bet · H601KU26 · 2019-04-04 00:00:00 — Offentlighet, sekretess och integritet Utskottet föreslår att avslår motionsyrkanden från allmänna motionstiden /19 om offentlighet, sekretess och integritet. Motionerna rör datainsamling på internet, myndigheters handel med personuppgifter, Datainspektionens uppdrag, en årlig skrivelse om integritetsfrågor, ökad insyn och öppenhet i EU, översyn av offentlighets- och sekretesslagen samt en sekretessbrytande bestämmelse för statligt anställningsstöd. I betänkandet finns fem reservationer (M, V, L). Fjorton motionsyrkanden från allmänna motionstiden /19. Utskottets förslag till riksdagsbeslut Ärendet och dess beredning Personlig integritet och konsumentskydd Myndigheters handel med personuppgifter Årlig skrivelse om integritetsfrågor Ökad insyn och öppenhet i EU Översyn av offentlighets- och sekretesslagen Sekretessbrytande bestämmelse för statligt anställningsstöd 1.Personlig integritet och konsumentskydd, punkt 1 (M) 2.Datainspektionens uppdrag, punkt 3 (M) 3.Årlig skrivelse om integritetsfrågor, punkt 4 (L) 4.Ökad insyn och öppenhet i EU, punkt 5 (L) 5.Sekretessbrytande bestämmelse för statligt anställningsstöd, punkt 7 (V) Bilaga Förteckning över behandlade förslag Motioner från allmänna motionstiden /19 Utskottets förslag till riksdagsbeslut Personlig integritet och konsumentskydd 2018/19:520 av och (båda L) yrkandena 1 och 2, 2018/19:2604 av (KD) och 2018/19:2902 av m.fl. (M) yrkande 4. Reservation 1 (M) Myndigheters handel med personuppgifter 2018/19:178 av (KD) och 2018/19:958 av (M). 2018/19:2455 av Skånberg m.fl. (KD) yrkande 2 och 2018/19:2900 av m.fl. (M) yrkande 23. Reservation 2 (M) Årlig skrivelse om integritetsfrågor 2018/19:2588 av m.fl. (L) yrkande 12. Reservation 3 (L) Ökad insyn och öppenhet i EU 2018/19:2040 av m.fl. (L) yrkande 26. Reservation 4 (L) Översyn av offentlighets- och sekretesslagen 2018/19:475 av (L), 2018/19:1591 av (S) och 2018/19:1802 av m.fl. (S). Sekretessbrytande bestämmelse för statligt anställningsstöd 2018/19:383 av m.fl. (V) yrkande 14. Reservation 5 (V) Följande ledamöter har deltagit i beslutet: (M), (S), (S), (SD), (S), (C), (V), (SD), Skånberg (KD), (S), (L), (SD), (MP), (M), (M), (S) och (M). Ärendet och dess beredning I betänkandet behandlar utskottet 14 motionsyrkanden från den allmänna motionstiden /19. Yrkandena gäller datainsamling på internet, myndigheters handel med personuppgifter, Datainspektionens uppdrag, en årlig skrivelse om integritetsfrågor, ökad insyn och öppenhet i EU, översyn av offentlighets- och sekretesslagen samt en sekretessbrytande bestämmelse för statligt anställningsstöd. Tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen (YGL) ger var och en rätt att i skrift och i radio, tv och liknande medier uttrycka sina tankar och åsikter och lämna uppgifter i vilket ämne som helst. Av 2 kap. 1 § TF följer att var och en ska ha rätt att ta del av allmänna handlingar. Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § TF begränsas endast om det krävs med hänsyn till vissa intressen, bl.a. skyddet för en enskilds personliga eller ekonomiska förhållanden. Varje inskränkning i rätten att ta del av allmänna handlingar ska enligt TF anges noga i en bestämmelse i en särskild lag eller, om det anses lämpligare i ett visst fall, i en annan lag som den särskilda lagen hänvisar till. Efter bemyndigande i en sådan bestämmelse får regeringen genom förordning meddela närmare föreskrifter om bestämmelsens tillämplighet. Den särskilda lag som avses är offentlighets- och sekretesslagen (2009:400), förkortad OSL. Kompletterande bestämmelser finns i offentlighets- och sekretessförordningen (2009:641). Det allmänna ska enligt 1 kap. 2 § fjärde stycket regeringsformen (RF) verka för att demokratins idéer blir vägledande inom samhällets alla områden och värna den enskildes privatliv och familjeliv. Var och en är skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket RF). Begränsningar i detta skydd får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningarna får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett dem och heller inte sträcka sig så långt att de utgör ett hot mot den fria åsiktsbildningen. Begränsningar får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 21 § RF). Privatlivet kan också sägas ha ett grundlagsskydd genom förbudet mot åsiktsregistrering i 2 kap. 3 § RF. Enligt artikel 8 i europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En inskränkning i dessa rättigheter får bara göras med stöd av lag och om det är nödvändigt med hänsyn till ändamål som är angivna i artikeln. har tillträtt , och den gäller också som lag i . Enligt 2 kap. 19 § RF får en lag eller annan föreskrift inte meddelas i strid med åtaganden på grund av . I Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02) bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och internationella förpliktelser, , unionens och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Artikel 8 i stadgan reglerar skydd av personuppgifter. Enligt artikeln har var och en rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs. Den allmänna regleringen om behandling av personuppgifter inom EU fanns tidigare i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskydds-direktivet). Dataskyddsdirektivet genomfördes i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), förkortad PUL. PUL följde i princip dataskyddsdirektivets struktur och innehöll liksom direktivet bestämmelser om bl.a. personuppgiftsansvar, grundläggande krav för behandling av personuppgifter och information till den registrerade. PUL, som kompletterades av personuppgiftsförordningen (1998:1191), var tillämplig även utanför område och gällde för både myndigheter och enskilda som behandlade personuppgifter. Lagen var subsidiär, vilket innebar att dess bestämmelser inte skulle tillämpas om det fanns avvikande bestämmelser i en annan lag eller en förordning. Det fanns en stor mängd sådana bestämmelser i sektorsspecifika författningar, s.k. registerförfattningar, som främst reglerade hur olika myndigheter fick behandla personuppgifter. antogs en ny allmän dataskyddsförordning[1], som gäller för behandling av personuppgifter generellt, och ett nytt direktiv om skydd för personuppgifter på det brottsbekämpande området[2]. Syftet med det nya regelverket var att modernisera och ersätta reglerna i dataskyddsdirektivet och få till stånd en mer enhetlig tillämpning av dataskyddet inom EU. Dataskyddsförordningen innehåller många bestämmelser som är hämtade från dataskyddsdirektivet men även flera ändringar och nyheter, t.ex. rätten att bli glömd, dataportabilitet, skyldighet att anmäla personuppgiftsincident och skyldighet för den personuppgiftsansvarige att göra en konsekvensbedömning när det gäller dataskydd innan en riskfylld behandling påbörjas. Därutöver medför förordningen en skyldighet för dataskyddsmyndigheterna inom EU att samarbeta med varandra. Vid fall av s.k. gränsöverskridande behandlingar ska dessutom Europeiska dataskyddsstyrelsen kunna ta beslut som är bindande för de nationella dataskyddsmyndigheterna. Dataskyddsförordningen ersatte fr.o.m. dataskyddsdirektivet och utgör den generella regleringen av personuppgiftsbehandling inom EU. Trots att dataskyddsförordningen är direkt tillämplig, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Förordningen har därmed i vissa delar en direktivliknande karaktär. Som ett led i dataskyddsreformen föreslog regeringen i proposition 2017/18:105 Ny dataskyddslag att PUL skulle upphävas och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning skulle införas. antog regeringens lagförslag, och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) trädde i kraft (bet. 2017/18:KU23, rskr. 2017/18:224). Enligt dataskyddslagen gäller dataskyddsförordningen, med vissa undantag, även utanför sitt egentliga tillämpningsområde. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning och möjliggör därmed avvikande bestämmelser i registerförfattningar. I dataskyddslagen förtydligas bl.a. under vilka förutsättningar vissa personuppgifter får behandlas med stöd av dataskyddsförordningen. Dataskyddslagen innehåller också vissa bestämmelser om begränsning av de registrerades rättigheter samt om skadestånd och överklagande av beslut. I lagen anges även att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot TF eller YGL. EU:s nya dataskyddsdirektiv har genomförts i huvudsak genom brottsdatalagen (2018:1177), se prop. 2017/18:232, bet. 2017/18:JuU37, rskr. 2017/18:392. Lagen är en