sou · H5B329 · 2017-04-05 00:00:00 — Skälen för utredningens förslag: Eftersom det inte anses finnas några parter i ett tillsynsärende behövs det en regel om kommuni- kationsskyldighet i förhållande till tillsynsobjekten. De bör ges till- fälle att yttra sig innan tillsynsmyndigheten meddelar beslut som direkt berör dem. Skyldigheten bör omfatta allt material som till- förts ärendet, både inkomna handlingar från andra än tillsynsobjek- tet och handlingar som har upprättats av tillsynsmyndigheten. Handlingar som tillsynsobjektet själv lämnat bör inte omfattas. Däremot bör annan information som tillsynsobjektet har lämnat omfattas av skyldigheten, eftersom tillsynsmyndigheten och till- synsobjektet kan ha olika uppfattningar om dess betydelse. Endast om det är uppenbart obehövligt bör skyldigheten att kommunicera viss handling eller information inte gälla. När handlingar eller in- formation kommuniceras bör tillsynsmyndigheten ange en be- stämd tid inom vilken tillsynsobjektet ska ha yttrat sig. Kommuni- kationsskyldigheten bör regleras i ramlagen. 12.8.3Beslut ska gälla när de fått laga kraft Utredningens bedömning: bör inte få förordna att myndighetens beslut ska gälla . Skälen för utredningens bedömning: Enligt 51 § andra stycket personuppgiftslagen får tillsynsmyndigheten besluta att ett av myn- digheten meddelat beslut ska gälla även om det överklagas. I fler- talet av de registerförfattningar som gäller för de myndigheter som kommer att tillämpa ramlagen finns dock ingen hänvisning till den bestämmelsen, varför tillsynsmyndigheten inte har möjlighet att fatta sådana beslut i relation till de myndigheterna. I förarbetena till åklagardatalagen konstateras att det finns både för- och nackdelar med att låta 51 § andra stycket personuppgifts- lagen gälla för åklagarmyndigheterna. Systematiska skäl talar för att regleringen borde utformas på samma sätt, oavsett vem beslutet gäller. Verksamhetsskäl anses dock tala mot att införa en sådan möjlighet. På samma sätt som vid införandet av polisdatalagen kon- staterar regeringen att det inte finns skäl att ge Datainspektionen möjlighet att meddela interimistiska beslut (prop. 2014/15:63 s. 57 och prop. 2009/10:85 s. 91). I förarbetena till domstolsdatalagen görs bedömningen att det inte finns något praktiskt behov av en sådan möjlighet (prop. 2014/15:148 s. 95). Samma bedömning görs för (prop. 2011/12:45 s. 87). Direktivet förutsätter inte att tillsynsmyndigheten ska kunna meddela interimistiska beslut. Det som talar för att tillåta interi- mistiska beslut är att det ger möjlighet att hindra sådan behandling som tillsynsmyndigheten anser strider mot regelverket. ger beslut av det slaget förtursbehandling i domstol. Utan förturs- behandling kan domstolsprövningen dra ut . Tillsynsmyn- digheten och de granskade myndigheterna har emellertid inte alltid samma uppfattning om en behandling är författningsenlig, sam- tidigt som verksamheten hos behöriga myndigheter är central i en rättsstat. Det är inte heller givet att tillsynsmyndigheten har till- räcklig kunskap om den granskade verksamheten och dess villkor för att kunna ta nödvändiga hänsyn till verksamheten. Det finns därför enligt utredningens mening skäl att vara försiktig med att låta tillsynsmyndigheten förbjuda en annan myndighet att bedriva den verksamhet som statsmakterna beslutat om. Även om det alltså finns skäl som talar för att tillåta interimis- tiska beslut, anser utredningen att de argument som tidigare an- förts mot en sådan möjlighet inom ramlagens tillämpningsområde alltjämt väger tungt. bör därför inte kunna besluta att myndighetens beslut ska gälla utan hinder av att det inte fått laga kraft. Utredningens förslag: Att tillsynsmyndigheten ska anmäla per- sonuppgiftsbehandling som kan utgöra brott eller medföra ska- deståndsskyldighet för staten till den myndighet i vars arbets- uppgifter det ingår att utreda frågan ska regleras i förordning. Skälen för utredningens förslag: