prop · H503232 · 2018-04-19 00:00:00 — Data- inspektionens tillsyn omfattar både behandling som regleras i person- uppgiftslagen (1998:204) och i särskilda registerförfattningar och andra författningar som innehåller bestämmelser om behandling av personupp- gifter. Enligt 2 § personuppgiftsförordningen (1998:1191) är Datainspektio- nen tillsynsmyndighet enligt personuppgiftslagen. Datainspektionen har också utsetts till nationell tillsynsmyndighet enligt flera unionsrättsakter, bl.a. artikel 28.1 dataskyddsdirektiv, artikel 25.1 i rådets rambeslut /977/RIF av om skydd av person- uppgifter som behandlas inom ramen för polissamarbete och straffrätts- ligt samarbete och artikel 30.5 i rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (Prümråds- beslutet). Inspektionens uppgift är bl.a. att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgif- ter. Verksamheten ska särskilt inriktas på att informera om gällande reg- ler och att ge råd och hjälp åt personuppgiftsombud. Vidare ska myndig- heten följa och beskriva utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik (1 § Datainspektionens instruktion). Inspektionen har rätt att för sin tillsyn få tillgång till personuppgifter, Prop. 2017/18:232 upplysningar och dokument och tillträde till lokaler som används för be- handling av personuppgifter (43 § personuppgiftslagen). Genom påpe- kanden och liknande förfaranden ska inspektionen i första hand försöka åstadkomma rättelse och i andra hand besluta om förbud mot annan behandling än lagring (45 § personuppgiftslagen) eller vid domstol an- söka om utplåning av personuppgifter som behandlats på ett olagligt sätt (47 § personuppgiftslagen). I vissa fall kan inspektionen förena sina förelägganden med vite (44 och 45 §§ personuppgiftslagen). Datainspek- tionens beslut i tillsynsfrågor får överklagas (51 § personuppgiftslagen). Datainspektionen ingår i den s.k. Artikel 29-gruppen som inrättats med stöd av artikel 29.1 dataskyddsdirektiv. Arbetsgruppen består av en företrädare för tillsynsverksamheten i varje medlemsstat i EU. Arbetsgruppen har bl.a. till uppgift att bidra till en enhetlig tillämpning av nationella bestämmelser som genomför direktivet, att lämna råd till kommissionen inför ändringar av direktivet, att yttra sig till kommissio- nen om dataskyddsnivån inom EU och i tredjeland och att utarbeta gemensamma uppförandekoder. En närmare redogörelse för Datainspektionens tillsynsverksamhet finns i betänkandet Ett samlat ansvar för tillsyn över den personliga integri- teten (SOU 2016:65 s. 78 f.). Även utövar tillsyn över per- sonuppgiftsbehandling inom direktivets tillämpningsområde. Nämndens uppdrag regleras i lagen (2007:980) om tillsyn över viss brottsbekäm- pande verksamhet och förordningen (2007:1141) med instruktion för (i det följande nämndens in- struktion). Nämnden utövar tillsyn över brottsbekämpande myndigheters använd- ning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet. De myndigheter vars verksamhet berörs av tillsynen är , Säkerhetspolisen, Ekobrotts- myndigheten, och . Nämnden utövar även tillsyn över Säkerhetspolisens och behandling av personuppgifter enligt polisdatalagen (2010:361). Tillsynen ska sär- skilt ta sikte på behandlingen av känsliga personuppgifter. Nämnden inrättades i syfte att skapa ett fristående och självständigt organ som ska säkerställa rätten till effektivt rättsmedel som den garante- ras i artikel 13 i . Avsikten är att nämndens tillsyn ska komplettera den tillsyn som andra myndigheter ansvarar för, främst Justitiekanslern, och Datainspektionen (prop. 2006/07:133 s. 61 f. och prop. 2009/10:85 s. 272 f.). Nämnden utövar sin tillsyn genom inspektioner och andra undersök- ningar, som kan vara både föranmälda och oanmälda. Nämnden ska ock- så på begäran av enskilda kontrollera om de har varit föremål för behand- ling av personuppgifter inom nämndens tillsynsområde och