ramlag som är generellt tillämplig inom det område som direktivet reglerar, i huvudsak behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Lagen är subsidiär i förhållande till andra lagar och förordningar, vilket möjliggör avvikande bestämmelser i registerförfattningar. Det har införts nya lagar om personuppgiftsbehandling på brottsdatalagens område för bl.a. polisen, , , , åklagarväsendet, domstolarna och kriminalvården (prop. 2017/18:269, bet. 2018/19:JuU3, rskr. 2018/19:10). De nya lagarna gäller utöver brottsdatalagen och innehåller bestämmelser som innebär preciseringar, undantag eller avvikelser från den lagen. antogs en ny förordning som reglerar EU-institutionernas behandling av personuppgifter. lämnade förslag till en ny förordning om integritet och elektronisk kommunikation som ska gälla för tele- och internetoperatörer. [4] Förslaget bereds inom EU. Den parlamentariskt sammansatta (Ju 2014:09, dir. 2014:65 och 2016:12) har haft i huvuduppdrag att från ett individperspektiv kartlägga och analysera faktiska och potentiella risker för intrång i den personliga integriteten i samband med användning av informationsteknik. Dessutom skulle kommittén följa upp betänkandet Skyddet för den personliga integriteten (SOU 2008:3) när det gäller behovet av att inrätta ett integritetsskyddsråd och särskilt överväga om de uppgifter som ett sådant råd i så fall bör ges lämpligen kan fullgöras av en befintlig myndighet, samt föreslå nödvändiga författningsändringar. överlämnade kommittén till regeringen delbetänkandet Hur står det till med den personliga integriteten? – En kartläggning av (SOU 2016:41). Kommittén lämnar förslag bl.a. om att Datainspektionens uppdrag att följa och beskriva utvecklingen på it-området när det gäller frågor som rör personlig integritet och ny teknik ska utvidgas till att även omfatta de legala förutsättningarna för integritetsskyddet och att myndigheten ska lämna en redovisning om utvecklingen inom området till regeringen. Kommittén föreslår även att regeringen i en årlig skrivelse till ska informera om utvecklingen och det aktuella tillståndet när det gäller frågor som rör personlig integritet, informationsteknik och de legala förutsättningarna för integritets-skyddet. Kommittén anser att det inte bör inrättas något integritetsskyddsråd med huvuduppgift att verka för en säkrare avvägning av motstående intressen i lagstiftningen. redovisade sitt slutbetänkande . Det enhälliga slutbetänkandet – Så stärker vi den personliga integriteten (SOU 2017:52) – innehåller en rad förslag som syftar till att öka den enskildes skydd och kontroll över sina personuppgifter. Kommittén föreslår bl.a. följande: • En rad olika myndigheter får i uppdrag att initiera och stödja branschernas arbete med s.k. uppförandekoder, som är en form av branschvis själv-reglering av hur personuppgifter får hanteras. Uppförandekoder bör enligt kommittén tas fram för bl.a. hälso- och sjukvård, socialtjänst, arbetslivet, konsumenttjänster, sociala medier och skolverksamhet. • Den myndighet som får det samlade ansvaret för digitaliseringen av offentlig sektor ska även ges i uppdrag att värna den personliga integriteten, med särskilt fokus på införandet av integritetsskyddande teknik och arbetssätt. Kommittén anser dessutom att informations-säkerheten måste stärkas i samhället. • bör satsa på forskning om digitalisering och personlig integritet men även på utbildning för att höja den allmänna kunskapsnivån om digitaliseringens effekter på den egna integriteten och när det gäller vilka rättigheter man har gentemot företag och myndigheter som hanterar ens personuppgifter. För att understryka behovet av den här breda kraftsamlingen anser att regeringens digitala strategi ska kompletteras med den uttryckliga ambitionen att ska bli världsledande både när det gäller att använda digitaliseringens möjligheter och när det gäller att skydda den personliga integriteten. Såväl delbetänkandet som slutbetänkandet har remissbehandlats och bereds inom . I en dom ogiltigförklarades det s.k. datalagringsdirektivet av (dom i de förenade målen C-293/12 och C-594/12). Direktivet syftar till att harmonisera medlemsstaternas regler om skyldigheter för leverantörer av elektroniska kommunikationstjänster att lagra vissa