prop · H503105 · 2018-02-20 00:00:00 — Utred- ningen anser att den omständigheten att underlåtenhet att följa ett före- läggande enligt dataskyddsförordningen kan leda till sanktionsavgifter motiverar ett motsvarande krav på delgivning för alla typer av förelägganden som riktas mot en personuppgiftsansvarig eller ett personuppgiftsbiträde som tillsynsmyndigheten kan besluta enligt artikel 58.2 i förordningen. Regeringen anser emellertid att detta inte utgör skäl för att frångå den generella principen om att en myndighet själv avgör på vilket sätt parterna ska underrättas om ett beslut (jfr 33 § tredje stycket i den nya förvaltningslagen). Det förtjänar dock att påpekas att formell delgivning kan behövas i vissa fall för att tillsynsmyndigheten i ett senare skede ska kunna visa att mottagaren tagit del av beslutet. Det kan t.ex. bli svårt att genom sanktionsavgift beivra en underlåtenhet att följa ett föreläggande, om föreläggandet inte har delgetts enligt delgivningslagen. Som framgår av avsnitt 16.4 anser regeringen att beslut om sanktionsavgifter alltid bör delges. 17.3.4Platsundersökning ska inte kunna ske med tvång Regeringens bedömning: Det bör inte införas några bestämmelser om tillsynsmyndighetens tillträde till personuppgiftsansvarigas eller personuppgiftsbiträdens lokaler. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser instämmer i utredningens bedömning eller kommenterar den inte. delar dock inte utredningens uppfattning och menar att data- 2017/18:105 skyddsförordningen kräver att bestämmelser införs som ger tillsyns- myndigheten möjlighet att tillgripa tvångsmedel. Centrala studiestöds- nämnden anser att det bör klargöras om det föreligger en rätt för tillsyns- myndigheten att genomföra platsundersökningar med tvång även om det inte införs några särskilda nationella regler om detta. Skälen för regeringens bedömning: Enligt dataskyddsförordningen ska tillsynsmyndigheten från den personuppgiftsansvarige och person- uppgiftsbiträdet få tillgång till alla personuppgifter och all information som myndigheten behöver för att kunna fullgöra sina uppgifter (artikel 58.2 e). ska också få tillträde till alla lokaler som tillhör den personuppgiftsansvarige och personuppgiftsbiträdet, inbegripet tillgång till all utrustning och alla andra medel för behandling av personuppgifter (artikel 58.2 f). I skäl 129 till förordningen anges att undersökningsbefogenheten när det gäller tillträde till lokaler bör utövas i enlighet med särskilda krav i medlemsstaternas nationella processrätt, såsom kravet på att inhämta förhandstillstånd från rättsliga myndigheter. Enligt 43 § c PUL har tillsynsmyndigheten rätt att få tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. har dock inte möjlighet att tillgripa tvångsåtgärder. Befogenheten att få tillträde till lokalerna kan därmed sägas vara begrän- sad av den personuppgiftsansvariges eller biträdets samarbetsvilja, precis som tillgången till information. Vid genomförandet av dataskydds- direktivet ansågs det olämpligt med regler som innebär att myndigheten skulle få genomdriva sina rättigheter med t.ex. polishjälp, eftersom det skulle kunna leda till ett större intrång i den personliga integriteten än det intrång som myndighetens tillsynsverksamhet syftar till att förebygga. Risken för att tillsynsmyndigheten skulle förbjuda fortsatt behandling av personuppgifter ansågs medföra att de personuppgiftsansvariga blir tillräckligt benägna att ge myndigheten det underlag den behöver (prop. 1997/98:44 s. 101–102). Dataskyddsförordningen ger, i likhet med personuppgiftslagen, tillsynsmyndigheten en rätt att få tillträde till en personuppgiftsansvarigs eller ett personuppgiftsbiträdes lokaler. efterfrågar ett klargörande om det föreligger en rätt att genomföra plats- undersökningar med tvång även om det inte införs några särskilda nationella regler om detta. Regeringens bedömning är att så inte är fallet. Det