sou · H5B329 · 2017-04-05 00:00:00 — JK:s verksamhet regleras huvudsakligen i lagen (1975:1339) om Justitiekanslerns tillsyn och i förordningen (1975:1345) med in- struktion för Justitiekanslern. De som står under JO:s och JK:s tillsyn ska på begäran lämna upplysningar och yttranden och ge tillgång till handlingar och protokoll. Ett granskningsärende kan inledas både efter klagomål från enskilda och på JO:s eller JK:s eget initiativ. Såväl JO som JK kan genomföra inspektioner som ett led i granskningen. Tillsyns- ärenden kan resultera i beslut som kan innehålla kritik eller vägle- dande uttalanden. JO och JK kan även väcka åtal mot någon som står under deras tillsyn för brott som begåtts i tjänsten och har också rätt att väcka frågor om disciplinär bestraffning. Varken JO eller JK har däremot rätt att ompröva eller ändra beslut som har fattats av någon som står under deras tillsyn. 12.2Utgångspunkter för utredningens överväganden om tillsyn Frågor om tillsyn har fått ökat fokus Frågor om tillsyn, hur den ska bedrivas och vem som ska utöva tillsyn har diskuterats inom många olika områden och lösningarna varierar. Regeringen har i skrivelsen En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79, i det följande till- synsskrivelsen) utvecklat sin syn på tillsynsfrågor. I skrivelsen framhålls att den offentliga tillsynen är viktig för att stärka efter- levnaden av de föreskrifter som och regeringen har be- slutat. Tillsynen bidrar till att upprätthålla grundläggande värden i samhället som bl.a. rättssäkerhet. Medborgarna ska genom tillsy- nen vara tillförsäkrade att deras intressen tas till vara. Regeringens utgångspunkt i skrivelsen är att det krävs större enhetlighet i fråga om tillsyn. I skrivelsen framhålls bl.a. att den offentliga tillsynen bör präglas av tydlighet och enhetlighet. Ett sätt att uppnå det är att tillsynsmyndigheternas uppdrag preciseras i form av tillsynsuppgifter, regler och i förekommande fall mål och prioriteringar. Regeringen pekar också på behovet av enhetliga be- grepp. Regeringen understryker att avsteg från de generella bedöm- ningarna i skrivelsen kan leda till minskad tydlighet och enhetlig- het, men att det inom vissa områden ändå kan finnas skäl att göra avsteg, om det leder till en mer ändamålsenlig tillsyn inom det spe- cifika området. Ett annat skäl för avsteg kan vara skyldig- heter att genomföra och anpassa lagstiftning till unionsrättsakter eller till internationella konventioner (skr. 2009/10:79 s. 13). Utredningen har ingen annan uppfattning än den som kommer till uttryck i tillsynsskrivelsen om hur man allmänt bör se på till- synsverksamhet. Utredningens uppdrag är begränsat Utredningens uppdrag vad gäller tillsynen kompliceras av flera faktorer. En har att göra med att vårt uppdrag att utreda hur direk- tivet bör genomföras inte är heltäckande. Uppdraget har delvis full- gjorts av en annan utredning med ett annat fokus. Utredningen om tillsynen över den personliga integriteten (Ju 2015:02) har haft i uppdrag att kartlägga vilken tillsyn över behandling av personupp- gifter som bedrivs och överväga om den i större utsträckning kan samlas hos en myndighet. Den utredningen har också haft i uppdrag att peka ut vilken eller vilka myndigheter som bör vara tillsynsmyndighet enligt dataskyddsförordningen respektive data- skyddsdirektivet och representera i Protec- tion Board (i det följande styrelsen). Även frågorna om hur före- trädare för tillsynsmyndigheten ska utses och hur verksamheten ska organiseras har ingått i den utredningens uppdrag. Utredningen har avgett betänkandet Ett samlat ansvar för tillsyn över den per- sonliga integriteten (SOU 2016:65). Betänkandet har remissbe- handlats och bereds i (). Eftersom vår utrednings uppdrag varken omfattar vilken myn- dighet som ska utses till tillsynsmyndighet eller hur tillsynsverk- samheten ska organiseras, och det inte kommer att finnas något ställningstagande