prop · H503232 · 2018-04-19 00:00:00 — Under uppgiften att lämna bistånd till en utländsk tillsyns- myndighet ryms artikel 46.1 punkt h. Regeringens bedömning: Förutom att det ska framgå att handlägg- ning av klagomål ingår i tillsynsuppgifterna bör det inte regleras hur tillsynsmyndigheten ska behandla klagomål. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har något att invända i denna Skälen för regeringens bedömning Enligt artikel 52.1 har alla registrerade rätt att lämna in klagomål till till- synsmyndigheten. Enligt artikel 46.1 f ska tillsynsmyndigheten behandla klagomål från en registrerad eller dennes ombud och inleda en undersök- ning i sak där så är lämpligt. ska inom rimlig tid underrätta den klagande om hur undersökningen fortskrider och om resultatet, särskilt om det krävs ytterligare undersökningsåtgärder eller samordning med en tillsynsmyndighet i en annan medlemsstat. Enligt artikel 52.2–4 ska tillsynsmyndigheten utan dröjsmål överlämna ett klagomål som lämnats till fel tillsynsmyndighet till behörig myndig- het och informera den registrerade om det. Därutöver ska den registre- rade på begäran få ytterligare hjälp. Han eller hon ska underrättas om klagomålets handläggning och resultat och om rätten till rättsmedel enligt artikel 53. Enligt artikel 46.2 ska tillsynsmyndigheten underlätta inläm- ningen av klagomål, exempelvis genom att tillhandahålla elektroniska formulär, vilket inte ska utesluta andra former av inlämning. Nuvarande reglering och tillämpning Att vem som helst kan göra en framställning till en myndighet, som då är skyldig att behandla den, följer av allmänna förvaltningsrättsliga princi- per. En myndighet är enligt förvaltningslagen skyldig att lämna enskilda råd och hjälp genom att bl.a. vidarebefordra felsända handlingar till rätt myndighet. Myndigheterna anses vidare vara skyldiga att informera om handläggningen och resultatet av en framställning som gjorts och vid behov samverka med andra myndigheter. En myndighet som får in en framställning från en enskild anses också vara skyldig att lämna någon form av svar som inte får dröja längre än nödvändigt (prop. 1985/86:80 s. 59 och prop. 2016/17:180 s. 66 f). Den som ger in ett klagomål till en tillsynsmyndighet har enligt rätts- praxis inte någon rätt att överklaga tillsynsmyndighetens beslut i tillsyns- frågan (jfr RÅ 2010 ref. 29). tar Datainspektionen emot klagomål över behandling av person- uppgifter. Inspektionen avgör själv när det finns anledning att inleda ett tillsynsärende. Den klagande får alltid ett besked i någon form med an- ledning av klagomålet. underrättas den enskilde om att någon utredning inte kommer att göras i hans eller hennes fall, men att infor- mationen i klagomålet kan komma att användas i tillsyn (SOU 2016:65 s. 81). Behöver klagomålshanteringen regleras? Artikel 46.1 f förutsätter inte att alla klagomål som kommer in till till- synsmyndigheten utreds, däremot att alla klagomål behandlas. Frågan är då vad som avses med det. Av skäl 81 framgår att tillsynsmyndigheten bör hantera klagomål från registrerade och att utredning bör göras i den utsträckning som det är lämpligt i det enskilda fallet. Regleringen i direk- tivet förefaller utgå från att klagomål alltid framförs skriftligen men det är inte ett krav. Ordet behandla bör här tolkas som ett krav på att klago- mål måste leda till någon form av handläggning. Det minsta som kan 2017/18:232 krävas är att tillsynsmyndigheten tar ställning till om klagomålet ska föranleda någon tillsynsåtgärd. får med andra ord inte helt negligera ett klagomål. Här räcker det dock att konstatera att en utredning i sak bara behöver göras om tillsynsmyndigheten anser att det är lämpligt i det enskilda fallet. Enligt artikel 53.2 ska tillsynsmyndighe- ten informera om resultatet av klagomålet. Vad det innebär diskuteras i avsnitt 13.6. I likhet med utredningen anser regeringen att starka skäl talar för att tillsynsmyndigheten även fortsättningsvis