prop · H503232 · 2018-04-19 00:00:00 — Den enskilde har alltså, förutom rätt till ersättning för personskada, sakskada och ren förmögenhetsskada, rätt till ekonomisk kompensation för kränkningen. Det är bara skada eller kränk- ning som behandlingen har fört med sig som ska ersättas. Orsakssamban- det ska vara adekvat. Som utredningen konstaterar möter den nuvarande skadeståndsregeln i personuppgiftslagen både kravet på att all skada ska ersättas och att det ska finnas adekvat kausalitet. Bestämmelsen i ramlagen kan därför utfor- mas med den som mönster och bör i huvudsak kunna tolkas i enlighet med den praxis som har utvecklats med anledning av den skadestånds- regeln. Genom en sådan bestämmelse anser regeringen – till skillnad från 2017/18:232 och – att ett effektivt rättsmedel som uppfyller direktivets krav uppnås. Som tidigare nämnts finns det ingen exculperingsregel i artikel 56. Även om det, som Justitiekanslern framhåller, skulle kunna finnas andra grunder för jämkning, innehåller inte direktivet någon regel som motsva- rar 48 § andra stycket personuppgiftslagen. Regeringen delar därför ut- redningens bedömning att det inte är möjligt att ha någon sådan jämk- ningsregel i ramlagen. Som Justitiekanslern påpekar ger emellertid inte direktivet några besked om vad som gäller beträffande andra grunder för jämkning. Regeringen håller med Justitiekanslern om att det skulle kunna finnas utrymme för att sätta ned skadestånd med stöd av allmänna skade- ståndsrättsliga principer om jämkning. Hur ska ersättningen för kränkning beräknas? Liksom bör ersättningen för kränkning uppskattas efter skälighet, mot bakgrund av samtliga omständigheter. Det som kan ha betydelse är bl.a. att personuppgifter spridits eller att det funnits risk för otillbörlig spridning av integritetskänsliga eller felaktiga personuppgifter. En annan omständighet kan vara att den registrerade drabbats av beslut eller andra åtgärder som fått eller kunnat få negativa konsekvenser för honom eller henne. Om den registrerade själv har lämnat oriktig eller ofullständig information till den personuppgiftsansvarige, kan även detta ha betydelse vid beräkningen. En jämförelse kan göras med vad som gäller i fråga om betydelsen av den skadelidandes eget agerande när det gäller kränknings- ersättning vid brott (prop. 2000/01:68 s. 52). Ramlagens bestämmelse kommer i likhet med 48 § personuppgiftslagen att vara en sådan specialbestämmelse om skadestånd som enligt 1 kap. 1 § skadeståndslagen tar över de allmänna reglerna i den lagen. Om en ersättningsfråga inte regleras i ramlagen – t.ex. hur ersättningen för en personskada eller sakskada ska beräknas (5 kap. skadeståndslagen) eller hur ansvaret ska fördelas när flera är skadeståndsskyldiga (6 kap. 4 § skadeståndslagen) – tillämpas de allmänna reglerna i skadeståndslagen. 13.4Överklagande av personuppgiftsansvariga myndigheters beslut Regeringens förslag: Om den personuppgiftsansvarige är en myndig- het ska beslut som meddelats på begäran av den registrerade angående rättelse, komplettering, radering eller begränsning av behandlingen, kunna överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna sådan information eller att inte medge prövning på nytt av ett automatiserat beslut. Vid överklagande till kammarrätten ska det krävas prövningstillstånd. Sådana beslut som meddelas av regeringen, , eller ombudsmän ska inte kunna överklagas. Några andra beslut än de som uttryckligen anges i ramlagen ska inte få överklagas. Utredningens förslag överensstämmer i huvudsak med regeringens. Enligt utredningens förslag ska beslut att inte på begäran lämna närmare information om automatiserade beslut gå att överklaga. