sou · H6B352 · 2018-06-28 00:00:00 — verksamhet består av behandling i stor omfattning av känsliga person- uppgifter och personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Att det i vissa fall krävs att ett dataskyddsombud utses är en nyhet. Ett dataskyddsombud ska utses på grundval av yrkesmässiga kvalifikationer, sakkunskap och förmåga att utföra arbetsuppgif- terna. Arbetsuppgifterna ska utföras självständigt, utan instruktioner från den personuppgiftsansvarige, och med möjlighet att delta i alla frågor som rör dataskydd. Som en följd av detta ska data- skyddsombudet också, när det gäller dennes genomförande av sina arbetsuppgifter, vara bundet av regler om sekretess eller konfi- dentialitet. Dataskyddsombudet får inte avsättas eller bli föremål för sanktioner för att ha utfört sina arbetsuppgifter. Rapporteringen ska ske direkt till den högsta förvaltningsnivån (artikel 38). Dataskyddsombudet ska informera och ge råd till berörda samt övervaka efterlevnaden av dataskyddsbestämmelser. Dataskydds- ombudet ska också samarbeta med tillsynsmyndigheten och fungera som kontaktpunkt vid förhandssamråd och andra kontakter. Även registrerade ska kunna kontakta dataskyddsombudet (artikel 39). 3.4.10Överföring av personuppgifter till tredjeland Personuppgifter får överföras till tredjeland eller en internationell organisation endast under vissa förutsättningar. En sådan förut- sättning är om kommissionen har beslutat att tredjelandet, ett terri- torium eller en eller flera specificerade sektorer i tredjelandet eller den internationella organisationen säkerställer en adekvat skydds- nivå (artikel 45). I avsaknad av ett beslut från kommissionen får personuppgifter överföras till tredjeland eller en internationell orga- nisation efter att lämpliga skyddsåtgärder vidtagits och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga (artikel 46). Därutöver anges i data- skyddsförordningen ett antal förhållanden som kan grunda rätt till överföring till tredjeland i särskilda situationer (artikel 49). Varje medlemsstat ska ha en tillsynsmyndighet som övervakar tillämp- ningen av dataskyddsförordningen (artikel 51). och dess ledamöter ska vara oberoende (artikel 52–54) och behörig- heten att utföra uppgifter ska vara begränsad till vad som framgår av dataskyddsförordningen (artikel 55–57). I form av utredningsbefog- enheter kan tillsynsmyndigheten bl.a. kräva information som behövs för att myndigheten ska kunna fullgöra sina uppgifter, genomföra undersökningar och få tillgång till lokaler. har också korrigerande befogenheter som bl.a. består av att utfärda var- ningar, reprimander, förelägganden, införa förbud mot behandling och påföra administrativa sanktionsavgifter. Dessutom kan tillsyns- myndigheter utfärda tillstånd och ge råd (artikel 58). Tillsynsmyndigheter ska samarbeta med varandra, utbyta relevant information och ge varandra bistånd (artikel 60 och 61). Vid behov ska de genomföra gemensamma insatser (artikel 62). i strid med dataskyddsförordningen En registrerad som anser att behandling av personuppgifter avseende honom eller henne strider mot dataskyddsförordningen, ska – till skillnad från vad som varit möjligt enligt dataskyddsdirek- tivet – kunna lämna klagomål till tillsynsmyndigheten och få ett överklagbart beslut (artikel 77 och 78). Den registrerade ska också kunna väcka talan i domstol mot den personuppgiftsansvarige eller personuppgiftsbiträdet (artikel 79). Den som har lidit materiell eller immateriell skada till följd av en överträdelse av dataskyddsförordningen ska ha rätt till skadestånd (artikel 82). Ett skadeståndsanspråk kan, i likhet med vad som gäller enligt dataskyddsdirektivet, riktas mot den personuppgiftsansvarige. Under vissa förutsättningar kan dock skadeståndsanspråk begäras även av ett personuppgiftsbiträde, vilket är nytt i förhållande till vad som gällt tidigare. ska enligt en annan nyhet i dataskyddsför- ordningen kunna påföra s.k. administrativa sanktionsavgifter (arti- kel 83). Två olika kategorier av överträdelser – uppdelade utifrån bestämmelser som föreskriver rättigheter och skyldigheter – föran- leder två olika maxbelopp (artikel 83.4 och 83.5). Medlemsstaterna får själva bestämma i vilken utsträckning myndigheter ska kunna på- föras administrativa sanktionsavgifter. Medlemsstaterna ska vidare fastställa regler om andra sanktioner för överträdelser av dataskyddsförordningen, särskilt för överträdel- ser som inte är föremål för administrativa sanktionsavgifter (arti- kel 84). 