till de frågor som ligger utanför vårt uppdrag när förslaget till ramlag ska redovisas, utgår vi i våra överväganden från att tillsynsverksamheten kommer att organiseras på det sätt som Utredningen om tillsynen över den personliga integriteten föreslår. Det är oundvikligt att nämnda utrednings ställningstagan- den och förslag påverkar inriktningen av våra förslag och vilka lag- tekniska lösningar som bör väljas när det gäller genomförandet av resterande delar av direktivet. Det finns därför anledning att i detta avsnitt lyfta några av de frågor som Utredningen om tillsynen över den personliga integriteten har behandlat. Reglerna i direktivet och dataskyddsförordningen har stora likheter Direktivet har, bl.a. när det gäller tillsynen över behandlingen av personuppgifter, till stora delar samma innehåll som dataskyddsför- ordningen eller i vart fall liknande regler. Tillsynsuppgifterna är i princip desamma enligt direktivet och förordningen, men förord- ningen reglerar också frågor som inte aktualiseras på direktivets område. Förordningen innehåller fler och mer detaljerade regler om tillsynsmyndighetens befogenheter, men i sak motsvarar de i stort sett direktivets bestämmelser. Frågan är då vilka utgångspunkter som utredningen bör ha när det gäller genomförandet av artiklar i direktivet som är likalydande eller har betydande likheter med artiklar i dataskyddsförordningen. Eftersom förordningen kommer att gälla som svensk lag saknas det utrymme för att justera i dess bestämmelser. I den mån bestämmel- serna i dataskyddsdirektivet och dataskyddsförordningen behöver anpassas till varandra, t.ex. beträffande terminologin eller hur till- synsverksamheten bör regleras, måste följaktligen den anpass- ningen göras vid genomförandet av direktivet. Mot bakgrund av de uttalanden som regeringen gjorde i tillsyns- skrivelsen om intresset av enhetliga begrepp, anser utredningen att det finns anledning att vara återhållsam med att använda annan terminologi än den som används i förordningen, om det inte finns goda sakliga skäl för det (se avsnitt 6.2). Ett så enhetligt system för tillsyn över personuppgiftsbehand- ling som möjligt är också till fördel för både tillsynsmyndigheten och tillsynsobjekten. Reglerna om tillsyn på direktivets och för- ordningens område bör därför enligt utredningens mening så långt möjligt stämma överens, såvida det inte finns sakliga skäl för avvi- kelser. En fri och oberoende tillsyn måste värnas I skäl 4 framhålls att en hög skyddsnivå för personuppgifter förut- sätter ett kraftfullt tillsynsarbete. Ett viktigt verktyg för det är en oberoende och effektiv tillsyn över behandlingen av personupp- gifter. Direktivet medför bl.a. ökade krav på att tillsynsmyndig- heternas oberoende värnas, att de får tillräckliga resurser och be- fogenheter att utöva sin tillsyn och att enskilda får möjlighet att reagera om tillsynsmyndigheten inte agerar tillräckligt snabbt. Ett led i en effektivare tillsyn är, som framhålls i tillsynsskrivel- sen, att skapa tydliga regler för verksamheten så att både tillsyns- myndigheten, tillsynsobjekten och enskilda som befarar att deras personuppgifter kan ha behandlats på ett otillåtet sätt vet vilka skyldigheter respektive rättigheter de har och vilka resultat som kan förväntas av tillsynen. är det enligt utredningens mening lika viktigt att inte skapa detaljregler som riskerar att be- gränsa tillsynsmyndighetens möjligheter att arbeta oberoende och att prioritera bland sina arbetsuppgifter på det sätt som den anser bäst gagnar tillsynsverksamheten som helhet. Det är alltså en balansgång mellan att skapa tydliga regler och att inte åstadkomma ett regelsystem som riskerar att hämma tillsynsmyndighetens obe- roende. Utredningens utgångspunkt är att en effektiv tillsyn bäst gagnas av att den som utövar tillsynen får så stor frihet att välja arbetsformer som möjligt, utan att avkall görs på rättssäkerheten. Den flexibilitet som den nuvarande, oreglerade, tillsynsverksam- heten ger bör därför så långt möjligt värnas. I avsnitt 6.1.3 redovisas att direktivet har dubbla syften. Det ska även prägla tillsynen. ska både skydda enskil- das rättigheter och underlätta det fria flödet av personuppgifter inom EU. Vad det innebär behandlas i avsnitt 12.5.2. Mot den bak- grunden kan regleringen som rör tillsynen inte byggas enbart uti- från enskildas perspektiv utan måste också beakta effekterna på det fria flödet av personuppgifter. 