prop · H503105 · 2018-02-20 00:00:00 — personaladministrativa verksamheten och att ombudet därmed inte skulle kunna omfattas av tystnadsplikt enligt 39 kap. OSL. ningar framförs av bl.a. . Regeringen vill dock understryka att skyddet av personuppgifter utgör en integrerad del av all verksamhet där behandling av personuppgifter Dataskyddsombudets befattning med personuppgifter är därmed direkt kopplad till den personuppgiftsansvariges verksamhet. Regeringen instämmer i utredningens uppfattning att ett dataskydds- ombud måste anses delta i myndighetens verksamhet på det sätt som avses i 2 kap. 1 § OSL. Dataskyddsombudet omfattas därmed av offent- lighets- och sekretesslagens förbud att röja eller utnyttja de sekretess- belagda uppgifter som ombudet får kännedom om. om uppgiften förekommer i ett ärende, i personaladministrativ verksam- het eller i någon annan del av myndighetens verksamhet där sekretess gäller för uppgiften. Som kommun och kommun konstaterar innebär denna bedömning inte någon förändring i förhållande till vad som gäller för ett personuppgiftsombud i offentlig sektor. förändras inte heller synsättet på sådana sammanställningar som skapas enbart för att tillgodose den registrerades rätt till s.k. registerutdrag. Någon sådan förändring är inte heller motiverad med anledning av artikel 38.5 i dataskyddsförordningen, eftersom den bestämmelsen, som nämns ovan, ger medlemsstaterna stor frihet att utforma en lämplig reglering. Mot denna bakgrund anser regeringen att det inte framkommit skäl att ytterligare utreda frågan om tystnadsplikt för dataskyddsombud i det allmännas verksamhet. Personuppgiftsombud i privat sektor Offentlighets- och sekretesslagen är, med vissa undantag, inte tillämplig utanför den offentliga sektorn. För att ska uppfylla dataskydds- förordningens krav måste därför bestämmelser om tystnadsplikt för dataskyddsombud i den privata sektorn införas. I den privata sektorn gäller som huvudregel att den som disponerar över information själv bestämmer om utlämnande av den till andra, med de begränsningar som dataskyddsregleringen ställer upp. Inom flera olika verksamhetsområden i den privata sektorn gäller emellertid tystnadsplikt enligt lag, ofta reglerad som ett förbud mot att röja vissa uppgifter obehörigen. Det gäller bl.a. verksamheter i välfärdssektorn, t.ex. enskilt bedriven förskola (29 kap. 14 § skollagen) och hälso- och sjukvård (6 kap. 12 § patientsäkerhetslagen). Men det finns också tystnadsplikter i privat verksamhet som inte har någon motsvarighet i det allmännas verksamhet, utan skyddar information som lämnas till personer i olika slag av förtroendeställning, exempelvis tystnadsplikt för revisorer (26 § revisorslagen [2001:883]) och skyddsombud (7 kap. 13 § arbetsmiljö- lagen), eller den tystnadsplikt som följer av den så kallade bank- sekretessen (bl.a. 1 kap. 10 § lagen [2004:297] om bank- och finansie- ringsrörelse). I dessa fall har obehörighetsrekvisitet sammanfattningsvis tolkats som att ett utlämnande av uppgifter får ske bl.a. om den som uppgiften rör har lämnat sitt samtycke, om uppgifter lämnas vidare till personer inom den berörda verksamheten som behöver dem för verksamheten eller om upp- gifterna enligt lag eller annan författning ska lämnas ut, exempelvis till en tillsynsmyndighet (se t.ex. prop. 2002/03:139 s. 479). Författningsreglerad tystnadsplikt, oavsett om den följer av offentlighets- och sekretesslagen eller av bestämmelser om tystnadsplikt för den privata sektorn, utgör en inskränkning av yttrandefriheten enligt regeringsformen och är som regel förenad med straffansvar. I 20 kap. 3 § regleras det generella straffansvaret för brott mot tystnads- plikt. Straffansvaret gäller var och en som har skyldighet att hemlighålla en uppgift enligt lag eller annan författning, förutsatt att straffansvaret inte har reglerats särskilt. Konsekvensen av att en tystnadsplikt införs i författning blir alltså, om inget