Enligt artikel 47.5 ska tillsyns- myndigheten ha befogenhet att göra rättsliga myndigheter upp- märksammade på överträdelser av de bestämmelser som genomför direktivet. befogenheter tar sikte på förhållanden som myndigheten har rätt att ingripa mot. kan emellertid myndigheten vid sin tillsyn upptäcka förhållanden som det ankom- mer på andra myndigheter att ingripa mot. Om tillsynsmyndig- heten uppmärksammar felaktig personuppgiftsbehandling som kan utgöra brott eller medföra skadeståndsskyldighet för staten, bör tillsynsmyndigheten vara skyldig att anmäla det till den myndighet i vars arbetsuppgifter det ingår att utreda frågan. En sådan reglering krävs enligt utredningens mening både för att åstadkomma ett effektivt sanktionssystem och för att möjliggöra för tillsynsmyn- digheten att ta tillvara enskildas rättigheter. Det bör därför införas en skyldighet för tillsynsmyndigheten att anmäla otillåten eller på annat sätt felaktig personuppgiftsbehand- ling som den upptäcker i sin tillsynsverksamhet till den myndighet som ska utreda frågan. Om tillsynsmyndigheten uppmärksammar förhållanden som kan utgöra brott, bör den anmäla det till Åklagar- myndigheten. Om felaktigheter som kan medföra skadestånds- ansvar för staten uppmärksammas, bör tillsynsmyndigheten anmäla det till JK. bör bifoga det underlag som finns och även i övrigt lämna det biträde som behövs med anledning av anmälan. bör samråda med den berörda myn- digheten innan anmälan görs. Anmälningsskyldigheten kan regleras i förordning. 12.9Möjlighet att ifrågasätta giltigheten av unionsrättsakter Utredningens förslag: Om tillsynsmyndigheten vid handlägg- ningen av ett ärende bedömer att det finns särskilda skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar till- lämpningen av ramlagen, får myndigheten hos allmän förvalt- ningsdomstol ansöka om att domstolen beslutar om en åtgärd som tillsynsmyndigheten själv skulle ha kunnat besluta om. Ansökan ska göras hos den förvaltningsrätt som är behörig att pröva överklaganden av tillsynsmyndighetens beslut. Det ska krävas prövningstillstånd vid överklagande till kammarrätten. Skälen för utredningens förslag: uttalar i det s.k. Schrems-målet att de nationella tillsynsmyndigheternas befogenhet enligt artikel 8.3 i rättighetsstadgan, artikel 16.2 i funktionsför- draget och artikel 28 i det nu gällande dataskyddsdirektivet (mot- svarande artiklarna 41.1 och 42.1 i det nya direktivet) är att med fullständigt oberoende övervaka om dataskydd (dom av , Schrems, C-362/14, punkterna 38– 42). Målet gällde dels giltigheten av ett beslut av kommissionen om adekvat skyddsnivå för personuppgifter överförda till servrar i , dels frågan om en tillsynsmyndighet har rätt att ifrågasätta ett sådant beslut. Enligt domstolen är det tillsynsmyndigheternas uppgift att säkerställa att EU:s dataskydd upprätthålls. tar att myndigheten alltid ska göra en fullständigt oberoende ut- redning av om en överföring av personuppgifter till ett tredjeland har varit rättsenlig, även om kommissionen i en unionsrättsakt beslutat om förutsättningar för överföringen. Enligt domstolen förutsätter det processuella bestämmelser i nationell rätt som ger tillsynsmyndigheten en självständig rätt att initiera en rättslig pröv- ning i domstol som gör det möjligt att väcka frågan om förhands- avgörande avseende giltigheten av en unionsrättsakt (punkter- na 65–66). Kommissionen ska enligt artikel 36.3 besluta om ett tredjeland säkerställer en adekvat skyddsnivå. Beslutet ska sedan ligga till grund för behöriga myndigheters bedömning av förutsättningarna för överföring av personuppgifter till det landet. Därmed kan samma fråga som prövades i Schrems-målet aktualiseras vid till- lämpningen av ramlagen. Av uttalanden följer att tillsynsmyndighetens självständighet, som den garanteras i såväl rättighetsstadgan som direktivet, förutsätter möjlighet för tillsynsmyndigheten att inleda rättsliga förfaranden som innebär att giltigheten av en