12.3.1Förslaget från Utredningen om tillsyn över den personliga integriteten Enligt artikel 45.1 ska den eller de myndigheter som utses till till- synsmyndighet enligt artikel 41 utföra de uppgifter och utöva de befogenheter som anges i direktivet. Det framhålls i artiklarna 45– 47 och skäl 77 och 82 att det för att efterlevnaden av direktivet ska kunna övervakas är nödvändigt att varje tillsynsmyndighet har samma uppgifter och effektiva befogenheter. Utredningen om tillsynen över den personliga integriteten före- slår att Datainspektionen ska vara tillsynsmyndighet enligt både dataskyddsförordningen och dataskyddsdirektivet och att det ska framgå av myndighetens instruktion. Enligt förslaget ska Säker- hets- och integritetsskyddsnämnden – vid sidan av Datainspek- tionen – även fortsättningsvis utöva tillsyn över Säkerhetspolisens behandling av personuppgifter men däremot inte över Polismyn- dighetens personuppgiftsbehandling i allmänhet. Nämnden föreslås också behålla uppgiften att utöva tillsyn över bl.a. användningen av hemliga tvångsmedel. Våra överväganden utgår, som redovisas i avsnitt 12.2, från de förslag som Utredningen om tillsynen över den personliga integri- teten presenterat. Några författningsbestämmelser utöver de som Utredningen om tillsyn över den personliga integriteten föreslår krävs inte för att genomföra artikel 45.1. 12.3.2Annan tillsyn kan också förekomma Att Datainspektionen föreslås utöva tillsyn i egenskap av behörig tillsynsmyndighet enligt direktivet utesluter enligt utredningens mening inte att andra tillsynsmyndigheter också kan utöva tillsyn på området. Regleringen hindrar med andra ord inte att även fortsättningsvis utövar tillsyn över personuppgiftsbehandling i den utsträckning det ingår i dess tillsynsområde. Den hindrar inte heller att JO eller JK i egenskap av extraordinära tillsynsorgan på samma sätt som utövar tillsyn över och uttalar sig om personuppgiftsbehandling inom direktivets tillämpningsområde. När utredningen i slutbetänkandet redovisar förslag till regle- ring av Säkerhetspolisens personuppgiftsbehandling kan det finnas anledning att återkomma till frågor som rör tillsynen över den verksamheten. Utredningen avser att då ta upp den av Utredningen om tillsynen över den personliga integriteten väckta frågan om det krävs någon förändring av Säkerhets- och integritetsskyddsnämn- dens skyldighet att anmäla vissa förhållanden till Datainspektionen (SOU 2016:65 s. 175 f.). 12.4.1Tillsynsområdet bör slås fast i en definition Utredningens förslag: ska i ramlagen defi- nieras som myndighet som regeringen utser att enligt direktivet utöva tillsyn över behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Skälen för utredningens förslag: I avsnitt 6.1.2 föreslår utred- ningen att direktivet ska genomföras i en generellt tillämplig ramlag med tillhörande förordning. De kommer på samma sätt som att kompletteras av myndigheternas registerförfattningar och för- fattningar om särskilda register. Det finns även enstaka bestämmel- ser inom direktivets tillämpningsområde i andra författningar. Till- synsmyndigheten ska enligt artikel 41.1 övervaka tillämpningen av direktivet och de författningar som genomför det. Det innebär att tillsynsmyndigheten ska kunna utöva tillsyn över tillämpningen av både ramlagen och andra författningar som reglerar behandling av personuppgifter inom direktivets