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Enligt direktivet krävs endast att tillsynsmyndighetens beslut ska kunna överklagas (se avsnitt 13.7.1). I övrigt ställs inga krav på att beslut ska kunna överklagas. Inte heller direktiv ställer några sådana krav. Enligt 52 § första stycket personuppgiftslagen får dock även vissa be- slut som fattas av en personuppgiftsansvarig som är en myndighet över- klagas till allmän förvaltningsdomstol. Det gäller emellertid bara vissa i paragrafen uppräknade beslut, nämligen beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om infor- mation enligt 29 § andra stycket och om upplysningar enligt 42 §. Över- klaganderätten gäller inte beslut av , regeringen eller Riks- dagens ombudsmän. Skälet till att bestämmelsen infördes var troligtvis att beslut som en myndighet fattar i egenskap av personuppgiftsansvarig ses som ett ut- flöde av myndighetsutövning och inte som ett ställningstagande av myn- digheten i ett civilrättsligt förhållande. En enskild ska därför inte behöva väcka talan vid allmän domstol i den ordning som gäller för tvistemål, utan i stället kunna överklaga besluten till allmän förvaltningsdomstol. De beslut som får överklagas har bedömts vara sådana beslut som får återverkningar för enskilda (jfr SOU 2015:39 s. 663). Även i de behöriga myndigheternas registerförfattningar finns det be- stämmelser om överklagande av sådana beslut, men det varierar hur överklagandebestämmelserna är utformade. I t.ex. 2 kap. 2 § första stycket 13 polisdatalagen (2010:361), 2 kap. 2 § första stycket 13 åkla- gardatalagen (2015:433) och 2 kap. 2 § första stycket 13 kustbevaknings- datalagen (2012:145) hänvisas till 52 § första stycket personuppgifts- lagen. Domstolsdatalagen (2015:728) har däremot egna överklagande- bestämmelser som i sak i allt väsentligt motsvarar 52 § första stycket per- sonuppgiftslagen, men har anpassats till följd av instansordningen (20– 22 §§). I lagen (2001:617) om behandling av personuppgifter inom kriminalvården finns det också särskilda överklagandebestämmelser (12– 16 §§). Behovet av en överklagandebestämmelse i ramlagen Det är naturligt att se en myndighets beslut i egenskap av personuppgifts- ansvarig, exempelvis i fråga om en personuppgift ska rättas eller inte, som ett utflöde av dess myndighetsutövning. I allmänhet har myndighe- ten behandlat personuppgifterna i syfte att fullgöra myndighetsuppgifter. Personuppgifterna har också normalt behandlats med stöd av olika för- fattningsbestämmelser, oberoende av den registrerades samtycke. I likhet med utredningen anser därför regeringen att ramlagen bör innehålla en bestämmelse som motsvarar 52 § första stycket personuppgiftslagen, även om direktivet inte ställer krav på att andra beslut än tillsynsmyn- dighetens ska kunna överklagas. Regeringen kommer att behandla frågan om det behövs särskilda över- klagandebestämmelser i registerförfattningarna i samband med att dessa anpassas till direktivet. Vilka beslut ska kunna överklagas? När det gäller enskildas rätt att överklaga myndighetsbeslut bör, som utredningen konstaterar, samma utgångspunkt gälla som i fråga om rätten att överklaga beslut enligt personuppgiftslagen. Överklaganderätten bör alltså enbart ta sikte på sådana beslut av myndigheten som den fattat i egenskap av personuppgiftsansvarig och som direkt berör den enskilde och som gått honom eller henne emot. Sådana beslut bör på samma sätt som andra förvaltningsbeslut kunna överklagas till allmän förvaltnings- domstol. Utredningen har med den utgångspunkten övervägt vilka beslut som bör vara överklagbara. Regeringen håller med utredningen om att beslut som fattas på begäran av en registrerad om att personuppgifter ska rättas, kompletteras eller raderas eller att behandlingen av personuppgifter ska begränsas bör kunna överklagas. Det bör gälla oavsett om myndigheten avslår begäran eller vidtar en annan åtgärd än den som begärts. Har myn- digheten helt eller delvis underlåtit att lämna information som den en- skilde har begärt, bör beslutet kunna överklagas. Även beslut att ta ut avgift för information eller att vägra omprövning av ett automatiserat beslut bör kunna överklagas. Som anges i