unionsrätts- akt kan ifrågasättas. Eftersom endast nationella domstolar kan ini- tiera en sådan prövning, genom en begäran till om förhandsbesked, krävs det att tillsynsmyndigheten får inleda en rättslig process vid nationell domstol där den frågan kan aktuali- seras (se , Nationella dataskyddsmyndigheter som lag- prövare av , FT 2016 s. 161 f.). Det behövs därför enligt utredningens mening en bestämmelse som möjliggör det. Om det finns synnerliga skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämpningen av ramlagen bör till- synsmyndigheten ha möjlighet att ansöka hos allmän förvaltnings- domstol om att en viss åtgärd ska vidtas, i stället för att själv be- sluta om den. Om domstolen delar tillsynsmyndighetens tvekan om giltigheten av unionsrättsakten, kan domstolen genom att be- gära ett förhandsavgörande från få giltigheten prö- vad. Bestämmelsen bör tas in i ramlagen. Eftersom 14 § andra stycket lagen (1971:289) om allmänna för- valtningsdomstolar endast reglerar forum vid överklagande behövs det en bestämmelse som anger var ansökan ska göras. Ansökan bör göras hos den förvaltningsrätt som är behörig att pröva ett över- klagande av tillsynsmyndighetens beslut. bör kunna överklagas. Vid överklagande till kammarrätten bör det krävas prövningstillstånd för att klaganden ska få sitt överklagande prövat i sak. 12.10.1Skyldighet att bistå en tillsynsmyndighet i en annan medlemsstat Utredningens förslag: På begäran ska tillsynsmyndigheten bistå en tillsynsmyndighet i en annan medlemstat. Bistånd ska endast få vägras om det skulle strida mot en bindande unionsrättsakt, en lag eller en förordning att tillmötesgå begäran. Vid sådant bi- stånd får tillsynsmyndigheten använda sina befogenheter enligt ramlagen. Skälen för utredningens förslag Av artiklarna 46.1 h och 50.1 framgår att tillsynsmyndigheten ska samarbeta med tillsynsmyndigheter i andra medlemsstater. Myn- digheterna ska utbyta information och ge varandra bistånd för att säkerställa att direktivet tillämpas på ett enhetligt sätt. Biståndet ska särskilt omfatta information och tillsynsåtgärder, t.ex. samråd, inspektioner och utredningar. Enligt artikel 50.2 ska tillsynsmyn- digheten vidta alla lämpliga åtgärder för att kunna besvara en be- gäran om bistånd utan onödigt dröjsmål och inte senare än efter det att begäran togs emot. Med lämpliga åtgärder avses t.ex. att översända information om en pågående utredning. Infor- mation som utbytts får enligt artikel 50.3 endast användas för det syfte för vilket den har begärts. En begäran får enligt artikel 50.4 vägras endast om tillsynsmyndigheten inte är behörig i sakfrågan eller att utföra de åtgärder som begärs eller om det skulle strida mot direktivet, unionsrätten eller nationell rätt att tillmötesgå be- gäran. Enligt artikel 50.5 ska den begärande myndigheten få infor- mation om resultatet av begäran och hur åtgärderna som vidtagits för att tillmötesgå den fortskrider. Även skälen för att vägra till- mötesgå en begäran ska anges. Det internationella samarbetet bör regleras För att genomföra direktivet behövs det vissa bestämmelser om internationellt bistånd, både när det gäller bistånd som den svenska tillsynsmyndigheten ska lämna och myndighetens möjligheter att själv begära bistånd från en annan medlemsstat. Av ramlagen bör det framgå att tillsynsmyndigheten på begäran ska bistå andra med- lemsstater och vilka befogenheter myndigheten har vid sådant bi- stånd. Den svenska tillsynsmyndigheten bör enligt utredningens mening kunna vidta samma åtgärder på begäran av en tillsynsmyn- dighet i en annan medlemsstat som myndigheten själv kan vidta vid sin tillsyn. En begäran om bistånd får bara vägras i de situationer som anges i artikel 50.4. Enligt utredningens mening bör en begäran om bi- stånd bara få vägras om det skulle strida mot en bindande unions- rättsakt, en lag eller en förordning att tillmötesgå den. Det bör framgå av ramlagen. Begäran får således vägras t.ex. om den