prop · H503232 · 2018-04-19 00:00:00 — En sådan regle- ring är dock frivillig och därför inte nödvändig för att genomföra direkti- vet. Något motsvarande undantag kommer inte att gälla på dataskydds- förordningens område. Regeringen anser därför att det inte bör införas något undantag avseende andra rättsliga myndigheter än domstolar. 11.4Tillsynsmyndighet enligt direktivet och den fortsatta tillsynen över personuppgiftsbehandling Regeringens bedömning: Datainspektionen bör utses till svensk nationell tillsynsmyndighet enligt dataskyddsdirektivet och bör delta i dataskyddsstyrelsens arbete. Chefen för bör anställas genom beslut av rege- ringen för en period om , med möjlighet till förlängning. I övrigt uppfyller svensk rätt dataskyddsdirektivets krav om tillsyns- myndighetens oberoende, organisation och utnämning respektive av- sättande av tillsynsmyndighetens chef. Det bör inte längre anges i Datainspektionens instruktion att myn- dighetens verksamhet särskilt ska inriktas på att informera om gäl- lande regler samt ge råd och hjälp åt personuppgiftsombud. Tillsynen över personuppgiftsbehandling inom dataskyddsdirektivets område bör även fortsättningsvis utföras både av Datainspektionen och . Utredningens bedömning i betänkandet Ett samlat ansvar för till- syn över den personliga integriteten (SOU 2016:65) överensstämmer delvis med regeringens bedömning. Utredningen föreslår att tillsynen över personuppgiftsbehandling ska utövas av Datain- spektionen. Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65): Ingen remissinstans motsätter sig förslaget att peka ut Datain- spektionen som nationell tillsynsmyndighet. Endast ett fåtal remissinstanser yttrar sig särskilt över utredningens för- slag om anställningsskydd, mandatperiod och möjlighet till förlängning för tillsynsmyndighetens chef och utredningens bedömning att svensk rätt i allt väsentligt motsvarar direktivets krav på tillsynsmyndighetens organisation och utnämningen respektive avsättandet av tillsynsmyndig- hetens chef. Datainspektionen tillstyrker att tillsynsmyndighetens chef anställs av regeringen för en period om men anför att anställningen lämpligen endast bör kunna förlängas två gånger och att myndighetens chef inte bör kunna förflyttas till annan statlig tjänst under pågående anställning. avstyrker förslaget om att till- synsmyndighetens chef bör förordnas för en initial period i stället för de gängse sex åren. ifrågasätter om inte anställningen som tillsynsmyndighetens chef bör tillsättas med full- makt. Övriga remissinstanser som yttrar sig i dessa frågor har inte någon erinran mot utredningens förslag. Datainspektionen och tillstyrker utredningens förslag om att myndighetens instruktion inte längre ska ange att myndig- hetens verksamhet särskilt ska inriktas på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud. IT&Telekomföre- tagen menar dock att en sådan ändring vore olycklig med hänsyn till det stora behovet av information och vägledning till personuppgiftsombud. Övriga remissinstanser yttrar sig inte särskilt i denna fråga. Ett fåtal remissinstanser, däribland och Datainspek- tionen, yttrar sig särskilt över utredningens förslag om att begränsa Säkerhets- och integritetsskyddsnämndens tillsynsansvar. De är i huvud- sak positiva till utredningens förslag. Säkerhets- och integritetsskydds- nämnden anför dock att förslaget inte kan förväntas innebära en förstärk- ning av den enskildes personliga integritet. Brottsdatalag (SOU 2017:29): Förvaltningsrätten i anser att tillsynsmyndigheten bör anges i ramlagen. Skälen för regeringens bedömning: I likhet med utredningen anser regeringen att Datainspektionen bör utses till svensk nationell tillsyns- myndighet enligt dataskyddsdirektivet (se artikel 41.1), och delta i data- skyddsstyrelsens arbete. Detta bör, till skillnad från vad Förvaltningsrät- ten i anför, ske på förordningsnivå. Såsom utredningen anför finns det dock inget hinder mot