sou · H8B345 · 2020-08-20 00:00:00 — Om en personuppgiftsincident ”sannolikt resulterar i hög risk” för registrerades rättigheter och friheter ska den personuppgifts- ansvarige som huvudregel informera den registrerade. Den personuppgiftsansvarige måste i vissa fall göra konsekvens- bedömningar och samråda med tillsynsmyndigheten. Genom en kon- sekvensbedömning kan organisationer ta reda på vilka risker som finns och ta fram rutiner och åtgärder för att bemöta dessa risker. En konsekvensbedömning måste göras på förhand om behandlingen av personuppgifter i stor omfattning innefattar uppgifter om lagöver- trädelser. I vissa fall måste ett dataskyddsombud utses. Det gäller bl.a. om kärnverksamheten består av behandling i stor omfattning av lag- överträdelser. Dataskyddsombudets roll är att kontrollera att för- ordningen följs inom organisationen genom att till exempel utföra kontroller och informationsinsatser. Grundlagsskyddet för vissa söktjänster Tillsynsmyndigheterna – i Datainspektionen – har till upp- gift att övervaka att förordningens bestämmelser efterlevs och att bidra till en enhetlig tillämpning av förordningen inom unionen. Tillsyns- myndigheten har ett stort antal uppgifter, bl.a. att behandla klagomål från registrerade och, om det är lämpligt, undersöka den sakfråga som klagomålet gäller. Tillsynsmyndigheterna har även getts ett antal be- fogenheter. De kan bl.a. vidta följande åtgärder. •Beordra personuppgiftsansvariga och personuppgiftsbiträden att lämna all information som myndigheten behöver för att kunna fullgöra sina uppgifter. •Genomföra undersökningar i form av dataskyddstillsyn. •Få tillträde till alla lokaler som tillhör den personuppgiftsansva- rige och personuppgiftsbiträdet, inbegripet tillgång till all utrust- ning och alla andra medel för behandling av personuppgifter i överensstämmelse med unionens processrätt eller medlemsstaternas nationella processrätt. •Utfärda varningar till personuppgiftsansvariga och personuppgifts- biträden om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i förordningen. •Utfärda förelägganden om att tillmötesgå de registrerades begä- ran att få utöva sina rättigheter enligt förordningen. •Påföra administrativa sanktioner. 11.5.11 Rättsmedel, sanktioner och skadestånd Som har framgått kan enskilda individer vända sig till tillsynsmyn- digheten med klagomål. Dataskyddsförordningen ger också möjlig- het att överklaga tillsynsmyndighetens beslut. Till det kommer en rätt att klaga på beslut fattade av personuppgiftsansvariga och per- sonuppgiftsbiträden. I förordningen regleras även ansvar och rätt till ersättning för skada från den personuppgiftsansvarige eller personuppgiftsbiträden. I dataskyddsförordningen finns dessutom regler om s.k. admi- nistrativa sanktionsavgifter. Dessa kan uppgå till avsevärda belopp. Grundlagsskyddet för vissa söktjänster Storleken på sanktionsavgifterna avgörs av flera faktorer, bl.a. över- trädelsens karaktär, svårighetsgrad och varaktighet, samt om över- trädelsen skett med uppsåt eller genom oaktsamhet. Andra faktorer av betydelse är antalet berörda registrerade, vilken skada de har lidit, om den personuppgiftsansvarige har försökt förebygga eller i efter- hand komma till rätta med överträdelsen och eventuell ekonomisk vinst som görs genom överträdelsen. När det gäller beloppsgränser för överträdelser gör dataskydds- förordningen skillnad mellan mindre allvarliga och allvarliga över- trädelser. För de förstnämnda, exempelvis överträdelser av regler om inbyggt dataskydd, förteckningar och konsekvensbeskrivningar, kan det påföras sanktioner upp till det högsta av eller, om det gäller ett företag, av den totala globala årsomsätt- ningen. För överträdelser av det senare slaget, exempelvis överträdel- ser av reglerna om de grundläggande principerna för behandling, regi- strerades rätt till information samt rättelse och radering, gäller som gräns eller av den totala globala