3.4.13Konkurrens med andra rättigheter Medlemsstaterna ska i lag förena rätten till integritet i enlighet med dataskyddsförordningen med yttrande- och informationsfriheten (artikel 85.1). För behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande ska med- lemsstaterna fastställa undantag eller avvikelser från stora delar av dataskyddsförordningen om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten (artikel 85.2). Personuppgifter i allmänna handlingar får lämnas ut av myndig- heter i enlighet med nationell rätt (artikel 86). Medlemsstaterna får själva bestämma hur ett nationellt identifika- tionsnummer (personnummer) får behandlas, med beaktande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt dataskyddsförordningen (artikel 87). För behandling av personuppgifter i anställningsförhållanden, får medlemsstaterna i lag eller kollektivavtal fastställa mer specifika regler för att säkerställa skyddet av anställdas rättigheter och friheter (arti- kel 88). Dataskyddsförordningen innehåller också bl.a. bestämmelser om uppförandekoder och certifiering (artikel 40–43), mekanismer för en enhetlig tillämpning av dataskyddsförordningen (artikel 63–67) och Europeiska dataskyddsstyrelsens ställning och arbetsuppgifter (artikel 68–76). 3.5.1Skydd för den personliga integriteten I regeringsformen finns grundläggande bestämmelser till skydd för den personliga integriteten. Redan i målsättningsstadgandet i 1 kap. 2 § regeringsformen slås fast att den offentliga makten ska utövas med respekt för den enskilda människans frihet och värdighet samt att det allmänna ska värna den enskildes privatliv och familjeliv. Av 2 kap. 6 § andra stycket regeringsformen framgår att var och en gentemot det allmänna är skyddad mot betydande intrång i den per- sonliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Uttrycket enskildas personliga förhållanden avses enligt för- arbetena ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400). Det innebär att regler- ingen i 2 kap. 6 § andra stycket regeringsformen kan komma att omfatta vitt skilda slag av information som är knuten till den en- skildes person, t.ex. uppgifter om namn och andra personliga identi- fikationsuppgifter, adress, familjeförhållanden, hälsa och vandel. Även fotografisk bild samt uppgifter som inte är direkt knutna till den enskildes privata sfär, t.ex. uppgift om anställning, omfattas av uttrycket. I enlighet med vad som framgår av förarbetena till sekretesslag (1980:100) torde även en uppgift om en persons eko- nomi omfattas av uttrycket personliga förhållanden.1 Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är enligt förarbetena inte dess huvudsakliga syfte utan vilken effekt åtgärden har.2 Som exempel anges att en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, kan anses innebära kartläggning av enskildas förhållanden. Detta oaktat att avsikten med åtgärden inte är att kartlägga enskilda. Det konstateras vidare att det förekommer myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering inom i stort sett all statlig och förvalt- ning och att informationshanteringen i många fall finns särskilt reglerad. Enligt propositionen får uppgifterna i flertalet fall anses 2009/10:80 s. 177. 2009/10:80 s. 250. tillgängliga för myndigheterna på sådant sätt att lagringen och be- handlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behandlingen är ett helt annat.3 Som exempel på kartläggning angav i sitt betänkande hantering av uppgifter om den enskildes hälsa i pati- entjournaler och hälsodataregister eller inom ramen för forskning i det allmännas regi.4 Vad som utgör ett betydande intrång får enligt förarbetena av- göras utifrån bl.a. uppgifternas karaktär och omfattning. En hantering av känsliga uppgifter kan innebära ett betydande intrång i den per- sonliga integriteten även om det rör sig om ett fåtal uppgifter. Åandra sidan kan mängden uppgifter i sig vara en betydelsefull faktor i sammanhanget. Även ändamålet med behandlingen är av vikt för att avgöra om det rör sig om ett betydande intrång. En hantering som syftar till att utreda brott anses i förarbetena normalt vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Omfattningen av utlämnande av uppgifter till andra som sker utan stöd av offentlighetsprincipen kan också vara av bety- delse vid bedömningen.5 3.5.2Begränsning av skyddet för den personliga integriteten Skyddet för den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen är inte absolut och kan under vissa förut- sättningar begränsas med hänsyn till andra motstående intressen. En begränsning måste dock enligt 2 kap. 20 § regeringsformen ske genom lag och får enligt 2 kap. 21 § regeringsformen göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbild- ningen såsom en av folkstyrelsens grundvalar. 