ska ha stor frihet att bestämma om klagomål ska utredas. Bestämmelserna i direktivet om hur klagomål ska hanteras av tillsynsmyndigheten motsvarar vad som redan tillämpas enligt allmänna principer för tillsyn och reglerna i förvaltningslagen. Enligt regeringen krävs det därför, utöver att det ska framgå att hand- läggning av klagomål ingår i tillsynsuppgifterna, inga lagstiftningsåtgär- der för att genomföra bestämmelserna i artiklarna 46.1 f, 52.3 och 52.4. Eftersom regeringen avser att utse endast Datainspektionen till svensk nationell tillsynsmyndighet enligt direktivet behöver inte heller artikel 52.2 genomföras. Regeringen återkommer i avsnitt 13 till frågor som rör klagomål och rättsmedel. Den allmänna serviceskyldigheten rymmer att en myndighet ska till- handahålla de formulär och blanketter som behövs för verksamheten. Det behövs därför inga lagstiftningsåtgärder för att genomföra artikel 46.2. 11.6.3Kontroll av om behandling är författningsenlig Regeringens förslag: ska på begäran kontrollera om uppgifter om en fysisk person behandlas författningsenligt. Den som begär en sådan kontroll ska visa att han eller hon har begärt information från eller en korrigeringsåtgärd av den personuppgiftsan- svarige. Myndigheten ska få vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad. Regeringens bedömning: Vilka formkrav som ska gälla för begä- ran och beslut om kontroll och hur sökanden ska underrättas om att kontrollen har utförts kan regleras i förordning. Utredningens förslag och bedömning överensstämmer med rege- ringens. Remissinstanserna: Datainspektionen konstaterar att kontrollerna som behandlas i detta avsnitt är en ny uppgift för inspektionen och anser att regleringen inte ska gå utöver de krav som ställs i direktivet. anser att direktivet inte kräver att sökan- den har rätt till kontroll när den personuppgiftsansvarige har lämnat be- gärd information eller vidtagit korrigeringsåtgärder. Nämnden påpekar vidare att tillsynsmyndighetens underrättelse till sökanden kan kräva att sekretessbrytande bestämmelser införs. Skälen för regeringens förslag och bedömning Innehållet i direktivet och nuvarande reglering Personuppgiftsansvariga får under vissa förutsättningar begränsa enskil- das rätt till information eller underlåta att lämna information. I sådana fall ska den registrerades rättigheter enligt artikel 17.1 kunna utövas genom tillsynsmyndigheten. ska då enligt arti- kel kontrollera om behandlingen är laglig och enligt artikel 17.3 inom rimlig tid underrätta den registrerade om att kontrollen har genom- förts. Den registrerade ska också informeras om rätten att begära rättslig prövning. Om en begäran om kontroll är uppenbart ogrundad eller orim- lig, särskilt på grund av att den är repetitiv, får tillsynsmyndigheten enligt artikel 46.4 ta ut en rimlig avgift för de administrativa kostnaderna eller vägra att tillmötesgå begäran. har bevisbördan för att begäran är uppenbart ogrundad eller orimlig. Enligt artikel ska tillsynsmyndigheten informera den registrerade om skälen för att någon kontroll inte genomförs. I artikel 28.4 direktiv föreskrivs att var och en har rätt att hos tillsynsmyndigheten begära att en kontroll görs av om personuppgiftsbe- handlingen är tillåten och att få besked om utfallet av begäran. Någon sådan rätt infördes dock inte när det direktivet genomfördes. I Säkerhets- och integritetsskyddsnämndens uppdrag ingår att göra sådana kontroller. Enligt 3 § lagen om tillsyn över viss brottsbekämpande verksamhet är skyldig att på begäran av en- skilda kontrollera om deras personuppgifter har behandlats enligt polis- datalagen och om behandlingen har utförts författningsenligt. Den enskilde ska underrättas om att kontrollen har utförts. Även juridiska personer kan begära sådan kontroll. Datainspektionen är inte skyldig att utföra sådana kontroller. Myndigheten kan inom ramen för sin tillsyn utföra liknande kontroller, men den enskilde har inte någon rätt att kräva