underrätta dem om att kontrollen genomförts. Nämnden har för sin tillsyn rätt att få tillgång till de uppgifter och den hjälp som den begär av den myndighet 2017/18:232 som tillsynen avser. Om nämnden finner något att anmärka på får den lämna synpunkter på hur bristerna bör avhjälpas. Nämndens rekommen- dationer är inte bindande och kan inte överklagas. Om nämnden upptäcker brott ska det enligt 20 § nämndens instruktion anmälas till och om nämnden finner något som kan leda till skadeståndsansvar för staten ska det anmälas till Justitiekanslern. omständigheter som Datainspektionen bör uppmärksam- mas på, ska nämnden anmäla det till inspektionen. Det har inte funnits anledning för nämnden att göra någon anmälan till Datainspek- tionen, eftersom de brottsbekämpande myndigheterna följer nämndens uttalanden om regelefterlevnad. Nämndens rekommendationer om för- bättringar följs dock inte alltid av myndigheterna (se om Säkerhets- och integritetsskyddsnämndens tillsyn över brotts- bekämpande myndigheter, skr. 2015/16:188, s. 49). 11.1.3Riksdagens ombudsmän och Justitiekanslern ombudsmän () och Justitiekanslern utövar tillsyn över hur lagar och andra föreskrifter tillämpas i offentlig verksamhet. Deras till- syn omfattar därmed även behandlingen av personuppgifter och skyddet av enskildas personliga integritet vid sådan behandling. Både JO och Justitiekanslern är extraordinära tillsynsorgan. JO:s verksamhet regleras framför allt i regeringsformen, riksdagsord- ningen och lagen (1986:765) med instruktion för ombuds- män. Justitiekanslerns verksamhet regleras huvudsakligen i lagen (1975:1339) om Justitiekanslerns tillsyn och i förordningen (1975:1345) med instruktion för Justitiekanslern. De som står under JO:s och Justitiekanslerns tillsyn ska på begäran lämna upplysningar och yttranden och ge tillgång till handlingar och pro- tokoll. Ett granskningsärende kan inledas både efter klagomål från en- skilda och på JO:s eller Justitiekanslerns eget initiativ. Såväl JO som Justitiekanslern kan genomföra inspektioner som ett led i granskningen. Tillsynsärenden kan resultera i beslut som kan innehålla kritik eller väg- ledande uttalanden. Både JO och Justitiekanslern kan även väcka åtal mot någon som står under deras respektive tillsyn för brott som begåtts i tjänsten och har också rätt att väcka frågor om disciplinär bestraffning. Varken JO eller Justitiekanslern har däremot rätt att ompröva eller ändra beslut som har fattats av någon som står under deras tillsyn. 11.2 Utgångspunkter för överväganden om tillsyn Frågor om tillsyn har fått ökat fokus Frågor om tillsyn, t.ex. hur den ska bedrivas och vem som ska utöva till- syn, har diskuterats inom många olika områden och lös- Regeringen har i skrivelsen En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79, i det följande tillsynsskrivelsen) utveck- lat sin syn på tillsynsfrågor. I skrivelsen framhålls att den offentliga till- synen är viktig för att stärka efterlevnaden av de föreskrifter som riks- dagen och regeringen har beslutat. Tillsynen bidrar till att upprätthålla Prop. 2017/18:232 grundläggande värden i samhället som bl.a. rättssäkerhet. ska genom tillsynen vara tillförsäkrade att deras intressen tas till vara. Utgångspunkten i skrivelsen är att det krävs större enhetlighet i fråga I skrivelsen framhålls bl.a. att den offentliga tillsynen bör präglas av tydlighet och enhetlighet. Ett sätt att uppnå det är att tillsyns- myndigheternas uppdrag preciseras i form av tillsynsuppgifter, regler och i förekommande fall mål och prioriteringar. I skrivelsen pekas också på behovet av enhetliga begrepp. Vidare understryks att avsteg från de generella bedömningarna i skri- velsen kan leda till minskad tydlighet och enhetlighet, men att det inom vissa områden ändå kan finnas skäl att göra avsteg om det leder till en mer ändamålsenlig tillsyn inom det specifika området. Ett annat skäl för