gäller vid lagstiftning eller andra åtgärder som inskränker enskildas rättigheter enligt Europakonventionen.8 Denna praxis talar för att samma princip bör gälla vid tillämpningen av EU- lagstiftning som rör fri- och rättigheter, såsom dataskyddsförord- ningen. Grunden för behandlingen av personuppgifter, även avseende oorganiserade arbetstagare, bör därför i princip kunna anses vara fastställd i enlighet med svensk rätt om den fastställts genom kollek- tivavtal. 8.3.2Behandling för att uppfylla en rättslig förpliktelse Utredningens förslag: Det ska tydliggöras att personuppgifter får behandlas om behandlingen är nödvändig för att den person- uppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som gäller enligt lag eller annan författning eller som följer av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Bestämmelsen i artikel 6.1 c i dataskyddsförordningen är i sak lika- lydande med artikel 7 c i dataskyddsdirektivet – personuppgifter får behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Begreppet rätts- lig förpliktelse i de båda rättsakterna bör tolkas och tillämpas på samma sätt. För att en skyldighet ska utgöra en ”rättslig” förpliktelse måste den ha en legal grund. Detta följer både av begreppet i sig och av kra- 8 Jfr dom i målet mot , nr 75252/01, dom . Rättslig grund för behandling av personuppgifter vet i artikel 6.3 första stycket i dataskyddsförordningen om att grunden för behandlingen ska fastställas i enlighet med unionsrätten eller den nationella rätten. Detta innebär inte att förpliktelsen nödvändigtvis måste framgå av en författning eller liknande. Rättsliga förpliktelser kan också framgå av exempelvis förelägganden, myndig- hetsbeslut och domar som har meddelats med stöd av gällande rätt. Rent språkligt omfattar begreppet rättslig förpliktelse även sådana skyldigheter som har lagts fast i någon annan av rättsordningen erkänd ordning, t.ex. i ett avtal. Som en följd av den svenska arbets- marknadsmodellen kan således rättsliga förpliktelser följa av kol- lektivavtal, se avsnitt 8.3.1. Förpliktelser som följer av avtal där den registrerade själv är part utgör däremot en separat rättslig grund för personuppgiftsbehandling enligt både dataskyddsdirektivet och dataskyddsförordningen, nämligen led b i respektive artikel. De rätts- liga förpliktelser som avses i led c bör därmed vara av ett annat slag. I första hand leds tanken till offentligrättsliga förpliktelser. Det finns dock även i civilrättsliga författningar bestämmelser som i sig utgör eller kan medföra rättsliga skyldigheter, t.ex. inom arbetsrätten.9 Syftet med behandlingen ska framgå av förpliktelsen Enligt artikel 6.3 andra stycket första meningen i dataskyddsför- ordningen ska syftet med behandlingen (the purpose of the processing) fastställas i (be determined in) den rättsliga grunden. Den rättsliga grunden i fråga om behandling enligt punkt 1 c är, som framgår ovan, en rättslig förpliktelse som är fastställd i enlighet med unionsrätten eller den nationella rätten. Vad gäller behandling som är nödvändig för att uppfylla en sådan rättslig förpliktelse ska alltså syftet med behandlingen vara bestämd av den författning som anger eller ger stöd för förpliktelsen. En rättslig förpliktelse utgör därmed inte en rättslig grund för behandling av personuppgifter om förpliktelsen är alltför svepande och ger den personuppgiftsansvarige en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas. Som exempel kan nämnas att ett företags skyldighet att lämna uppgift om företagets lönekostnader inte innehåller något angivet syfte för behandling av personuppgifter i form av utlämnande, medan en skyldighet att lämna 9 SOU 1997:39 s. 363. Rättslig grund för behandling av personuppgifter uppgifter om företagets löneutbetalning till en angiven arbetstagare innehåller ett sådant