avsnitt 10.2.9 bör rätten att få närmare information om automatiserade beslut inte gå att begränsa. Det kommer alltså inte att kunna fattas beslut om att begränsa sådan infor- mation. Därmed saknas anledning att införa en möjlighet att överklaga sådana beslut. Enbart vissa beslut som en myndighet i egenskap av personuppgiftsan- svarig fattar bör alltså få överklagas. Det bör framgå direkt av ramlagen vilka beslut det är. Uppräkningen motsvarar i allt väsentligt de beslut som får överklagas enligt 52 § personuppgiftslagen. Överklagandena bör, på samma sätt som , prövas av allmän för- valtningsdomstol. Vid överklagande till kammarrätten bör det, på samma sätt som , krävas prövningstillstånd. Vad bör inte få överklagas? Alla beslut som en myndighet fattar i egenskap av personuppgifts- ansvarig bör, som tidigare angetts, inte få överklagas. Administrativa beslut av en personuppgiftsansvarig myndighet, t.ex. i fråga om till- gången till personuppgifter, berör inte den enskilde på ett sådant sätt att de bör få överklagas. Det bör av ramlagen framgå att andra beslut än de som räknas upp inte får överklagas. Rätten att överklaga bör inte heller gälla beslut av myndigheter vilkas beslut normalt inte får överklagas. En uttrycklig bestämmelse om det bör tas in i ramlagen. Det gäller för beslut av regeringen (jfr regleringen av Prop. 2017/18:232 utlämnande av allmänna handlingar i 6 kap. 7 § offentlighets- och sekre- För utlämnande av allmänna handlingar gäller samma ordning för ombudsmän som för och regeringen (se 4 § andra stycket lagen [1989:186] om överklagande av administrativa beslut av och myndigheter). Beslut som fat- tas av ombudsmän i egenskap av personuppgiftsansvarig myndighet bör därför inte kunna överklagas. Högsta domstolens och Högsta förvaltningsdomstolens beslut får inte överklagas (jfr 11 kap. 1 § regeringsformen). Därför bör inte heller deras beslut enligt ramlagen få överklagas (jfr prop. 2014/15:148 s. 94). Regeringens bedömning: En registrerads rätt att lämna in klagomål till en tillsynsmyndighet om han eller hon anser att hans eller hennes personuppgifter har behandlats felaktigt kräver inga lagstiftningsåt- gärder. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning I direktivet finns bestämmelser om hur klagomål över behandling av per- sonuppgifter ska hanteras. Med klagomål avses här missnöje som ut- trycks av enskilda och som inte avser begäran om rättelse, omprövning, överklagande eller någon annan formellt reglerad åtgärd. Enligt artikel 52.1 har alla registrerade som anser att behandling av personuppgifter som avser dem står i strid med de bestämmelser som genomför direktivet rätt att lämna in klagomål till en enda tillsynsmyn- dighet. Av artikel 46.1 f framgår att det ska ingå i tillsynsmyndighetens uppgifter att behandla klagomål från registrerade. Rätten att ge in klago- mål får inte påverka andra administrativa prövningsförfaranden eller rättsmedel och rätten till andra rättsmedel får inte påverka rätten att ge in klagomål. Artiklarna 46.1 f, 46.2 och 52.2–4 innehåller bestämmelser av proces- suell karaktär som anger hur tillsynsmyndigheten ska hantera ett klago- mål i förhållande till den enskilde. Där regleras bl.a. vilken information som tillsynsmyndigheten ska ge den enskilde om handläggningen och resultatet. Av artikel 53.2 framgår att den registrerade i normalfallet inte ska behöva vänta mer än på ett besked. Enligt artiklar- na 13.1 d och 14 f ska den personuppgiftsansvarige göra information om rätten att lämna in klagomål till tillsynsmyndigheten tillgänglig för den registrerade. Den frågan behandlas i avsnitt 10.2.6 och 10.2.8. Dagens hantering av klagomål I artikel 28.4 och skäl 63 direktiv finns bestämmelser om kla- gomålshantering. I korthet innebär de att var och en kan vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter vid personuppgiftsbehandling och att den som framställt en sådan begä- ran har rätt att få besked om vad den lett till. Indirekt framgår också att tillsynsmyndigheten har till uppgift att hantera klagomål. finns det inte någon uttrycklig regel om att den som är missnöjd med behandlingen av personuppgifter har rätt att ge in klagomål. Av 6 § förvaltningslagen (2017:900) följer dock att en enskild alltid kan kon- takta en myndighet och framföra synpunkter. Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen och de behöriga myndigheternas registerförfattningar. Enligt inspektionens praxis kan en enskild ge in klagomål dit. Myndigheten brukar informera den enskilde om vilka åtgärder klagomålet lett till. Om myndigheten anser att det krävs, genomför den tillsyn med anledning av klagomålet. Av avsnitt 11.1.2 framgår att också har tillsyn över viss personuppgiftsbehandling. Regleringen avseende klagomål har två perspektiv Dataskyddsdirektivet innehåller betydligt fler och mer utförliga bestäm- melser om klagomålshantering än direktiv. fanns be- stämmelserna enbart i kapitlet om tillsynsmyndigheten. I det nya direkti- vet har artiklarna delvis annat innehåll och annan placering. De finns både i det kapitel som rör tillsynsmyndighetens uppgifter och i det kapi- tel som rör rättsmedel för enskilda. Klagomålshanteringen har därmed fått en tydlig koppling även till registrerades rättigheter. Artikel 52.1 behandlar främst hanteringen av klagomål från registrera- des perspektiv. I artiklarna 46.1 f, 46.2 och 52.2–52.4 regleras klago- målshanteringen huvudsakligen från tillsynsmyndighetens perspektiv. Även om de sistnämnda artiklarna främst riktar sig till tillsynsmyndig- heten, genom att de definierar dess uppgifter och anger hur klagomål ska behandlas av myndigheten, får de indirekt betydelse även för registre- rade. De ger uttryck för vad registrerade kan förvänta sig av tillsynsmyn- digheten och tydliggör därmed innebörden av rätten i artikel 52.1. Regleringen har alltså, som utredningen konstaterar, två tydliga per- spektiv: tillsynsmyndighetens och de registrerades. Reglernas syfte är att ge den registrerade ett rättsmedel Att registrerade kan framföra klagomål till en tillsynsmyndighet är ägnat att öka förtroendet för och därmed legitimiteten i den verksamhet som tillsynen avser. Syftet med en klagomålsfunktion är dels att skapa tilltro, dels att säkerställa att det finns en fristående instans som den som anser sig vara utsatt för felaktig behandling kan vända sig till med klagomål. De registrerades behov av att få klagomål utredda står alltså i centrum. I direktivet är utgångspunkten att ge den som anser sig vara felaktigt behandlad en uttrycklig möjlighet att framföra sitt klagomål och få det hanterat. Möjligheten för den registrerade att ge in klagomål till tillsyns- myndigheten uttrycks som en rättighet. Även om tillsynsmyndigheten väljer att inte genomföra tillsyn med anledning av klagomålet, ska den alltid ge den registrerade besked om vad klagomålet lett till. Placeringen av artikel 52 i kapitlet som behandlar rättsmedel, ansvar och sanktioner understryker att rätten att ge in klagomål ska ses som ett rättsmedel. Behövs det en tydligare reglering av rätten att ge in klagomål? Kraven på tillsynsmyndighetens hantering av klagomål har skärpts i för- hållande till vad som gäller . Artikel 52.1 innebär emellertid endast en rätt för den registrerade att vända sig till myndigheten med synpunkter på hur hans eller hennes personuppgifter behandlats. Vad den registre- rade kan uppnå genom att ge in ett klagomål skiljer sig från vad han eller hon kan uppnå genom en domstolsprövning och kan inte jämställas med rätten att överklaga ett beslut fattat av tillsynsmyndigheten (se avsnitt 13.7.1). Regeringen delar mot denna bakgrund utredningens bedömning att artikel 52.1 inte bör ges någon annan innebörd än att en registrerad ska tillförsäkras rätt att framföra eventuella klagomål till en tillsynsmyn- dighet. Frågan är då om den mer detaljerade regleringen av