att viss tillsyn även i fortsättningen utförs av andra myndigheter (SOU 2016:65 s. 146 f.). I dataskyddsdirektivet finns krav på författningsreglering av vissa för- hållanden som gäller utnämningen och avsättandet av tillsynsmyndighe- tens chef (se artikel 44.1 d). Den svenska ordningen innebär att motsva- rande förhållanden inte är författningsreglerade i alla delar varför en Detta bör ske på förordningsnivå. Datainspektionen och bedömer regeringen att utred- ningens förslag om en anställningstid för myndighetschefen om minst , med obegränsade möjligheter till förlängning, är väl avvägd. Förslaget följer regleringen i såväl dataskyddsförordningen som data- Vidare instämmer regeringen i utredningens bedöm- ning att svensk rätt innehåller bestämmelser som ger ett starkt anställ- ningsskydd och som innebär ett förbud mot godtyckliga avskedanden, inte minst när det gäller chefer för förvaltningsmyndigheter. en förvaltningsmyndighet under regeringen som har en tidsbegränsad anställning får visserligen förflyttas enligt 33 § lagen (1994:260) om offentlig anställning () till en annan motsvarande statlig anställning. För detta förutsätts dock att en förflyttning krävs av organisatoriska skäl eller annars motiveras av hänsyn till myndighetens bästa. ningen innebär även dessa krav ett tillräckligt skydd mot att regeringen, som dessutom fattar sina beslut under parlamentariskt ansvar, på god- tyckliga grunder gör sig av med en myndighetschef. utredningens bedömning och det saknas skäl för att tillsynsmyndighetens chef bör ha ett ännu starkare anställningsskydd och anställas med full- makt, något som förordar, eller undantas från förflyttningsmöjligheten enligt , något som Datainspektionen föror- Det finns inte heller i övrigt anledning att ifrågasätta utredningens bedömning att svensk rätt dels uppfyller dataskyddsdirektivets krav på att tillsynsmyndigheten ska vara fullständigt oberoende (artikel 42), dels motsvarar dataskyddsdirektivets bestämmelser om tillsynsmyndighetens organisation och utnämning respektive avsättande av tillsynsmyndighe- tens chef (artiklarna 42.5, 43 och 44.1). Detta gäller bland annat kraven på ett öppet rekryteringsförfarande, skydd mot godtyckligt avskedande och förbud mot förtroendeskadliga bisysslor, där allmänna författnings- regleringar redan finns. Uppgifter om vilka som har sökt en utannonserad tjänst som chef för en förvaltningsmyndighet under regeringen kan vis- serligen omfattas av sekretess. Sekretessen tar sikte på allmänhetens möjligheter att med stöd av den svenska offentlighetsprincipen begära ut Den hindrar däremot inte att utnämningsprocessen kan vara föremål för annan insyn, exempelvis inom ramen för gransk- ning av regeringen. Dataskyddsdirektivet förutsätter också en nationell reglering av de kva- lifikationer som krävs för en anställning som myndighetschef. med utredningen menar regeringen att det krav på förtjänst och skicklig- het som följer av regeringsformen och samt saklighetskravet i 1 kap. 9 § regeringsformen sammantaget innebär ett krav på att den som anställs som chef för ska ha de kvalifikationer, den erfarenhet och den kompetens, särskilt på området för dataskydd, som krävs för att ledamoten ska kunna fullgöra sitt uppdrag och utöva sina Av dataskyddsförordningen framgår vilka uppgifter en tillsynsmyndig- het enligt dataskyddsförordningen har. Med hänsyn till förordningens krav på oberoende är utrymmet för regeringen att styra Datainspektionen Prop. 2017/18:232 genom regleringar i myndighetsinstruktionen begränsat. delar därför Datainspektionens och universitets bedömning att Datainspektionens instruktion inte längre bör ange att myndighetens verksamhet särskilt ska inriktas på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud. Både Datainspektionen och har tillsyn över personuppgiftsbehandling i brottsbekämpande verksamhet. Utredningen föreslår att tillsynen endast ska utföras av Datainspektionen. Den