prop · H503105 · 2018-02-20 00:00:00 — vid en domstol i den medlemsstat där den personuppgiftsansvarige eller personuppgifts- biträdet är etablerad. Såvida den ansvarige eller biträdet inte är en myndighet får talan i stället väckas vid en domstol i den medlemsstat där den registrerade har sin hemvist. Bestämmelsen tar över rättegångs- balkens allmänna forumregler (10 kap. 21 § ). Dataskyddsförordningen innehåller inte någon reglering om preskrip- tionstid för skadeståndsanspråk som riktas mot den personuppgifts- ansvarige eller personuppgiftsbiträdet. Någon särskild föreskriven pre- skriptionsfrist finns inte heller för skadeståndsanspråk enligt person- uppgiftslagen. Det är i stället de allmänna reglerna i preskriptionslagen (1981:130) som gäller. Regeringen anser till skillnad från inte att det framkommit skäl att införa särskilda regler om preskription för ersättning enligt dataskyddsförordningen. Enligt ordalydelsen i artikel 82 gäller rätten till ersättning vid skada som uppstått till följd av behandling som strider mot dataskydds- förordningen. Med detta uttryck avses dock enligt skäl 146 även behand- ling som strider mot nationella bestämmelser som närmare specificerar förordningens bestämmelser. Regeringen anser, i likhet med utredningen, att detta bör förtydligas i dataskyddslagen genom en bestämmelse som upplyser om att rätten till ersättning gäller även vid överträdelser av bestämmelser i dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen. Till skillnad från anser regeringen att den av utredningen föreslagna avgränsningen är tillräckligt tydlig, eftersom dataskyddsförordningen reglerar gränserna för vad som får regleras i nationell rätt. Sådana föreskrifter som kompletterar förordningen och som skulle kunna läggas till grund för ersättningsanspråk enligt artikel 82 är enligt regeringens bedömning av det slaget att de fastställer mer specifika krav för behandlingen av personuppgifter, på det sätt som anges i t.ex. artikel 6.2 och 6.3 andra stycket i dataskyddsförordningen. 2017/18:105 Bestämmelsen innebär emellertid, som Justitiekanslern påpekar, en viss utvidgning av rätten till ersättning jämfört med vad som gäller enligt dataskyddsförordningen. Eftersom dataskyddsförordningens tillämp- ningsområde utsträcks genom dataskyddslagen till att gälla även i verksamhet som inte omfattas av unionsrätten, kommer rätten till ersättning också som huvudregel att gälla vid överträdelser av sektors- specifika bestämmelser som kompletterar förordningen inom det utsträckta området. Bestämmelsen utgör även en viss utvidgning av rätten till ersättning jämfört med vad som gäller , eftersom den omfattar överträdelser av bestämmelser i alla sektorsspecifika författ- ningar och inte bara de som särskilt reglerar denna fråga. Detta, vilket är en följd av bestämmelsen i artikel 82 så som den ska tolkas enligt skäl 146, utgör enligt regeringens mening en förstärkning av integritets- skyddet och av den registrerades tillgång till effektiva rättsmedel. 17.1.2Rätt att överklaga en myndighets beslut om personuppgiftsbehandling Regeringens förslag: Om den personuppgiftsansvarige är en myndig- het, får beslut som myndigheten fattar enligt EU:s dataskydds- förordning med anledning av att en registrerad utövar sin rätt till information och tillgång till personuppgifter, rättelse, radering, begränsning, invändning eller dataportabilitet överklagas till allmän Detta gäller inte beslut av regeringen, Högsta Andra beslut som en personuppgiftsansvarig myndighet fattar enligt dataskyddsförordningen får inte överklagas. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår inte att beslut om dataportabilitet ska anges i bestämmelsen om överklagande av myndighetsbeslut. i utredningens förslag till undantag. utredningen inte något uttryckligt överklagandeförbud i fråga om andra beslut som meddelas enligt dataskyddsförordningen. