sou · H7B344 · 2019-11-04 00:00:00 — Meddelarfriheten har sin grund i att de vanliga sekre- tessbestämmelserna ger uttryck för ganska allmänna avvägningar mellan insyns- och sekretessintressena på de berörda områdena.27 Det finns således större anledning att överväga undantag från meddelarfriheten i fråga om sekretessregler utan skaderekvisit och sådana som gäller med ett omvänt skaderekvisit än i andra fall.28 Undantagen från meddelarfriheten är ovanliga och de som finns rör särskilt viktiga skyddsintressen. Av 30 kap. 30 § OSL framgår till exempel att den tystnadsplikt som följer av 4 § första stycket 2 1979/80:2 Del A s. 104. samma lag inskränker rätten enligt 1 kap. 1 och 7 §§ tryckfrihets- förordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter. Det innebär att sekretessen hos till exempel i verksamhet avseende tillståndsgiv- ning avseende värdepappersmarknaden för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbin- delse eller liknande förbindelse med den som myndighetens verk- samhet avser har företräde framför meddelarfriheten. Utredningen föreslår dock att den nya sekretessbestämmelsen ska innehålla ett sedvanligt rakt skaderekvisit avseende uppgifter om tredje män och inte omfattas av absolut sekretess som i 30 kap. 4 § första stycket 2 OSL. Utredningen gör bedömningen att det finns ett betydande intresse av journalistisk och medial granskning av den nya myndighetens verksamhet inklusive dem som trätt i affärs- förbindelse med myndigheten. Den tystnadsplikt som följer av den nya bestämmelsen bör således inte inskränka meddelarfriheten.29 15.7Sekretess till skydd för uppgift om premiepensionsmedel Utredningens förslag: Sekretess ska gälla hos den nya myndig- heten för uppgift om hur premiepensionsmedel har placerats för en enskilds räkning om det inte står klart att uppgiften kan röjas utan att den enskilde lider men. Sekretess ska också gälla hos myndigheten för uppgift om vad en pensionssparare har bestämt om efterlevandeskydd enligt 91 kap. socialförsäkringsbalken. Sekre- tess för uppgift om vad en pensionssparare har bestämt om efter- levandeskydd ska dock inte gälla sedan pensionsspararen har avlidit. Sekretessen ska gälla i högst . Utredningens bedömning: Sekretessen bör inte ha företräde framför meddelarfriheten. 1979/80:2 Del A s. 111 f. Skälen för utredningens förslag och bedömning Som framgår ovan kommer den nya myndigheten för att kunna full- göra sitt uppdrag behöva hämta in bland annat kundsynpunkter från . Sådana uppgifter kan avslöja hur en enskild valt att placera sina premiepensionsmedel eller vad hen bestämt i fråga om efterlevandeskydd. Sådana uppgifter omfattas hos Pensionsmyndig- heten av en sekretessbestämmelse med omvänt skaderekvisit. Även om det finns ett stort intresse av insyn i den nya myndig- hetens verksamhet anser utredningen att insynsintresset beträffande nu aktuella uppgifter, det vill säga uppgifter som visar vad en enskild individ valt för fond eller bestämt i fråga om efterlevandeskydd, är förhållandevis lågt. väger intresset av att uppgifterna inte röjs, det vill säga integritetsintresset, minst lika tungt i den nya myn- dighetens verksamhet som i verksamhet. Ut- redningen föreslår därför att sekretess för sådana uppgifter ska gälla på samma sätt hos den nya myndigheten som hos Pensionsmyn- digheten. Den nya myndigheten föreslås därför föras in bland de uppräknade myndigheterna i 28 kap. 5 § OSL. Utredningen bedömer att sekretessen även hos den nya myndig- heten ska gälla i högst och att det inte heller finns skäl att låta sekretessen ha företräde framför meddelarfriheten. när det gäller allmän försäkring m.m. Utredningens förslag: Sekretess enligt 28 kap 1 § första stycket OSL ska gälla även hos den nya myndigheten. Skälen för utredningens förslag Enligt utredningens förslag kommer den nya myndigheten vara en av de myndigheter som tillsammans med bland andra Försäkrings- kassan och administrerar socialförsäkringen, se avsnitt 13.5 och utredningens förslag till ändring av 2 kap. 2 § social- försäkringsbalken. Visserligen gäller enligt 28 kap. 1 § andra stycket OSL bestämmelsen