tillämpningsområde. En grund- läggande fråga är hur det i ramlagen bör preciseras vad tillsynen ska omfatta. Ett alternativ är att i ramlagen räkna upp de lagar som omfattas av tillsynen på samma sätt som i 1 § andra stycket lagen om tillsyn över viss brottsbekämpande verksamhet. Att all behandling av per- sonuppgifter som utförs med stöd av ramlagen och den tillhörande förordningen ska omfattas av tillsynen är självklart. Eftersom det är syftet med behandlingen som är avgörande för om ramlagen eller dataskyddsförordningen är tillämplig (se avsnitt 7.1.1), och däri- genom vilka tillsynsregler som ska tillämpas, kan tillsynsområdet inte avgränsas genom att det i ramlagen anges vilka författningar som omfattas av tillsynen. Dessutom reglerar flera av myndigheter- nas registerförfattningar personuppgiftsbehandling inte bara inom direktivets tillämpningsområde utan även inom dataskydds- förordningens. Det bör också nämnas att Utredningen om tillsyn över den personliga integriteten föreslår att Säkerhets- och integri- tetsskyddsnämndens tillsynsområde inte längre bör knytas till vissa författningar på det sätt som görs . Av samma skäl – att det är syftet med behandlingen som är av- görande för om det ena eller andra regelverket ska tillämpas – bör tillsynsområdet inte heller knytas till en uppräkning av vissa myn- digheter eller verksamheter. En sådan reglering skulle även komma i konflikt med dataskyddsförordningen, eftersom viss behandling av personuppgifter, t.ex. utlämnande av allmänna handlingar, regle- ras i förordningen. Tillsynsområdet måste därför, på samma sätt som ramlagens till- lämpningsområde, bestämmas utifrån syftet med behandlingen av personuppgifter. bör definieras som myndighet som regeringen utser enligt direktivet att utöva tillsyn över be- handling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Eftersom valet av till- synsmyndighet ligger utanför utredningens uppdrag bör regeln formuleras så neutralt som möjligt och medge att en eller flera myndigheter pekas ut. 12.4.2Ingen förändring av tillsynen över dömande verksamhet Utredningens bedömning: Att tillsynen inte får inkräkta på dömande verksamhet kräver inga lagstiftningsåtgärder, eftersom sådan verksamhet redan är skyddad genom bestämmelser i rege- ringsformen. Skälen för utredningens bedömning Enligt artikel 45.2 ska tillsynsmyndigheten inte vara behörig att utöva tillsyn över domstolar som behandlar personuppgifter inom ramen för sin dömande verksamhet. Medlemsstaterna får även från tillsynsområdet undanta andra oberoende rättsliga instanser som behandlar personuppgifter inom ramen för sin rättsliga verksamhet. Av skäl 80 framgår att direktivet visserligen är tillämpligt på dom- stolars och andra rättsliga myndigheters verksamheter, men att viss rättslig verksamhet bör undantas från tillsyn. Undantaget omfattar dock inte all verksamhet som domare kan medverka i. Syftet med undantaget är att garantera domares och andra rättsliga myndighe- ters oberoende när de utför rättsliga uppgifter av dömande karak- tär. Som exempel på annan oberoende rättslig myndighet nämns åklagarmyndigheter. Domstolarnas och andra oberoende rättsliga myndigheters tillämpning av bestämmelserna i direktivet ska emel- lertid under alla omständigheter vara föremål för en oberoende kontroll i enlighet med artikel 8.3 i Europeiska unionens stadga om de grundläggande rättigheterna. Någon reglering som begränsar tillsynen över domstolarna på detta sätt finns inte i det nu gällande dataskyddsdirektivet. Dataskyddsförordningen föreskriver också att dömande verksamhet ska undantas från tillsyn men regleringen där är utformad på ett delvis annat sätt. Hur utövas tillsyn över domstolarna ? Enligt 11 kap. 3 § regeringsformen får ingen myndighet bestämma hur en domstol ska döma i det enskilda fallet eller hur en domstol i övrigt ska tillämpa en rättsregel i ett särskilt fall. Bestämmelsen ger uttryck för