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker utredningens förslag eller har inga synpunkter på det. heten och anser att det bör framgå att även beslut om dataportabilitet får överklagas. artiklarna 14.5 b–d och 22 ska Förvaltningsrätten i saknar överväganden kring, eller en förklaring till, varför de båda högsta domstolsinstansernas beslut har undantagits från rätten att överklaga beslut. Skälen för regeringens förslag: Om den personuppgiftsansvarige är en myndighet får enligt gällande rätt vissa av de beslut som myndigheten egenskap överklagas till allmän förvaltningsdomstol (52 § PUL). Denna rätt gäller endast myndighetens beslut om informa- tion enligt 26 § PUL, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 §. Bestämmelsen har inte sin grund i dataskyddsdirektivet, utan motiveras av allmänna förvaltningsrättsliga principer om att förvaltnings- beslut som direkt berör en enskild person ska kunna överprövas av domstol (prop. 2005/06:173 s. 51–53). När den personuppgiftsansvarige är en myndighet kan vissa beslut som meddelas till följd av en begäran av en registrerad sägas vara ett utflöde av myndighetens myndighetsutövning. Sådana beslut bör därför kunna överklagas av den registrerade. I den mån myndigheten omfattas av förvaltningslagens tillämpningsområde är besluten överklagbara enligt allmänna förvaltningsrättsliga principer. När den nya förvaltningslagen träder i kraft kommer rätten att överklaga sådana beslut att följa direkt av den lagen. Det behövs därmed i och för sig inte någon uttrycklig bestämmelse om rätten att överklaga beslut som fattas enligt dataskydds- förordningen i dataskyddslagen. Beslut enligt dataskyddsförordningen kommer emellertid att fattas av personuppgiftsansvariga myndigheter även i andra fall än till följd av att en registrerad utövar sina rättigheter. Sådana andra beslut, t.ex. om att utnämna ett dataskyddsombud eller att anmäla en personuppgiftsincident, bör inte vara överklagbara. Dataskyddslagen bör därför, i likhet med personuppgiftslagen, förses med en uttrycklig bestämmelse om att endast vissa myndighetsbeslut får överklagas till allmän förvaltningsdomstol. Prövningstillstånd bör krävas vid överklagande till kammarrätten. Enligt 52 § PUL gäller rätten att överklaga inte sådana beslut som har fattats av , regeringen eller ombudsmän. Utred- ningen föreslår att denna begränsning bör gälla även enligt dataskydds- lagen. Eftersom inte utgör en myndighet enligt svensk rätt behöver den dock inte undantas. Utredningen föreslår därutöver att beslut som fattas av de högsta domstolsinstanserna ska undantas. Som Förvalt- ningsrätten i påpekar lämnas ingen motivering till detta i betänkandet. Regeringen kan dock konstatera att är högsta allmänna domstol och är högsta förvaltningsdomstol (11 kap. 1 § RF). Av detta följer att dessa dom- stolars avgöranden inte kan överklagas. Högsta domstolens och Högsta förvaltningsdomstolens egna beslut enligt dataskyddsförordningen bör därför inte kunna överklagas. Detta överensstämmer med vad som gäller enligt bl.a. offentlighets- och sekretesslagen (6 kap. 7 § tredje stycket OSL). Regeringen anser därför att beslut från regeringen, ombudsmän och de högsta domstolarna ska undantas från rätten att överklaga. Rätten att överklaga bör omfatta beslut som en personuppgiftsansvarig myndighet fattar med anledning av att en registrerad utövar sina rättigheter enligt kapitel III i dataskyddsförordningen. De bestämmelser som kan föranleda överklagbara beslut rör enligt utredningens bedöm- ning avgifter m.m. (artikel 12.5), tillgång till personuppgifter m.m. (artikel 15), rättelse (artikel 16), radering (artikel 17), begränsning (artikel 18), underrättelse till tredje man om rättelse, radering eller begränsning (artikel 19) och invändningar (artikel 21). Som Pensions- myndigheten och påpekar skulle dock i vissa fall även bestämmelsen om dataportabilitet i artikel 20 kunna föranleda beslut av en personuppgiftsansvarig