prop · H503232 · 2018-04-19 00:00:00 — I utredningens förslag anges inte uttryckligen att tillsynsmyndigheten har ställning som motpart i domstolen. Enligt utredningens förslag ska även tillsynsmyndighetens beslut enligt föreskrifter som meddelats i anslut- ning till ramlagen få överklagas till allmän förvaltningsdomstol. Remissinstanserna: Justitiekanslern anser att förslagen till regleringar är otydliga när det gäller vilka beslut som går att överklaga. Kammarrät- ten i anser att det bör klargöras att tillsynsmyndigheten är motpart om dess beslut överklagas. önskar ett tydliggö- rande av att rätten att överklaga även gäller privatpersoner. Skälen för regeringens förslag I artikel 53.1 och skäl 86 slås fast att en fysisk eller juridisk person har rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut som avser dem och som meddelats av tillsynsmyndigheten. Enligt skäl 86 avses med beslut som får rättsliga följder bl.a. tillsynsmyndighetens beslut när den utövar sina utrednings- och korrigeringsbefogenheter. Däremot tar rätten inte sikte på beslut om åtgärder som inte är rättsligt bindande, t.ex. yttranden eller rådgivning. Enligt 42 § förvaltningslagen (2017:900) får ett beslut överklagas av den som beslutet angår, om det har gått honom eller henne emot. Enligt 51 § första stycket personuppgiftslagen får tillsynsmyndighetens beslut, med undantag av beslut om föreskrifter, överklagas till allmän förvaltnings- domstol. Paragrafen genomför artikel 28.3 direktiv som slår fast att sådana beslut av tillsynsmyndighetens som går en part emot ska kunna överklagas till domstol. Överklagandebestämmelsen i personuppgiftslagen är även tillämplig när tillsynsmyndigheten fattat beslut enligt vissa av registerförfattning- arna för de behöriga myndigheterna. Det beror på att registerförfatt- ningen innehåller en uttrycklig hänvisning till överklagandebestämmel- sen (se t.ex. 2 kap. 2 § 13 åklagardatalagen). Några registerförfattningar innehåller överklagandebestämmelser med samma innebörd som över- klagandebestämmelsen i personuppgiftslagen (se t.ex. 19 § domstols- datalagen). En överklagandebestämmelse i ramlagen Om en myndighets befogenheter regleras i en författning bör det som huvudregel av samma författning framgå om och i så fall hur myndighe- tens beslut kan överklagas. En sådan ordning ger en samlad bild både av vilka befogenheter en myndighet har och hur den som blir föremål för myndighetens beslut kan angripa dem. Regeringen föreslår nu att till- synsmyndighetens befogenheter regleras i ramlagen (se avsnitt 11.7). Ramlagen bör därför även reglera rätten att överklaga tillsynsmyndighe- tens beslut. Vilka beslut ska få överklagas? Enligt artikel 53.1 får endast rättsligt bindande beslut överklagas. Det lig- ger i linje med vad som allmänt gäller för överklagbarhet och klagorätt. Även om motsvarande artikel dataskyddsdirektiv har en något annorlunda språklig utformning beträffande vilka beslut som får överkla- gas anser regeringen i likhet med utredningen att det inte är någon saklig skillnad. Rätten att överklaga beslut regleras genom bestämmelser i specialför- fattningar och myndighetsinstruktioner. Även om det i en författning anges att ett beslut enligt författningen eller ett beslut av en viss myndig- het får överklagas, innebär det inte att alla sådana beslut är överklagbara. Överklagbarheten är nämligen begränsad till följd av allmänna principer som har utbildats i rättspraxis (jfr RÅ 2007 ref. 7 och där angivna rätts- fall). En myndighets faktiska handlande eller underlåtenhet att handla kan exempelvis inte överklagas. En annan förutsättning för överklagande är att beslutet har en inte alltför obetydlig verkan för parter eller andra. Normalt saknas det också möjlighet att klaga över motiveringen till ett beslut (prop. 1997/98:101 s. 49 f.). Frågan om överklagbarhet har prövats när det gäller tillsynsmyndighetens beslut enligt personuppgiftslagen (för