renodling av tillsynen som utredningen föreslår har å ena sidan uppenbara fördelar. Å andra sidan har Säkerhets- och integritetsskydds- nämnden tillsyn över polisens användning av hemliga tvångsmedel och därmed sammanhängande verksamhet. Kunskapen om och erfarenheten av den granskade verksamheten ökar förutsättningarna för att tillsynen inriktas på områden som kan ge upphov till särskilda risker från integri- tetssynpunkt. Det parallella tillsynsuppdraget kan alltså bidra till att till- synen blir förstärkt och mer allsidig. Vidare kan Säkerhets- och integri- tetsskyddsnämndens parlamentariska anknytning öka förutsättningarna för att allmänheten ska känna förtroende för verksamheten. Myndighe- terna har också utarbetat en praxis för att hantera de eventuella problem som kan uppstå med ett parallellt tillsynsansvar. Enligt en gransknings- rapport från , Tillsyn över brottsbekämpande myndigheter – En granskning av (RiR 2016:2), utför sina uppgifter på ett ändamålsenligt sätt och de brottsbekämpande myndigheter som utför tillsyn över tar nämndens uttalanden på allvar. I likhet med Säkerhets- och integritetsskyddsnämn- den menar regeringen av ovan anförda skäl att utredningens förslag inte kan förväntas innebära en förstärkning av den enskildes personliga integritet. Vidare saknas det anledning att anta att myndigheternas sam- arbete för att hantera de eventuella problem som kan uppstå med ett parallellt tillsynsansvar inte skulle kunna fortsätta även efter genomfö- randet av EU:s dataskyddsreform. Regeringens bedömning är därför, till skillnad från bland andra och Datainspektionens be- dömning, att den nuvarande ordningen och rollfördelningen bör behållas. Frågan om det bör föranleda någon ändring i lagen om tillsyn över viss brottsbekämpande verksamhet kommer att behandlas i samband med att myndigheternas registerförfattningar anpassas. 11.5.1Tillsynsmyndighetens oberoende ska värnas Regeringens bedömning: oberoende ställning värnas bäst om det inte införs några regler om när och hur tillsyn ska inledas respektive avslutas eller hur tillsynen närmare ska bedrivas. 2017/18:232 Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: anser att ramlagen ut- tryckligen bör slå fast att tillsynsmyndigheten ska vara oberoende. Skälen för regeringens bedömning Hur ska myndighetens oberoende säkerställas? ska enligt artikel 42.1 vara fullständigt oberoende när den utför sitt uppdrag. Oberoendet ska enligt artiklarna 42.2–6, 43 och 44 framför allt värnas genom olika organisatoriska åtgärder och vissa rättsliga befogenheter enligt artikel 47.5. Som konstaterats i avsnitt 11.4 uppfyller svensk rätt, med de ändringar som föreslås i förordning, direktivets krav i dessa delar. förutsätts göra en självständig granskning av hur personuppgiftsansvariga och personuppgiftsbiträden tillämpar lagar och andra bindande föreskrifter. Det är fråga om rättslig tillsyn, vilket har be- tydelse både för hur tillsynen utförs och vad den kan resultera i. Tillsynsverksamhet är till stor del oreglerad. Även om det finns regler om ramarna för tillsynen – exempelvis i vilka fall en myndighet har rätt att utöva tillsyn, vilka som står under tillsyn och vad tillsynen omfattar – saknas det närmare regler om hur tillsynen ska bedrivas. Skä- let till det är bl.a. att tillsyn kan avse vitt skilda sektorer av samhället och ha olika fokus, från konkreta åtgärder på plats som inspektion av djur eller anläggningar till rättsligt inriktad tillsyn. Tillsynsuppgifterna, befo- genheterna och resultatet av tillsynen kan därmed variera avsevärt. Där- för är det inte lämpligt att i en särskild lag reglera tillsyn generellt (skr. 2009/10:79 s. 10 f.). Regleringen i direktivet måste uppfattas på det sättet att tillsynsmyn- dighetens oberoende ska värnas dels genom organisatoriska åtgärder, dels genom att myndigheten ska vara fri när det gäller urvalet av tillsyns- objekt, arbetsformerna och redovisningen av resultaten