myndighet och bör därför av tydlighetsskäl också anges i den föreslagna bestämmelsen om över- klagande. anser därutöver att bestämmelserna om infor- 2017/18:105 mation i artiklarna 14.5 b–d och om automatiserade beslut i artikel 22 bör omfattas av rätten att överklaga. Regeringen kan dock konstatera att rätten till information inte omfattas av överklagandebestämmelsen i 52 § PUL och att det inte finns skäl att nu införa en annan ordning. När det gäller automatiserade beslut innehåller 52 § PUL visserligen en hänvis- ning till 29 § andra stycket PUL, som anger att den registrerade har rätt att på begäran få information om vad som har styrt den automatiserade behandling som lett fram till beslutet. Någon sådan rätt till information föreligger emellertid inte enligt artikel 22 i dataskyddsförordningen. Följaktligen bör någon rätt att överklaga beslut enligt artikel 22 inte införas i dataskyddslagen. Vidare bör det av dataskyddslagen framgå att andra beslut som en personuppgiftsansvarig myndighet fattar enligt dataskyddsförordningen inte får överklagas. Regeringens bedömning: Det behövs inga särskilda författnings- bestämmelser om den registrerades rätt att lämna in klagomål eller om tillsynsmyndighetens skyldigheter att handlägga sådana klagomål inom rimlig tid. Utredningen föreslår till skillnad från regeringen att särskilda bestäm- melser om åtgärder vid dröjsmål ska införas, bl.a. en rätt för den registrerade att föra en dröjsmålstalan i allmän förvaltningsdomstol. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig särskilt över utredningens förslag. och ifrågasätter det praktiska värdet eller behovet av en dröjsmålstalan och anser att frågan bör utredas vidare. Kammarrätten i anser att den föreslagna ordningen framstår som onödigt komplicerad och överdimensionerad. anser att de föreslagna bestämmelserna framstår som komplicerade, tidsödande och kostnadskrävande i förhållande till vad som rimligen går Det bör därför enligt Justitiekanslerns uppfattning övervägas om inte tillgången till ett effektivt rättsmedel kan säkerställas på något anser att reglerna om dröjsmålstalan bör samordnas med motsvarande regler i förslaget till ny förvaltningslag. tycker att det är bra att tillsyns- myndigheten ska tvingas lämna besked inom angiven tidsfrist, men anser att det bör övervägas att även den som klagomålet riktats mot ska kunna begära besked på motsvarande sätt som den registrerade. Skälen för regeringens bedömning: Det finns i gällande svensk rätt inga uttryckliga bestämmelser om rätten att framföra klagomål till Data- Dataskyddsförordningen ger inte anledning till att införa nationell reglering av rätten att ge in klagomål eftersom den registrerades rätt att lämna in ett sådant klagomål regleras direkt i artikel 77 i förord- skyldighet att behandla sådana klagomål i artikel 57.1 f. Denna skyldighet innefattar att, där så är lämpligt, undersöka den sakfråga som klagomålet gäller. bestämmelse anges också att tillsynsmyndigheten inom rimlig tid ska underrätta den enskilde om hur undersökningen fortskrider och om resultatet. Av artikel 78.2 framgår att den registrerade i normalfallet inte ska behöva vänta mer än på detta besked. Det finns mot denna bakgrund inte skäl att också i dataskyddslagen ange tillsyns- myndighetens skyldigheter i förhållande till den registrerade. Enligt artikel 78.2 ska varje registrerad person ha rätt till ett effektivt rättsmedel om tillsynsmyndigheten underlåter att behandla ett klagomål eller att informera den registrerade om hur det fortskrider med klagomålet eller vilket beslut som har fattats med anledning av detta. Ett uppenbart ogrundat klagomål bör kunna besvaras av tillsyns- myndigheten tämligen omgående, i vart fall . I andra fall kan tillsynsmyndigheten ha anledning att utnyttja sina tillsyns- befogenheter enligt artikel 58.1, t.ex. att beordra den personuppgifts- ansvarige att lämna relevant information eller att göra