svenska lagstiftningen inte medger att tillsynsmyndigheten agerar på det sätt som begärs. Detaljerna beträffande samarbetet bör regleras i förordning. Den utländska tillsynsmyndigheten bör underrättas om bistånd vägras. Av underrättelsen bör det framgå varför något bistånd inte ges. Om regeringen beslutar att bara peka ut en tillsynsmyndighet i , vilket Utredningen om tillsynen över den personliga integ- riteten föreslår, finns det inget behov av en vägransgrund som tar sikte på tillsynsmyndighetens behörighet. Personuppgiftsbehandlingen inom ramlagens tillämpningsom- råde utförs huvudsakligen av ett begränsat antal statliga myndig- heter och behandlingen utförs till största delen inom . På flera områden samarbetar behöriga myndigheter internationellt och utbyter personuppgifter. Det ingår i tillsynsmyndigheternas upp- drag att granska det internationella uppgiftsutbytet. En tillsyns- myndighet i en annan medlemsstat kan därför vid sin tillsyn behöva bistånd med vissa kontrollåtgärder, t.ex. om personuppgifter har överförts till personuppgiftsansvariga eller personuppgiftsbiträden i Av artikel 40 b framgår att det internationella samarbetet ska omfatta bl.a. hänskjutande av klagomål, bistånd med utred- ningar och informationsutbyte. Beroende på hur andra medlems- stater väljer att genomföra direktivet kan det även bli aktuellt med bistånd att på enskildas begäran kontrollera om viss personupp- giftsbehandling är författningsenlig. Om bistånd lämnas ska tillsynsmyndigheten underrätta den ut- ländska tillsynsmyndigheten om hur handläggningen fortskrider och resultatet av begäran. En begäran från en annan medlemsstat om bistånd bör besvaras snabbt, men enligt artikel 50.2 senast efter att den togs emot. Det kan regleras i förordning. Informationen ska enligt artikel 50.6 som regel tillhandahållas elektroniskt i ett standardiserat format. Kommissionen får enligt artikel 50.8 i genomförandeakter ange format och förfaranden för sådant bistånd. Även formerna för elektronisk överföring av infor- mation mellan tillsynsmyndigheterna och mellan dem och styrelsen får regleras på det sättet. Artiklarna 50.6 och 50.8 kräver inga lag- stiftningsåtgärder. Utredningen behandlar frågan om tillsynsmyndigheten bör kunna ställa upp villkor för användningen av den information som lämnas till den utländska tillsynsmyndigheten vid en svensk begä- ran om bistånd i avsnitt 12.10.2. Behovet av sekretess och en sek- retessbrytande bestämmelse i det internationella samarbetet be- handlas i avsnitt 16.3. 12.10.2 Svensk begäran om bistånd av en annan medlemsstat Utredningens förslag: Att tillsynsmyndigheten får begära bi- stånd av en tillsynsmyndighet i en annan medlemsstat och förfa- randet vid en sådan begäran ska regleras i förordning. Information som tillsynsmyndigheten efter begäran har fått från en tillsynsmyndighet i en annan medlemsstat får inte an- vändas för något annat ändamål än det för vilket informationen begärdes. Skälen för utredningens förslag: Den svenska tillsynsmyndighe- ten ska kunna begära bistånd av en tillsynsmyndighet i en annan medlemsstat med att utföra åtgärder som tillsynsmyndigheten själv Enligt artikel 50.3 ska en sådan begäran innehålla all nödvändig information, inklusive syftet med och skälen för den. Informationen som den svenska tillsynsmyndigheten tar emot får inte användas för andra syften än dem för vilka den har begärts. En svensk begäran om bistånd kan bli aktuell t.ex. om tillsyns- myndigheten vill göra en allmän kontroll av att regelverket följs när personuppgifter sänds till andra medlemsstater. Ett annat exempel är att en svensk brottsbekämpande myndighet har överfört person- uppgifter som borde ha rättats till en annan medlemsstat vilket gör att den svenska tillsynsmyndigheten vill få information om hur uppgifterna har behandlats av mottagaren. Det behövs en reglering av när och hur den svenska tillsyns- myndigheten ska kunna begära bistånd. Reglerna om svensk be- gäran