även den nya myndigheten, men av systematiska skäl och för tydlighets skull bör den uttryckligen anges i uppräkningen i 28 kap. 1 § första stycket OSL, tillsammans med och , som en av de myndigheter bestämmelsen gäller hos. 15.9Överföring av sekretess rörande visselblåsare Utredningens förslag: Om den nya myndigheten i verksamhet som avser premiepensionens fondtorg får en uppgift som är sekretessreglerad i 30 kap. 4 b eller 6 b §§ OSL från en myndighet som avses där, ska 30 kap. 4 b respektive 6 b §§ OSL vara tillämp- lig på uppgiften också hos den nya myndigheten. Skälen för utredningens förslag Den nya myndigheten ska samverka och utbyta information med bland annat , se vidare ovan. Informationsutbytet avser sådana fondförvaltare som deltar i upphandlingar av fonder eller som den nya myndigheten avser att ingå eller har ingått fond- avtal med enligt 64 a kap. socialförsäkringsbalken. Som en del av samverkan kan den nya myndigheten få del av information som kan identifiera en person (så kallade visselblåsare) som rapporterat överträdelser av det regelverk som en fondför- valtare är skyldig att följa. Sådana uppgifter skyddas av absolut sekre- tess hos enligt 30 kap. 4 b och 6 b §§. Dessa bestämmelser gäller dock inte hos den nya myndigheten. Det är angeläget att nu aktuella uppgifter lämnas till den nya myn- digheten om det har betydelse för dess uppdrag inom premiepen- sionssystemet. För att så ska kunna ske utan att överlämnandet mot- verkar visselblåsarinstitutets syfte krävs att sekretess även gäller hos den nya myndigheten. Den sekretess som gäller för uppgifterna hos bör därför överföras till den nya myndigheten. Utredningen föreslår att bestämmelsen om överföring av sekre- tess ska placeras i 30 kap. OSL som reglerar sekretess till skydd för enskild i verksamhet som rör tillsyn med mera. Den nya bestäm- melsen bör lämpligen införas som en ny 8 d §. 16 Behandling av personuppgifter Utredningen har i kommittédirektiven inte uttryckligt fått något uppdrag att analysera om det finns ett behov av en särskild reglering för att den nya myndigheten ska kunna utföra nödvändig behandling av personuppgifter. Utredningen är dock enligt direktiven oförhind- rad att inom de ramar som angetts för uppdraget ta fram och belysa sådana frågeställningar som är relevanta för uppdraget. Eftersom ut- redningen enligt direktiven ska lämna förslag om reglering av den nya myndighetens uppdrag, vari personuppgiftsbehandling är en del, väljer utredningen att också analysera om det behövs en särskild reglering för att den nya myndigheten ska kunna utföra nödvändig behandling av personuppgifter. 16.2Dataskydd i svensk rätt Grundläggande bestämmelser till skydd för den personliga integriteten finns i regeringsformen. I 1 kap. 2 § första stycket regeringsformen slås det fast att den offentliga makten ska utövas med respekt för bland annat den enskilda människans frihet och i fjärde stycket anges bland annat att det allmänna ska värna den enskildes privatliv och familjeliv. Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Skyddet mot integritetsintrång kan dock enligt 2 kap. 20 § första stycket 2 regeringsformen begränsas genom lag. Det krävs därmed sär- skilt författningsstöd för åtgärder från det allmännas sida som inne- fattar betydande intrång i den personliga integriteten, om intrånget sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförord- ning), härefter benämnd dataskyddsförordningen, utgör den generella regleringen av personuppgiftsbehandling inom EU. I artikel 2 i dataskyddsförordningen finns regleringen av förord- ningens materiella tillämpningsområde. Där framgår att dataskydds- förordningen bland annat inte ska tillämpas på behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten (led a). Av artikel 4 i dataskyddsförordningen framgår att med person- uppgift avses varje upplysning som avser en identifierad eller identi- fierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokali- seringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, gene- tiska, psykiska, ekonomiska, kulturella eller sociala identitet. Enligt artikel 288 andra