årsom- sättningen. Enligt dataskyddsförordningen omfattas inte artikel 10, som alltså gäller behandling av personuppgifter som rör lagöverträdelser, av be- stämmelserna om sanktionsavgifter. Av dataskyddslagen framgår dock att tillsynsmyndigheten får ta ut sanktionsavgifter även vid sådana överträdelser (6 kap. 3 § dataskyddslagen). Sanktionsavgifter kan påföras också vid underlåtelse att rätta sig efter tillsynsmyndighetens förelägganden eller beslut. En avgift kan då påföras med det högre maxbeloppet, dvs. eller av den totala globala årsomsättningen, beroende på vilket belopp som är högst. hade i uppdrag att utreda bl.a. om skyd- det för privatlivet behövde stärkas inom tryckfrihetsförordningens och yttrandefrihetsgrundlagens tillämpningsområden. I det samman- hanget utredde kommittén om integritetsskyddet i svensk rätt be- hövde stärkas för att undvika konflikter med artikel 8 i Europakon- ventionen samt ett eventuellt införande i tryckfrihetsförordningen Grundlagsskyddet för vissa söktjänster och yttrandefrihetsgrundlagen av en straffbestämmelse till skydd för privatlivet. Som en del i det arbetet undersökte den verksamhet som bedrevs i databaser med utgiv- ningsbevis. Undersökningarna var inriktade på i vilken mån det före- kom integritetskränkningar på dessa webbplatser. Resultatet av den första undersökningen redovisades i delbetänkandet Grundlagsskydd för digital bio och andra yttrandefrihetsrättsliga frågor (SOU 2009:14 s. 98–114) och avsåg databaser som hade erhållit utgivningsbevis t.o.m. . Totalt undersöktes 509 databaser. Yttrande- frihetskommitténs slutsats var att integritetskränkningar kunde be- dömas förekomma i 20 av dessa, alltså i av fallen. I sex fall kunde kränkningarna bedömas utgöra förtal. Resterande kränk- ningar bestod i vad som kunde anses utgöra brott mot personuppgifts- lagen eller kreditupplysningslagen (1973:1173). I slutbetänkandet (SOU 2012:55, Del 2, bilaga 8) redovisades en undersökning av ytter- ligare 229 webbplatser med liknande resultat. Yttrandefrihetskom- mitténs bestämda intryck var att databasverksamheten i allt väsent- ligt bedrevs på ett seriöst och ansvarstagande sätt samt att innehållet i databaserna till helt övervägande del utgjorde värdefulla bidrag till ett fritt meningsutbyte och en allsidig upplysning. Undersökningen avsåg databaser som hade fått utgivningsbevis fr.o.m. t.o.m. . Enligt gav den behovsanalys som hade gjorts vid handen att det i princip inte förekom några sådana integri- tetskränkningar inom det grundlagsskyddade området som kunde motivera en särskild straffbestämmelse. förpliktelser enligt kunde inte heller anses tillräckligt tydliga för att ensamma motivera införandet av ett nytt tryck- och yttrandefri- hetsbrott. Mot denna bakgrund föreslogs ingen straffbestämmelse. ordförande, justitierådet , reserverade sig och menade att en straffbestämmelse till skydd för den personliga integriteten borde införas (a. bet., Del 2, bilaga 10). Grundlagsskyddet för vissa söktjänster hade bl.a. i uppdrag att analysera kon- flikter med skyddet för den personliga integriteten som uppkommer när information tillhandahålls ur databaser med utgivningsbevis. I direktiven till noterade regeringen att tillhandahållande av personuppgifter på internet hade blivit vanligare. Regeringen nämnde specifikt webbplatser där det i stor omfattning publiceras uppgifter om brottmålsdomar. Enligt regeringen kunde det ifrågasättas om sådana webbplatser ägnar sig åt sådan massmedial verksamhet som det frivilliga grundlagsskyddet främst är avsett att skydda. Mot bl.a. den bakgrunden fick i upp- drag att analysera de konflikter med skyddet för den personliga in- tegriteten som uppkommer när information tillhandahålls ur data- baser med utgivningsbevis. utförde en liknande kartläggning som hade gjort. samlade intryck var att verksamheten i databaser med utgivnings- bevis i allt väsentligt bedrevs på ett seriöst och ansvarsfullt sätt. Det fanns dock ett