den centrala principen om domstolarnas självständighet i dömandet. Principen innebär att domstolarna i sitt dömande bara har att rätta sig efter rättsregler och inte får ta emot direktiv om hur de ska döma i ett enskilt fall. Både JO och JK utövar tillsyn över domstolarna. Det har ansetts självklart att JO:s tillsyn över domstolarna inte får inkräkta på domstolarnas grundlagsfästa självständighet. JO:s granskning tar sikte på om domstolarna arbetar på ett korrekt, sakligt och opar- tiskt sätt och syftar till att vidmakthålla medborgarnas förtroende för rättsväsendet. JO prövar därför inte frågor om en domstols bevisvärdering i ett visst mål eller ärende och JO riktar inte heller kritik mot sådana ställningstaganden i rättsliga frågor som framstår som en möjlig tillämpning av gällande rätt (se , JO och domstolarna, Från grundlag till vardagsjuridik. En vänbok till Bo Broomé, 2000, s. 86 f.). JO:s tillsyn är i stället i huvudsak in- riktad mot tillämpningen av andra regler med anknytning till förfa- randet (, JO, domstolarna och de hemliga tvångs- medlen, JT 2003–2004, s. 22). JO:s tillsyn över domstolarna disku- teras också av Hans Ragnemalm (och Rege- ringsrätten, FT 1994 s. 299 f.) och (En JO:s syn på domsskrivningen i förvaltningsdomstol, FT 1999 s. 61 f.), som delar uppfattningen att sådan tillsyn kan utövas. Att JO:s roll när det gäller tillsyn över domstolarna går att förena med domarnas konstitutionella självständighet hävdas också av (se – En offentlig rättslig studie, s. 145). JK:s tillsyn över domstolarna har ibland setts som mer proble- matisk, eftersom JK som är regeringens högste ombudsman kan sägas utöva tillsyn på regeringens vägnar (ström, JO och tjänstemännen, 2003, s. 390 f.). JK-utred- ning konstaterades dock att JK:s sätt att utöva tillsyn över dom- stolarna, som följer samma principer som JO:s tillsyn, inte utgör ett hot mot domstolarnas självständiga dömande (Justitiekanslern, En översyn av JK:s uppgifter, SOU 1993:37, s. 58 f. och s. 164). Samma bedömning gjordes av domarutredning (Domaren i , SOU 1994:99, Del A, s. 255 f.). Även JO:s och JK:s tillsyn begränsas alltså av grundlagsregle- ringen. JO:s och JK:s tillsyn över domstolarna övervägdes senast vid ändring av regeringsformen och ansågs då vara förenlig med rättsskipningens självständighet enligt 11 kap. 3 § regerings- formen (prop. 2009/10:80 s. 129). Datainspektionen utövar tillsyn över domstolarnas personupp- giftsbehandling. I ett mål som rörde frågan om Datainspektionen kunde utöva tillsyn över den behandling av personuppgifter som ägt rum genom att en domstol publicerat uppropslistor på den egna webbplatsen uttalade att 11 kap. 3 § regeringsformen inte omfattar sådana beslut som en domstol fattar i den egna verksamheten avseende domstolens administration. Det fanns därför inget som hindrade Datainspektionen att utöva tillsyn i det fallet (HFD 2014 ref. 32). Frågan om det finns behov av att uttryckligen avgränsa tillsyns- myndighetens behörighet för att säkerställa domares självständiga ställning berördes varken när personuppgiftslagen eller domstols- datalagen infördes. Behövs det en ny reglering? Principen om domstolarnas självständighet har inte ansetts hindra att tillsyn utövas över domstolsväsendet. Den verksamhet som bedrivs av domstolarna är alltså inte generellt undantagen från tillsyn vare sig när det gäller personuppgiftsbehandling eller i övrigt – med undantag för dömande verksamhet. Med dömande verksam- het brukar i svensk rätt avses att domar eller beslut utformas och meddelas. När det gäller tillsyn över personuppgiftsbehandling är det själv- klart att den – i likhet med annan tillsyn – inte får inkräkta på domares självständiga ställning som den garanteras i regeringsfor- men. Tillsynen får alltså inte tillåtas att komma in på frågor som hör till den dömande verksamheten. bör understrykas att det endast är möjligheten att utöva tillsyn över dömande