2009/10:80 s. 180 f. Det kan dock noteras att i SOU 2015:39 s. 198 ff. argumenterar för att det inte är helt självklart att bestämmelser i re- gisterförfattningar alltid måste anses utgöra sådan reglering som medför ett betydande intrång i den personliga integriteten. 4SOU 2008:3 s. 271. 2009/10:80 s. 183 f. inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. Regleringen avser enligt förarbetena att understryka kravet på att lagstiftaren, när en fri- och rättighetsinskränkande lag beslutas, noga redovisar sina syften.6 Eftersom begränsningen inte får gå utöver vad som är nödvändigt med hänsyn till ändamålet, måste ett lagstift- ningsarbete som påverkar skyddet av den personliga integriteten inkludera en integritetsanalys. Det intrång som sker i den enskildes personliga integritet måste vara befogat och stå i rimlig proportion till de fördelar som intrånget bidrar med till det motstående intresset. Det är endast tillåtet med lagar som inskränker integritetsskyddet om det inte finns några mindre integritetskänsliga alternativ och det intresse som ska tillgodoses är så starkt att det väger över intresset av skydd för den personliga integriteten. I förarbetena framfördes en förväntan på att kravet på att lagstiftaren tydligt redovisar vilka avvägningar som gjorts vid proportionalitetsbedömningen skulle medföra att avvägningarna i fråga om integritetsintrånget skulle bli mer ingående belysta och presenteras på ett sådant sätt att kvaliteten i lagstiftningen skulle höjas ytterligare.7 Det är således bara genom (svensk) lag som skyddet enligt 2 kap. 6 § andra stycket regeringsformen kan inskränkas. Den rätt att behandla personuppgifter som följer av den i direkt tillämp- liga dataskyddsförordningen gör alltså inte att myndigheter får be- handla personuppgifter i strid med 2 kap. 6 § andra stycket reger- ingsformen. 3.5.3Intrång i den personliga integriteten Många förarbeten till författningar och enstaka bestämmelser rörande behandling av personuppgifter som beslutats , då 2 kap. 6 § andra stycket regeringsformen började gälla, innehåller inte en grund- lig analys av om regleringen kan förväntas orsaka ett betydande intrång i den personliga integriteten. Även om slutsatsen ofta är att regleringen av myndigheters behandling av personuppgifter ska ske i lag, är det resonemang som leder fram till det inte sällan summariskt och mynnar ut i en hänvisning till en överenskommelse 1975/76:209 s. 153. 2009/10:80 s. 177. mellan regering och riksdag . Överens- kommelsen framgår av de förarbeten som följde på Data- och offentlighetskommitténs betänkande. Kommittén hade behandlat frågor om författningsreglering av personregister och med anledning av detta konstaterat att register med kvalificerat känsliga person- uppgifter kräver speciallagstiftning.8 I det efterföljande lagstiftnings- arbetet uttalade regeringen att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras sär- skilt i lag.9 ställde sig bakom detta ställnings- tagande.10 Dessa uttalanden har senare vid åtskilliga tillfällen åbe- ropats i lagstiftningsärenden som vägledande för att välja lagform för registerförfattningsreglering. Uttalandena har kommit att tillämpas på såväl regleringen av regelrätta register som myndig- heters behandling av personuppgifter i stort.11 Ett exempel på ett lagstiftningsärende som regeringen ansett innefattat sådan integritetskänslig informationshantering som enskilda är skyddade mot enligt 2 kap. 6 § andra stycket regeringsformen är kustbevakningsdatalagen (2012:145). Med hänsyn till omfattningen och arten av verksamhet, den ingripande myndig- hetsutövning som ingår i myndighetens uppdrag samt behovet av att kunna behandla personuppgifter även av känsligare slag inom främst den brottsbekämpande verksamheten, ansåg regeringen att stora delar av behandling av personuppgifter innefattar sådan integritetskänslig informationshantering som enskilda är skyddade mot enligt 2 kap. 6 § andra stycket regeringsformen.12 Även Utredningen om personuppgiftsbehandlingen vid ISF kom, i sitt betänkande med förslag till en lag om behandling av person- uppgifter inom verksamheten för Inspektionen för socialförsäk- ringen, fram till att regleringen skulle medföra en sådan kartläggning av enskildas personliga förhållanden och sådana betydande intrång i den personliga integriteten som enligt 2 kap. 6 § andra stycket och 20 § första stycket 2 regeringsformen behöver ha stöd i lag. Som skäl angavs dels arten av den verksamhet som Inspektionen för social- försäkringen bedriver, där det finns behov av att behandla ett stort 8SOU 1987:31 s. 161 f. 1990/91:60 s. 58. 