antal databaser som utgjorde rena söktjänster och som tillhandahöll information om enskilda som hämtats ur offent- liga handlingar och register. Enligt var det uppenbart att enskilda riskerar att lida skada av att sådan infor- mation sprids till allmänheten. Kommittén ansåg att undantag från grundlagarna borde införas för de mest integritetskänsliga typerna av personuppgifter. Enligt kommittén var det tydligaste exemplet på integritetskänsliga sök- tjänster sådana som innehåller uppgifter om att enskilda förekommer i domar i brottmål. ansåg att även vissa andra känsliga per- sonuppgifter skulle omfattas av undantaget. Det rörde sig om upp- gifter om ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och om hälsa, sexualliv samt genetiska eller biometriska uppgifter, dvs. i princip sådana upp- gifter som enligt den dåvarande personuppgiftsregleringen benämndes känsliga personuppgifter, och som motsvaras av artikel 9 i den nu gällande dataskyddsförordningen. Grundlagsskyddet för vissa söktjänster Det skulle dock enligt kommittén leda för långt att införa ett generellt undantag från tryckfrihetsförordningen och yttrandefrihets- grundlagen för den här typen av uppgifter. Undantagsbestämmelsen behövde därför begränsas. Den skulle bara gälla om •personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa, och •det med hänsyn till verksamheten och de former under vilka upp- giftssamlingen hålls tillgänglig finns särskilda risker för otillbör- liga intrång i enskildas personliga integritet. I den proposition där förslag behand- lades delade regeringen kommitténs uppfattning att integritetshän- syn motiverade en begränsning av grundlagsskyddet för vissa sök- tjänster. Regeringen föreslog därför att en delegationsbestämmelse skulle införas i tryckfrihetsförordningen och yttrandefrihetsgrund- lagen. Bestämmelsen skulle omfatta samma typ av uppgifter som hade föreslagit. Regeringen delade uppfattning att formen för tillgängliggörande av en uppgiftssamling skulle vara en faktor att beakta vid bedömningen av om det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet. Detta inne- bar enligt regeringen att särskild vikt skulle fästas vid om en upp- giftssamling vänder sig till en bred allmänhet. En allmänt tillgänglig söktjänst fick typiskt sett sägas medföra ett större integritetsintrång än en uppgiftssamling som riktar sig till aktörer med behov av in- formationen i sin yrkesutövning. Rättsfallssamlingar som innehåller brottmålsdomar och som riktar sig till var och en borde exempelvis normalt sett kunna träffas av en lagreglering med stöd av bestäm- melsen, medan det motsatta skulle gälla som utgångspunkt för rätts- databaser med en professionell målgrupp (prop. 2017/18:49 s. 189 och 190). Regeringen konstaterade vidare att uppgiftssamlingar som inne- håller personuppgifter om lagöverträdelser kunde förekomma även i traditionell massmedieverksamhet, bl.a. i anslutning till olika typer av granskande artiklar. Det var dock enligt vad regeringen uttalade Grundlagsskyddet för vissa söktjänster av största vikt att seriös, granskande journalistik inte på något sätt skulle kunna hämmas av regleringen (a. prop. s. 153). Förslaget att begränsa grundlagsskyddet för söktjänster som offent- liggör uppgifter om enskildas lagöverträdelser blev föremål för debatt. Invändningar riktades mot att lagförslaget gjorde en skillnad mellan tjänster som vänder sig till vissa professionella an- vändare och sådana som vänder sig till den breda allmänheten. Vidare ansågs att förslaget inte var tillräckligt tydligt när det gäller vilka verksamheter som skulle komma att omfattas av den föreslagna dele- gationsbestämmelsen. Förslaget ansågs också medföra en risk för vär- dering av journalistisk verksamhet. Denna kritik grundade sig till stor del i formuleringen i propositionen om att ”seriöst granskande jour- nalistik” inte skulle påverkas. Under riksdagsbehandlingen uttalade att söktjänster som offentliggör