kan dock konstateras att en undersökning av lokalerna i de allra flesta fall bör kunna ske med innehavarens medgivande. I vart fall torde risken för att tillsynsmyndigheten annars beslutar om tillfälligt förbud mot behandlingen, med stöd av artikel 58.2 f i dataskyddsförordningen, medföra att innehavaren ger tillsynsmyndigheten det tillträde den har rätt till enligt artikel 58.1 f. Detta gäller i synnerhet då en underlåtelse att rätta sig efter ett föreläggande eller att ge tillsynsmyndigheten tillgång till uppgifter kan medföra att administrativa sanktionsavgifter tas ut enligt artikel 83.5 e. Av utredningen framgår att tvångsåtgärder aldrig behövts och det finns inget skäl att anta att sådana kommer att behövas när dataskyddsförordningen börjar tillämpas. I likhet med utredningen anser regeringen därför att det inte behövs några bestämmelser som ger tillsynsmyndigheten möjlighet att tillgripa tvångsåtgärder för att genomföra en platsundersökning. Kammarrätten i kan regeringen inte se att dataskyddsförord- Prop. 2017/18:105 ningen skulle kräva att sådana tvångsåtgärder införs. 17.3.5Ansökan till domstol om tillsynsåtgärd Regeringens bedömning: Det saknas skäl att ge tillsynsmyndigheten möjlighet att ansöka hos förvaltningsrätten om att en tillsynsåtgärd ska vidtas, i stället för att själv besluta om åtgärden. Utredningens förslag överensstämmer inte med regeringens bedömning. Utredningen föreslår att tillsynsmyndigheten ska få ansöka hos allmän förvaltningsdomstol om att en åtgärd enligt artikel 58.2 i dataskyddsförordningen ska vidtas, om tillsynsmyndigheten vid hand- läggningen av ett ärende finner att det finns skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämpningen av dataskyddsförord- ningen i ärendet. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker utredningens förslag eller har inga synpunkter på det. Kammarrätten i anser att bestämmelsen utgör en helt ny företeelse i svensk rätt och att det behöver utvecklas hur förfarandet är tänkt att fungera. Riks- dagens ombudsmän ifrågasätter behovet av ett särskilt förfarande och anser att utredningen föreslår ett nytt och för nationellt vidkommande främmande processuellt institut, vars konsekvenser inte har analyserats och belysts i tillräcklig utsträckning. framför liknande invändningar. Kammarrätten i noterar att den föreslagna bestämmelsen förefaller ha ett snävare tillämpningsområde än vad artikel 58.5 i dataskyddsförordningen ger uttryck för. Skälen för regeringens bedömning: ska enligt artikel 58.5 i dataskyddsförordningen ha befogenhet att bl.a. inleda eller på övrigt vis delta i rättsliga förfaranden, för att verkställa bestäm- melserna i förordningen. En motsvarande bestämmelse finns i artikel 28.3 tredje strecksatsen i dataskyddsdirektivet, men berördes inte vid genomförandet av direktivet i svensk rätt. har, i det mål som gällde giltigheten av kommissionens beslut att de så kallade Safe Harbor-principerna säkerställde ett adekvat skydd för personuppgifter som överförs till , klargjort att bestäm- melsen i dataskyddsdirektivet kan innebära ett krav på kompletterande processuella bestämmelser i nationell rätt (dom Schrems, C-362/14, EU:C:2015:650). I domen konstateras att är exklusivt behörig att förklara en EU-rättsakt, såsom ett kommissionsbeslut om adekvat skyddsnivå i ett tredjeland, ogiltigt. Nationella domstolar har således inte någon sådan befogenhet, och än mindre de nationella tillsynsmyndigheterna när de utreder om ett kommissionsbeslut är förenligt med skyddet för privatlivet och enskilda personers grund- läggande fri- och rättigheter. konstaterar mot den bak- grunden att om en nationell tillsynsmyndighet anser att det finns fog för en invändning mot behandling av personuppgifter, som har skett med stöd av ett kommissionsbeslut, måste tillsynsmyndigheten ha möjlighet att inleda ett rättsligt förfarande. Enligt ankommer det på 2017/18:105 den nationella