det. Datainspektionen hänvisar därför enskilda till när inspektionen får en begäran om kontroll inom ett område där nämnden utövar tillsyn. Nämnden är bara skyldig att utföra sådana kontroller när det gäller och Säkerhetspolisens personuppgifts- behandling. Kontroll av om behandlingen är författningsenlig bör regleras Att en enskild kan få information om och insyn i hur hans eller hennes personuppgifter behandlas är som tidigare nämnts en förutsättning för att han eller hon ska kunna kontrollera om behandlingen är författningsenlig och i övrigt ta till vara sina intressen och rättigheter. Det kan t.ex. gälla att få felaktiga personuppgifter rättade, kompletterade eller raderade eller att göra andra invändningar mot behandlingen. I avsnitt 10.3.1 redovisas på vilka grunder den personuppgiftsansvarige kan begränsa eller under- låta att lämna information. När den enskilde, till följd av att den person- uppgiftsansvarige utnyttjat en sådan möjlighet, saknar möjlighet att ta till vara sin rätt ska det ändå vara möjligt att kontrollera personuppgifts- behandlingen. Då ska tillsynsmyndigheten enligt direktivet kontrollera om behandlingen är författningsenlig. 2017/18:232 Kontrollen ska utföras av en myndighet som har utsetts till tillsyns- myndighet enligt direktivet. Att tillsynsmyndigheten ska vara skyldig att på begäran kontrollera om behandlingen är författningsenlig bör regleras i ramlagen. Detta hindrar dock inte att även andra myndigheter kan ha motsvarande skyldigheter. Det finns därför inget hinder mot att Säker- hets- och integritetsskyddsnämnden behåller sina skyldigheter enligt 3 § lagen om tillsyn över viss brottsbekämpande verksamhet. Hur bör regleringen utformas? Kontrollerna kan bli resurskrävande inom ramlagens tillämpningsområde eftersom sekretess inom vissa verksamheter i stor utsträckning medför att information om personuppgiftsbehandlingen inte kan lämnas. Det är där- för inte lämpligt att införa en kontrollskyldighet som går utöver de krav som ställs i direktivet. Utredningen har föreslagit att bara fysiska personer bör kunna kräva kontroll av om behandlingen är författningsenlig. Vidare bör enligt utred- ningen en förutsättning för kontroll vara att den som ger in begäran först har vänt sig till den personuppgiftsansvarige och begärt besked om vilka personuppgifter om honom eller henne som behandlas eller har begärt en korrigeringsåtgärd. anser att rätten till kontroll inte bör föreligga om den personuppgiftsansvarige har lämnat den be- gärda informationen eller vidtagit den begärda korrigeringsåtgärden. Enligt nämnden uppfylls direktivets krav om kontrollskyldigheten inträ- der först när den personuppgiftsansvarige verkligen har begränsat informationen till den enskilde med stöd av den föreslagna bestämmelsen i 4 kap 5 § i ramlagen. Det är enligt nämnden i sådana fall som den enskilde själv saknar möjlighet att ta till vara sin rätt och kan antas ha ett befogat intresse av att tillsynsmyndigheten kontrollerar personuppgifts- behandlingen. Regeringen instämmer med i att det visserligen är i de fall då den enskilde själv saknar möjlighet att ta till vara sin rätt som det finns ett behov av kontroll. Regeringen kan emellertid inte se hur en reglering som begränsar kontrollskyldigheten till sådana situationer ska kunna hantera problematiken med hur det kan säkerställas att den enskilde får tillgång till tillräcklig information för att kunna ta till vara sin rätt. Även om besked lämnas till den enskilde från den personuppgiftsansvarige kan han eller hon inte med säkerhet veta om det föreligger en begränsning i den information som lämnas. Ytterligare behandling inom verksamheter som omfattas av sekretess kan före- komma och då föreligger hinder mot att lämna ut information. Sekretes- sen kan innebära att inte ens en uppgift om huruvida personuppgifter behandlas kan lämnas. Förutsättningen för kontroll bör därför som utred- ningen föreslagit vara att den som har begärt