uppgifter om lagöverträdelser utgör ett allvarligt ingrepp i enskildas personliga integritet. Utskottet konsta- terade att det saknades ett brett samförstånd bland partierna när det gällde den delen av förslaget (bet. 2017/18:KU16 s. 39–42). Förslaget genomfördes därför inte i den delen. Övriga delar av för- slaget antogs dock. uttalade i samband med detta följande. Utskottet vände sig mot uttalanden i propositionen om att tillmäta målgruppen betydelse för frågan om en uppgiftssamling faller inom eller utom det grundlagsskyddade området. Bedömningen borde enligt utskottet i stället göras med utgångspunkt i syftet med till- handahållandet av uppgiftssamlingen och vilken typ av uppgifter som tillhandahålls. Integritetsintrång som följer av uppgiftssamlingar som tillhandahålls med syftet att bidra till ett fritt meningsutbyte och en fri och allsidig upplysning kunde inte anses vara otillbörliga och borde alltså som utgångspunkt falla utanför tillämpningsområ- det för delegationsbestämmelserna. Utskottet framhöll att det var mycket angeläget att en betydande marginal skulle tillämpas i fråga om vad som faller inom det grundlagsskyddade området så att in- tresset för yttrandefrihet inte får ge vika för intresset av att skydda enskildas integritet i gränsfall eller svårbedömda situationer. söktjänster för tillhandahållande av känsliga personuppgifter enligt den uttömmande uppräkningen i bestämmelsen fick sägas ligga långt från de syften som grundlagarna är till för att skydda, och sådana tjänster skulle således typiskt sett träffas av delegationsbestämmelserna. Grundlagsskyddet för vissa söktjänster Personuppgiftsregleringen har till syfte att skydda enskilda individer med avseende på behandlingen av deras personuppgifter. Av hänsyn till vikten av en vid yttrandefrihet tillämpas personuppgiftsregleringen dock inte inom tryckfrihetsförordningens och yttrandefrihetsgrund- lagens områden i de fall personuppgiftsregleringen är oförenlig med grundlagarna. Undantagsbestämmelser har som framgått införts för vissa offentliggöranden av s.k. känsliga personuppgifter. Något mot- svarande undantag har dock inte införts för offentliggöranden av upp- gifter om lagöverträdelser. En fråga för kommittén är om detta ska gälla även fortsättnings- vis eller om det finns skäl att inskränka grundlagsskyddet även för offentliggöranden av personuppgifter om lagöverträdelser. I kom- mitténs uppdrag ingår att i detta sammanhang väga vikten av en vid informations- och yttrandefrihet mot vikten av att skydda enskildas personliga integritet. Vid den avvägningen bör beaktas vad som är ändamålet med tryck- frihetsförordningen och yttrandefrihetsgrundlagen. I 1 kap. 1 § TF respektive 1 kap. 1 § YGL anges att yttrandefriheten enligt grund- lagarna har till ändamål att ”säkra ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konstnärligt skapande”. De uttryck som används är tänkta att garantera den politiska yttrandefriheten i olika avseenden, liksom yttrandefriheten från en mer vidsträckt kul- turell synpunkt. Den senare aspekten omfattar inte bara mer tradi- kulturformer utan även ren underhållning, konsumentupp- lysning och annan mer vardaglig informationsförmedling (Axberger, Yttrandefrihetsgrundlagarna, 4 uppl., 2019, s. 72). En eventuell begränsning av yttrandefriheten får aldrig vara mer omfattande än vad som är nödvändigt. I det ligger också att en even- tuell begränsning ska vara förenlig med den försiktighetsprincip som brukar tillämpas vid inskränkningar av grundlagsskyddet på det tryck- och yttrandefrihetsrättsliga området. Grundlagsskyddet för vissa söktjänster 11.7.2Skyddet för den personliga integriteten bör stärkas Kommitténs bedömning: Det finns behov av att begränsa grund- lagsskyddet för vissa söktjänster som offentliggör personupp- gifter om lagöverträdelser. kan de aktörer som skyddas av tryckfrihetsförordningen och yttrandefrihetsgrundlagen som utgångspunkt offentliggöra per- sonuppgifter