1990/91:KU11 s. 11. 11Se t.ex. prop. 1997/98:44 s. 41, bet. 1997/98:KU18 s. 43, prop. 1999/2000:39 s. 78 och 2009/10:80 s. 183 f. 2011/12:45 s. 62. antal personuppgifter, inklusive känsliga sådana och personuppgifter om lagöverträdelser m.m., dels att personuppgifter behöver samman- kopplas och att dessa behandlingar normalt sker utan att den en- skilde själv får kännedom om dem eller kan lämna sitt godkännande. Till detta kom att personuppgifterna kan komma att sparas under avsevärd tid.13 Ett exempel på motsatt bedömning är när regeringen i förarbet- ena till lagen (2012:741) om behandling av personuppgifter vid utvärdering konstaterade att den behandling av personuppgifter som utvärdering har behov av att utföra för att fullgöra sitt uppdrag i sig inte kan anses innebära ett sådant betydande intrång i den personliga integriteten att det av den anledningen krävs att behandlingen regleras i lag, särskilt mot bakgrund av att behandlingen till så stor del avser avidentifierade personuppgifter för forskningsändamål. Avgörande för att välja lag- form blev därför den överenskommelse mellan regering och riksdag som nämns ovan.14 En annan bedömning i förhållande till 2 kap. 6 § regeringsformen gjorde som i sitt betänkande med förslag till myndighetsdatalag menade att det är i rena undan- tagsfall som behandling av personuppgifter hos icke brottsbekämp- ande myndigheter kan anses innehålla några särskilda moment av personuppgiftsbehandling som typiskt sett kan ses som en sådan kartläggning eller övervakning som innebär ett betydande intrång i den personliga integriteten och därför omfattas av grundlagsstadgan- det.15 Det kan noteras att Datainspektionen har ifrågasatt denna be- dömning.16 Innan man prövar om ett förslag till reglering utgör ett betydande intrång i den personliga integriteten och omfattas av grundlags- skyddet i 2 kap. 6 § andra stycket regeringsformen, kan det finnas skäl att analysera om de föreslagna bestämmelserna över huvud taget medför ett intrång. Behandling av personuppgifter med stöd av samtycke, som undantas i 2 kap. 6 § andra stycket regeringsformen, torde exempelvis inte anses utgöra samma integritetsintrång som behandling som sker utan att den registrerade tillfrågas. 13SOU 2014:67 s. 89. 2011/12:176 s. 19 f. 15SOU 2015:39 s. 206 ff. 16Datainspektionens yttrande, dnr 1125-2015. reglering av behandling av personuppgifter ska anses utgöra ett intrång i den personliga integriteten måste regleringen rimligen avse en åtgärd som i någon mån inskränker den enskildes möjligheter att själv bestämma över sina personuppgifter. En reglerad skyldighet att behandla personuppgifter, exempelvis en föreskrift om att en myn- dighet ska föra ett visst register med personuppgifter eller att upp- gifter ska lämnas från en personuppgiftsansvarig till en annan får alltid anses medföra ett visst intrång i enskildas personliga integritet. Skyldigheten att behandla vissa personuppgifter innebär att den registrerade inte själv kan påverka behandlingen eller omfattningen av densamma. Även en tillåtande bestämmelse som innebär att en myndighet får möjlighet att utföra en viss behandling av personupp- gifter som annars skulle ha varit otillåten, får anses medföra ett intrång i enskildas personliga integritet. I och med att behandlingen av personuppgifter har gjorts tillåten, tvingas den enskilde finna sig i eventualiteten att hans eller hennes personuppgifter behandlas utan att samtycke först inhämtas. , som lämnade förslaget till grundlags- bestämmelsen i 2 kap. 6 § andra stycket regeringsformen, konstaterade att de från integritetsskyddssynpunkt viktigaste momenten i han- teringen handlar om hur uppgifter om enskilda får samlas in, ända- målet med behandlingen och i vilken utsträckning uppgifter på grund av uppgiftsskyldighet, som alltså bryter sekretess som gäller för uppgifterna, ska lämnas ut till andra för samkörning med uppgifter i andra myndighetsregister eller av andra skäl.17 Bestämmelser om direktåtkomst till personuppgifter hos en annan personuppgifts- ansvarig liksom de sekretessbrytande bestämmelser som krävs för att direktåtkomst ska kunna tillåtas, får genomgående anses medföra intrång i den personliga integriteten. Samma sak gäller bestämmelser som medger utökade befogenheter att sammanställa personupp- gifter. Bestämmelser som inte föranleder behandling av