platsbesök. Besked om huruvida sådan tillsyn ska utövas eller inte bör enligt regeringens mening i princip alltid kunna lämnas till den registrerade . I de undantagsfall ett sådant besked inte kan ges bör tillsyns- myndigheten i vart fall kunna lämna besked om hur ärendet fortskrider. informationsplikt gentemot den registrerade är då uppfylld. Artikel 78.2 i dataskyddsförordningen ger inte den registrerade rätt att inom tidsfristen få ett slutligt besked om vilka eventuella åtgärder gentemot den personuppgiftsansvarige som klagomålet i förlängningen leder till. Bestämmelsen i dataskyddsförordningen syftar i stället till att stävja passivitet hos tillsynsmyndigheten och säkerställer att den registrerade hålls underrättad om handläggningen av ärendet. Vid sidan av dataskyddsförordningens direkt tillämpliga bestämmelser om tillsynsmyndighetens skyldigheter att bl.a. handlägga klagomål gäller skyndsamhetskrav och informationsskyldighet enligt förvaltningslagens allmänna bestämmelser. Såsom utredningen påpekar förekommer det ingen utebliven eller långsam handläggning av klagomål hos den svenska tillsynsmyndigheten. För det undantagsfall att den registrerade ändå inte skulle få något besked från tillsynsmyndigheten rörande klagomålet inom rimlig tid, kan den registrerade vända sig till Riks- dagens ombudsmän och göra en anmälan om brister i handläggningen. ombudsmän har också befogenhet att väcka åtal om tjänste- fel. Om den registrerade anser att tillsynsmyndighetens dröjsmål lett till skada kan denne också begära skadestånd enligt skadeståndslagen, antingen genom att väcka talan i allmän domstol eller genom att fram- ställa kravet direkt till myndigheten. Enligt förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten kan en skadelidande få ett sådant skadeståndskrav prövat inom ramen för statens frivilliga skadereglering. Slutligen bör det noteras att även 12 § i den nya förvalt- ningslagen, som ger den enskilde rätt att föra en dröjsmålstalan mot myndigheten vid långsam handläggning, skulle kunna aktualiseras i ett ärende som initierats genom ett klagomål, men då avseende tillsyns- myndighetens slutliga avgörande. Detta förutsätter dock att den regist- rerade anses ha ställning som part i förvaltningslagens mening (se avsnitt 17.5). Sammanfattningsvis anser regeringen att det i svensk rätt redan finns effektiva rättsmedel som är tillgängliga för den registrerade om tillsyns- 2017/18:105 myndigheten inte skulle uppfylla sin informationsskyldighet enligt data- skyddsförordningen. Regeringen anser därför, i likhet med bl.a. Riks- dagens ombudsmän, och , att utred- ningens förslag om åtgärder vid tillsynsmyndighetens dröjsmål inte bör genomföras. 17.3En rättssäker handläggning hos tillsynsmyndigheten 17.3.1Förordningens krav på skyddsåtgärder I artikel 58.4 anges att utövandet av de befogenheter som tillsynsmyndig- heten tilldelas enligt denna artikel ska omfattas av lämpliga skydds- åtgärder, inbegripet effektiva rättsmedel och rättssäkerhet, som fastställs i unionsrätten och i medlemsstaternas nationella rätt i enlighet med stadgan. I artikel 83.8 upprepas kravet på lämpliga skyddsåtgärder avseende tillsynsmyndighetens befogenhet att påföra administrativa sanktionsavgifter. Innebörden av kravet på skyddsåtgärder i tillsyns- myndighetens verksamhet utvecklas i skäl 129 till förordningen. Förordningens krav på att tillsynsmyndighetens befogenheter ska kringgärdas av skyddsåtgärder innefattar en skyldighet för medlems- staterna att dels se till att den personuppgiftsansvarige och person- uppgiftsbiträdet har tillgång till effektiva rättsmedel, dels skapa förut- sättningar för en rättssäker handläggning hos tillsynsmyndigheten. Frågan om effektiva rättsmedel mot tillsynsmyndigheten behandlas i avsnitt 17.5. I detta avsnitt behandlas behovet av åtgärder för att säkerställa en rättssäker handläggning hos tillsynsmyndigheten. ärendehandläggning och verksamhet