syfte. Den senare förpliktelsen kan i praktiken inte uppfyllas utan att personuppgifter rörande den angivna arbets- tagaren behandlas. Detta krav är i sig ingen nyhet, men framgår inte uttryckligen av dataskyddsdirektivet. Artikel 29-gruppen har i ett yttrande avseende begreppet rättslig förpliktelse i artikel 7 c i dataskyddsdirektivet anfört att den bestämmelse som förpliktelsen grundas på ska inne- hålla en uttrycklig hänvisning till arten av och syftet med behand- lingen. Artikel 29-gruppen anför följande.10 Dessutom måste den rättsliga förpliktelsen i sig vara tillräckligt tydlig när det gäller den behandling av personuppgifter som krävs. Artikel 7 c kan således tillämpas på grundval av rättsliga bestämmelser som inne- håller en uttrycklig hänvisning till arten av och syftet med behand- lingen. De registeransvariga bör inte ges en alltför stor handlingsfrihet i fråga om hur de ska uppfylla den rättsliga förpliktelsen. I vissa fall anger lagstiftningen kanske bara ett allmänt mål, medan mer specifika förpliktelser införs på en annan nivå, till exempel antingen genom sekundärlagstiftning eller genom ett bindande beslut av en offentlig myndighet i ett konkret fall. Detta kan också leda till rättsliga förpliktelser enligt artikel 7 c, förutsatt att arten och syftet med behand- lingen är väl definierade och omfattas av en lämplig rättslig grund. Hur fastställs rättsliga förpliktelser i enlighet med gällande rätt? I följer det av grundlag att den offentliga makten utövas under lagarna (1 kap. 1 § tredje stycket regeringsformen). Offentlig- rättsliga förelägganden och beslut som medför förpliktelser för mot- tagaren ska därför ha sin grund i en författning. Förpliktelser som har en generell räckvidd, och alltså inte riktas mot en specifik mottagare, ska också regleras i författning. Detta gäller både offentligrättsliga och civilrättsliga åligganden. Som har nämnts bör däremot civilrättsliga förpliktelser som följer av avtal där den registrerade själv är part i stället bedömas i enlighet med den särskilda rättsliga grunden i artikel 6.1 b i dataskyddsförordningen. Som en följd av den svenska arbetsmarknadsmodellen kan rätts- liga förpliktelser även anges i kollektivavtal. 10 Artikel 29-gruppens yttrande 6/2014 om begreppet den registeransvariges berättigade intres- sen enligt artikel 7 i direktiv /46/EG, s. 21. Rättslig grund för behandling av personuppgifter inte av artikel 6.1 b, eftersom den registrerade inte själv är part. Förpliktelser som följer av kollektivavtal måste däremot enligt vår bedömning anses vara fastställda i enlighet med svensk rätt. Enligt 8 kap. 2 § regeringsformen ska föreskrifter meddelas genom lag bland annat om de avser 1.enskildas personliga ställning och deras personliga och ekono- miska förhållanden inbördes, 2.förhållandet mellan enskilda och det allmänna under förutsätt- ning att föreskrifterna gäller skyldigheter för enskilda eller i öv- rigt avser ingrepp i enskildas personliga eller ekonomiska förhål- landen, eller 3.grunderna för kommunernas organisation och verksamhetsfor- mer och för den kommunala beskattningen samt kommunernas befogenheter i övrigt och deras åligganden. Enligt 8 kap. 3 § regeringsformen kan , med vissa undan- tag, bemyndiga regeringen att meddela föreskrifter enligt 2 § första stycket 2 och 3. Om bemyndigar regeringen att meddela föreskrifter i ett visst ämne, kan också medge att reger- ingen bemyndigar en förvaltningsmyndighet eller en kommun att meddela föreskrifter i ämnet. Detta framgår av 8 kap. 10 § reger- ingsformen. Enligt 8 kap. 9 § regeringsformen kan även bemyndiga en kommun att meddela föreskrifter enligt 2 § första stycket 2, om föreskrifterna avser t.ex. avgifter. Det står således klart att rättsliga förpliktelser som åligger enskilda eller kommuner alltid ska ha sin grund i lag eller i