om lagöverträdelser utan att ta personuppgiftsregler- ingen i beaktande. De enda begränsande åtgärder som kan vidtas är sådana som har uttryckligt stöd i tryckfrihetsförordningen eller ytt- randefrihetsgrundlagen. Sådant stöd kan finnas exempelvis om ett offentliggörande uppfyller förutsättningarna för tryck- och yttrande- frihetsbrottet förtal. I övrigt är möjligheterna att ingripa mot kränk- ningar av enskildas personliga integritet mycket begränsade. Skyddet för yttrandefriheten är alltså i detta avseende starkt. Lag- stiftaren kan på ett generellt plan sägas ha gett yttrandefriheten en särskild vikt. Därigenom har en trygghet skapats för de aktörer som på olika sätt sprider information till allmänheten. Detsamma gäller för de individer som använder sig av det grundlagsstadgade med- delarskyddet. Den befintliga regleringen har alltså i den meningen positiva kon- sekvenser. Dessutom kan söktjänster av det slag som har diskuterats ovan mer indirekt bidra till en stark yttrande- och informations- frihet, exempelvis genom att de används som en del i journalisters research. Som har nämnts ovan bör det aldrig införas begränsningar i ytt- randefriheten som inte framstår som nödvändiga. Även om en enskild begränsning kan tyckas både rimlig och medföra endast begränsade effekter på yttrandefriheten finns det en risk att upprepade sådana begränsningar sammantaget får som konsekvens att grundlagsskyd- det för yttrandefriheten urholkas. Det kan även rent allmänt hävdas att lagstiftning som i förlängningen kan leda till svårigheter att sprida vad som i och för sig är offentliga uppgifter inte bör införas utan mycket goda skäl. ska framhållas att lika väl som den tekniska och mediala utvecklingen för med sig nya uttrycksformer som förtjänar grund- lagarnas skydd kan den föra med sig företeelser för vilka grundlags- skydd inte framstår som önskvärt eller lämpligt. Grundlagsskyddet för vissa söktjänster kräva nya överväganden, såväl när det gäller vad som bör ges grund- lagsskydd som vad som bör falla utanför. Att den typen av över- väganden görs är en viktig del av värnandet av en livskraftig tryck- och yttrandefrihetsreglering. Förekomsten av rena söktjänster som offentliggör personuppgifter om lagöverträdelser utgör ett exempel på en företeelse som påkallar överväganden av det slaget. Enligt kommitténs mening finns det ett antal faktorer som med varierande styrka talar för att en begränsning av yttrandefriheten är nödvändig såvitt avser offentliggörande av personuppgifter om lag- överträdelser. Som har framgått varnade redan vid in- förandet av möjligheten till frivilligt grundlagsskydd för att det skulle kunna uppstå konflikter med skyddet för den personliga integrite- ten. pekade särskilt på att grundlagsskyddet i värsta fall kunde komma att omfatta databaser som är rena person- register (bet. 2001/02:KU21 s. 32). De rena söktjänster som tillhandahålls och som med stöd av det frivilliga grundlagsskyddet offentliggör vad som i prak- tiken kan liknas vid privata belastningsregister är ett exempel på detta. Att handlingar var för sig och på särskild begäran kan begäras ut från olika myndigheter skiljer sig avsevärt från möjligheten att genom en enkel sökning få information som exempelvis visar vilka i ett om- råde som varit föremål för en straffrättslig process. De särskilda riskerna för kränkningar av den personliga integriteten ligger i att uppgifterna finns sammanställda eller med enkla medel kan sammanställas. I sammanhanget bör framhållas att samma uppgifter i Polismyn- dighetens belastningsregister skyddas av absolut sekretess enligt 35 kap. 3 § offentlighets- och sekretesslagen i verksamhet som avser förande eller uttag av uppgifter i registret. Bestämmelsen tar sikte på att skydda uppgifter om enskildas personliga förhållanden i den verk- samheten. Enligt kommitténs uppfattning kan det med fog ifrågasättas att privata aktörer fritt kan tillhandahålla vad som alltså