annat stadgas, att det med regleringen följer ett straffansvar. Som framgår ovan finns det en rad tystnadsplikter för personer som, i egenskap av sin ställning och för att kunna utföra sitt uppdrag, måste åtnjuta förtroende, t.ex. revisorer och skyddsombud. Dataskydds- ombudets ställning kan i vissa avseenden likställas med revisorns eller skyddsombudets, och tystnadsplikten för dataskyddsombud bör därför utformas på ett liknande sätt. 2017/18:105 Utredningens förslag innebär att den som utsetts till dataskyddsombud inte obehörigen får röja det som han eller hon vid fullgörandet av sin uppgift har fått veta om enskilds personliga och ekonomiska för- hållanden. Några remissinstanser, bl.a. och , invänder mot den föreslagna formuleringen och påpekar att tystnadsplikten bör omfatta information som avser den person- uppgiftsansvariges eller personuppgiftsbiträdets säkerhetsåtgärder och driftsförhållanden. Med begreppet enskild avses emellertid både fysiska och juridiska personer. Således omfattas t.ex. ett företags drifts- och affärsförhållanden av den föreslagna formuleringen. påpekar kan dock avgränsningen till personliga och ekonomiska förhållanden leda till svåra avvägningar i fråga om vad som omfattas av dataskyddsombudets tystnadsplikt. Någon sådan avgränsning finns inte i motsvarande bestämmelser om tystnadsplikt för advokater eller revisorer. Det framgår inte heller klart av dataskyddsförordningen att det endast är uppgifter om personliga och ekonomiska förhållanden som ska skyddas. Det är vidare, som Forum för dataskydd framhåller, angeläget att personuppgiftsansvariga och personuppgiftsbiträden vågar lämna all den information som dataskyddsombudet behöver för att full- göra sina uppgifter. Med beaktande av att det inom den privata sektorn inte finns något motstående insynsintresse, anser regeringen därför att den av utredningen föreslagna avgränsningen till enskildas personliga och ekonomiska förhållanden bör tas bort. Tystnadsplikten bör i stället gälla för alla slags uppgifter som dataskyddsombudet vid fullgörandet av sin uppgift har fått kännedom om. Svensk Försäkring anser att frågan om vad som är ett behörigt utläm- nande bör belysas ytterligare, inte minst eftersom tystnadsplikten föreslås bli straffbelagd. Vidare anser att det direkt av lagtexten bör framgå i vilka fall det inte är fråga om ett obehörigt röjande. Enligt regeringens mening är det dock inte lämpligt att uttömmande reglera i vilka fall utlämnande får ske. Detta måste bedömas utifrån omständig- heterna i det enskilda fallet. Uppgifter kan dock normalt lämnas ut med samtycke från den uppgiften avser, till tillsynsmyndigheten eller annars som en följd av en skyldighet i lag eller författning. Det finns i svensk rätt, som nämns ovan, flera bestämmelser om tystnadsplikt där obehörighetsrekvisitet används. Den praxis som finns rörande dessa bestämmelser bör i fråga om rekvisitets innebörd kunna tjäna som ledning även vid tolkningen och tillämpningen av den nu före- slagna bestämmelsen. Regeringen anser således att bestämmelsen bör ange att den som fullgör uppgift som dataskyddsombud inte får obehörigen röja det som han eller hon vid fullgörandet av sin uppgift har fått kännedom om. 15.3Sekretess för uppgifter som behandlas i strid med personuppgiftsregleringen Regeringens förslag: Sekretess gäller för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med EU:s dataskyddsförordning, i den ursprungliga lydelsen, eller dataskyddslagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker förslaget eller har inga synpunkter på det. påpekar att bestämmelsen, såsom den är utformad, inte torde omfatta bestämmelser i den till dataskyddslagen anslutande förordningen. Centrala studiestöds- nämnden, som instämmer i utredningens förslag, anser att hänvisningen till förordningen i statisk lydelse kan medföra vissa lagtekniska svårig- heter vid ändringar i förordningen, vilket sammantaget riskerar att