lagstiftaren att föreskriva rättsmedel som gör det möjligt för tillsynsmyndigheten att vid nationella domstolar göra gällande sådana invändningar. På så sätt kan den nationella domstolen, om den delar myndighetens tvivel angående en unionsrättsakts giltighet, hänskjuta en begäran om förhandsavgörande till för att pröva rätts- aktens giltighet. I svensk rätt finns det ingen möjlighet för tillsynsmyndigheter att initiera en domstolsprövning i syfte att skapa förutsättningar för ett klargörande från . Utredningen föreslår mot den bak- grunden att tillsynsmyndigheten ska få ansöka hos allmän förvaltnings- domstol om att en åtgärd enligt artikel 58.2 i dataskyddsförordningen ska vidtas, om den vid handläggningen av ett ärende finner att det finns skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämp- ningen av dataskyddsförordningen i ärendet. Vissa remissinstanser, bl.a. ombudsmän, ifrågasätter om det finns behov av att införa en sådan möjlighet. Lagrådsremissen innehåller förslag till en bestämmelse som i sak överensstämmer med utredningens förslag. Lagrådet påpekar att artikel 58.5 i dataskyddsförordningen har en annan lydelse än artikel 28.3 i dataskyddsdirektivet. I dataskyddsdirektivet anges att tillsynsmyndig- heten ska ha befogenhet att inleda rättsliga förfaranden. I förordningen anges i stället att tillsynsmyndigheten ska ha befogenhet att vid behov inleda ”eller på övrigt vis delta i” rättsliga förfaranden, något som enligt Lagrådet svarar mot utövandet av en motpartsfunktion. Mot den bakgrunden konstaterar att det inte framstår som klart att dataskyddsförordningen och i övrigt ställer krav på att en domstolsprövning kan komma till stånd genom tillsynsmyndighetens försorg. Lagrådet avstyrker därför den aktuella bestämmelsen. Med beaktande av dessa synpunkter anser regeringen att det inte finns tillräckliga skäl att införa en sådan bestämmelse i svensk rätt. Regeringen lämnar därför inget sådant förslag i denna proposition. 17.4.1Tilldelning av befogenheter enligt svensk rätt Regeringens bedömning: Den svenska tillsynsmyndigheten får, i enlighet med gällande svensk rätt, förordna företrädare för en utländsk myndighet att agera för tillsynsmyndighetens räkning. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna instämmer i utredningens bedömning eller yttrar sig inte särskilt om denna. Skälen för regeringens bedömning: Vid gränsöverskridande person- uppgiftsbehandling kommer det att finnas flera behöriga tillsynsmyndig- Förordningen reglerar hur samarbetet mellan myndigheterna ska gå till i sådana situationer. Vid behov ska tillsynsmyndigheterna enligt Enligt första meningen i artikel 62.3 får en utredningsbefogenheter, till ledamöter eller personal från en medlemsstats tillsynsmyndighet som deltar i sådana gemensamma Prop. 2017/18:105 insatser. Bestämmelsen innebär att företrädare för en utländsk tillsyns- myndighet kan ges befogenhet att utöva offentlig makt i , i enlig- het med den lagstiftning som gäller för den svenska tillsynsmyndigheten. Detta är enligt regeringens mening inte detsamma som att en förvalt- ningsuppgift överlåts till en utländsk tillsynsmyndighet. Av bestäm- melsen framgår tvärtom tydligt att avsikten är att det är fysiska personer, ledamöter eller personal, som ska kunna tilldelas sådana befogenheter. Den svenska tillsynsmyndigheten kan således förordna företrädare för den andra myndigheten att utföra vissa uppgifter eller att inom ramen för vissa angivna befogenheter annars agera för tillsynsmyndighetens räkning. Enligt gällande svensk rätt är tillsynsmyndigheten fri att besluta om sådana förordnanden, även om det för anställning hade krävts svenskt medborgarskap. Några författningsåtgärder behövs därmed inte för att uppfylla denna del av bestämmelsen. Enligt den sista meningen i artikel 62.3 ska den som tilldelas befogen- heter omfattas av den medlemsstats nationella rätt som gäller för värd- landets tillsynsmyndighet. Det innebär bl.a. att företrädaren för en utländsk tillsynsmyndighet omfattas av offentlighets- och sekretesslagens bestämmelser om tystnadsplikt och att denne kan ställas till ansvar för eventuella tjänstefel. Medgivande att utöva befogenheter enligt Regeringens bedömning: Det bör inte införas något bemyndigande som gör det möjligt för tillsynsmyndigheten att medge företrädare för en utländsk tillsynsmyndighet att inom svenskt terri- torium agera enligt den medlemsstatens lagstiftning. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna instämmer i utredningens bedömning eller yttrar sig inte särskilt om denna. påpekar att det förekommer många journalistiska samarbeten över lands- gränser och att det är av yttersta vikt att svenska journalister kan förlita sig på det svenska grundlagsskyddet och lagar som gäller för journa- listisk verksamhet i övrigt i svensk rätt. Att ge utländska tillsyns- myndigheter rätt att agera enligt utländsk lagstiftning på svenskt terri- torium skulle enligt och kunna innebära en ökad rättsosäkerhet. Skälen för regeringens bedömning: Vid gemensamma tillsyns- insatser får tillsynsmyndigheten, enligt första meningen i artikel 62.3 i dataskyddsförordningen, medge företrädare för den deltagande myndig- heten att utöva de utredningsbefogenheter som tilldelats dem enligt lagstiftningen i deras egen medlemsstat. I praktiken skulle ett sådant medgivande innebära att en utländsk tillsynsmyndighet får behörighet att agera på svenskt territorium i enlighet med utländsk lagstiftning. Medgivandet skulle därför enligt regeringens bedömning utgöra en överlåtelse av förvaltningsuppgift i regeringsformens mening. melsen anges dock att medgivande får lämnas bara om lagstiftningen i 2017/18:105 värdlandet tillåter det. Tillsynsmyndigheterna har således inte direkt genom dataskyddsförordningen bemyndigats att medge andra medlems- staters myndigheter rätt att utöva sina egna befogenheter inom värdlandets gränser. Det är i stället den nationella rätten i värdlandet som avgör om myndigheten överhuvudtaget kan vidta en sådan åtgärd. En möjlighet för tillsynsmyndigheten att tillåta utländska myndig- hetsföreträdare att inom svenskt territorium utöva befogenheter enligt utländsk lagstiftning, bör enligt regeringens mening införas endast om det finns ett tydligt och uttalat behov som inte kan uppfyllas på något annat sätt. Något sådant behov har inte framkommit. Det bör därför, som utredningen konstaterar, vara tillräckligt att den utländska myndigheten får delta i insatserna i enlighet med dataskyddsförordningens direkt tillämpliga bestämmelser. Det kan noteras att lagstiftaren har gjort liknande bedömningar i andra ärenden rörande gränsöverskridande tillsyn (se t.ex. prop. 2012/13:4 s. 47 och prop. 2015/16:9 s. 191–192). Överklagande av tillsynsmyndighetens beslut och av vissa beslut enligt dataskyddslagen Regeringens förslag: Beslut i enskilda fall om behandling av personuppgifter som rör lagöverträdelser får överklagas till allmän Detsamma gäller förvaltningsbeslut om behand- ling av personuppgifter för arkivändamål av allmänt intresse. beslut enligt EU:s dataskyddsförordning och dess beslut om sanktionsavgifter enligt dataskyddslagen får överklagas till allmän förvaltningsdomstol. När ett beslut överklagas, är tillsynsmyndigheten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten. Andra beslut enligt dataskyddslagen får inte överklagas. Utredningens förslag överensstämmer i huvudsak med regeringens. utredningens förslag anges inte uttryckligen att tillsynsmyndigheten har ställning som motpart i domstolen. Remissinstanserna tillstyrker utredningens förslag eller har inga synpunkter på det. Skälen för regeringens förslag Överklagande av vissa beslut enligt dataskyddslagen I avsnitt 11 föreslås att den myndighet som regeringen bestämmer ska ges befogenhet att i enskilda fall fatta beslut om att andra än