uppgifter om kommunikation med fast eller mobil telefoni och i viss omfattning på internet. Direktivet genomfördes i svensk rätt genom ändringar i lagen (2003:389) och förordningen (2003:396) om elektronisk kommunikation som trädde i kraft . En särskild utredare fick i uppdrag av regeringen att analysera de svenska bestämmelserna om lagring av uppgifter i 6 kap. 16 a–f §§ lagen om elektronisk kommunikation samt övriga bestämmelser om tillgång och behandling av sådana uppgifter, och deras förhållande till unionsrätten (Ju 2014/3010/P). Utredaren lämnade sin redovisning av uppdraget i promemorian Datalagring, och svensk rätt (Ds 2014:23). Utredarens bedömning var att det svenska regelverket om lagring och utlämnande av uppgifter ryms inom de ramar som ställs upp av unionsrätten och europarättens allmänna principer och kravet på respekt för grundläggande rättigheter. Mot bakgrund av att unionsrätten och europarätten endast ställer upp vissa minimikrav för skydd av privatlivet som måste uppfyllas i den nationella lagstiftningen gjorde utredaren trots det bedömningen att det fanns skäl att i ännu en utredning närmare överväga några regeländringar för att ytterligare stärka skyddet för den personliga integriteten. Regeringen beslutade därför (Ju 2014:25, dir. 2014:101) att tillkalla en särskild utredare med uppdrag att bl.a. utvärdera lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brotts-bekämpande myndigheternas underrättelseverksamhet (inhämtningslagen) och analysera Säkerhetspolisens behov av en möjlighet enligt lagen att hämta in uppgifter om brottslig verksamhet som innefattar vissa samhällsfarliga brott. överlämnade utredningen betänkandet Datalagring och integritet (SOU 2015:31) till regeringen. Utredningen konstaterar att de brottsbekämpande myndigheterna hanterar ärenden enligt inhämtningslagen på ett i allt väsentligt tillfredsställande sätt. Vidare har utredningen funnit att lagen är ett viktigt redskap i myndigheternas underrättelseverksamhet. Mot bakgrund av att dagens beslutsordning fungerar väl gör utredningen bedömningen att beslut enligt inhämtningslagen även i fortsättningen bör fattas av de brottsbekämpande myndigheterna. Utredningen gör även vissa överväganden om hur skyddet för den personliga integriteten kan stärkas när det gäller lagring av uppgifter om elektronisk kommunikation för brottsbekämpande ändamål och lämnar ett antal förslag. Betänkandet har remissbehandlats och bereds inom . beslutade regeringen att tillkalla en särskild utredare med uppdrag att se över bestämmelserna om skyldigheten att lagra uppgifter om elektronisk kommunikation som gäller för leverantörer av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikations-tjänster, samt bestämmelserna om de brottsbekämpande myndigheternas tillgång till sådana uppgifter (dir. 2017:16). Översynen skulle genomföras i syfte att anpassa det svenska regelverket till så som den uttolkades av i förhandsavgörandet i de förenade målen C-203/15 och C-698/15 (den s.k. Tele2-domen). Utredaren skulle föreslå de förändringar som är nödvändiga för att det svenska regelverket ska vara proportionerligt och ha en ändamålsenlig balans mellan skyddet för enskildas personliga integritet och behovet av uppgifter för att kunna förebygga, förhindra, upptäcka, utreda och lagföra brott. Den del av uppdraget som gavs med anledning av förhandsavgörande om datalagring skulle delredovisas . Utredaren fick även i uppdrag att se över rättssäkerhetsgarantierna och mekanismerna som ska skydda den personliga integriteten när hemliga tvångsmedel för särskilt allvarlig brottslighet används, vilket redovisas i ett senare betänkande. Uppdraget i denna del skulle redovisas . överlämnade utredningen delbetänkandet Datalagring – brottsbekämpning och integritet (SOU 2017:75) till regeringen. Utredningen föreslår sammanfattningsvis följande: • Lagringsskyldigheten begränsas, t.ex. ska all kommunikation inom det fasta nätet undantas. • Lagringstiderna differentieras från dagens till två, . Lokaliseringsuppgifter, t.ex. var en mobiltelefon har befunnit sig vid tiden för ett samtal, ska lagras . För abonnemangsuppgifter vid internetåtkomst, vilket utredningen menar inte omfattas av domen, förlängs tiden . Med hjälp av den här typen av uppgifter