göra tillämpningen av bestämmelsen mer oöverskådlig. Arbetsförmedlingen anser att det i bestämmelsen bör införas en hänvisning även till forsk- ningsdatalagen. och anser att regeln bör upphävas och kan därför inte tillstyrka förslaget. Skälen för regeringens förslag: Enligt 21 kap. 7 § OSL gäller sekretess för personuppgifter, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Det får numera anses fastslaget i praxis att bestämmelsen enbart tar sikte på mottagarens behandling av personuppgifter (HFD 2014 ref. 66). Det som ska bedömas enligt bestämmelsen är alltså endast huruvida mottagarens avsedda behandling av de personuppgifter som begärs ut uppfyller kraven enligt personuppgiftslagen. Bestämmelsen i 21 kap. 7 § OSL har utretts under 2000- talet, men inga förslag till ändringar har genomförts. Eftersom person- uppgiftslagen nu ska upphävas och den generella dataskyddsregleringen i stället kommer att finnas i dataskyddsförordningen och den nya data- skyddslagen, måste dock bestämmelsen ändras. Det finns däremot inte skäl att, som och Tjänstemännens central- organisation föreslår, upphäva sekretessbestämmelsen. Utredningen föreslår att hänvisningen till personuppgiftslagen ska ersättas med en hänvisning till dataskyddsförordningen och dataskydds- lagen. Detta kan, som utredningen påpekar, innebära en risk för att den prövning som ska utföras kompliceras något. Förordningens bestäm- melser är betydligt mer omfattande och i vissa avseenden mer detaljerade än personuppgiftslagens. Det bör dock betonas att det som en utlämnande myndighet ska pröva är om det kan antas att en uppgift efter ett utläm- nande kommer att behandlas i strid med förordningen eller dataskydds- lagen. Som framgår av ombudsmäns uttalanden (dnr 1102- 2004) får vidare undersökningar vidtas endast om det finns konkreta omständigheter som indikerar att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot dataskyddsregleringen, t.ex. mass- uttag eller selekterade uttag. Finns det inga sådana indikationer behöver inte någon bedömning enligt dataskyddsregleringen göras. 2017/18:105 antas torde också innebära att någon fullständig bedömning av om behandlingen kommer att strida mot förordningen inte krävs. Som och Arbetsförmedlingen påpekar kommer det i svensk rätt att finnas andra författningar än dataskyddslagen som innehåller bestämmelser om behandling av personuppgifter. Detta skiljer sig dock inte från hur regelverket är utformat , där personuppgifts- lagen kompletteras av en rad andra författningar, bl.a. personuppgifts- förordningen. Bestämmelsen i 21 kap. 7 § OSL hänvisar dock endast till personuppgiftslagen. Utredningen föreslår inte att sekretessbestäm- melsens tillämpningsområde ska utsträckas till att även omfatta t.ex. behandling av utlämnade uppgifter som kan antas strida mot register- författningar. Konsekvenserna av en sådan utvidgning är således inte heller utredda. Regeringen lämnar därför inte något sådant förslag. Sekretess enligt 21 kap. 7 § OSL gäller inte om de utlämnade upp- gifterna ska behandlas av personuppgiftsansvariga som är etablerade utomlands, där personuppgiftslagen inte är tillämplig (HFD 2014 ref. 66). Förslaget medför emellertid att utlämnanden till utländska mot- tagare som omfattas av dataskyddsförordningens tillämpningsområde också kommer att omfattas av sekretessbestämmelsen. Regeringen anser, i likhet med utredningen, att denna materiella utvidgning av bestäm- melsens tillämpningsområde är rimlig och ligger väl i linje med de grundläggande principerna i dataskyddsförordningen. Eftersom det numera är klarlagt att prövningen av 21 kap. 7 § OSL gäller den behandling som kommer att ske efter ett eventuellt utlämnande bör lagtexten justeras på det sätt utredningen föreslår så att det tydligt framgår att det är behandling efter ett utlämnande som avses. Eftersom hänvisningen till dataskyddsförordningen avser förordningen i dess helhet och innebär en inskränkning