kontroll ska visa att han eller hon har begärt besked om vilka personuppgifter om honom eller henne som behandlas eller har begärt en korrigeringsåtgärd. Syftet med kontrollen är inte att den enskilde genom tillsynsmyndig- heten ska få kännedom om huruvida hans eller hennes uppgifter behand- las hos en behörig myndighet utan att en oberoende myndighet får insyn i sådan personuppgiftsbehandling som registrerade inte själva kan kontrol- Det bör därför regleras att tillsynsmyndigheten skriftligen ska underrätta den sökande om att kontrollen har genomförts. Underrättelsen bör som regel endast ge besked om att tillsynsmyndigheten har genom- fört kontrollen (jfr prop. 2006/07:133 s. 66 f. och s. 81 och prop. 2009/10:85 s. 272 f.). Underrättelseskyldigheten kan enligt regeringens bedömning regleras i förordning. Enligt artikel ska underrättelsen lämnas inom rimlig tid. Enligt regeringens mening behöver detta inte regleras, eftersom kravet får anses följa av förvaltningslagen. Säkerhets- och integritetsskyddsnämndens synpunkter på förordningsregleringen om underrättelse kommer regeringen att ta ställning till i samband med fram- tagande av kompletterande föreskrifter. Det bör ställas vissa krav på en begäran För att regleringen inte ska kunna missbrukas bör det ställas vissa krav på en begäran om kontroll. Sådana krav kan enligt regeringens bedöm- ning regleras i förordning. ska kunna vägra att utföra kontroll har enligt artikel 46.4 möjlighet att vägra att utföra kontroll om begäran är uppenbart ogrundad eller orimlig. Det bör framgå av ramlagen att kontroll kan vägras i sådana fall. Frågan är när en begäran kan anses vara orimlig eller uppenbart ogrun- dad. Ett skäl som framhålls i direktivet är att förfrågan är repetitiv, dvs. att den återupprepas. Av skäl 43 framgår att fysiska personer bör ha rätt att med rimliga intervall utöva sin rätt att hålla sig underrättade om att behandling sker och kunna kontrollera om den är laglig. Någon ytterli- gare ledning för vad som är rimliga intervall ges inte i direktivet. När personuppgiftslagen infördes ansåg regeringen, vid tolkningen av begreppet rimliga intervall i artikel 12 a dataskyddsdirektiv, att en enskild bör ha rätt att av den personuppgiftsansvarige en gång per kalenderår få besked om hans eller hennes personuppgifter behandlas (se 26 § personuppgiftslagen och prop. 1997/98:44 s. 82). Kontroller av om uppgifter om en person behandlas författningsenligt kan dock vara betyd- ligt mer resurskrävande. Det beror bl.a. på att tillsynsmyndigheten – i motsats till den personuppgiftsansvarige – inte har tillgång till de person- uppgifter som behandlas. måste därför alltid begära hjälp av den personuppgiftsansvarige med att klarlägga om några uppgif- ter om personen behandlas och kan först därefter ta ställning till vilken kontroll som i så fall krävs. Det är därför inte givet att de överväganden som gjordes beträffande registerutdrag enligt 26 § personuppgiftslagen har samma relevans för tillsynsmyndighetens kontroller. Enligt regeringens mening är det inte lämpligt att i författning reglera hur som bör förflyta mellan framställningar om kontroll. Det bör i stället avgöras i praxis hur ofta en begäran får upprepas utan att den be- traktas som orimlig. En begäran om kontroll bör även kunna vägras om den är orimligt om- fattande eller om den är så oprecis att det skulle krävas oproportionerligt mycket arbete för att kunna utföra kontrollen. Som exempel kan nämnas en opreciserad begäran om kontroll av om behandling av uppgifter om en person är författningsenlig. Det säger sig självt att en sådan begäran, med hänsyn till knappt 30 000 anställ- da, hela landet som verksamhetsområde och mångskiftande arbetsupp- gifter, skulle kräva orimliga insatser av både tillsynsmyndigheten och tillsynsobjektet. Det är tillsynsmyndigheten som har bevisbördan för att en begäran är orimlig eller uppenbart ogrundad. Av skäl 40 – som hänför sig till artiklarna om enskildas