myndigheter får behandla personuppgifter som rör lagöverträdelser. beslut som myndigheten meddelar med stöd av den föreslagna bestäm- melsen bör kunna överklagas till allmän förvaltningsdomstol. tillstånd bör krävas vid överklagande till kammarrätten. Vidare föreslås i avsnitt 14.1.2 att den myndighet som regeringen bestämmer ska ges befogenhet att i enskilda fall få fastställa rättslig grund för behandling av personuppgifter för arkivändamål av allmänt På motsvarande sätt föreslås att den myndighet som regeringen bestämmer ska få fatta beslut som tillåter behandling av känsliga Prop. 2017/18:105 personuppgifter för sådana ändamål. Även sådana förvaltningsbeslut bör kunna överklagas till allmän förvaltningsdomstol. Prövningstillstånd bör krävas vid överklagande till kammarrätten. Överklagande av tillsynsmyndighetens beslut Enligt artikel 78.1 i dataskyddsförordningen ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet. I skäl 143 anges att denna rätt även avser beslut om att avvisa eller avslå ett klagomål, men däremot inte sådana åtgärder som inte är rättsligt bindande, såsom tillsynsmyndighetens yttranden eller rådgivning. Rätten till rättsmedel ska inte påverka något annat administrativt prövnings- förfarande eller prövningsförfarande utanför domstol. Talan mot en tillsynsmyndighet ska enligt artikel 78.3 väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte. Rätten till ett effektivt rättsmedel mot myndighetsbeslut tillgodoses i svensk rätt normalt genom möjligheten att överklaga beslutet till allmän förvaltningsdomstol, dvs. till en förvaltningsrätt som första instans. När det gäller beslut som fattas enligt en EU-förordning följer rätten att överklaga av allmänna förvaltningsrättsliga principer. När den nya förvaltningslagen träder i kraft kommer rätten att överklaga att framgå av den lagen. Någon särskild överklagandebestämmelse behövs därmed i och för sig inte i dataskyddslagen när det gäller de beslut som tillsyns- myndigheten fattar enligt dataskyddsförordningen. Däremot behövs det, som regeringen anger i avsnitt 17.1.2, särskilda bestämmelser om rätten att överklaga vissa beslut som personuppgiftsansvariga myndigheter fattar enligt dataskyddsförordningen. Dessutom bör det i lagen föras in en bestämmelse om rätten att överklaga de beslut som tillsynsmyndig- heten får meddela enligt dataskyddslagen, dvs. om att ta ut sanktions- avgifter av myndigheter eller vid överträdelser av artikel 10 samt, som framgår av föregående avsnitt, om överklagande av vissa andra beslut enligt lagen (jfr prop. 2017/18:180 s. 254). Mot bakgrund av den förhållandevis komplexa reglering om överklagande som behövs, och med hänsyn till det stora antalet beslutsfattande myndigheter och klago- berättigade parter, anser regeringen att regleringen om överklagande bör vara uttömmande i dataskyddslagen. Således bör även rätten att överklaga tillsynsmyndighetens beslut enligt dataskyddsförordningen uttryckligen anges i dataskyddslagen. Sammanfattningsvis bör tillsynsmyndighetens beslut enligt data- skyddsförordningen få överklagas till allmän förvaltningsdomstol. Detsamma gäller tillsynsmyndighetens beslut enligt dataskyddslagen om sanktionsavgifter avseende myndigheter eller vid överträdelser av artikel 10. Andra beslut enligt dataskyddslagen än de i detta och före- gående avsnitt nämnda, dvs. om sanktionsavgifter och om behandling av personuppgifter som rör lagöverträdelser eller om behandling av person- uppgifter för arkivändamål av allmänt intresse, bör inte kunna överklagas. Detta bör tydliggöras genom ett uttryckligt överklagande- förbud i lagen. Enligt 42 § nya förvaltningslagen får ett beslut överklagas av den som beslutet angår, om det har gått honom eller henne emot. enligt 41 § nya förvaltningslagen överklagas om beslutet kan antas påverka någons situation på ett inte obetydligt sätt. I 40 § samma lag anges att beslut överklagas till allmän