av tillsynen. Vid genomförandet av direktivet finns det skäl att vara återhållsam med detaljregler som kan påverka hur tillsynsverksamheten bedrivs eller som kan göra att tillsynsmyndighetens oberoende ställning kan ifrågasättas. Det innebär att de regler som ändå krävs för att genomföra direktivet måste säkerställa att tillsynen kan bedrivas oberoende och effektivt. Regleringen måste nämligen ge tillsynsmyndigheten frihet att välja att utöva tillsynen på det sätt som den anser vara bäst inom de ramar som lagstiftningen ger. Vad behöver regleras? Enligt de principer som utvecklats i praxis avgör en tillsynsmyndighet själv när och hur den ska inleda tillsyn och vad tillsynen ska omfatta. kan utöva tillsyn på eget initiativ, t.ex. på grund av egna iakttagelser, efter information från allmänheten eller en annan myn- dighet eller med anledning av inkomna klagomål. Tillsyn kan också ha sin grund i att myndigheten vill se hur ny lagstiftning tillämpas eller få underlag för att bedöma behovet av nya råd eller föreskrifter. bör – förutom tillsyn på begäran av en utländsk myndighet – även rap- portering av personuppgiftsincidenter eller uppföljning av förhandssam- råd kunna leda till att tillsynsmyndigheten inleder tillsyn i någon form (se Prop. 2017/18:232 avsnitt 9.4.2 och 9.2.5). Att det inte är reglerat vad som kan initiera tillsyn verkar inte ha vållat några problem . I direktivet förutsätts inte heller att det ska regle- ras. Det finns därför inte skäl att införa bestämmelser om i vilka situa- tioner tillsyn bör initieras, särskilt som det skulle kunna uppfattas som en begränsning av myndighetens oberoende. Regeringen instämmer i utredningens uppfattning att det framför allt är tillsynsområdet (avsnitt 11.3.1), vem som ska utöva tillsyn (avsnitt 11.4), tillsynsmyndighetens uppgifter (avsnitt 11.6) och vilka befogenheter till- synsmyndigheten ska ha (avsnitt 11.7) som behöver regleras. Det behövs även vissa regler om handläggningen av ärenden (avsnitt 11.8). Någon ytterligare reglering av hur tillsynsmyndigheten ska arbeta bör däremot inte införas av hänsyn till myndighetens oberoende. Det ställningstagan- det ligger i linje med hur Utredningen om tillsynen över den personliga integriteten ser på behovet att reglera tillsynsmyndighetens uppgifter vid tillsyn över regleringen i dataskyddsförordningen (SOU 2016:65 s. 154 f.). Ett förslag innebärande en begränsad reglering är enligt rege- ringens uppfattning det bästa sättet att värna tillsynsmyndighetens obero- ende. Regeringen delar således inte advokatsamfunds uppfatt- ning att tillsynsmyndighetens oberoende uttryckligen ska framgå av ramlagen. Att det saknas formella regler för hur tillsyn kan inledas innebär natur- ligtvis inte att den nya förvaltningslagen (2017:900) inte är tillämplig, om tillsynsmyndigheten väljer att lägga upp ett formellt ärende. Då gäller vanliga regler om dokumentation, inhämtande av yttranden och kommu- nikationsskyldighet. Regeringen återkommer i avsnitt 11.8 till vissa handläggningsfrågor. 11.5.2Tillsynsmyndigheten ska ha dubbla perspektiv Regeringens förslag: ska verka både för att fysiska personers grundläggande rättigheter och friheter skyddas i samband med behandling av personuppgifter och för att underlätta det fria flödet av personuppgifter inom ramlagens tillämpningsområde. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen avstyrker utredningens förslag om att tillsynsmyndigheten, utöver att verka för att fysiska personers grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter, även ska verka för att underlätta det fria flödet av per- sonuppgifter inom ramlagens tillämpningsområde. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Av artikel 41.1 framgår att tillsynsmyndighetens övergripande uppdrag ska vara att övervaka reglerna om behandling av personuppgifter i syfte att skydda fysiska personers grundläggande rättigheter och friheter i sam- band med behandlingen och underlätta det fria flödet av personuppgifter 2017/18:232 inom EU. Enligt 1 § Datainspektionens instruktion ska inspektionen bl.a. verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. övergripande uppdrag ska regleras Regeringen avser, som tidigare nämnts, att utse Datainspektionen till till- synsmyndighet enligt både direktivet och dataskyddsförordningen och myndighetens instruktion kommer att ändras i detta avseende. Av artikel 41.1 framgår att tillsynsmyndigheten ska vara ansvarig för tillämpningen av direktivet, i syfte att skydda fysiska personers grundläg- gande rättigheter och friheter i samband med behandlingen och att under- lätta det fria flödet av personuppgifter inom unionen. Genom formule- ringen tydliggörs att tillsynsmyndigheten inte enbart kan utgå från enskil- das perspektiv utan även ska beakta att ett viktigt syfte med direktivet är att underlätta informationsutbyte mellan bl.a. brottsbekämpande myndig- heter (skäl 7). Datainspektionen anser att artikel 41.1 innebär att tillsynsmyndigheten ska övervaka tillämpningen av direktivet och inte att tillsynsmyndighe- tens uppdrag ska präglas av dubbla perspektiv. I skäl 75 som behandlar tillsynsmyndighetens uppdrag nämns endast skyddet av fysiska personer, vilket Datainspektionen anser ger stöd för inspektionens uppfattning. Regeringen delar inte Datainspektionens tolkning. Att skäl 75 enbart tar upp det ena perspektivet minskar enligt regeringens mening inte betydel- sen av att båda perspektiven nämns i artikel 41.1. som till- synsmyndigheten ska verka för en hög skyddsnivå för personuppgifter och bedriva ett kraftfullt tillsynsarbete, måste myndigheten därför även beakta de behöriga myndigheternas perspektiv. Regeringen anser att tillsynsmyndighetens övergripande uppdrag att övervaka att fysiska personers grundläggande rättigheter och friheter skyddas vid behandling av personuppgifter är så viktigt att det bör få en framskjuten plats i ramlagen. Om det uppdraget lyfts fram bör det också framgå att myndigheten när den utför sina uppgifter och utövar sina befo- genheter även ska beakta att det fria flödet av personuppgifter inom EU underlättas. Som framgår av avsnitt 14.2.2 gäller direktivet även för vissa andra stater än EU:s medlemsstater. Det är således det fria flödet av per- sonuppgifter inom ramlagens tillämpningsområde som ska underlättas. Frågan är då vad det innebär för tillsynsmyndigheten att direktivets dubbla syften lyfts fram i artikel 41.1. Det är uppenbart att dessa intres- sen kan strida mot varandra i vissa fall. Regeringen instämmer i utred- ningens uppfattning att det inte är självklart hur tillsynsmyndigheten kan underlätta det fria flödet av personuppgifter. Att direktivets båda syften även kommit till uttryck i den grundläggande bestämmelsen om tillsyns- myndigheten måste enligt regeringen uppfattas så att det ställs krav på myndigheten utifrån båda perspektiven. Vid sidan av enskildas intresse av en hög skyddsnivå ska tillsynsmyndigheten även beakta intresset av ett fritt flöde av personuppgifter. Direktivet ger ingen närmare vägled- ning kring hur avvägningen mellan dessa intressen ska göras. Det är följaktligen tillsynsmyndigheten som måste göra detta. Övergripande kan dock konstateras att om det finns utrymme att välja olika lösningar som kan betraktas som likvärdiga ur integritetssynpunkt, bör tillsynsmyndig- heten välja den som bäst tillgodoser det fria flödet av personuppgifter. 