kollektivavtal. För- pliktelser kan regleras direkt i lag eller i föreskrifter som meddelats med stöd av lag. Förpliktelser kan också anges i domar eller myn- dighetsbeslut som meddelats med stöd av lag eller med stöd av före- skrifter som i sin tur meddelats med stöd av lag. På samma sätt har unionsrättsliga förpliktelser stöd i svensk lag, t.ex. förpliktelser som följer av direkt tillämpliga EU-förordningar eller som meddelas med stöd av sådana förordningar. Enligt lagen (1994:1500) med anledning av anslutning till Europe- iska unionen gäller nämligen EU-rättsakter här i landet med den ver- kan som följer av . Även domstolar och statliga myndigheter kan, vid sidan av sina uppgifter och uppdrag, sägas ha rättsliga förpliktelser. Rättslig grund för behandling av personuppgifter ingenting i artikel 6.1 c i dataskyddsförordningen som begränsar tillämpningen till den privata sektorn. Datainspektionen har t.ex. an- sett att den skyldighet för myndigheter som följer av offentlig- hetsprincipen är en sådan rättslig skyldighet som avses i motsvarande bestämmelse i personuppgiftslagen.11 Domstolar och myndigheter har också andra författningsreglerade förpliktelser som i sig kräver personuppgiftsbehandling, exempelvis när det gäller personaladmi- nistration. Däremot har Datainspektionen ansett att innehållet i en myndighets arbetsordning normalt inte kan grunda en rättslig skyl- dighet att behandla personuppgifter.12 Enligt 1 kap. 6 § regeringsformen är det regeringen som styr riket. Under regeringen lyder Justitiekanslern och andra statliga förvalt- ningsmyndigheter som inte är myndigheter under (12 kap. 1 § regeringsformen). Regeringen styr dessa myndigheter genom regeringsbeslut och genom att med stöd av restkompetensen (8 kap. 7 § första stycket 2 regeringsformen) meddela föreskrifter. En myn- dighets uppdrag enligt myndighetsinstruktionen eller reglerings- brevet kan i vissa fall utgöra en i enlighet med nationell rätt (reger- ingsformen) fastställd rättslig förpliktelse i dataskyddsförordningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst per- sonuppgiftsregister. I normalfallet torde dock myndighetens uppdrag i första hand utgöra en rättslig grund för behandling av personupp- gifter med stöd av artikel 6.1 e i dataskyddsförordningen, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse, se avsnitt 8.3.4. Sammanfattningsvis bedömer vi att de rättsliga förpliktelser som krä- ver personuppgiftsbehandling, utan att någon annan rättslig grund är tillämplig, redan framgår av eller meddelas med stöd av gällande rätt. Det behövs därmed inte någon ytterligare nationell reglering på gene- rell nivå för att sådan behandling av personuppgifter som är nöd- vändig för att uppfylla en rättslig förpliktelse ska kunna ske med stöd 11Datainspektionens rapport 2005:3, Övervakning i arbetslivet – Kontroll av de anställdas Internet- och e-postanvändning m.m., s. 15. 12Öman och , Personuppgiftslagen, (, Zeteo), kommentaren till 10§ b PUL. Rättslig grund för behandling av personuppgifter av den rättsliga grunden i artikel 6.1 c i dataskyddsförordningen. Detta gäller oavsett om den personuppgiftsansvarige är en myndighet eller ett privaträttsligt organ. Det kan dock finnas anledning att ta in en bestämmelse i data- skyddslagen som tydliggör att en förpliktelse utgör en rättslig grund för behandling av personuppgifter endast om förpliktelsen gäller enligt lag eller annan författning eller följer av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Detta är enligt skäl 8 till dataskyddsförordningen förenligt med unionsrätten, även om åtgärden kan sägas utgöra ett införlivande av en direkt tillämplig förordningsbestämmelse. För att en förpliktelse ska kunna läggas till grund för behandling av personuppgifter måste den givetvis vara rättsligt förankrad och giltig. Den