exempel se m.fl. s. 549 f.). Bestämmelsen i ramlagen bör med beaktande av det som har sagts och i likhet med dagens reglering ha som utgångspunkt att tillsynsmyn- dighetens beslut ska kunna överklagas. Av tydlighetsskäl bör det, som Kammarrätten i anför, även framgå av bestämmelsen att till- synsmyndigheten har ställning som motpart i ett sådant mål hos domsto- len (jfr 22 kap. 5 § lagen om offentlig upphandling). Som Justitiekans- lern påpekar kan det i vissa fall vara svårt att förutse vilka beslut som går att överklaga. En fullständig reglering är emellertid inte lämplig att göra. På samma sätt som får det i stället avgöras i rättstillämpningen om ett beslut som tillsynsmyndigheten har fattat är överklagbart. I avsnitt 11.6.3 och 11.7.6 föreslår regeringen att tillsynsmyndigheten ska kunna fatta vissa beslut som saknar motsvarighet i dagens reglering. får bl.a. i vissa fall vägra att kontrollera om be- handlingen av personuppgifter är författningsenlig och kommer också att kunna meddela förelägganden om radering av personuppgifter. I vilken utsträckning de nya typerna av beslut kommer att kunna överklagas blir på motsvarande sätt en fråga för rättstillämpningen. Överklagandena bör på samma sätt som prövas av allmän förvalt- ningsdomstol. Av de skäl som angetts i avsnitt 13.4 bör instansordningen inte beskäras så att förvaltningsrättens avgörande inte får överklagas. Vid överklagande till kammarrätten bör det dock krävas prövningstillstånd för att klaganden ska få sitt överklagande prövat i sak. Till skillnad från utredningen anser dock regeringen att överklagande- möjligheten för kommande föreskrifter inte bör regleras i ramlagen. Vem får överklaga? För att någon ska få överklaga ett beslut ska han eller hon ha klagorätt. Om en person har klagorätt måste bedömas i varje enskilt fall av den domstol som behandlar överklagandet. 2017/18:232 I 51 § personuppgiftslagen ställs det inte något krav på att den som kla- gar ska vara part. I praxis har det inte heller krävts att den som överkla- gar tillsynsmyndighetens beslut har ställning som part. I stället har det bl.a. förts resonemang kring dels om beslutet angått den som överklagat det, dels om det gått honom eller henne emot. Tillämpningen stämmer väl överens med de krav på klagorätt som ställs upp i direktivet. Ram- lagens bestämmelse kan därför utformas med 51 § första stycket person- uppgiftslagen som mönster. Att det är den som beslutet angår och som det gått emot som har klago- rätt innebär i praktiken att det är den beslutet riktas mot som har rätt att överklaga tillsynsmyndighetens beslut. I ett tillsynsärende kommer det oftast att vara den personuppgiftsansvarige eller ett personuppgiftsbit- räde. När det gäller avslag på begäran om kontroll av om viss behandling är författningsenlig berörs den registrerade som har begärt kontrollen. Det kan dock inte uteslutas att beslut av tillsynsmyndigheten i något annat fall skulle kunna få rättsliga följder även för någon annan än den som beslutet riktar sig mot. Vederbörande har då rätt att överklaga beslu- tet enligt förvaltningslagens regler om talerätt. Regeringen anser mot denna bakgrund att något ytterligare förtydligande i enlighet med vad efterfrågar inte behövs. Särskilt om tillsynsmyndighetens beslut i anledning av klagomål Enligt rättspraxis avseende personuppgiftslagen är Datainspektionens be- slut att inte vidta någon åtgärd med anledning av en anmälan (klagomål) eller att skriva av ett ärende om tillsyn inte möjliga att överklaga (se RÅ 2010 ref. 29). I skäl 85 i direktivet framhålls att en registrerad ska ha rätt till ett effektivt rättsmedel också om tillsynsmyndigheten helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när det är nödvändigt för att skydda den registrerades rättigheter. Av skäl 86 framgår bl.a. att den registrerade ska kunna vända sig till behörig nationell domstol. Vidare sägs i artikel 52.4 att tillsynsmyndigheten