i övrigt omfattas givetvis av regeringsformens grundsatser om legalitet och objektivitet. Dessutom gäller förvaltningslagens generella bestämmelser om bl.a. effektivitet, partsinsyn, kommunikations- och motiverings- skyldighet – bestämmelser som alla syftar till att stärka rättssäkerheten. Vid utövandet av de flesta av tillsynsmyndighetens befogenheter står det klart att dessa allmänna och särskilda krav på god förvaltning är till- räckliga för att säkerställa de krav på myndighetsutövningen som ställs i dataskyddsförordningen. Det bör dock övervägas om vissa av de mer ingripande befogenheterna föranleder att ytterligare skyddsåtgärder införs. Det bör även övervägas om tillsynsmyndighetens befogenheter att ingripa mot överträdelser av nationella bestämmelser som kompletterar dataskyddsförordningen ska regleras. 17.3.2Tillsynsmyndighetens befogenheter gäller vid tillsyn enligt dataskyddslagen och sektorsspecifika författningar Regeringens förslag: befogenheter enligt EU:s dataskyddsförordning gäller vid myndighetens tillsyn över att bestämmelserna i dataskyddslagen och andra föreskrifter som kompletterar förordningen följs. Detta innebär inte att tillsynsmyndigheten får ta ut sanktionsavgifter vid andra överträdelser än de som avses i EU:s dataskyddsförordning. Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår inte någon uttrycklig bestämmelse om befogenheten att ta ut sanktionsavgifter. Remissinstanserna tillstyrker utredningens förslag eller har inga synpunkter på det. Förvaltningsrätten i föreslår att Data- inspektionen ges uppgiften att vara tillsynsmyndighet genom en bestämmelse i lagen. Skälen för regeringens förslag: Dataskyddsförordningen innehåller direkt tillämpliga bestämmelser om tillsynsmyndighetens befogenheter. Dessa befogenheter är fler, eller i vart fall mer detaljerat reglerade, än de som anges i personuppgiftslagen. utrednings- befogenheter, som regleras i artikel 58.1 i förordningen, motsvarar i stora drag de befogenheter som myndigheten har enligt personuppgiftslagen. De s.k. korrigerande befogenheterna, som framgår av artikel 58.2, är däremot mer omfattande. Som exempel kan nämnas att tillsynsmyndig- heten enligt led g i den angivna artikeln får förelägga om radering av personuppgifter och att den enligt led i får påföra administrativa sanktionsavgifter. Vidare anges i artikel 58.3 vilken möjlighet myndig- heten har att utfärda tillstånd och att ge råd. Varje medlemsstat får enligt artikel 58.6 föreskriva att dess tillsyns- myndighet ska ha ytterligare befogenheter, utöver de som avses i punkterna 1, 2 och 3. Frågan om den svenska myndigheten bör ges sådana ytterligare befogenheter har övervägts av Utredningen om till- synen över den personliga integriteten (Ju 2015:02). Utredningen konsta- terar i sitt betänkande att det inte finns något sådant behov (SOU 2016:65 s. 154–157). Betänkandet bereds inom . Bestämmelsen i artikel 58 om tillsynsmyndighetens befogenheter avser enligt dess ordalydelse endast tillsynen över tillämpningen av förordningens bestämmelser. Enligt regeringens bedömning torde dock dessa befogenheter omfatta tillsynen över tillämpningen av de nationella bestämmelser som kompletterar förordningen, på motsvarande sätt som rätten till ersättning gäller vid överträdelser av sådana nationella bestämmelser, se avsnitt 17.1.1. Detta bör, som utredningen föreslår, framgå uttryckligen av dataskyddslagen. Befogenheterna bör gälla oavsett om de kompletterande nationella bestämmelserna har placerats i dataskyddslagen eller om de återfinns i sektorsspecifika författningar som rör behandling av personuppgifter. Eftersom dataskyddsförord- ningens tillämpningsområde utsträcks genom dataskyddslagen till att gälla även i verksamhet som inte omfattas av unionsrätten, kommer 2017/18:105 förordningens bestämmelser om tillsynsmyndighetens befogenheter som huvudregel att gälla även vid tillsyn i fråga om sektorsspecifika