prop · H803193 · 2021-05-25 00:00:00 — Information om identiteten ska dock få lämnas ut när det föreligger en nödvändig och proportionell skyldighet enligt unionsrätt eller nationell rätt i samband med nationella myndigheters utredningar eller rättsliga förfaranden, inbegripet i syfte att slå vakt om den berörda personens rätt till försvar (artikel 16.2). Regeringen föreslår att det i den nya lagen ska införas en bestämmelse om uppgiftsskyldighet i det allmännas verksamhet (se 5 kap. 10 § och avsnitt 10.8). Ett utlämnande av personuppgifter från visselblåsar- funktionen till andra delar av verksamheten kommer också att vara nödvändigt i syfte att vidta åtgärder med anledning av uppföljningens slutsatser. Uppföljningen kan leda till slutsatsen att uppgifter behöver lämnas över till en eller flera andra funktioner inom verksamheten för åtgärder för att avhjälpa ett missförhållande eller för att agera mot en person som har orsakat missförhållandena, t.ex. till en ledningsfunktion, rättsfunktion eller personalfunktion. Uppgifter kan också behöva lämnas 2020/21:193 över till andra funktioner i verksamheten om den rapporterande personen medvetet har fört fram falska uppgifter. För att det inte ska råda någon tvekan om att personuppgifter får behandlas i sådana fall bör det framgå av lagen att personuppgifter som behandlas för de primära ändamålen också ska få behandlas för att fullgöra uppgiftslämnande för åtgärder med anledning av de utredda missförhållandena. Uppgiftslämnande för rättsliga förfaranden Som nämns ovan ska information om identiteten enligt direktivet få lämnas ut när det föreligger en nödvändig och proportionell skyldighet enligt unionsrätt eller nationell rätt i samband med nationella myndigheters utredningar eller rättsliga förfaranden, inbegripet i syfte att slå vakt om den berörda personens rätt till försvar (artikel 16.2). I vissa fall kan en rapporterande eller berörd person behöva en rapport för att kunna använda som bevisning i ett rättsligt förfarande, t.ex. en arbetsrättslig tvist eller ett brottmålsförfarande. Det bör i sådana fall vara tillåtet att behandla personuppgifter för att rapporter ska kunna lämnas ut i syfte att kunna användas som bevisning. Det bör därför anges i lagen att personuppgifter får behandlas om det är nödvändigt för att rapporter ska kunna användas som bevisning i rättsliga förfaranden. Uppgiftslämnande enligt lag eller förordning I vissa fall finns behov av att lämna ut personuppgifter till en annan myndighet eller någon annan i enlighet med författning. Exempel på detta är när uppgifter behöver lämnas ut för att myndigheten ska uppfylla krav enligt offentlighets- och sekretesslagen (2009:400). Med stöd av dataskyddsförordningen kommer det att vara möjligt att behandla personuppgifter för att kunna lämna ut uppgifter enligt lag eller förordning, antingen med stöd av artikel 6.1 c (rättslig förpliktelse) eller med stöd av 6.1 e (uppgift av allmänt intresse). En bestämmelse som anger att personuppgifter får behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning gör det tydligare för den registrerade att uppgifterna kan behandlas även för detta ändamål och kan därmed ses som en integritetshöjande åtgärd i förhållande till data- skyddsförordningen. Med anledning av intresset av att det ska vara tydligt för den registrerade att uppgifter kan komma att lämnas ut bör det i lagen införas en sådan bestämmelse. 12.5.9Lagen ska innehålla en bestämmelse om finalitetsprincipen Regeringens förslag: Det ska i lagen införas en bestämmelse om att personuppgifter som har samlats in för de primära ändamålen även får behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Utredningens förslag överensstämmer inte med regeringens förslag. Utredningen föreslår inte några ändamålsbestämmelser. Remissinstanserna: anser att det är en Prop. 2020/21:193 allvarlig brist att förslaget saknar ändamålsbestämmelser. Även Transportstyrelsen anser att lagen borde innehålla särskilda ändamålsbestämmelser. Skälen för regeringens förslag: Enligt artikel 5.1 b i dataskydds- förordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. I artikel 6.4 beskrivs vad den personuppgiftsansvarige bör beakta för att fastställa om behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Principen om att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål brukar kallas finalitetsprincipen. Finalitetsprincipen enligt artikel 5.1 b gäller även vid behandling enligt den föreslagna lagen. Tydlighetsskäl talar dock för att det i lagen bör införas en bestämmelse som klargör att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen. Denna bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål en sådan ändamålsbegränsning som avses i artikel 6.3. 12.5.10Behandling av uppgifter om lagöverträdelser av andra än myndigheter Regeringens bedömning: Personuppgifter om lagöverträdelser kan behandlas av andra än myndigheter om behandlingen är nödvändig för att fullgöra förpliktelser enligt den föreslagna lagen. Det behövs ingen särskild bestämmelse om behandling av personuppgifter om lagöverträdelser i lagen. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: anser att de skyddsåtgärder om dataskydd som lagförslaget innehåller är otillräckliga. Skälen för regeringens bedömning: Det är inte endast myndigheter som kommer att behöva behandla personuppgifter om misstänkta och konstaterade lagöverträdelser för att kunna fullgöra sina förpliktelser enligt den föreslagna lagen. Företag, stiftelser, föreningar och andra kommer att behöva ta emot, registrera, lämna ut och på andra sätt behandla uppgifter om t.ex. att en person inom verksamheten har begått ett brott. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder utföras endast under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de 2020/21:193 registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Enligt 3 kap. 8 § dataskyddslagen får personuppgifter om lagöver- trädelser behandlas av myndigheter. I 3 kap. 9 § samma lag anges att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter om lagöverträdelser. Sådana föreskrifter har meddelats i förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Av 5 § förordningen framgår att personuppgifter om lagöverträdelser får behandlas av andra än myndigheter om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Genom de kompletterande bestämmelser som har förts in i svensk rätt är det således möjligt för andra än myndigheter att behandla personuppgifter om lagöverträdelser i den utsträckning det är nödvändigt för att fullgöra förpliktelser enligt den nya lagen. I den föreslagna lagen föreslås en skyldighet för vissa verksam- hetsutövare att tillhandahålla interna rapporteringskanaler och förfaranden för rapportering och uppföljning (avsnitt 10.2). Det föreslås även en skyldighet för myndigheter som regeringen bestämmer att ha externa rapporteringskanalser och förfaranden för rapportering och uppföljning (avsnitt 11.1). Det föreslås vidare att rapporter dokumenteras och bevaras samt att särskilt utsedda personer eller enheter följer upp det som har rapporterats och återkopplar till den rapporterande personen (avsnitt 13.1, Lagen innehåller även andra skyldigheter som innebär att personuppgifter om lagöverträdelser kan behöva behandlas, t.ex. uppgiftsskyldighet inom det allmännas verksamhet (avsnitt 10.8). Dessa skyldigheter är sådana rättsliga förpliktelser som avses i förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning. I den utsträckning det är nödvändigt för att fullgöra förpliktelserna får således personuppgifter om lagöverträdelser behandlas. Det behövs därför ingen särskild bestämmelse om detta i den föreslagna lagen. anser att de skyddsåtgärder om dataskydd som utredningen föreslår, dvs. begränsning av tillgång till personuppgifter och rensning av personuppgifter, är otillräckliga. Enligt regeringens uppfattning bör ytterligare åtgärder vidtas för att värna de registrerades fri- och rättigheter. Det gäller dels de ändamålsbestämmelser som behandlas i avsnitt 12.5.7–12.5.9, dels det förbud mot insamling av irrelevanta personuppgifter och de krav på radering om sådana uppgifter har samlats in av misstag som behandlas i avsnitt 12.5.14. Med dessa åtgärder, i tillägg till de som utredningen föreslår, bedömer regeringen att de registrerades fri- och rättigheter värnas tillräckligt. 12.5.11 Behandling av känsliga personuppgifter Regeringens bedömning: Det kommer att vara möjligt att behandla även känsliga personuppgifter vid hanteringen av den information som rapporteras genom de interna och externa rapporteringskanalerna. Utredningens bedömning överensstämmer med regeringens bedömning. Remissinstanserna: Det stora flertalet av remissinstanserna har inga synpunkter på utredningens bedömning. kommun anser att det bör göras en konsekvensbedömning avseende bedömningar av känsliga personuppgifter. Även anser att det är sannolikt att den behandling av personuppgifter som skulle följa på förslaget kan leda till att en konsekvensbedömning krävs. anser att det saknas en bedömning av vilka bestämmelser i dataskyddslagen som ska vara tillämpliga vid behandling av känsliga personuppgifter. Transport- styrelsen anser att ytterligare skyddsåtgärder i form av sökbegränsning vore lämpligt att införa. Skälen för regeringens bedömning: Som tidigare angetts är behandling av känsliga personuppgifter förbjuden enligt artikel 9.1. I artikel 9.2 anges ett antal uttömmande undantag från förbudet mot att behandla känsliga personuppgifter. Ett sådant undantag gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Behandlingen ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Regeringen bedömer att det allmänintresse som ligger till grund för visselblåsardirektivets bestämmelser är sådant som kan ligga till grund för att personuppgiftsbehandling ska vara tillåten även enligt artikel , dvs. att stärka