stycket i fördraget om Europeiska unionens funktionssätt ska en EU-förordning ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. Data- skyddsförordningen är således direkt tillämplig. Den innehåller dock bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Dataskyddsförordningen tillämpas på sådan behandling av person- uppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Rättslig grund för behandling av personuppgifter Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I dataskyddsförord- ningen räknas dessa rättsliga grunder uttömmande upp i artikel 6.1. Enligt denna bestämmelse är en behandling laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt in- tresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. f)Behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. En myndighet kan dock inte använda grunden intresseavvägning (6.1 f) som rättslig grund för sina personuppgiftsbehandlingar.1 För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den vara nödvändig i förhållande till den rättsliga grunden, till exempel nödvändig för att utföra en uppgift av allmänt intresse. Av förarbetena till lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, i de följande benämnd dataskyddslagen, framgår att det mer eller mindre regelmässigt bör an- 1Artikel 6.1 andra stycket dataskyddsförordningen. ses vara nödvändigt att använda tekniska hjälpmedel för att behandla personuppgifter på automatisk väg eftersom informations- hantering inte utgör ett realistiskt alternativ.2 I dataskyddslagen har det förts in kompletterande bestämmelser av generell karaktär till dataskyddsförordningen. Dataskyddslagen reglerar bland annat frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, person- uppgifter som rör lagöverträdelser, begränsningar av vissa rättigheter och skyldigheter, administrativa sanktionsavgifter samt skadestånd och överklagande. Dataskyddslagen utvidgar dessutom tillämpningen av bestämmelserna i dataskyddsförordningen till att, med vissa undan- tag, gälla även vid personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten.3 Dataskyddslagen är subsidiär till annan författning.4 Andra författ- ningar kan alltså innehålla avvikande bestämmelser i förhållande till dataskyddslagen, men bara i den mån dataskyddsförordningen med- ger det. De flesta bestämmelser som kompletterar dataskyddsförord- ningen finns i andra författningar än dataskyddslagen, till exempel i 114 kap. socialförsäkringsbalken. I 114 kap. socialförsäkringsbalken finns den sektorsspecifika regler- ingen på socialförsäkringsområdet. 114 kap. socialförsäkringsbalken innehåller bestämmelser om bland annat tillämpningsområdet, ändamål för behandling av personuppgifter och behandling av känsliga person- uppgifter och behandling av personuppgifter i socialförsäkringsdata- basen. Även behandlar personuppgifter i anslutning till sin verksamhet med koppling till fondbranschen. På finansmarknads- området finns dock inte någon sektorsspecifik reglering utan behand- 2017/18:105 Ny dataskyddslag s. 47. 31 kap. 2 § dataskyddslagen. 41 kap. 6 § dataskyddslagen. lingen av personuppgifter sker med stöd av dataskyddsförordningen och dataskyddslagen. 16.2.4Vilken reglering är tillämplig på den nya myndighetens personuppgiftsbehandling? Utredningens bedömning: Bestämmelserna i dataskyddsförord- ningen och dataskyddslagen är tillämpliga på den nya myndighetens personuppgiftsbehandling. Bestämmelserna 114 kap. socialförsäk- ringsbalken är inte tillämpliga på den nya myndighetens person- uppgiftsbehandling i verksamheten rörande fondförvaltarna. Skälen för utredningens bedömning Den nya myndighetens behandling av personuppgifter i premiepensionsverksamheten rörande fondförvaltare Den nya myndigheten kommer behandla personuppgifter på auto- matisk väg avseende till exempel företrädare för fondförvaltare och andra tredje män i samband med upphandling av fonder och avtals- uppföljning. Det torde främst röra sig om namn, kontaktuppgifter och personnummer, det vill säga uppgifter som normalt sett får be- traktas som harmlösa, men det kan även i enstaka undantagsfall före- komma att