i den grundlagsstadgade hand- lingsoffentligheten bör hänvisningen vara statisk, dvs. avse den ursprungliga lydelsen av förordningen. Det medför att lagstiftaren aktivt måste bedöma om eventuella ändringar och tillägg till förordningen ska omfattas av 21 kap. 7 § OSL. Mot bakgrund av att förordningen sanno- likt inte kommer att ändras särskilt ofta, delar regeringen inte Centrala farhågor om att den statiska hänvisningen riskerar att göra tillämpningen av bestämmelsen mer oöverskådlig. Sammanfattningsvis anser regeringen att 21 kap. 7 § OSL bör ändras i enlighet med utredningens förslag, så att sekretess gäller för person- uppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen, i den ursprungliga lydelsen, eller dataskyddslagen. Regeringens förslag: Hänvisningen till personuppgiftslagen i den s.k. generalklausulen i offentlighets- och sekretesslagen tas bort. General- klausulen ska enligt den nya lydelsen inte gälla om utlämnandet strider mot lag eller förordning. Utredningens förslag överensstämmer med regeringens. Remissinstanserna tillstyrker förslaget eller har inga synpunkter på Prop. 2017/18:105 det. Skälen för regeringens förslag: Enligt den s.k. generalklausulen i 10 kap. 27 § OSL får en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Bestämmelsen möjliggör informationsutbyte mellan myndigheter av uppgifter som omfattas av sekretess i fall då det saknas uttryckliga sekretessbrytande regler. Utlämnandet ska då prövas enligt den intresseavvägning och med beaktande av det uppenbarhetsrekvisit som framgår av bestämmelsen. Av paragrafens andra stycke framgår att uppgifter som omfattas av viss sekretess, som hälso- och sjukvårdssekretessen och socialtjänstsekre- tessen, inte kan lämnas ut med stöd av generalklausulen. I tredje stycket samma paragraf undantas också utlämnanden som strider mot lag eller förordning eller föreskrift som har meddelats med stöd av personuppgiftslagen från tillämpningsområdet. Första ledet har ansetts innebära att en förutsättning för att generalklausulen ska vara tillämplig är att utlämnandet inte strider mot en sådan specialreglering av uppgiftslämnandet som finns i lag eller förordning. Om det t.ex. i lag har föreskrivits att en viss myndighet för sin verksamhet på angivna villkor kan få ta del av även hemliga uppgifter hos en annan myndighet, kommer det inte i fråga att, när de angivna villkoren inte är uppfyllda, lämna ut uppgifterna med stöd av generalklausulen i stället (prop. 1979/80:2, del A s. 328). Innebörden av tredje styckets andra led är oklar. avsåg den en möjlighet för Datainspektionen att meddela vissa villkor om utlämnande för vissa register i samband med tillståndsgivning. Utredningen konstaterar dock att bestämmelsen inte längre tycks fylla någon praktisk funktion. Det första ledet i generalklausulens tredje stycke innebär enligt sin ordalydelse att ett utlämnande till annan myndighet med stöd av general- klausulen inte får ske om det skulle strida mot lag eller förordning, exempelvis mot personuppgiftslagen. En hänvisning till lag i offentlig- hets- och sekretesslagen innefattar också EU-förordningar. Redan det första ledet torde alltså innebära att ett utlämnande till en annan myndig- het som strider mot dataskyddsförordningen eller dataskyddslagen inte kan ske med stöd av generalklausulen. Någon motsvarighet till andra ledet i tredje stycket behövs inte som en följd av den nya regleringen och bör därför tas bort. Administrativa sanktionsavgifter är en nyhet i dataskyddsförordningen som saknar motsvarighet i dataskyddsdirektivet och personuppgiftslagen. Sanktionsavgifterna införs enligt skäl 148 för att stärka verkställigheten av förordningen. Bestämmelserna om administrativa sanktionsavgifter återfinns i förordningens artikel 83 och förtydligas i skäl 148–150. Bestämmelserna är direkt tillämpliga i förhållande till privaträttsliga organ och ger inget utrymme för medlemsstaterna att specificera