om bistånd av en tillsynsmyndighet i en annan medlemsstat kan tas in i förordning. Av regleringen bör det framgå att en svensk begäran ska innehålla all information som behövs för att tillsyns- myndigheten i den andra medlemsstaten ska kunna besvara den. I artikel 50.3 föreskrivs att information som en tillsynsmyndig- het får genom samarbete med en tillsynsmyndighet i en annan medlemsstat endast får användas för det syfte för vilket den begär- des. Det bör därför tas in en bestämmelse i ramlagen om att den information som den svenska tillsynsmyndigheten får från en annan medlemsstat med anledning av en begäran om bistånd inte får användas för andra syften än dem för vilka informationen be- . En sådan bestämmelse bör finnas i lag eftersom den ska ta över andra bestämmelser i både lag och förordning (jfr propositio- nen om vissa frågor om internationellt samarbete i brottmål m.m., prop. 1990/91:131, s. 18). Det väcker också frågan om tillsynsmyndigheten bör ges möj- lighet att ställa upp villkor för användningen av den information som lämnas till den utländska tillsynsmyndigheten. Eftersom alla medlemsstater är skyldiga att genomföra direktivet, och den ut- ländska tillsynsmyndigheten alltid får veta för vilket ändamål informationen begärs, bör det inte krävas någon begränsning av användningen av den. Det finns därför inget behov av en regel om användningsbegränsning som tar sikte på den information som den svenska tillsynsmyndigheten lämnar när den begär bistånd. 12.11 Tillsyn ska vara avgiftsfri 12.11.1 ska inte kunna ta ut avgifter Utredningens förslag: Att tillsynsmyndigheten som huvudre- gel ska utföra sina tillsynsuppgifter avgiftsfritt ska regleras i förordning. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 46.3 ska tillsynsmyndigheten som huvudregel utföra sina uppgifter avgiftsfritt för både enskilda och dataskyddsombud. Datainspektionens verksamhet finansieras genom statliga anslag. Enligt 3 och 4 §§ avgiftsförordningen (1992:191) får en myndighet ta ut avgifter för varor och tjänster som den tillhandahåller endast om det följer av lag eller förordning eller av ett särskilt beslut av regeringen. Därutöver får en myndighet ta ut avgift i vissa fall, bl.a. för att tillhandahålla information, rådgivning och annan service, om det är förenligt med myndighetens arbetsuppgifter enligt lag, in- struktion eller annan förordning och verksamheten är av tillfällig natur eller av mindre omfattning. Enligt regleringsbrev får Datainspektionen ta ut avgift för varor och tjänster även om de inte är av tillfällig natur eller mindre omfattning. Det som avses är rät- ten för myndigheten att ta ut ersättning för den omfattande utbild- ningsverksamhet som den bedriver. Det har ansetts värdefullt att Datainspektionen kan genomföra utbildning för bl.a. personupp- giftsansvariga och personuppgiftsombud och att det får göras mot avgift. Inspektionen tar även ut avgift för vissa trycksaker. Tillsynsverksamheten ska vara avgiftsfri För att tydliggöra att tillsynsmyndigheten som huvudregel ska ut- föra sina tillsynsuppgifter utan kostnad bör en särskild bestäm- melse tas in i förordning. Bestämmelsen bör omfatta all verksamhet som tillsynsmyndigheten utför enligt ramlagen. Därmed omfattar den även uppgifter som myndigheten utför på begäran av en annan medlemsstat (se avsnitt 12.10.1 och 12.11.2). Regleringen innebär att tillsynsmyndighetens arbete med att handlägga klagomål, utföra kontroller, genomföra inspektioner, ge råd och stöd till personupp- giftsansvariga, personuppgiftsbiträden och dataskyddsombud och utfärda föreskrifter och allmänna råd inte får avgiftsbeläggas. bör dock, i den mån avgiftsförordningen och särskilda beslut medger det, även fortsättningsvis kunna ta ut avgift för sådant som ligger utanför ramlagen. Enligt utredningens mening bör på samma sätt som t.ex. mer omfattande utbild- ningsinsatser inte ingå i uppgiften att lämna råd och stöd. Det är också rimligt att tillsynsmyndigheten får ta betalt för sådana tryck- saker som går utöver vad som kan krävas enligt ramlagen eller för- valtningslagen. Någon ändring i sak är således inte avsedd. Frågor om avgift ska kunna tas ut i vissa fall behandlas även i avsnitt 12.6.3 och 12.11.2. 