ska underrätta den enskilde om handläggningen och resultatet av ett klagomål som han eller hon gett in och om rätten till rättsmedel enligt artikel 53. Av artikel 53.1 följer emel- lertid att det enbart är den som ett rättsligt bindande beslut riktar sig mot som ska ha tillgång till ett effektivt rättsmedel. Direktivet innehåller således som utredningen konstaterar skrivningar som kan tala både för och emot en klagorätt för enskilda när det gäller tillsynsmyndighetens beslut i anledning av klagomål. En generell rätt till domstolsprövning av tillsynsmyndighetens beslut av det slag som är aktuellt skulle äventyra tillsynsmyndighetens oberoende ställning. Att tillsynsmyndigheten ska vara oberoende framgår bl.a. av artikel 42.1. Enligt artikel 46.1 f ska tillsynsmyndigheten behandla klagomål och när så är lämpligt undersöka den sakfråga klagomålet gäller. Tillsynsmyn- digheten har därmed inte någon skyldighet att vidta tillsynsåtgärder eller ens att alltid närmare undersöka sakfrågan. Tvärtom har tillsynsmyndig- heten enligt direktivet, på samma sätt som i svensk tillsynstradition, ett uttalat utrymme att själv avgöra vilka tillsynsärenden som ska drivas och på vilket sätt det ska göras. Regeringen delar mot denna bakgrund utredningens bedömning att det Prop. 2017/18:232 får överlämnas till rättstillämpningen att avgöra i vilken utsträckning en- skilda ska anses ha klagorätt. Det bör också understrykas att en registrerad alltid har möjlighet att väcka talan i civilrättslig ordning mot en personuppgiftsansvarig eller ett personuppgiftsbiträde och i vissa fall även att överklaga en myndighets beslut i egenskap av personuppgiftsansvarig (se avsnitt 13.2, 13.3 och 13.4). En registrerad kan välja att väcka en sådan talan eller överklaga ett sådant beslut oavsett vad tillsynsmyndigheten gjort för överväganden i sin tillsyn. Särskilt om myndigheters rätt att överklaga De allmänna förvaltningsrättsliga principerna om klagorätt anses bara vara tillämpliga på myndigheter när de uppträder i någon privaträttslig egenskap, exempelvis som arbetsgivare eller fastighetsägare. Då anses myndigheter ha samma rätt att överklaga som enskilda. När myndigheter däremot uppträder i sin offentligrättsliga roll, vilket de gör i egenskap av personuppgiftsansvariga, är förhållandena annorlunda. En myndighet får då överklaga en annan myndighets beslut bara under vissa förutsätt- ningar. Utgångspunkten är att överklagande kräver författningsstöd. Till skillnad från vad som anges i t.ex. artiklarna 53.2 och 54 omfattar rätten till rättsmedel enligt artikel 53.1 inte bara den registrerade. Av arti- kel 53.1 jämförd med skäl 86 framgår att även myndigheter i sin egen- skap av personuppgiftsansvariga ska ha rätt att överklaga tillsynsmyndig- hetens beslut. Både statliga, kommunala (t.ex. socialnämnden vid ung- domspåföljder) och landstingskommunala (t.ex. rättspsykiatriska enheter) myndigheter kommer att vara personuppgiftsansvariga enligt ramlagen. Myndigheter som är personuppgiftsansvariga anses kunna överklaga tillsynsmyndighetens beslut till allmän förvaltningsdomstol enligt 51 § personuppgiftslagen. Detsamma bör gälla enligt ramlagen. Att kretsen av taleberättigade är vidare när det gäller tillsynsmyndighetens beslut än vid övriga rättsmedel är, som utredningen konstaterar, naturligt. Det är främst myndigheter som kommer att vara personuppgiftsansvariga för den behandling som utförs enligt ramlagen. beslut kommer oftast att rikta sig direkt mot de personuppgiftsansvariga och de kommer därför att ha intresse av att kunna överklaga besluten. Regeringen håller därför med utredningen om att bestämmelsen om över- klagande av tillsynsmyndighetens beslut innebär att statliga, kommunala och landstingskommunala myndigheter ges rätt att överklaga. Det behövs ingen ny forumregel Regeringens bedömning: Det behövs ingen ny forumregel för talan mot tillsynsmyndighetens beslut. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: Enligt artikel 53.3 ska medlems- staterna föreskriva att talan mot en tillsynsmyndighet ska väckas vid domstol i den medlemsstat där tillsynsmyndigheten har sitt säte. 2017/18:232 väcka talan måste i detta sammanhang förstås att ett domstolsförfarande mot tillsynsmyndigheten initieras genom överklagande av myndighetens beslut. Utredningen anser att artikel 53.3 bör tolkas som ett krav på att det ska finnas en forumregel avseende prövningen av tillsynsmyndighetens be- slut. Regeringen anser att artikeln snarare bör förstås som ett krav på att ett beslut av en tillsynsmyndighet i en viss medlemsstat endast ska kunna prövas av domstol i den medlemsstaten. Den svenska tillsynsmyndighe- tens beslut ska alltså inte kunna prövas av domstol i en annan medlems- stat. Att den svenska tillsynsmyndighetens beslut överklagas till svensk domstol följer av den föreslagna överklagandebestämmelsen och 14 § lagen (1971:289) om allmänna förvaltningsdomstolar. Det krävs därför ingen åtgärd för att genomföra artikel 53.3. 13.8Rättsmedlen är oberoende av varandra Regeringens bedömning: Den föreslagna regleringen lever upp till kravet på att användningen av ett rättsmedel inte ska få påverka rätten att använda andra rättsmedel eller administrativa förfaranden. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: Rätten till rättsmedel får enligt artikel 53.1 och skäl 86 inte påverka något annat administrativt pröv- ningsförfarande eller prövningsförfarande utanför domstol. Även om den registrerade har rätt att överklaga ett beslut av en personuppgiftsansvarig myndighet ska han eller hon när som helst kunna utnyttja andra rätts- medel som står till buds. Den registrerade kan således under vissa förutsättningar föra talan parallellt i både allmän förvaltningsdomstol (om ändring av ett myndig- hetsbeslut genom överklagande) och allmän domstol (om t.ex. skade- stånd) om vad som i realiteten är samma sak. Den registrerade kan dessutom när som helst lämna in klagomål till tillsynsmyndigheten, som oberoende av domstolsprocesserna kan agera och utnyttja sina befogenheter. Möjligheten att lämna in klagomål även till andra organ än tillsynsmyndigheten står också öppen. Regeringen delar mot denna bakgrund utredningens bedömning att regleringen lever upp till kravet på att användningen av ett rättsmedel inte får påverka rätten att använda andra rättsmedel eller administrativa förfaranden. 13.9Rätt för ideella organisationer att företräda registrerade Regeringens bedömning: Det krävs inga lagstiftningsåtgärder för att en registrerad ska kunna ge en ideell organisation i uppdrag att före- träda honom eller henne hos tillsynsmyndigheten eller i domstol. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: är kritisk mot att utredningen inte gjort någon ansats att förenkla grupptalan. Ingen annan remissinstans ytt- rar sig i denna del. Skälen för regeringens bedömning Enligt artikel 55 ska en registrerad ha rätt att ge ett organ, en organisation eller en sammanslutning utan vinstsyfte i uppdrag att lämna in klagomål till tillsynsmyndigheten och att utöva de rättigheter som avses i artik- larna 52, 53 och 54 för hans eller hennes räkning. Förutom att ge in kla- gomål till tillsynsmyndigheten ska alltså den som fått ett sådant uppdrag kunna överklaga beslut, väcka dröjsmålstalan eller väcka talan vid all- män domstol. Organets, organisationens eller sammanslutningens stadgeenliga mål ska vara av allmänt intresse och den ska vara verksam för att skydda registrerades rättigheter och friheter vid behandling av personuppgifter. Enligt skäl 87 bör en registrerad som anser att hans eller hennes rättig- heter enligt direktivet har kränkts ha rätt att ge ett organ som syftar till att skydda registrerades rättigheter och intressen vad gäller skyddet av deras personuppgifter i uppdrag att lämna in klagomål och utöva hans eller hennes rätt till rättsmedel. Den registrerades