bestämmelserna eller att föreskriva några undantag i förhållande till sådana organ. Av artikel 83.1 framgår att det är den nationella tillsynsmyndigheten som ska besluta om sanktionsavgifter vid överträdelser av förordningens bestämmelser. I artikel 83.2 anges vilka faktorer som ska beaktas vid beslut om sank- tionsavgifter och bestämmande av avgiftens storlek. Tillsynsmyndig- heten ska vid beslutet bl.a. beakta överträdelsens karaktär, svårighetsgrad och varaktighet, samt om överträdelsen skett med uppsåt eller genom oaktsamhet. Andra faktorer som tillsynsmyndigheten ska beakta är bl.a. antalet berörda registrerade, vilken skada de har lidit, om den personuppgiftsansvarige har försökt förebygga eller i efterhand komma till rätta med överträdelsen och eventuell ekonomisk vinst som görs, eller ekonomisk förlust som undviks, genom överträdelsen. I artikel 83.3 stadgas att om flera överträdelser sker får avgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. I artikel 83.4 och 83.5 fastställs övre beloppsgränser för de två olika kategorier av överträdelser som kan föranleda sanktionsavgifter enligt förordningen. För de något mindre allvarliga överträdelserna, såsom överträdelser av regler om inbyggt dataskydd, förteckningar och konsekvensbeskrivningar, fastslås ett maxbelopp på eller av den globala årsomsättningen om det gäller ett företag, beroende på vilket belopp som är högst. För allvarligare överträdelser, såsom överträdelser av reglerna om de grundläggande principerna för behandling, registrerades rätt till information, rättelse och radering, överföring av uppgifter till tredjeland och underlåtenhet att rätta sig efter beroende på vilket belopp som är högst. Det stora flertalet bestämmelser i förordningen som innehåller rättigheter för registrerade eller skyldigheter för personuppgiftsansvariga, lagöverträdelser, nämns dock inte i artikel 83.4–6. Sanktionsavgifter kan alltså enligt förordningen inte påföras vid överträdelser av artikel 10. Bestämmelserna om sanktionsavgifter innehåller inte enbart en uppräkning av de överträdelser som i sig kan föranleda att sanktions- avgift påförs. De föreskriver också att sanktionsavgifter kan påföras vid underlåtelse att rätta sig efter tillsynsmyndighetens förelägganden eller Prop. En avgift kan då påföras med det maxbeloppet, dvs. beroende på vilket belopp som (artikel 83.5 e och 83.6). Sanktionsavgiften fyller i dessa fall en vitesliknande funktion. Sanktionsavgifter inom offentlig sektor Regeringens förslag: får ta ut sanktionsavgifter även av statliga och kommunala myndigheter vid överträdelser av bestämmelserna i dataskyddsförordning. överträdelser ska avgiften uppgå till högst och för allvarligare överträdelser till högst . mandet av avgiftens storlek i det enskilda fallet ska dataskydds- förordningens bestämmelser tillämpas. Utredningens förslag överensstämmer delvis med regeringens. ningen föreslår högre maxbelopp. Vidare föreslår utredningen att bestäm- melsens hänvisning till dataskyddsförordningen ska vara dynamisk, se Utredningens förslag har även en delvis annan utformning. Remissinstanserna: En majoritet av remissinstanserna tillstyrker utredningens förslag eller har inga synpunkter på det. Ett antal instanser, , och Myndigheten för vård- och omsorgsanalys, avstyrker förslaget i dess helhet. instanser som instämmer i att sanktionsavgifter ska kunna tas ut av anser att avgiften ska uppgå till lika höga maxbelopp som för enskilda. Andra remissinstanser som instämmer i utredningens bedömning i denna del, t.ex. , , Trafik- verket och Kommuner och Landsting, anser att maxbeloppet tvärtom bör vara lägre än vad utredningen föreslår. remissinstanser, bl.a. , och , att beloppet bör vara beroende av myndighetens storlek eller budgetram. anser att det behöver klargöras om kommunala bolag omfattas av förslaget. Skälen för regeringens förslag: Enligt artikel 83.7 är det upp till varje medlemsstat att fastställa regler