verksam- het som undantas i direktivet. Annan verksamhet vid domstolarna eller som utövas av domare ska inte undantas. Tillsyn inriktas oftast på sådant som redan har inträffat, t.ex. klagomål över hur ett mål eller ärende har handlagts. Risken är då liten att tillsynen påverkar den dömande verksamheten, eftersom den rättsliga prövningen redan är avslutad. Det kan visserligen häv- das att varje uttalande som görs beträffande handläggningen av ett mål eller ärende indirekt kan komma att påverka den framtida handläggningen i ett motsvarande fall och därmed inkräkta på domares oberoende. Enligt utredningens mening innebär ett sådant synsätt att varje form av tillsyn – oavsett hur den hanteras och vad den gäller – skulle omöjliggöras inte bara inom domstolssektorn utan även när det gäller förvaltningsmyndigheterna, som genom regleringen i regeringsformen har en lika självständig roll i sitt be- slutsfattande. Det är uppenbart att lagstiftaren inte har be- traktat frågan på det sättet, exempelvis när det i samband med den senaste grundlagsreformen konstaterades att JO:s och JK:s tillsyn över domstolarna var förenlig med rättsskipningens självständighet. När det gäller personuppgiftsbehandling kan den dock ibland vara så direkt förknippad med den dömande verksamheten att undantaget blir tillämpligt, t.ex. om någon ifrågasätter att hans eller hennes personuppgifter har behandlats korrekt i en dom eller ett beslut. I sådana fall torde det vara fråga om något annat fel som kan ha begåtts, främst identifieringsmisstag eller skrivfel, som innebär att fel person pekats ut. Det är då i första hand andra regel- verk än personuppgiftsregleringen som bör tillämpas för att rätta till eventuella misstag och frågan faller därmed utanför det som diskuteras. På samma sätt som vid annan tillsyn är det tillsynsmyndighetens skyldighet att se till att tillsynen inte överskrider de gränser som har satts upp för den. Det är naturligtvis en särskilt delikat uppgift när det gäller tillsyn över domstolarna. I brottmålsförfarandet kan det vara enklare att dra gränsen mel- lan dömande verksamhet och annan domstolsverksamhet än vad det kan vara inom andra områden. Det är åklagaren som har utred- ningsansvaret och företräder statens intressen. Utrymmet för domare att ex officio företa åtgärder är tydligt avgränsat och innan åtal har väckts synnerligen litet. Domarens roll i den kontradikto- riska processen är i huvudsak att ta ställning till de yrkanden som har framställts av parterna. Den dömande verksamheten är således enligt utredningens mening förhållandevis enkel att avgränsa inom Det kan vara svårare att göra motsvarande bedömning när allmänna förvaltningsdomstolar ska tillämpa ramlagen, efter- som processen där har en annorlunda utformning. Även om den senaste förvaltningsrättsreformen minskat skillnaderna mellan pro- cesserna något, bär domaren alltjämt utredningsansvaret och de skriftliga inslagen är större i förvaltningsprocessen (jfr En mer ändamålsenlig förvaltningsprocess, prop. 2012/13:45 s. 113 f.). Enligt utredningens mening innebär direktivets reglering inte något principiellt nytt, eftersom regeringsformen sätter gränser för möjligheterna att utöva tillsyn över dömande verksam- het. Det bör därför inte medföra några problem för tillsynsmyn- digheten att planera och genomföra sin tillsyn så att självständig- heten i den dömande verksamheten inte riskerar att trädas för när. Några problem med tillsynen över personuppgiftsbehandling, så som den har bedrivits, är inte heller kända. Det kan dock inte uteslutas att vad som är dömande verksamhet kan komma att få en annan innebörd, t.ex. om praxis från Europadom- stolen eller utvecklas. Frågan är då om undantaget behöver komma till uttryck i ram- lagen eller på annat sätt. Undantaget i artikel 45.2 tar enligt utred- ningens mening sikte på rättsliga bedömningar, inte primärt på behandlingen av personuppgifter.