avsteg kan vara skyldigheter att genomföra och anpassa lag- stiftning till unionsrättsakter eller till internationella konventioner (skr. 2009/10:79 s. 13). Genomförandet av dataskyddsdirektivet när det gäller tillsynen kompli- ceras av flera faktorer. En har att göra med att Utredningen om 2016 års dataskyddsdirektivs uppdrag att utreda hur direktivet bör genomföras inte varit heltäckande. Uppdraget har, som tidigare nämnts, delvis fullgjorts av en annan utredning med ett annat fokus. Utredningen om tillsynen över den personliga integriteten (Ju 2015:02) har haft i uppdrag att kart- lägga vilken tillsyn över behandling av personuppgifter som bedrivs och överväga om den i större utsträckning kan samlas hos en myn- dighet. Den utredningen har också haft i uppdrag att peka ut vilken eller vilka myndigheter som bör vara tillsynsmyndighet enligt dataskyddsför- ordningen respektive dataskyddsdirektivet och representera i Europeiska dataskyddsstyrelsen (i det följande styrelsen). Även frågorna om hur företrädare för tillsynsmyndigheten ska utses och hur verksam- heten ska organiseras har ingått i den utredningens uppdrag. Utredningen har avgett betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65). I det följande behandlas den utredningens slutsatser huvudsakligen såvitt gäller genomförandet av dataskyddsdirek- tivet i avsnitt 11.4. I de fall hänvisningar till den utredningens övervä- ganden sker i andra delar av detta kapitel skrivs utredningens fullständiga namn eller SOU 2016:65 ut. För att ge en klarare bild av hur de olika utredningarnas uppdrag förhåller sig till och kompletterar varandra på tillsynsområdet tas några av de allmänna frågor som Utredningen om tillsynen över den personliga integriteten har behandlat upp redan här. Reglerna i direktivet och dataskyddsförordningen har stora likheter Direktivet har, bl.a. när det gäller tillsynen över behandlingen av person- uppgifter, till stora delar samma innehåll som dataskyddsförordningen eller i vart fall liknande regler. Tillsynsuppgifterna är i princip desamma enligt direktivet och förordningen, men förordningen reglerar också frå- gor som inte aktualiseras på direktivets område. fler och mer detaljerade regler om tillsynsmyndighetens befogenheter, men i sak motsvarar de i stort sett direktivets bestämmelser. 2017/18:232 Frågan är då vilka utgångspunkter som regeringen bör ha när det gäller genomförandet av artiklar i direktivet som är likalydande eller har bety- dande likheter med artiklar i dataskyddsförordningen. Eftersom förord- ningen kommer att gälla som svensk lag saknas det utrymme för att justera i dess bestämmelser. I den mån bestämmelserna i dataskydds- direktivet och dataskyddsförordningen behöver anpassas till varandra, t.ex. beträffande terminologin eller hur tillsynsverksamheten bör regle- ras, måste följaktligen den anpassningen göras vid genomförandet av direktivet. Det är viktigt att samma begrepp används vid tillsyn av personupp- giftsbehandling på dataskyddsdirektivets respektive dataskyddsförord- ningens område. Därför finns det anledning att vara återhållsam med att använda annan terminologi än den som används i förordningen, om det inte finns goda sakliga skäl för det (se avsnitt 6.2). Ett så enhetligt system för tillsyn över personuppgiftsbehandling som möjligt är också till fördel för både tillsynsmyndigheten och tillsyns- objekten. Reglerna om tillsyn på direktivets och förordningens område bör därför enligt regeringens mening så långt möjligt stämma överens, såvida det inte finns sakliga skäl för avvikelser. En fri och oberoende tillsyn måste värnas I skäl 4 i dataskyddsdirektivet framhålls att en hög skyddsnivå för per- sonuppgifter förutsätter ett kraftfullt tillsynsarbete. Ett viktigt verktyg för det är en oberoende och effektiv tillsyn över behandlingen av personupp- gifter. Direktivet medför bl.a. ökade krav på att tillsynsmyndigheternas