måste alltså ha meddelats i laga ordning. Den föreslagna formuleringen ”gäller enligt lag” omfattar även förpliktelser som föl- jer av direkt tillämpliga unionsrättsakter, eftersom lagen med anled- ning av anslutning till Europeiska unionen anger att unions- rättsakter gäller här i landet med den verkan som följer av fördragen. Det bör noteras att bestämmelsen i artikel 6.3 andra stycket första meningen i dataskyddsförordningen anger att syftet med behand- lingen ska fastställas i den rättsliga grunden. Även denna bestämmelse är direkt tillämplig och kan möjligen begränsa tillämpningsområdet för artikel 6.1 c, jämfört med hur 10 § b PUL har tillämpats. Kravet torde enligt vår bedömning innebära att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behand- lingen inte framgår av den författning som förpliktelsen grundas på och inte heller, i förekommande fall, kan utläsas av det beslut som anger förpliktelsen. Hur bestämmelsen ska tolkas och tillämpas i praktiken är dock oklart. Den närmare innebörden bör enligt vår uppfattning klargöras i rättspraxis. Rättslig grund för behandling av personuppgifter 8.3.3Behandling som ett led i myndighetsutövning Utredningens förslag: Det ska tydliggöras att personuppgifter får behandlas om behandlingen är nödvändig som ett led i myn- dighetsutövning som den personuppgiftsansvarige utövar enligt lag eller annan författning. Enligt artikel 6.1 e i dataskyddsförordningen får personuppgifter behandlas bland annat om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning. Enligt data- skyddsdirektivet ska även behandling som är nödvändig som ett led i myndighetsutövning som utförs av en tredje man till vilken upp- gifterna har lämnats ut tillåtas, men denna rättsliga grund nämns inte i dataskyddsförordningen. Av skäl 45 till dataskyddsförordningen framgår att det på unionsnivå eller nationellt bör regleras om en per- sonuppgiftsansvarig som utför myndighetsutövning ska vara en myn- dighet eller någon annan som omfattas av offentligrättslig lagstiftning eller om denne kan vara en fysisk eller juridisk person som lyder under civilrättslig lagstiftning, t.ex. en yrkesorganisation. bedömde att begreppet myndighetsutövning har en EG-gemensam innebörd, men att man till dess annat fram- kommer bör kunna utgå från att det som i brukar anses som myndighetsutövning faller under begreppet.13 Vi instämmer i denna bedömning. Termen används flitigt i svenska författningar, även i grundlag, men saknar legaldefinition. Begreppet som sådant har kriti- serats, bland annat av Förvaltningslagsutredningen.14 I förarbetena till den äldre förvaltningslagen (1971:290) finns dock en beskrivning av begreppets innebörd som fortfarande ofta citeras.15 Myndighetsutövning mot enskilda karaktäriseras av beslut eller andra ensidiga åtgärder som ytterst är uttryck för samhällets makt- befogenheter i förhållande till medborgarna. Befogenheten till myn- dighetsutövning måste alltså vara grundad på lag eller annan författ- ning eller på annat sätt kunna härledas ur bemyndiganden från de 13SOU 1997:39 s. 365. 14SOU 2010:29 s. 99 f. 1971:30 s. 331 f. Rättslig grund för behandling av personuppgifter Myndighetsutövning kan både medföra förplik- telser för enskilda och mynna ut i gynnande beslut. Myndighetsutöv- ning kan också ske i förhållandet mellan myndigheter, t.ex. när en myndighet har tillsyn över en annan myndighets verksamhet. Utan- för begreppet myndighetsutövning faller däremot råd, upplysningar och andra inte bindande uttalanden samt sådan faktisk verksamhet som inte innebär tvång mot den enskilde (t.ex. undervisning). Gräns- dragningen mellan offentligrättsliga och privaträttsliga regler är också av stor vikt när det gäller att bestämma begreppet myndighetsutöv- ning.16 Av naturliga skäl är det i första hand statliga och kommunala myn- digheter