rätt att bli företrädd bör inte påverka nationella processuella regler enligt vilka det kan vara obligato- riskt att registrerade inför domstol företräds av en advokat. För enkelhetens skull benämns organet, organisationen eller samman- slutningen i det följande ideell organisation. Processrätten medger som huvudregel inte att organisationer intar parts- ställning vid sidan av den egentliga parten i en process. Undantag gäller dock för arbetstvister, (4 kap. 5 § lagen [1974:371] om rättegången i arbetstvister), tvister mellan konsumenter och näringsidkare om varor, tjänster eller andra nyttigheter (5 § lagen [2002:599] om grupprättegång), mål om skadestånd för vissa miljöskador och andra enskilda anspråk (32 kap. 13 och 14 §§ ) och mål om diskriminering (6 kap. 2 § diskrimineringslagen [2008:567]). I personuppgiftslagen och annan reglering om personuppgiftsbehandling finns inga regler om talerätt för organisationer. En enskild får enligt 48 § förvaltningsprocesslagen i en rättegång i all- män förvaltningsdomstol anlita ett ombud eller ett biträde. Enligt 12 kap. 1 § får en enskild anlita ett ombud i en process vid allmän domstol. I såväl förvaltningsprocesslagen som ställs uttryckliga kompetenskrav på ombudet eller biträdet (48 § första stycket förvaltningsprocesslagen respektive 12 kap. 2 § rättegångsbal- ken), varför juridiska personer inte kan uppträda som ombud i en rätte- gång (se Fitger m.fl., , del 1, supplement 81, , s. 12:5 och prop. 2012/13:45 s. 106 f.). I förvaltningsärenden har även en juridisk person kunnat agera ombud eller biträde, eftersom motsvarande kompetenskrav saknas (9 § första stycket förvalt- 2017/18:232 ningslagen (1986:223), prop. 1971:30, del 2 s. 362 och RÅ 1963 ref. 37). Om ett ombud eller ett biträde är oskickligt, visar oförstånd eller är olämpligt på något annat sätt får myndigheten eller domstolen avvisa ombudet (48 § andra stycket förvaltningsprocesslagen, 12 kap. 5 § rätte- gångsbalken och 9 § andra stycket förvaltningslagen). Behövs det en särskild reglering av organisationers rätt att företräda enskilda? Artikel 55, som saknar motsvarighet dataskyddsdirektiv kan, som utredningen konstaterar, tolkas på två sätt. Den kan antingen tolkas som att ideella organisationer ska medges talerätt vid sidan av registre- rade eller att registrerade ska kunna anlita en sådan organisation som ombud i mål och ärenden som rör personuppgiftsbehandling. Regeringen delar utredningens bedömning att bestämmelsen inte kan uppfattas på det sättet att ideella organisationer ska ges talerätt vid sidan av registrerade. Det framgår tydligt av att det i artikeln sägs att den regi- strerade ska kunna ge organisationen i uppdrag att för hans eller hennes räkning vidta vissa åtgärder. Med den formuleringen kan regleringen inte förstås på annat sätt än att registrerade ska kunna anlita en ideell organi- sation som ombud. Som konstaterats ovan medger dagens regler att registrerade i förvalt- ningsärenden anlitar en juridisk person, t.ex. en ideell organisation. När den nya förvaltningslagen träder i kraft kommer emeller- tid en juridisk person inte längre att kunna agera ombud i förvaltnings- ärenden. Detta följer av 14 § i den nya lagen. Den registrerade kan där- med inte ge en ideell organisation i uppdrag att för hans eller hennes räkning lämna in klagomål till tillsynsmyndigheten. När det gäller kravet på att registrerade ska ha rätt att anlita sådana organisationer som ombud i en rättegång i domstol är det därmed inte möjligt för organisationen som sådan att företräda dem. Däremot kan en företrädare för organisationen som har tillräcklig kompetens uppträda som ombud, eftersom det inte finns något krav på att ett ombud ska vara advokat eller jurist eller på något sätt ha en särskild relation till huvud- mannen. Den registrerade kan utforma en fullmakt för den ideella organi- sationen på ett sådant sätt att företrädare för organisationen