oberoende värnas, att de får tillräckliga resurser och befogenheter att utöva sin tillsyn och att enskilda får möjlighet att reagera om tillsyns- myndigheten inte agerar tillräckligt snabbt. Ett led i en effektivare tillsyn är, som framhålls i tillsynsskrivelsen, att skapa tydliga regler för verksamheten så att både tillsynsmyndigheten, tillsynsobjekten och enskilda som befarar att deras personuppgifter kan ha behandlats på ett otillåtet sätt vet vilka skyldigheter respektive rättig- heter de har och vilka resultat som kan förväntas av tillsynen. är det lika viktigt att inte skapa detaljregler som riskerar att begränsa tillsynsmyndighetens möjligheter att arbeta oberoende och att prioritera bland sina arbetsuppgifter på det sätt som den anser bäst gagnar tillsyns- verksamheten som helhet. Det är alltså en balansgång mellan att skapa tydliga regler och att inte åstadkomma ett regelsystem som riskerar att hämma tillsynsmyndighetens oberoende. Regeringens utgångspunkt är att en effektiv tillsyn bäst gagnas av att den som utövar tillsynen får så stor frihet att välja arbetsformer som möjligt, utan att avkall görs på rätts- säkerheten. Den flexibilitet som den nuvarande, oreglerade, tillsynsverk- samheten ger bör därför så långt möjligt värnas. I avsnitt 6.1.3 redovisas att direktivet har dubbla syften. Det ska även prägla tillsynen. ska både skydda enskildas rättig- heter och underlätta det fria flödet av personuppgifter inom EU. Vad det innebär behandlas i avsnitt 11.5.2. Mot den bakgrunden kan regleringen som rör tillsynen inte byggas enbart utifrån enskildas perspektiv utan Prop. 2017/18:232 måste också beakta effekterna på det fria flödet av personuppgifter. Tillsynsområdet bör slås fast i en definition Regeringens förslag: I ramlagen ska tillsynsmyndigheten definieras som den myndighet som regeringen utser enligt direktivet för att utöva tillsyn över behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påfölj- der eller upprätthålla allmän ordning och säkerhet. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag: I avsnitt 6.1.2 föreslås att direktivet ska genomföras i en generellt tillämplig ramlag med tillhörande förord- De kommer på samma sätt som att kompletteras av myndig- heternas registerförfattningar och författningar om särskilda register. finns även enstaka bestämmelser inom direktivets tillämpningsområde i ska enligt artikel 41.1 och arti- kel 46.1 övervaka tillämpningen av direktivet och de författningar som Det innebär att tillsynsmyndigheten ska kunna utöva till- syn över tillämpningen av både ramlagen och andra författningar som reglerar behandling av personuppgifter inom direktivets tillämpningsom- En grundläggande fråga är hur det i ramlagen bör preciseras vad tillsynen ska omfatta. Ett alternativ är att i ramlagen räkna upp de lagar som omfattas av till- synen på samma sätt som i 1 § andra stycket lagen om tillsyn över viss Att all behandling av personuppgifter som utförs med stöd av ramlagen och den tillhörande förordningen ska omfattas av tillsynen är självklart. Eftersom det är syftet med behand- lingen som är avgörande för om ramlagen eller dataskyddsförordningen är tillämplig (se avsnitt 6.4.1), och därigenom vilka tillsynsregler som ska tillämpas, kan tillsynsområdet inte avgränsas genom att det i ram- lagen anges vilka författningar som omfattas av tillsynen. lerar flera av myndigheternas registerförfattningar personuppgifts- behandling inte bara inom direktivets tillämpningsområde utan även Av samma skäl – att det är syftet med behandlingen som är avgörande för om det ena eller andra regelverket ska tillämpas – bör tillsynsområdet inte heller knytas till en uppräkning av vissa myndigheter eller verksam- Tillsynsområdet måste därför, på samma sätt som ramlagens till- lämpningsområde, bestämmas utifrån syftet med behandlingen av per- När det gäller definitionen av tillsynsmyndigheten