personupp- gifter utan i stället begränsar den personuppgiftsansvariges möjligheter att behandla personuppgifter, t.ex. i form av olika skyddsåtgärder, kan däremot inte i sig anses medföra intrång i den personliga integriteten. Bestämmelser om begränsning av åtkomst till person- uppgifter, krav på behörighetstilldelning och krav på pseudonymi- sering av personuppgifter skapar självständigt ingen möjlighet till 17SOU 2008:3 s. 272. behandling av personuppgifter utan utgör snarare regler om skydd för den enskildes personliga integritet. Dataskyddsdirektivet genomfördes i genom personuppgifts- lagen (1998:204) och ett antal andra författningar som komplet- terade personuppgiftslagen eller innehöll särreglering i förhållande till personuppgiftslagen. Personuppgiftslagen trädde i kraft den 24 ok- tober 1998 och ersatte den tidigare gällande datalagen (1973:289). Per- sonuppgiftslagen upphävdes i anslutning till att dataskyddsförord- ningen började tillämpas . En redogörelse för bestämmelserna i personuppgiftslagen finns i utredningens första betänkande, SOU 2017:66. Lagen med kompletterande bestämmelser till EU:s dataskyddsförord- ning (2018:218), dataskyddslagen, trädde i kraft . Dataskyddsförordningen är direkt tillämplig i , vilket innebär begränsade möjligheter att införa och behålla nationella bestämmelser om dataskydd.18 Dataskyddsförordningen förutsätter och medger dock nationella bestämmelser som kompletterar och föreskriver undantag från förordningens regler. I vissa fall tillåter också dataskyddsförordningen att förordningens regler specificeras i nationell rätt. Svenska bestämmelser som kompletterar dataskydds- förordningen och är av generell karaktär har samlats i den nya övergripande dataskyddalagen. Termer och uttryck i dataskydds- lagen har samma betydelse som i dataskyddsförordningen. Dataskyddslagen innehåller bestämmelser om utvidgad tillämp- ning av bestämmelserna i dataskyddsförordningen. Av 1 kap. 2 och 3 §§ dataskyddslagen framgår att bestämmelserna i dataskydds- förordningen och dataskyddslagen ska gälla även i verksamhet utan- för unionsrättens tillämpningsområde och vid deltagande i den gemensamma utrikes- och säkerhetspolitiken. 2017/18:105 s. 21 f. dock för verksamhet som omfattas av lagen (2007:258) om behand- ling av personuppgifter i Försvarsmaktens försvarsunderrättelse- verksamhet och militära säkerhetstjänst, lagen (2007:259) om behand- ling av personuppgifter i Försvarets radioanstalts försvarsunderrätt- else- och utvecklingsverksamhet eller 6 kap. polisdatalagen (2010:361). Dataskyddslagen är dock subsidiär i förhållande till annan lag eller förordning (1 kap. 6 § dataskyddslagen). Det möjliggör avvikande bestämmelser i registerförfattningar, dvs. författningar som reglerar behandling av personuppgifter på ett avgränsat område. Dataskydds- lagens inledande kapitel innehåller också bestämmelser om lagens territoriella tillämpningsområde, förhållandet till tryck- och yttrande- friheten och tystnadsplikt för personuppgiftsombud. I dataskyddslagens andra kapitel finns bestämmelser som förtyd- ligar när behandling av personuppgifter är laglig med stöd av data- skyddsförordningen. Av skäl 41 till dataskyddsförordningen kan man dra slutsatsen att den rättsliga grunden för behandling av personuppgifter inte måste fastställas i en av beslutad lag, men däremot att grunden måste vara fastställd i laga ordning, dvs. på ett konstitutionellt korrekt sätt. Vad detta konkret innebär i svensk rätt när det gäller arbetsuppgifter av allmänt intresse har preciserats i 2 kap. 2 § 1 dataskyddslagen. Enligt den bestämmelsen får person- uppgifter behandlas med stöd av artikel 6.1 e i dataskyddsförord- ningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. En bestämmelse som är ny i förhållande till tidigare lagstiftning är att ett barn som är kan samtycka till be- handling av personuppgifter i samband med användning av informa- tionssamhällets tjänster, t.ex. sociala medier. I tredje kapitlet finns kompletterande bestämmelser om behand- ling av särskilda kategorier av personuppgifter. I dataskyddslagen benämns sådana uppgifter känsliga personuppgifter (3 kap. 1 § data- skyddslagen). Kapitlet innehåller också bestämmelser om behandling av personuppgifter som rör lagöverträdelser samt personnummer och samordningsnummer. Användningsbegränsningar för personuppgifter som behandlas för arkivändamål och statistiska ändamål finns i 4 kap. dataskydds- lagen. Begränsningar av vissa rättigheter och skyldigheter i dataskydds- förordningen finns i dataskyddslagenslagens femte kapitel.