om och i vilken utsträckning sank- tionsavgifter ska kunna påföras offentliga myndigheter och organ i den Utredningen föreslår att svenska myndigheter ska kunna påföras sanktionsavgifter vid överträdelser av dataskyddsregleringen, dock med lägre högsta belopp än de som enligt dataskyddsförordningen gäller för privata aktörer. Enligt regeringsformens terminologi, som bör användas även vid tolkningen av dataskyddsförordningen (se avsnitt 8.1), är alla offentliga organ utom och kommun- och myndig- Privaträttsliga organ är varken myndigheter eller offentliga organ, även om de utövar offentlig makt. kommuns och läns landstings synpunkt kan det således att kommunala bolag bör anses som privata organ vid tillämpningen av dataskyddsförordningen och att de därmed inte omfattas av utredningens förslag. Däremot omfattas de av de direkt tillämpliga bestämmelserna om sanktionsavgifter i dataskyddsförord- Flera av de remissinstanser som är kritiska till utredningens förslag om att sanktionsavgifter ska kunna tas ut av myndigheter ifrågasätter sanktionsavgifternas effektivitet, främst i förhållande till statliga myndig- Till exempel menar att betalningen av en hög avgift minskar utrymmet för myndigheten att fullgöra sitt egentliga uppdrag och att sanktionsavgifter därför kan leda till att ytterligare medel måste tillföras, vilket skapar en rundgång i statskassan. och att det i den offentliga sektorn − i motsats till den privata sektorn – redan finns en straffrättslig sanktion i form av tjänstefelsansvar, vilket vid sidan av möjligheten att vidta disciplinära åtgärder utgör ett skydd mot att enskilda tjänstemän i offentlig verksamhet gör sig skyldiga till grövre överträdelser. påpekar de att myndigheten kan bli skadeståndsskyldig gentemot de Dessa invändningar skulle kunna framföras mot alla former av sanktionsavgifter mot myndigheter. Som framgår av utredningens redo- görelse har det dock på flera andra områden ansetts utgöra en effektiv och nödvändig sanktion att kunna rikta viten och sanktionsavgifter mot statliga och kommunala myndigheter. Som exempel kan nämnas vite enligt diskrimineringslagen och upphandlingsskadeavgift enligt lagen (2016:1145) om offentlig upphandling. I detta sammanhang förtjänar det också att nämnas att har föreslagit att sanktions- avgifter ska kunna tas ut av EU-institutionerna och andra unionsorgan vid överträdelser av den förordning som reglerar bl.a. institutionernas egen behandling av personuppgifter, parallellt med disciplinära påföljder för den ansvarige tjänstemannen (COM(2017) 8 final). Vidare måste den enskildes intresse av skydd för sin personliga integritet anses väga lika tungt då uppgifter behandlas i det allmännas verksamhet som då behandlingen sker i den privata sektorn. utföra sina uppgifter måste såväl statliga som kommunala myndigheter behandla mycket stora mängder personuppgifter, ofta av känslig Denna behandling måste givetvis ske i enlighet med data- Vid tillsynsmyndigheternas granskning under senare år har det dock framkommit fall där myndigheter begått förhållandevis allvarliga överträdelser av dataskyddsregleringen. Det kan alltså inte tas för givet att myndigheter alltid följer regleringen om dataskydd. Tjänstefelsansvar eller disciplinansvar på individnivå är enligt regeringens mening inte tillräckligt effektiva sanktioner mot systematiska För att komma till rätta med sådana överträdelser krävs ofta investeringar i förbättrad teknik eller tydliga riktlinjer från myndighetens högsta ledning. Vetskapen om att brister i personuppgifts- behandlingen skulle kunna leda till att höga sanktionsavgifter påförs, kommer enligt regeringens bedömning att leda till att myndighets- ledningen, i normalfallet, tillser att åtgärder vidtas för att regleringen ska Beslut om att faktiskt påföra en myndighet sanktionsavgifter torde därmed mycket sällan behöva komma i fråga. således fylla en viktig preventiv funktion, även när det gäller myndig-