rättigheter – framgår att en begäran bör anses som uppenbart ogrundad om den en- skilde saknar skäl för sin begäran eller på annat sätt missbrukar sin rätt till information. I övrigt ger direktivet ingen ledning för i vilka fall en begäran kan anses vara uppenbart ogrundad. Enligt regeringens mening kan en begäran t.ex. vara uppenbart ogrundad om den som begär kontroll inte först begärt att den personuppgiftsansvarige lämnar information. Ett beslut att vägra utföra kontroll bör kunna överklagas, om förutsätt- ningarna i övrigt är uppfyllda (se avsnitt 13.7.1). Det bör därför krävas ett skriftligt beslut där skälen för vägran framgår. Det kan regleras i för- ordning. Bör kontroll kunna utföras mot avgift? Ett alternativ till att vägra utföra kontroll är enligt artikel 46.4 att tillsyns- myndigheten tar ut en rimlig avgift för de administrativa kostnaderna. Frågan är om den möjligheten bör utnyttjas vid genomförandet av direk- tivet. Å ena sidan talar ett av direktivets huvudsyften – att skydda den enskildes rättigheter – för att den enskilde i så stor utsträckning som möj- ligt ska få en kontroll utförd. Av artikel 46.4 följer å andra sidan att det är förenligt med direktivet att begränsa den enskildes rättigheter i vissa fall. En avgift kan inte läka bristen om en begäran är uppenbart ogrundad. Detsamma gäller en framställning som är orimlig av något annat skäl än att den upprepas alltför ofta. Det skulle kunna övervägas att ge enskilda möjlighet att mot avgift begära kontroll oftare än vad som är rimligt. Eftersom kontroll kan vara arbetskrävande anser regeringen att varken tillsynsmyndigheten eller tillsynsobjektet bör belastas med alltför täta kontroller. Möjligheten att ålägga tillsynsmyndigheten att mot avgift genomföra kontroller som är orimliga eller uppenbart ogrundade bör där- för inte utnyttjas. Information om rätt till rättslig prövning Enligt artikel 17.3 och skäl 48 ska tillsynsmyndigheten även informera den registrerade om hans eller hennes rätt att begära rättslig prövning. Det är oklart vad som avses. Eftersom kontroll av om behandlingen är författningsenlig normalt inte utmynnar i något förvaltningsbeslut kan det inte annat än undantagsvis finnas något som en domstol kan pröva med anledning av kontrollen. Den enskilde har emellertid enligt artiklar- na 53 och 54 rätt till effektiva rättsmedel om hans eller hennes rättigheter enligt direktivet kränks. Enligt utredningen bör det vara beslut om avslag på begäran om kontroll som avses. Regeringen delar denna bedömning. Regeringen återkommer till frågor om överklagande i avsnitt 13.7.1. Här räcker det att konstatera att det inte behövs någon lagstiftningsåtgärd för att tydliggöra att tillsynsmyndigheten, i de fall där ett beslut är överklag- bart eller kan prövas på annat sätt, är skyldig att upplysa om det, eftersom den skyldigheten följer av andra regler. Regeringens förslag: ska vid förhandssamråd och när det i övrigt är påkallat ge råd och stöd till personuppgiftsan- svariga och personuppgiftsbiträden om deras skyldigheter enligt lag eller annan författning. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering En central arbetsuppgift för tillsynsmyndigheten är att på eget initiativ eller på begäran ge information och råd till olika aktörer om regler som styr behandlingen av personuppgifter. I artiklarna 46.1 c, 47.3 och 28.2 föreskrivs att tillsynsmyndigheten ska ha en rådgivande uppgift, genom att på eget initiativ eller på begäran avge yttranden om lagstiftning och administrativa åtgärder till riksdag, regering, andra myndigheter och organ och till allmänheten i frågor som rör skydd av personuppgifter. Enligt artikel 46.1 d ska tillsynsmyndig- heten öka personuppgiftsansvarigas och personuppgiftsbiträdens med- vetenhet om deras skyldigheter enligt direktivet. Förhandssamråd, som regleras i artikel 28, innebär att den personuppgiftsansvarige eller per- sonuppgiftsbiträdet ska samråda med tillsynsmyndigheten bl.a. inför