noterar Lagrådet att ramlagen även innehåller bestämmelser om ”tillsynsmyndighet i en annan medlemsstat”, som inte bör omfattas av definitionen. grunden och då den svenska tillsynsmyndigheten genomgående anges i 2017/18:232 bestämd form i den föreslagna lagtexten, anser Lagrådet att tillsyns- myndigheten bör anges i bestämd form i definitionen. Regeringen håller med Lagrådet om detta. Vidare kan enligt Lagrådet den definition som regeringen föreslog i lagrådsremissen förkortas enligt följande: ”Myndig- het som regeringen utser att utöva tillsyn över behandling av personupp- gifter inom dataskyddsdirektivets tillämpningsområde”. Regeringen anser dock att det är viktigt att definitionen endast omfattar den tillsyns- myndighet som utses enligt dataskyddsdirektivet. Den får inte uppfattas som att den inkluderar andra myndigheter som kan komma att utöva tillsyn över behandling av personuppgifter inom dataskyddsdirektivets område, t.ex. . Definitionen av tillsynsmyndigheten bör därför vara den myndighet som regeringen utser enligt dataskyddsdirektivet för att utöva tillsyn över behandling av personuppgifter som utförs av behöriga myndigheter i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. 11.3.2Undantag för dömande verksamhet Regeringens förslag: Tillsynen ska inte omfatta behandling av per- sonuppgifter inom ramen för domstolarnas dömande verksamhet. Utredningens förslag innehåller ingen särskild bestämmelse om till- syn över behandling av personuppgifter inom ramen för domstolarnas dömande verksamhet. Utredningen bedömer att dömande verksamhet redan skyddas genom bestämmelser i regeringsformen och att undantaget i direktivet därför inte kräver några lagstiftningsåtgärder. Remissinstanserna: Vissa remissinstanser, bl.a. Kammarrätten i , Förvaltningsrätten i och , anser att det är oklart om 11 kap. 3 § regeringsformen omfattar det som avses med dömande verksamhet i artikel 45.2 i direktivet och att det finns anledning att reglera undantaget för tillsyn över domstolar. Enligt finns det goda skäl att anta att begreppet dömande verksamhet får en vidare betydelse i ett unionsrättsligt perspektiv jämfört med ett svenskt. framhåller att det är av stor betydelse att det i en lagstift- ning av detta slag tydliggörs att tillsynen inte ska omfatta domstolarnas dömande verksamhet. Att det i regeringsformen finns skydd för domsto- larnas beslutsfattande och rättstillämpning i enskilda fall är enligt tings- rätten inte tillräckligt. Skälen för regeringens förslag Enligt artikel 45.2 ska tillsynsmyndigheten inte vara behörig att utöva tillsyn över domstolar som behandlar personuppgifter inom ramen för sin dömande verksamhet. Medlemsstaterna får även från tillsynsområdet undanta andra oberoende rättsliga instanser som behandlar personuppgif- ter inom ramen för sin rättsliga verksamhet. Av skäl 80 framgår att direk- tivet visserligen är tillämpligt på domstolars och andra rättsliga myndig- heters verksamheter, men att tillsynsmyndigheterna inte bör ha behörig- Prop. 2017/18:232 het att övervaka behandling av personuppgifter inom ramen för domsto- lars dömande verksamhet. Syftet är att garantera domares oberoende när de utför sina rättsliga uppgifter. Vidare framgår att undantaget bör vara inskränkt till rättsliga verksamheter i domstolsmål och inte vara tillämp- ligt på övriga verksamheter där domare kan medverka i enlighet med sin nationella rätt. Slutligen anges att medlemsstaterna också bör kunna före- skriva att tillsynsmyndigheten inte ska vara behörig att övervaka andra oberoende rättsliga myndigheter som behandlar personuppgifter inom ramen för sin rättsliga verksamhet, exempelvis åklagarmyndigheter. Någon reglering som begränsar tillsynen över domstolarna på detta sätt finns inte dataskyddsdirektiv. Av artikel 55.3 i dataskyddsför- ordningen framgår också att tillsynsmyndigheterna inte ska vara behöriga att utöva