myndigheten inom ramen för verksamheten behandlar uppgifter om till exempel hälsa och lagöverträdelser. För att kunna fullgöra sina respektive uppdrag kommer den nya myndigheten och behöva utbyta uppgifter med varandra vilket även kommer inkludera personuppgifter. Utredningen har därför i avsnitt 13.7.2 föreslagit en uppgiftsskyldighet mellan myn- digheterna. Utredningen har vidare i avsnitten 10.4.4 och 13.7.4 före- slagit att den nya myndigheten ska samarbeta och utbyta information med och i frågor av betydelse för premiepensionssystemet. Den nya myndigheten kommer även behöva lämna ut personuppgifter till andra myndigheter i samband med till exempel samverkan mot viss organiserad brottslighet, se ut- redningens förslag i avsnitt 13.7.4. Av 114 kap. 2 § socialförsäkringsbalken framgår att bestämmelserna i kapitlet tillämpas vid behandling av personuppgifter i verksamhet som gäller förmåner enligt socialförsäkringsbalken, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av eller . Kapitlet är således tillämpligt på behandling av personuppgifter i förhållande till pensionsspararna eftersom sådan behandling kan anses ske inom ramen för verksamhet som gäller en förmån enligt socialförsäkringsbalken. Varken eller den nya myndighetens premiepensionsverksamhet i förhållande till fondförvaltarna kan dock anses utgöra verksamhet som gäller för- måner enligt socialförsäkringsbalken. Personuppgiftsbehandling som sker inom ramen för sådan verksamhet kan därför inte ske med stöd av bestämmelserna i 114 kap. socialförsäkringsbalken. Som har nämnts ovan utgör dataskyddsförordningen den gene- rella regleringen av personuppgiftsbehandling inom EU. Enligt arti- kel 2.2 a i dataskyddsförordningen ska den dock inte tillämpas på be- handling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Av 1 kap. 2 § dataskyddslagen framgår dock att bestämmelserna i dataskyddsförordningen, i den ursprungliga lydelsen, och bestämmelserna i dataskyddslagen gäller även vid be- handling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Bestämmelserna i dataskyddsförord- ningen och dataskyddslagen är således tillämpliga på den nya myndig- hetens personuppgiftsbehandling även om någon del av verksamheten inte skulle omfattas av unionsrätten. 16.2.5Behov av särskilda regler om personuppgiftsbehandling Utredningens bedömning: Det bör inte införas en särskild regler- ing för den nya myndighetens personuppgiftsbehandling. Skälen för utredningens bedömning Rättslig grund för behandling Den behandling av personuppgifter som den nya myndigheten kom- mer att utföra i samband med upphandling av fonder och avtals- uppföljning och vid utlämnande till andra myndigheter måste ha en rättslig grund. Enligt utredningens bedömning kommer behandlingen huvudsakligen ske med stöd av de rättsliga grunderna i artikel 6.1 c (behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige) och 6.1 e (behandlingen är nödvändig för att utföra en uppgift av allmänt intresse), vilka enligt artikel 6.3 första stycket ska fastställas i enlighet med unionsrätten eller nationell rätt. Av 2 kap. 1 § dataskyddslagen framgår att personuppgifter får behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av bland annat lag eller annan författning. Av 2 kap. 2 § dataskyddslagen framgår vidare att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som bland annat följer av lag eller annan författning. Av förarbetena till dataskyddslagen framgår att det inte krävs att själva behandlingen av personuppgifter regleras i författning utan det räcker att den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen har stöd i rättsordningen. Den rättsliga förpliktelsen respektive uppgiften av allmänt intresse anses vara fastställd i enlighet med svensk rätt om den följer av författning eller beslut som har meddelats i enlighet med regeringsformens be- stämmelser. Om det är fråga om en rättslig förpliktelse måste också syftet med behandlingen framgå av förpliktelsen enligt artikel 6.3 andra stycket dataskyddsförordningen.5. Vad gäller begreppet uppgift av allmänt intresse framgår att myndigheters verksamhet anses vara