klagomål i direkti- vet innebär att det behövs en uttrycklig bestämmelse i ramlagen som ger en registrerad rätt att ge in klagomål till tillsynsmyndigheten. Av flera skäl vore det inte lämpligt att ta in en sådan regel i ramlagen. I andra lagstiftningsärenden där motsvarande fråga har behandlats har lag- valt att reglera rätten att ge in klagomål indirekt genom att reglera tillsynsmyndighetens uppgifter (prop. s. 77 f., jfr också SOU 2003:113 s. 122 f.). Inte ens i lagen (1986:765) med instruktion för ombudsmän – vars främsta uppgift är att behandla klagomål från allmänheten – har möjligheten att klaga på myn- digheter konstruerats som en rättighet för enskilda. Att uttryckligen före- skriva rätt att ge in klagomål avseende personuppgiftsbehandling skulle alltså avvika från systematiken i den svenska lagstiftningen. En sådan bestämmelse bör därför inte införas. En annan viktig aspekt är att regleringen inte bör ge enskilda fel för- väntningar. finns det tyvärr ofta felaktiga förväntningar på vad klagomål kan leda till och vilka åtgärder en tillsynsmyndighet kan vidta med anledning av klagomål. Enskilda förväntar sig t.ex. att tillsyn alltid ska utövas när klagomål har getts in eller att till- synsmyndigheten kan ändra eller på annat sätt påverka ett beslut i sak. Regeringen håller med utredningen om att en reglering av rätten att ge in klagomål skulle kunna skapa felaktiga förväntningar hos enskilda om vad som kan uppnås genom ett klagomål (jfr Skapa tilltro – Generell tillsyn, enskildas klagomål och det allmänna ombudet inom socialförsäkringen, SOU 2015:46, s. 109 f.). Risken för felaktiga förväntningar skulle öka med en särskild regel, eftersom en sådan regel skulle avvika från vad som gäller vid annan klagomålshantering. I förlängningen skulle det kunna leda till att allmänhetens förtroende för verksamheten snarare undergrävs än motsatsen, eftersom de flesta klagomål inte leder till det resultat som klaganden förväntar sig. Mot den bakgrunden delar regeringen utredningens bedömning att rät- ten att ge in klagomål endast bör regleras indirekt som en av tillsyns- myndighetens uppgifter (se avsnitt 11.6.1 och 11.6.2). 2017/18:232 Vad avses med en enda tillsynsmyndighet? Enligt artikel 52.1 ska den registrerade ha rätt att lämna in klagomål till en enda tillsynsmyndighet. Det är oklart vad som avses med det. Artikeln skulle kunna förstås som att en registrerad ska ha rätt att lämna in ett kla- gomål till vilken behörig tillsynsmyndighet som helst i en stat som är bunden av direktivet. En registrerad som bor i , vars uppgifter behandlas av en personuppgiftsansvarig i , skulle vid en sådan tolkning kunna lämna in sitt klagomål till en svensk tillsynsmyndighet. Omvänt skulle någon som bor i , vars personuppgifter behand- las av en personuppgiftsansvarig i , kunna lämna in sitt klagomål i . Det finns exempel på unionsrättsakter där det föreskrivs att enskilda ska kunna vända sig med en begäran till en behörig myndighet i valfri medlemsstat. Myndigheten som tagit emot begäran är sedan skyldig att vidarebefordra den till rätt myndighet, se t.ex. artikel 37.1 Europolförord- ningen. Eftersom det inte finns någon bestämmelse av motsvarande slag i direktivet anser regeringen, i likhet med utredningen, att hänvisningen till en enda tillsynsmyndighet inte kan ha den innebörden. Uttrycket bör i stället tolkas så att den registrerade ska kunna vända sig till valfri tillsynsmyndighet med sitt klagomål, om det finns flera sådana myndigheter i en medlemsstat. Frågan aktualiseras därmed bara om en medlemsstat väljer att utse flera tillsynsmyndigheter. I föreslås enbart Datainspektionen bli tillsynsmyndighet enligt direktivet. Någon lagstiftningsåtgärd krävs därmed inte. 13.6En effektiv handläggning av klagomål Regeringens bedömning: Det behövs inga särskilda författningsbe- stämmelser om tillsynsmyndighetens skyldigheter att handlägga kla- gomål inom rimlig tid. Utredningen