tillsyn över domstolar som behandlar personuppgifter i sin dömande verksamhet. Hur utövas tillsyn över domstolarna ? Enligt 11 kap. 3 § regeringsformen får ingen myndighet bestämma hur en domstol ska döma i det enskilda fallet eller hur en domstol i övrigt ska tillämpa en rättsregel i ett särskilt fall. Bestämmelsen ger uttryck för den centrala principen om domstolarnas självständighet i dömandet. Princi- pen innebär att domstolarna i sitt dömande bara har att rätta sig efter rättsregler och inte får ta emot direktiv om hur de ska döma i ett enskilt fall. Både JO och Justitiekanslern utövar tillsyn över domstolarna. ansetts självklart att JO:s tillsyn över domstolarna inte får inkräkta på domstolarnas grundlagsfästa självständighet. tillsyn över domstolarnas personuppgiftsbehandling. I ett mål som rörde frågan om Datainspektionen kunde utöva tillsyn över den behandling av personuppgifter som ägt rum genom att en domstol publicerat upprops- listor på den egna webbplatsen uttalade att 11 kap. 3 § regeringsformen inte omfattar sådana beslut som en domstol fattar i den egna verksamheten avseende domstolens administration. fanns därför inget som hindrade Datainspektionen att utöva tillsyn i det fallet (HFD 2014 ref. 32). Frågan om det finns behov av att uttryckligen avgränsa tillsynsmyndig- hetens behörighet för att säkerställa domares självständiga ställning be- rördes varken när personuppgiftslagen eller domstolsdatalagen infördes. Behövs det en ny reglering? Den verksamhet som bedrivs av domstolarna är alltså inte generellt undantagen från tillsyn vare sig när det gäller personuppgiftsbehandling eller i övrigt. Det uttryckliga undantaget för dömande verksamhet är som ovan nämnts en nyhet i och med dataskyddsreformen. begreppet dömande verksamhet är inte klar och därmed är det också osäkert hur stort område som ska vara undantaget från tillsyn. nämnda HFD-avgörandet rörande domstolens administration saknas praxis kring tillämpningsområdet för 11 kap. 3 § regeringsformen när det gäller tillsyn över personuppgiftsbehandling. Som Kammarrätten i Göte- borg, Förvaltningsrätten i och påpekar är det 2017/18:232 därför oklart om undantaget i 11 kap. 3 § regeringsformen omfattar hela det område som avses med dömande verksamhet i artikel 45.2. Det motsvarande undantaget för domstolarnas dömande verksamhet i artikel 55.3 i dataskyddsförordningen kommer att vara direkt tillämpligt på förordningens område. Enligt regeringen kan någon materiell skillnad mellan direktivet och förordningen inte vara avsedd i detta sammanhang. Det framstår därför som lämpligt att frågan om tillsyn över domstolarnas dömande verksamhet regleras på ett likartat sätt inom såväl direktivets som förordningens tillämpningsområde. En särskild reglering i ramlagen skulle tydliggöra att samma begränsning av tillsynsområdet gäller för all dömande verksamhet i domstolarna. För att säkerställa ett korrekt genomförande av artikel 45.2 i direktivet och för att åstadkomma en tydlig reglering anser regeringen, i likhet med flera remissinstanser, att det i ramlagen bör tas in en bestämmelse som anger att tillsynen inte ska omfatta behandling av personuppgifter inom ramen för domstolarnas dömande verksamhet. Uttrycket dömande verk- samhet bör ges samma innebörd som i direktivet. Av skäl 80 till direkti- vet framgår att det aktuella undantaget bör vara inskränkt till rättsliga verksamheter i domstolsmål och inte vara tillämpligt på övriga verksam- heter där domare i enlighet med medlemsstaternas nationella rätt kan medverka. Den närmare innebörden av begreppet får dock betraktas som oklar och bör överlämnas till rättstillämpningen att utveckla (se även prop. 2017/18:113, s. 23). Enligt artikel 45.2 i direktivet finns det också en möjlighet att från till- synsområdet undanta även andra rättsliga myndigheter som behandlar personuppgifter inom ramen för sin rättsliga verksamhet.