omfattas av den. Det kan tilläggas att även om det skulle skapas förutsättningar för att anlita en organisation som ombud i domstol, skulle det i praktiken ändå vara en fysisk person – en representant för organisationen – som för den registrerades talan. Mot den bakgrunden delar regeringen utredningens bedömning att det inte finns skäl att föreslå någon regel om att ideella organisationer ska kunna vara ombud. Registrerades rätt att ge en ideell organisation sådana uppdrag som avses i direktivet tillgodoses, som utredningen konstaterar, genom de möjligheter som befintlig lagstiftning ger. Utredningen har inte berört den fråga som väcker. Rege- ringen ser inte skäl att i detta sammanhang ta upp frågan. Överföring till tredjeland och Dataskyddsrambeslutet (se avsnitt 4.7.3) reglerar behandlingen av per- sonuppgifter vid de flesta informationsöverföringar som görs inom tillämpningsområdet för det nya dataskyddsdirektivet. I rambeslutet fast- ställs gemensamma regler för behandling av personuppgifter inom ramen för polisiärt och straffrättsligt samarbete när personuppgifter överförs eller görs tillgängliga mellan EU-medlemsstater, , , och och EU-organ och EU:s informationssystem. Data- skyddsrambeslutet är genomfört i huvudsakligen genom lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (lag). Lagen reglerar möjligheterna för en svensk myndighet att föra över personuppgifter till ett tredjeland eller ett internationellt organ. Enligt 7 § får personuppgifter överföras till ett tredjeland eller ett internationellt organ om den som har överfört eller gjort uppgifterna tillgängliga för den svenska myndigheten har medgett att de överförs, överföringen är nöd- vändig för något av de ändamål som omfattas av lagens tillämpningsom- råde och mottagaren har ansvar för ett sådant ändamål. Därtill ska staten där den mottagande myndigheten eller organet finns ha en adekvat skyddsnivå för den avsedda behandlingen. Undantag från kravet på ade- kvat skyddsnivå görs i vissa enskilda fall som framgår av paragrafen. På samma sätt föreskrivs undantag från kravet på medgivande i förväg. Eftersom lag enbart är tillämplig på personuppgifter som här- rör från andra medlemsstater eller från de andra stater, organ och infor- mationssystem som nämnts, gäller personuppgiftslagen (1998:204) för andra överföringar, bl.a. genom hänvisningar dit i myndigheters registerförfattningar. Som exempel på när personuppgiftslagen är till- lämplig kan nämnas överföringar till , eller av person- uppgifter som har sitt ursprung i . står för en stor del av överföringarna av personuppgifter till tredjeland. Sådana överföringar kan göras med stöd av, förutom nämnda lagar, lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregis- ter och polisdatalagen (2010:361). Syftet med dataskyddsdirektiv (se avsnitt 4.7.2) har varit att skapa en gemensam, hög nivå på integritetsskyddet vid behandling av personuppgifter för att på så sätt möjliggöra ett fritt flöde av personupp- gifter mellan medlemsstaterna i EU. Direktivet har också genomförts i övriga stater som är anslutna till EES. Ett fritt flöde av personuppgifter till tredjeland är däremot inte tillåtet. Det har genom direktivet lagts fast 2017/18:232 en gemensam nivå till skydd för personuppgifter som överförs till tredje- land. Artiklarna 25 och 26 dataskyddsdirektiv om överföring till tredjeland har genomförts i 33–35 §§ personuppgiftslagen och 12–14 §§ personuppgiftsförordningen (1998:1191). I förarbetena till lagen fram- hålls att direktivets bestämmelser om överföring till tredjeland är detalje- rade och komplicerade. En mer komplicerad reglering än vad som är nödvändig borde därför inte införas i lagstiftningen (prop. 1997/98:44 s. 95). Det ansågs ofrånkomligt att i personuppgiftslagen föreskriva för- bud mot att överföra personuppgifter till tredjeland och de konkreta undantag från förbudet som räknas upp i direktivet (prop. 1997/98:44 s. 96).