2017/18:232 Ett annat exempel kan vara att myndigheten underlättar informationsut- bytet genom att sprida sådan kunskap som den fått genom att följa ut- vecklingen av informations- och kommunikationsteknik eller goda exempel som kan förbättra skyddet för personuppgifter (jfr arti- kel 46.1 j). Huvuduppgifterna bör regleras i ramlagen Regeringens förslag: ska 1. utöva allmän tillsyn över personuppgiftsbehandling, 2. handlägga klagomål från registrerade, 3. utföra kontroll på begäran av fysiska personer, och 4. på begäran bistå en tillsynsmyndighet i en annan medlemsstat. ska även ge råd och stöd till personuppgiftsan- svariga och personuppgiftsbiträden om deras skyldigheter enligt lag eller annan författning vid förhandssamråd och när det i övrigt är på- Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag I artikel 46.1 räknas tillsynsmyndighetens konkreta arbetsuppgifter upp. Enligt punkt a har tillsynsmyndigheten det generella uppdraget att över- vaka och verkställa tillämpningen av de bestämmelser som antas i enlighet med direktivet. De närmare tillsynsuppgifterna regleras i punk- terna f–i. Där anges att tillsynsmyndigheten ska behandla klagomål från registrerade, kontrollera om viss behandling är laglig, samarbeta med och ge bistånd till tillsynsmyndigheter i andra medlemsstater och utföra undersökningar om tillämpningen av direktivet. har också en vidsträckt skyldighet att ge råd och lämna information till olika aktörer. Myndigheten ska enligt punkt b öka allmänhetens medvetenhet och kunskaper om risker, regler, skyddsåtgär- der och rättigheter i samband med personuppgiftsbehandling. giftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyl- digheter ska enligt punkt d också ökas. Enligt punkt c ska myndigheten i enlighet med nationell rätt ge råd åt nationella parlament, regeringen och andra institutioner och organ om lagstiftningsmässiga och administrativa åtgärder som rör skyddet för fysiska personer vid personuppgiftsbehand- Myndigheten ska vidare enligt punkt e på begäran informera regi- strerade om hur de ska utöva sina rättigheter och för det ändamålet sam- arbeta med tillsynsmyndigheter i andra medlemsstater. också enligt punkt k ge råd till personuppgiftsansvariga och personupp- giftsbiträden om behandling av personuppgifter som innebär särskilda risker (se närmare om förhandssamråd i avsnitt 9.2.5). 2017/18:232 Slutligen ska tillsynsmyndigheten enligt punkt j följa sådan utveckling som påverkar skyddet av personuppgifter, bl.a. inom informations- och kommunikationsteknik, och enligt punkt l bidra till verksamheten vid den styrelse som ska inrättas enligt artikel 51. Enligt 1 § Datainspektionens instruktion ska myndigheten bl.a. följa och beskriva utvecklingen på it-området när det gäller frågor som rör integri- tet och ny teknik. Den ska särskilt inrikta sin verksamhet på att informera om gällande regler och ge råd och hjälp åt personuppgiftsombud. De huvudsakliga tillsynsuppgifterna bör regleras Eftersom direktivet ska genomföras i svensk rätt är det lämpligt att reglera uppgiften att bedriva tillsyn men frågan är hur det bör göras. Vissa av tillsynsmyndighetens uppgifter måste under alla förhållanden regleras. Med hänsyn till tillsynsmyndighetens oberoende är det inte lämpligt att bara reglera vissa uppgifter, eftersom det kan uppfattas som att de uppgifterna tillmäts större vikt. Mot den bakgrunden bör tillsyns- myndighetens huvuduppgifter framgå direkt av ramlagen. Som angetts i avsnitt 11.2 och 11.5 bör dock regleringen inte gå utöver vad som är nöd- vändigt för att genomföra direktivet, med hänsyn till tillsynsmyndig- hetens oberoende. I ramlagen bör det tas in bestämmelser som återger tillsynsmyndighe- tens huvuduppgifter så som de anges i direktivet. De är att utöva allmän tillsyn över personuppgiftsbehandling (avsnitt 11.5), att handlägga kla- gomål från registrerade (avsnitt 11.6.2), att kontrollera om behandling är författningsenlig (avsnitt 11.6.3), att ge råd och stöd till personuppgifts- ansvariga och personuppgiftsbiträden om deras skyldigheter enligt lag eller annan författning vid förhandssamråd och när det i övrigt är påkallat (avsnitt 11.6.4) och att på begäran lämna bistånd till en tillsynsmyndighet i en annan medlemsstat (avsnitt 11.10.1). Under tillsynsmyndighetens uppdrag att bedriva allmän tillsyn ryms enligt regeringens mening de uppgifter som nämns i artikel 46.1 punk- terna a och i.