i praktiken kan liknas vid privata belastningsregister, när motsvarande uppgifter hos är föremål för absolut sekretess. Av artikel 10 i dataskyddsförordningen följer vidare att behand- ling av personuppgifter som rör fällande domar i brottmål och lag- överträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder endast får utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemssta- Grundlagsskyddet för vissa söktjänster ternas nationella rätt, där lämpliga skyddsåtgärder för de registre- rades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myn- dighet. Enligt kommitténs uppfattning riskerar den nuvarande regler- ingen att medföra allvarliga konsekvenser för enskilda individers per- sonliga integritet. Allmänt tillgängliga register av detta slag kan stig- matisera enskilda individer . Det kan handla om svårigheter att få arbete eller bostad. Även i övrigt kan återanpass- ningen till samhället försvåras när vem som helst i omgivningen kan ta del av information om tidigare brottslighet. Därutöver finns det risk för att anhöriga drabbas av att uppgifter av det här slaget finns allmänt tillgängliga. Inte ens domstolar har rätt att ha register av denna typ. Kommittén vill framhålla att det kan föras fram argu- ment till stöd för den här typen av söktjänster. Det kan hävdas att det i vissa fall finns ett legitimt intresse av att få tillgång till uppgifter om att enskilda har dömts för brott. Det kan exempelvis handla om att en arbetsgivare ser ett behov av att kontrollera sökandes tidigare brottslighet i samband med ett anställningsförfarande. Det kan också handla om viljan att undersöka om en person man träffar har varit dömd för sexualbrott eller våld i nära relation. Kommittén har förståelse för den typen av behov. måste sådana behov vägas mot de allvarliga konsekvenser som ett spridande av den här typen av uppgifter kan medföra. Till detta kommer att exempelvis arbetsgivares intressen i nu nämnda situationer tillgodoses genom befintlig reglering i vanlig lag som anger i vilka situationer en arbetsgivare har rätt att begära ut utdrag ur belastningsregistret, trots den starka sekretess som vanligt- vis råder. Sådan lagstiftning kan lätt kringgås om samma uppgifter kan tillhandahållas och göras tillgängliga för var och en med stöd av tryck- frihetsförordningen och yttrandefrihetsgrundlagen. Det bör också beaktas att grundlagsregleringen av personuppgif- ter om lagöverträdelser skiljer sig markant från regleringen avseende känsliga personuppgifter. Detta trots att känsliga person- uppgifter och personuppgifter om lagöverträdelser reser liknande fråge- ställningar om yttrandefrihet och skydd för den personliga integrite- ten. Personuppgifter om lagöverträdelser kan utgöra ett minst lika påtagligt hot mot den personliga integriteten som kategorin känsliga personuppgifter, som bl.a. innefattar typiskt sett mindre integritets- Grundlagsskyddet för vissa söktjänster känsliga uppgifter som exempelvis fackföreningstillhörighet och filo- sofisk övertygelse. Det kan därför hävdas att den nu gällande regler- ingen i viss mån är inkonsekvent. Enligt kommitténs mening är det uppenbart att enskilda riskerar att lida skada av att information om lagöverträdelser som finns att tillgå genom vissa söktjänster på internet sprids till allmänheten. Även om kommittén som framgått har förståelse för att det kan finnas legitima skäl att ta del av den här typen av information fram- står behovet av att låta verksamheter av detta slag fullt ut skyddas av de tryck- och yttrandefrihetsrättsliga grundprinciperna trots allt som begränsat. söktjänster som offentliggör personuppgifter om lagöverträdelser får sägas ligga långt från själva kärnan för det område som grundlagarna är tänkta att omfatta och det framstår som natur- ligare att sådana söktjänster omfattas av personuppgiftsregleringen. Den nuvarande situationen innebär att grundlagsskyddet får kon- sekvenser som inte framstår som rimliga.