förvaltningsdomstol och att prövningstillstånd krävs vid överklagande till kammarrätten. Talerätt tillkommer alltså den som beslutet angår, om beslutet har gått Den ordningen överensstämmer enligt regeringens bedöm- ning med kravet på rättsmedel enligt artikel 78.1 i dataskyddsförord- ningen och bör således gälla även för beslut som tillsynsmyndigheten fattar enligt förordningen och dataskyddslagen. I praktiken innebär detta i normalfallet att det är den som beslutet riktas mot, oftast en person- uppgiftsansvarig, ett personuppgiftsbiträde eller ett certifieringsorgan, som har rätt att överklaga. Det kan dock inte uteslutas att ett beslut skulle kunna ha rättsligt bindande följder även för andra än den som beslutet Dessa skulle i så fall också ha rätt att överklaga beslutet, enligt förvaltningslagens generella bestämmelse om talerätt. Enligt svensk rättspraxis rörande personuppgiftslagen är Datainspek- tionens beslut att inte vidta någon åtgärd med anledning av en anmälan överklagbart (se RÅ 2010 ref. 29). I skäl 143 till dataskyddsförordningen anges dock att tillsyns- myndighetens beslut att avvisa eller avslå ett klagomål ska kunna angripas med ett effektivt rättsmedel. Den som berörs av ett sådant beslut är den enskilde som har lämnat in klagomålet. Vidare anges i artikel 77.2 att tillsynsmyndigheten ska underrätta den enskilde om hur arbetet fortskrider och vad resultatet blir, inbegripet möjligheten till rättslig prövning enligt artikel 78. har angett att motsvarande bestämmelse i dataskyddsdirektivet (artikel 28.3) innebär att den person som har kommit in med en begäran till tillsynsmyndigheten ska ha tillgång till rättsmedel med vilka han eller hon vid nationella domstolar kan angripa det beslut som gått vederbörande emot (se t.ex. dom Schrems, C-362/14, EU:C:2015:650, punkt 64). talar för att dataskyddsförordningen förutsätter att den enskilde ska ha en generell rätt att överklaga tillsynsmyndighetens beslut att t.ex. inte vidta någon åtgärd med anledning av ett klagomål. Det finns emellertid också omständigheter som talar emot en sådan Enligt artikel 78.1 är det den som beslutet rör som ska ha rätt till ett effektivt rättsmedel. Dessutom ska beslutet vara rättsligt bindande Ett beslut om att inte vidta några åtgärder med anledning av ett klagomål medför normalt inte några rättsligt bindande följder för den som har lämnat in klagomålet, även om det inte kan uteslutas att det skulle kunna förekomma, vilket i så fall skulle medföra överklagbarhet och ge talerätt enligt förvaltningslagen. en ovillkorlig rätt till domstolsprövning av ett sådant beslut kunna underminera tillsynsmyndighetens oberoende ställning, såsom denna kommer till uttryck i artikel 8.3 i EU:s stadga om de grundläggande Enligt artikel 57.1 f i dataskyddsförordningen ska tillsynsmyndigheten behandla klagomål och där så är lämpligt undersöka den sakfråga som har därmed inte någon skyldig- Tvärtom har tillsynsmyndigheten enligt dataskydds- Prop. 2017/18:105 förordningen, precis som enligt svensk tillsynstradition, ett tydligt utrymme att själv avgöra vilka tillsynsärenden som ska drivas och på vilket sätt det ska ske. Det framgår inte heller uttryckligen av förord- ningen att tillsynsmyndigheten måste fatta ett formellt beslut i varje klagomåls- eller tillsynsärende. Sammanfattningsvis anser regeringen, i likhet med utredningen, att det är oklart om dataskyddsförordningen medför att den registrerade har rätt att överklaga tillsynsmyndighetens beslut att inte vidta någon åtgärd med anledning av ett klagomål. Oavsett hur förordningen ska tolkas i detta avseende, krävs det emellertid inte några författningsåtgärder i svensk rätt. Det bör i stället överlämnas till domstolarna att, genom en tolkning av förvaltningslagens generella bestämmelser om överklagande, ta ställning i frågan om svensk rättspraxis alltjämt är relevant eller om dataskyddsförordningen har förändrat rättsläget.