behandling av personuppgifter i nyinrättade register. Enligt artikel 46.1 k ska tillsynsmyndigheten då ge skriftliga råd. Av artikel 46.1 b framgår att tillsynsmyndigheten självmant ska lämna allmän information om risker, regler, skyddsåtgärder och rättigheter till allmänheten. Vidare ska tillsynsmyndigheten enligt artikel 46.1 e på begäran tillhandahålla mer specifik information till registrerade om hur de ska utöva sina rättigheter och vid behov samarbeta med tillsynsmyn- digheter i andra medlemsstater för det ändamålet. Av artiklarna 17.3, 52.3 och 52.4 framgår att den som har kontakt med tillsynsmyndigheten med anledning av en begäran om kontroll eller ett klagomål ska få mer specifik information om hur han eller hon ska ta till vara sin rätt i det aktuella fallet. I 1 § Datainspektionens instruktion föreskrivs att inspektionen särskilt ska inrikta sin verksamhet på att informera om gällande regler och ge råd och hjälp åt personuppgiftsombud. I avsnitt 9.2.5 behandlas det förhandssamråd mellan personuppgifts- ansvariga och tillsynsmyndigheten som krävs i vissa fall. Det som är av intresse här är tillsynsmyndighetens roll. Myndigheten ska ta emot sådana konsekvensbedömningar som ska upprättas enligt artikel 27, delta i samrådet och, om den planerade behandlingen riskerar att inte vara förenlig med regelverket, lämna skriftliga råd. Regeringen återkommer i avsnitt 11.7.5 till myndighetens befogenheter vid samrådet. Förhands- samråd är en viktig del i tillsynsmyndighetens förebyggande arbete och 2017/18:232 bör därför uttryckligen anges i bestämmelsen om myndighetens rådgi- vande roll. Information och rådgivning till personuppgiftsansvariga, personuppgiftsbiträden och dataskyddsombud Genom direktivet ökar kraven på personuppgiftsansvariga och person- uppgiftsbiträden i olika avseenden kel 46.1 d ska tillsynsmyndigheten personuppgiftsbiträdens medvetenhet om deras skyldigheter. Direktivet reglerar även dataskyddsombudens uppdrag mera i detalj. De ska bl.a. informera och ge råd till personuppgiftsansvariga om deras skyldigheter, övervaka efterlevnaden av regelverket och samarbeta och fungera som kontaktpunkt för tillsynsmyndigheten. Förändringarna bör enligt utred- ningens bedömning medföra att behovet av information och rådgivning från tillsynsmyndigheten till personuppgiftsansvariga, personuppgifts- biträden och dataskyddsombud kommer att öka. Regeringen delar denna bedömning. I avsnitt 11.4 gör regeringen bedömningen att det inte längre ska anges i Datainspektionens instruktion att myndighetens verksamhet särskilt ska inriktas på att informera om gällande regler samt ge råd och hjälp åt per- sonuppgiftsombud. Det finns varken utrymme för eller behov av en sådan reglering på dataskyddsförordningens område (SOU 2016:65 s. 157 f.) Bedömningen ska ses mot bakgrund av att bestämmelsen inne- bär en anvisning från regeringen om hur tillsynsmyndigheten ska priori- tera sina tillsynsuppgifter. En sådan regel anses enligt bedömningen inte vara förenlig med kraven på tillsynsmyndighetens oberoende. Det väcker frågan om tillsynsmyndighetens informations- och rådgiv- ningsskyldighet gentemot personuppgiftsansvariga och personuppgiftsbi- träden enligt direktivet bör regleras. Regeringen delar utredningens be- dömning att vissa krav på information och rådgivning, bl.a. arti- kel 46.1 d, går utöver det som ryms i den allmänna service- och samver- kansskyldigheten enligt förvaltningslagen. Mot den bakgrunden bör även uppgiften att informera och ge råd till personuppgiftsansvariga och per- sonuppgiftsbiträden pekas ut som en särskild uppgift för tillsynsmyndig- heten. Det kan vara lämpligt att formulera uppgiften på liknande sätt som i den nu gällande 1 § Datainspektionens instruktion, att tillsynsmyndig- heten ska ge råd och stöd. Skyldigheten bör omfatta råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden. Skyldigheten bör begränsas till information om deras författningsenliga skyldigheter.