föreslår till skillnad från regeringen särskilda bestäm- melser om en rätt för den registrerade att föra en dröjsmålstalan i allmän förvaltningsdomstol. Remissinstanserna: Förvaltningsrätten i och Justitiekans- lern anser att de föreslagna bestämmelserna framstår som komplicerade, tidsödande och kostnadskrävande i förhållande till vad som rimligen går att uppnå. Det bör därför enligt Justitiekanslerns uppfattning övervägas om inte tillgången till ett effektivt rättsmedel kan säkerställas på något annat sätt. tillstyrker en reglering av en särskild dröjsmåls- talan. Skälen för regeringens bedömning: Enligt artikel 53.2 ska varje regi- strerad person ha rätt till ett effektivt rättsmedel om tillsynsmyndigheten inte behandlar ett klagomål eller informerar den regi- strerade om handläggningen av klagomålet eller vilket beslut som har fattats med anledning av detta. Ett uppenbart ogrundat klagomål bör kunna besvaras av tillsyns- myndigheten tämligen omgående, i vart fall . fall kan tillsynsmyndigheten ha anledning att utnyttja sina undersök- ningsbefogenheter, exempelvis begära in information eller genomföra ett Prop. 2017/18:232 tillsynsbesök. Besked om huruvida sådan tillsyn ska utövas eller inte bör enligt regeringens mening i princip alltid kunna lämnas till den regi- strerade . I de undantagsfall ett sådant besked inte kan ges bör tillsynsmyndigheten i vart fall kunna lämna besked om hur ären- det fortskrider. informationsplikt gentemot den registrerade är då uppfylld. Artikel 53.2 ger inte den registrerade rätt att inom tidsfristen få ett slutligt besked om vilka eventuella åtgärder gent- emot den personuppgiftsansvarige som klagomålet i förlängningen leder till. Bestämmelsen syftar i stället till att stävja passivitet hos tillsyns- myndigheten och säkerställa att den registrerade hålls underrättad om handläggningen av ärendet. Vid sidan av bestämmelserna om tillsynsmyndighetens skyldigheter att bl.a. handlägga klagomål gäller skyndsamhetskrav och informationsskyl- dighet enligt förvaltningslagens allmänna bestämmelser (se avsnitt 11.6). För det undantagsfall att den registrerade ändå inte skulle få något besked från tillsynsmyndigheten rörande klagomålet inom rimlig tid finns det krav på att myndigheter ska handlägga ärenden skyndsamt och åtgärder för den enskilde att vidta. Myndigheter är föremål för krav från statsmak- terna att förkorta handläggningstiderna och att arbeta bort ärendebalan- ser. I myndigheternas regleringsbrev poängterar regeringen ofta att hand- läggningen av ärenden ska bedrivas effektivt. Chefen för en myndighet har till uppgift att bevaka att ärenden inte blir liggande utan att åtgärder vidtas. Även Justitiekanslerns och JO:s tillsyn ska motverka långsam hand- läggning. Enligt 29 § myndighetsförordningen (2007:515) ska också myndigheterna till Justitiekanslern skicka in förteckningar över ärenden som har kommit in före föregående år men som inte har avgjorts vid årets utgång. Sammanfattningsvis gör regeringen bedömningen att det i svensk rätt redan finns effektiva rättsmedel som är tillgängliga för den registrerade om tillsynsmyndigheten inte skulle uppfylla sin informationsskyldighet enligt direktivet. Denna bedömning görs även på förordningens område (prop. 2017/18:105 s. 152 f.) Regeringen anser därför, i likhet med För- valtningsrätten i och Justitiekanslern men i motsats till Data- , att det inte behövs några särskilda författningsbestämmelser om tillsynsmyndighetens skyldigheter att handlägga klagomål inom rim- lig tid. 13.7Överklagande av tillsynsmyndighetens beslut 13.7.1Tillsynsmyndighetens beslut ska kunna överklagas Regeringens förslag: beslut enligt ramlagen ska få överklagas till allmän förvaltningsdomstol. När ett beslut över- klagas, är tillsynsmyndigheten motpart i domstolen. Vid överklagande till kammarrätten ska det krävas prövningstill- stånd. 2017/18:232 Utredningens förslag överensstämmer i huvudsak med regeringens.