bestämmelser som kompletterar förordningen inom det utsträckta området. befogenhet enligt artikel 58.2 i att ta ut administrativa sanktionsavgifter gäller vid sådana överträdelser som anges i artikel 83. Av den artikeln framgår att tillsynsmyndighetens befogenhet att ta ut sanktionsavgifter vid överträdelser av nationella bestämmelser är begränsad, på så sätt att den endast gäller i fråga om bestämmelser som har antagits på grundval av kapitel IX i dataskydds- förordningen. Med stöd av kapitel IX kan medlemsstaterna anta bestäm- melser om t.ex. behandling av nationella identifikationsnummer (artikel 87) och behandling i anställningsförhållanden (artikel 88). Avsikten med utredningens förslag i denna del är inte att utvidga möjligheterna att besluta om administrativa sanktionsavgifter jämfört med vad som gäller enligt dataskyddsförordningen (jfr SOU 2017:39 s. 377). En sådan utvidgning bör inte heller ske på generell nivå, genom en bestämmelse i dataskyddslagen. Regeringen anser att det av tydlighetsskäl uttryckligen bör framgå av dataskyddslagen att tillsynsmyndigheten inte får ta ut sanktionsavgifter vid andra överträdelser än de som avses i artikel 83 i dataskyddsförordningen. För att tillsynsmyndigheten ska kunna ta ut sanktionsavgifter i andra fall, krävs alltså en särskild reglering om detta, jfr avsnitt 16.2 och 16.3.3. Regeringen anser till skillnad från Förvaltningsrätten i att utpekandet av den myndighet som ska vara tillsynsmyndighet bör, liksom , ske i en förordning och inte i dataskyddslagen, se avsnitt 14.1.2. Regeringens bedömning: Bestämmelser om kommunikation inför och delgivning av beslut behövs inte i dataskyddslagen. Utredningen föreslår till skillnad från regeringen särskilda bestäm- melser om kommunikation inför och delgivning av beslut. Remissinstanserna: Endast ett fåtal remissinstanser framför syn- punkter på utredningens förslag i denna del. Hovrätten för och Kammarrätten i ifrågasätter behovet av särskilda bestäm- melser om kommunikation. Skälen för regeringens bedömning I 46 § PUL finns bestämmelser som utgör ytterligare processuella skyddsåtgärder för den personuppgiftsansvarige när tillsynsmyndigheten utövar sin befogenhet att besluta om vitesföreläggande. Bland annat anges att den personuppgiftsansvarige, enligt huvudregeln, ska ha fått tillfälle att yttra sig innan tillsynsmyndigheten beslutar om vite. Utredningen föreslår att det i dataskyddslagen ska införas en liknande bestämmelse om kommunikation inför beslut som tillsynsmyndigheten avser att fatta med stöd av sina korrigerande tillsynsbefogenheter enligt Prop. 2017/18:105 artikel 58.2 i dataskyddsförordningen. Av 25 § i den nya förvaltnings- lagen framgår dock att innan en myndighet fattar ett beslut i ett ärende ska den, om det inte är uppenbart obehövligt, underrätta den som är part om allt material av betydelse för beslutet och ge parten tillfälle att inom en bestämd tid yttra sig över materialet. Denna bestämmelse fyller samma funktion som utredningens förslag. I 25 § första stycket 2 och 3 i den nya förvaltningslagen finns visser- ligen undantag från kommunikationsplikten som saknar en direkt motsvarighet i utredningens förslag. Undantaget i punkten 2 – som gäller då det kan befaras att det annars skulle bli avsevärt svårare att genomföra beslutet – kommer dock knappast i fråga vid tillämpning av 58.2 i dataskyddsförordningen. När det gäller undantaget i punkten 3 – som gäller då ett väsentligt allmänt eller enskilt intresse kräver att beslutet meddelas – aktualiseras endast vid tillfälliga beslut enligt artikel 58.2 f i förordningen. Sådana beslut skulle även enligt utred- ningens förslag kunna meddelas utan föregående kommunikation. Detta innebär, som Hovrätten för och Kammarrätten i påpekar, att den föreslagna bestämmelsen om kommunikation inte behövs. Regeringen lämnar därför inget sådant förslag. Enligt 46 § andra stycket PUL ska vitesförelägganden delges.