som ägnar sig åt myndighetsutövning. Även juridiska och fysiska personer kan dock med stöd av lag anförtros förvaltnings- uppgifter som innefattar myndighetsutövning (12 kap. 4 § reger- ingsformen). Denna möjlighet har bland annat utnyttjats vad gäller betygssättning m.m. i fristående skolverksamhet och fordonsbesikt- ning som utförs av privaträttsliga besiktningsorgan. Ändamålet med behandlingen måste vara nödvändigt Enligt artikel 6.3 andra stycket första meningen i dataskyddsförord- ningen ska syftet med behandlingen (the purpose of the processing), i fråga om behandling enligt punkt 1 e, vara nödvändigt som ett led i den personuppgiftsansvariges myndighetsutövning. Ändamålet behö- ver således inte framgå av det sammanhang där den myndighets- utövande befogenheten fastställs. Ändamålet med behandlingen av personuppgifter måste dock vara nödvändigt för att utföra myndig- hetsutövningen. Bestämmelsen uttrycker det samband som måste finnas mellan behandlingen och myndighetsutövningen. Detta sam- band framgår även av kravet i artikel 5.1 b på att de särskilda ända- målen ska vara berättigade. 16 /, Allmän förvaltningsrätt, 26 uppl., s. 19 f. Rättslig grund för behandling av personuppgifter Är all myndighetsutövning fastställd i enlighet med gällande rätt? I svensk rätt har myndigheter inte någon generell befogenhet att utöva myndighet. Myndighetsutövning som medför skyldigheter för den enskilde eller i övrigt avser ingrepp i den enskildes personliga eller ekonomiska förhållanden måste härröra från lag (8 kap. 2 § 2 och 3 § regeringsformen). Att meddela föreskrifter om åtgärder som är gynnande för den enskilde ryms däremot inom regeringens restkom- petens (8 kap. 7 § första stycket 2 regeringsformen). Regeringen kan därmed i förordning, utan bemyndigande av , ge en myn- dighet befogenheter avseende gynnande myndighetsutövning. Myn- dighetsutövning kan däremot inte ske helt utan stöd av författning. Det bör vidare noteras att myndighetsutövning även kan utövas med stöd av direkt tillämpliga EU-förordningar. Myndighetsutövning kan således även vara fastställd i enlighet med unionsrätten. Befogenhet att utföra myndighetsutövande förvaltningsuppgifter fastställs i svensk rätt ofta direkt i den författning som reglerar en viss rättighet, skyldighet, åtgärd eller verksamhet.17 Befogenheten kan även framgå genom att en myndighet i lag eller förordning har pekats ut att fullgöra de uppgifter som ankommer på behörig myndighet enligt en viss unionsrättsakt.18 I det sistnämnda fallet kan de myndig- hetsutövande uppgifterna vara uttryckta enbart i unionsrätten. Myn- dighetsutövning kan dock aldrig utövas utan stöd i gällande rätt. Enligt skäl 45 till dataskyddsförordningen bör unionsrätten eller den nationella rätten också reglera frågan om en personuppgiftsansva- rig som utför myndighetsutövning ska vara ett organ som omfattas av offentligrättslig eller av civilrättslig lagstiftning. I regleras myndighetsutövande uppgifter i offentligrättslig lagstiftning. Det innebär inte att det bara är myndigheter som har anförtrotts sådana uppgifter. Däremot krävs lagstöd för att förvaltningsuppgifter som innefattar myndighetsutövning ska kunna överlämnas åt andra juridiska personer och enskilda individer (12 kap. 4 § regeringsfor- men). Frågan om vilka organ som har myndighetsutövande uppgifter regleras således redan i svensk rätt. 17Se t.ex. studiestödslagen (1999:1395), skatteförfarandelagen (2011:1244), plan- och bygg- lagen (2010:900) eller lagen (2009:366) om handel med läkemedel. 