av allmänt intresse eftersom myndigheterna har ålagts att utföra dem.6 Utredningen föreslår i kapitel 11 och avsnitt 13.5 att det i social- försäkringsbalken och den nya lagen om myndigheten ska regleras att den nya myndigheten ska upphandla fonder till fondtorget och i 2017/18:105 s. 48 ff. samband med det och löpande kontrollera att vill- koren i avtalet är uppfyllda. Utredningen föreslår vidare i avsnit- ten 10.4.4, 13.7.2 och 13.7.4 en uppgiftsskyldighet för den nya myndig- heten till , , och vissa andra myndigheter. Mot bakgrund av detta är den nya myn- dighetens personuppgiftsbehandling nödvändig för att den nya myn- digheten ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning. Behandlingen är också nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning. Således finns det rättslig grund för myndighetens behandling av person- uppgifter. I den nya myndighetens uppgift att förvalta fondtorget torde det ytterst sällan finnas anledning att behandla känsliga personuppgifter. Det kan dock inte helt uteslutas att det i ett ärende om en fondförvaltare skulle kunna lämnas sådana uppgifter. Enligt dataskyddsförordningen är huvudregeln att det är förbju- det att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning, så kallade känsliga personuppgifter (artikel 9.1). Under vissa förutsätt- ningar är det dock tillåtet att behandla känsliga personuppgifter, till exempel om behandlingen är nödvändig av hänsyn till ett viktigt all- mänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken står i proportion till det eftersträvade syftet, är förenligt med det väsentliga innehållet i rätten till dataskydd och inne- håller bestämmelser om lämpliga och särskilda åtgärder för att säker- ställa den registrerades grundläggande rättigheter och intressen (arti- kel ). Av 3 kap. 3 § dataskyddslagen framgår att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i EU:s data- skyddsförordning om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för hand- läggningen av ett ärende, eller i annat fall, om behandlingen är nöd- vändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. När det gäller myndigheters personuppgiftsbehandling anses det utgöra ett viktigt allmänt intresse att myndigheterna kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt.7 För att minimera risken för att oseriösa fondförvaltare och andra aktörer som inte ser till pensionsspararnas bästa är involverade i för- valtningen av fonderna på fondtorget eller på annat sätt kan få in- flytande över dem är det är viktigt att fondförvaltare och andra aktörer bedriver sina respektive verksamheter i överensstämmelse med tillämpliga författningar. Om så inte sker kan den nya myndigheten till exempel behöva förkasta anbud eller säga upp avtal. För att kunna utföra sitt uppdrag kan den nya myndigheten behöva behandla upp- gifter om lagöverträdelser som myndigheten får in i samband med till exempel ett anbud eller avtalsuppföljning eller som ett led i till exempel myndighetssamverkan mot viss organiserad brottslighet. Enligt artikel 10 i dataskyddsförordningen får behandling av person- uppgifter som rör fällande domar i brottmål och överträdelser eller där- med sammanhängande säkerhetsåtgärder utföras endast under kon- troll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kon- troll av en myndighet. Av 3 kap. 8 § första stycket dataskyddslagen framgår att personuppgifter som avses i artikel 10 i EU:s dataskydds- förordning får behandlas av myndigheter. Det finns således stöd för behandling av lagöverträdelser. Den nya myndigheten kommer i många fall behandla personnummer utan samtycke av den registrerade. Av 3 kap. 10 § dataskyddslagen framgår att personnummer och samordningsnummer endast får be- prop., s. 83. handlas utan samtycke när det är klart motiverat med hänsyn till ända- målet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Enligt utredningens bedömning är det bland annat med hänsyn till vikten av en säker identifiering motiverat att behandla bland annat personnummer utan samtycke i den nya myndig- hetens verksamhet. Ställer regeringsformen krav på särskild lag?