kan t.ex. polisen få svar på vem som har ett visst IP-nummer. Övriga uppgifter, t.ex. vem som har pratat med vem i telefon, ska lagras . • Uppgifterna ska endast få lagras i , vilket enligt utredningen bl.a. skapar bättre förutsättningar för en effektiv tillsyn. • Det införs krav på prövning av en utomstående myndighet (åklagare) innan de brottsbekämpande myndigheterna får tillgång till lagrade uppgifter i underrättelseverksamhet. • Uppgifter som gör det möjligt att identifiera abonnenter ska alltid lagras i samband med internetåtkomst. Detta ska ske oavsett vilken teknik som teleoperatörerna använder. Delbetänkandet har remissbehandlats och bereds inom . Enligt en propositionsförteckning för /19 ska en proposition avlämnas . överlämnade utredningen slutbetänkandet Rättssäkerhetsgarantier och hemliga tvångsmedel (SOU 2018:61) till regeringen. Slutbetänkandet har remissbehandlats och bereds inom . fattade regeringen beslut om en lagrådsremiss, Datalagring och brottsbekämpning – anpassningar till . Huvuddelen av förslagen i lagrådsremissen föreslås träda i kraft . Personlig integritet och konsumentskydd Utskottets förslag i korthet avslår motionsyrkanden om den personliga integriteten och om konsumentskydd. Jämför reservation 1 (M). I kommittémotion 2018/19:2902 yrkande 4 av m.fl. (M) begärs ett tillkännagivande om att myndigheter som på olika sätt behandlar känsliga uppgifter bör hålla säkerhetsperspektivet överordnat alla andra prioriteringar. Motionärerna anför att lagstiftningen måste hålla jämna steg med utvecklingen så att rätten till integritet inte urholkas i digitaliseringen av ekonomin. I motion 2018/19:520 yrkande 1 av och (båda L) begärs ett tillkännagivande om att individens integritet vid datainsamling på nätet säkerställs. Motionärerna anför att det ska vara möjligt för konsumenter att handla på internet utan att registrera sig och behöva ange en mängd uppgifter om sig själv samt att personuppgifter inte bör få spridas vidare till andra utan den enskildes samtycke. Vidare begärs en förstärkt dataskyddslagstiftning och att konsumenter alltid ska kunna radera och ta med sig sina personuppgifter från digitala tjänster som samlar information om användaren. En konsument bör också få möjlighet att ta del av informationen om den egna personen, att avsluta konton och att under vissa förutsättningar bli ”glömd”. I yrkande 2 begär motionärerna ett tillkännagivande om att kraftigt höja böterna och vitena för företag som samlar in personlig data på ett otillbörligt sätt. I motion 2018/19:2604 av (KD) begärs ett tillkännagivande om att inom EU ska verka för att medborgarna får en starkare ställning gentemot it-jättarna. Motionären anför att bör agera inom EU för att stärka enskildas rättigheter gentemot multinationella företag som drar nytta av enskildas behov av digital infrastruktur. Motionären vill att inom EU ska verka för en gemensam lagstiftning som ska skydda enskilda och hindra ”de digitala jättarna” från att tillämpa avtal som kränker enskildas integritet. Reglering i dataskyddsförordningen och dataskyddslagen Som har framgått i betänkandets inledande avsnitt utgör dataskyddsförordningens bestämmelser den generella regleringen av behandling av personuppgifter inom EU . Dataskyddsförordningen kompletteras av dataskyddslagen och av sektorsspecifika registerförfattningar. Dataskyddsförordningens syfte uttrycks i skäl 13 till förordningen. Där framgår bl.a. att för att säkerställa en enhetlig skyddsnivå över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden behövs det en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer och som ger fysiska personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger personuppgiftsansvariga och personuppgiftsbiträden samma ansvar. Vidare anförs att på så sätt blir övervakningen av behandling av personuppgifter enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt. Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I dataskyddsförordningen räknas dessa rättsliga grunder upp i artikel 6.1. Behandling är enligt denna bestämmelse laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Bestämmelsen motsvarar i stora drag den tidigare regleringen i artikel 7 i dataskyddsdirektivet, som hade genomförts i svensk rätt genom 10 § PUL.