18Se t.ex. förordningen (2009:93) med instruktion för eller förord- ningen (2007:860) med instruktion för . Rättslig grund för behandling av personuppgifter I kan myndighetsutövning inte ske utan stöd i gällande rätt. Det krävs därför inte någon ny nationell reglering på generell nivå för att sådan behandling av personuppgifter som är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning ska kunna ske med stöd av den rättsliga grunden i artikel 6.1 e i förordningen. Det bör noteras att denna rättsliga grund för behandling av person- uppgifter kan tillämpas av alla personuppgiftsansvariga som tilldelats myndighetsutövande befogenheter. Det kan dock finnas anledning att ta in en bestämmelse i data- skyddslagen som tydliggör att myndighetsutövning utgör en rättslig grund för behandling av personuppgifter endast om myndighets- utövningen sker enligt lag eller annan författning. Detta är enligt skäl 8 till dataskyddsförordningen förenligt med unionsrätten, även om åtgärden kan sägas utgöra ett införlivande av en direkt tillämplig förordningsbestämmelse. 8.3.4Behandling för att utföra uppgifter av allmänt intresse Utredningens förslag: Det ska tydliggöras att personuppgifter får behandlas om behandlingen är nödvändig för att den personupp- giftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Begreppet uppgift av allmänt intresse Enligt artikel 6.1 e i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Av skäl 45 till dataskyddsförordningen framgår att det på unionsnivå eller nationellt bör regleras om en personuppgifts- ansvarig som utför en uppgift av allmänt intresse ska vara en myn- dighet eller någon annan som omfattas av offentligrättslig lagstiftning eller om denne kan vara en fysisk eller juridisk person som lyder un- der civilrättslig lagstiftning, t.ex. en yrkesorganisation. Begreppet allmänt intresse är ett unionsrättsligt begrepp som inte med enkelhet låter sig avgränsas. Begreppet definieras varken i data- Rättslig grund för behandling av personuppgifter skyddsdirektivet eller i dataskyddsförordningen och dess innebörd har ännu inte heller utvecklats av . Artikel 29-gruppen har dock inrättat en arbetsgrupp som har fått i uppgift att utarbeta och revidera vägledande yttranden rörande vissa nyckelbestämmelser och begrepp i förordningen.19 Förhoppningsvis kommer begreppet uppgift av allmänt intresse att belysas i detta arbete. Som exempel på uppgifter som kan vara av allmänt intresse nämns i betänkande arkivering, forskning och fram- ställning av statistik, etablerade idrottsorganisationers registrering av vilka personer som har vunnit svenska mästerskap eller innehar svenskt rekord i erkända sportgrenar, samt registrering av personer som har fått allmänt erkända utmärkelser såsom . Att någon själv kan tjäna pengar på att utföra uppgiften utesluter enligt inte att den ändå kan vara av allmänt intresse, såsom när uppgifter som tidigare skötts av det allmänna läggs ut på privata företag som drivs i vinstsyfte.20 Möjligen har den behandling av personuppgifter som är nödvändig i t.ex. myndigheternas verksamhet i vissa fall ansetts vara tillåten endast efter en intresseavvägning enligt 10 § f PUL. Den motsvarande bestämmelsen i dataskyddsförordningen, artikel 6.1 f, ska dock inte gälla för behandling som utförs av offentliga myndigheter när de utför sina uppgifter. Myndigheternas utrymme för att grunda behandling på samtycke från den registrerade kan också antas minska. I skäl 43 anges nämligen att samtycke inte bör utgöra giltig grund för behandling i de fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den per- sonuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla för- hållanden som denna särskilda situation omfattar. För att myndig- heternas verksamhet ska kunna fungera även i fortsättningen anser vi mot denna bakgrund att mycket talar för att begreppet uppgift av allmänt intresse måste anses ha fått en vidare unionsrättslig betydelse genom dataskyddsförordningen än det har haft. 19Artikel 29-gruppens Work programme 2016–2018, dok. 417/16/EN. 20SOU 1997:39 s. 364. Rättslig grund för behandling av personuppgifter