12.11.2 Ersättning för bistånd till en annan medlemsstat Utredningens förslag: Att åtgärder som vidtas på begäran av en tillsynsmyndighet i en annan medlemsstat som huvudregel ska utföras utan ersättning ska regleras i förordning. Tillsynsmyn- dighetens rätt att överenskomma med utländska tillsynsmyndig- heter om ersättning för bistånd i vissa fall ska också regleras i förordning. Skälen för utredningens förslag: Enligt artikel 50.7 får tillsyns- myndigheterna som huvudregel inte ta ut någon avgift av varandra för åtgärder som vidtagits med anledning av en begäran om bistånd. Tillsynsmyndigheterna får dock komma överens om regler för er- sättning för vissa utgifter i samband med bistånd. I avsnitt 12.11.1 föreslår utredningen att tillsynsmyndigheten som huvudregel inte får ta ut avgift för att utföra sina tillsynsupp- gifter. Avgiftsfriheten föreslås gälla i förhållande till alla, dvs. både i förhållande till svenska och utländska myndigheter och andra organ. Frågan är om möjligheten att göra undantag från huvudre- geln när en annan medlemsstat begär bistånd med tillsynsåtgärder i bör utnyttjas. Sådana undantag förutsätter att det har träf- fats bindande överenskommelser mellan berörda stater om det. Överenskommelser med annan stat ingås som huvudregel av regeringen. Regeringen kan även uppdra åt en förvaltningsmyndig- het att ingå en internationell överenskommelse i en fråga där över- enskommelsen inte kräver eller med- verkan (10 kap. 1 och 2 §§ regeringsformen). En myndighets behörighet att ingå offentligrättsliga avtal måste grundas på ett uttryckligt bemyndigande från regeringen. Bemyn- digandet kan avse en viss fråga, men det kan också utformas gene- rellt. Bestämmelsen i 10 kap. 2 § regeringsformen ställer inte upp några begränsningar i fråga om förvaltningsmyndighetens avtals- part i internationella överenskommelser. Det kan t.ex. vara en myn- dighet eller en annan regering. Med offentligrättsliga avtal avses sådana som endast kan ingås av stater och andra folkrättssubjekt och som får folkrättsliga verkningar. Sådana avtal är folkrättsligt förpliktande för när de ingåtts av en statlig eller förvaltningsmyndighet efter bemyndigande från regeringen. Något bemyndigande krävs däremot inte när förvaltningsmyndigheter in- går avtal av uteslutande privaträttslig natur. Om ett avtal ska anses vara privaträttsligt får avgöras utifrån omständigheterna i det en- skilda fallet, t.ex. avtalets omfattning eller politiska innebörd (Rikt- linjer för handläggningen av ärenden om internationella överens- kommelser, Ds 2016:38, s. 17 f.). Det är svårt att förutse i vilken omfattning andra medlemsstater kommer att begära bistånd av den svenska tillsynsmyndigheten. Det är likaså svårt att förutsäga om biståndet blir resurskrävande för myndigheten. Det ligger i svenskt intresse att kostnader som tillsynsmyndigheter i andra medlemsstater vållar den svenska till- synsmyndigheten inte alltid ska belasta dess budget. Det är därför enligt utredningens mening rimligt att tillsynsmyndigheten får rättsliga möjligheter att ingå avtal med tillsynsmyndigheter i andra medlemsstater på det sätt som anges i artikel 50.7. De överenskommelser som är aktuella här kommer att ingås mellan två eller flera myndigheter och rör offentligrättsliga åtgär- der. Överenskommelserna kan därmed inte anses vara ett avtal av uteslutande privaträttslig karaktär. Därför krävs en regel som be- myndigar tillsynsmyndigheten att ingå avtal med behöriga tillsyns- myndigheter i andra medlemsstater om ersättning vid begäran om bistånd. Frågan kan regleras i förordning. Enligt huvudregeln i artikel 46.3 ska tillsynsuppgifter vara av- giftsfria för den registrerade och dataskyddsombudet.