kontrollen av efterlevnaden av unionsrätten på vissa politikområden där överträdelser kan orsaka allvarlig skada för allmänintresset (jfr skäl 84 i visselblåsardirektivet). Den personuppgifts- behandling som kommer att ske, sker i syfte att säkerställa och uppnå ett viktigt allmänt intresse på grundval både av unionsrätten och den nationella rätten. Genom de krav som föreslås när det gäller rapporteringskanalernas utformning och de krav som föreslås när det gäller ändamåls- och behörighetsbegränsningar samt tidsfrister införs bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Som framgår av integritetsanalysen i avsnitt 12.5.3 bedöms de skydds- och säkerhets- åtgärder som föreslås för att säkerställa registrerades grundläggande rättigheter och intressen medföra att den aktuella personuppgifts- behandlingen och de intrång i den personliga integriteten som den medför står i rimlig proportion till den nytta som behandlingen innebär. I den mån rapporteringen innehåller känsliga uppgifter av relevans, kommer även sådana känsliga personuppgifter att kunna behandlas med stöd av artikel . Känsliga personuppgifter kommer även att kunna behandlas med stöd av andra undantag i artikel 9.2. Enligt artikel 9.2 b får känsliga personuppgifter behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstaternas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstaternas nationella rätt, 2020/21:193 där lämpliga skyddsåtgärder som säkerställer den registrerades grund- läggande rättigheter och intressen fastställs. I ett uppföljningsärende kan det vara nödvändigt att behandla känsliga personuppgifter när det är nödvändigt för att arbetsgivare ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter i förhållande till arbetstagare. Så kan t.ex. vara fallet om uppföljningen av påståenden i en rapport visar att en arbetstagare har misskött sig i sin anställning. I sådana fall kan det vara tillåtet att behandla även känsliga personuppgifter med stöd av artikel 9.2 b. I dataskyddslagen finns ytterligare bestämmelser om känsliga personuppgifter. Enligt dessa bestämmelser ställs särskilda krav när känsliga personuppgifter behandlas av en myndighet för ett viktigt allmänt intresse. Behandlingen får då endast ske om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Det finns också ett förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Dessa bestäm- melser kommer att tillämpas vid sidan av bestämmelserna i den föreslagna lagen (avsnitt 12.5.6). Några särskilda sökbegränsningar utöver det som redan följer av den generella dataskyddsregleringen är enligt regeringens mening inte nödvändiga att införa. 12.5.12Det behöver inte göras undantag från den registrerades rättigheter Regeringens bedömning: Det behöver inte göras några undantag från den registrerades rättigheter. Utredningens bedömning överensstämmer med regeringens bedömning. Remissinstanserna: Ingen av remissinstanserna har någon synpunkt på bedömningen. Skälen för regeringens bedömning Registrerade personers rättigheter vid personuppgiftsbehandling Registrerade personer vars personuppgifter behandlas har enligt artiklarna 12–22 i dataskyddsförordningen ett antal rättigheter i förhållande till den personuppgiftsansvarige. I artiklarna som reglerar rättigheterna görs det skillnad på situationer då personuppgifterna kommer från den registrerade själv och situationer då personuppgifterna har tagits emot från någon annan än den registrerade. I fall då personuppgifterna har tagits emot genom rapportering enligt den föreslagna lagen kommer alla personuppgifter som inte rör den rapporterande personen från någon annan än den registrerade. I sådana fall är de rättigheter som finns i artiklarna 14–18 av särskilt intresse. Rättig- heterna ger registrerade personer möjlighet att kontrollera och påverka behandlingen genom att de bl.a. ska få information om vilka person- uppgifter som behandlas, syftet med behandlingen och möjlighet att i vissa Prop. 2020/21:193 fall få sina personuppgifter rättade eller raderade. De rättigheter som följer av dataskyddsförordningen är inte absoluta utan kan under vissa förutsättningar begränsas. Begränsningar av rättigheterna kan följa både direkt av dataskyddsförordningen och av nationell lagstiftning. Hanteringen av rapporter medför ett behov av att kunna begränsa dataskyddsförordningens rättigheter Den rapportering som kommer in via de interna och externa rapporteringskanalerna kan förväntas vara av mycket varierande slag. Inte sällan kommer de rapporterade missförhållandena att vara hänförliga till en eller flera utpekade personer som anges vara ansvariga för miss- förhållandet, dvs. berörda personer enligt direktivets terminologi. I de fall en berörd person pekas ut som ansvarig kommer denne att ha intresse av att missförhållandet inte följs upp. Det behöver därför säkerställas att det finns möjligheter att begränsa de berörda personernas rättigheter i de fall det finns risk för att utredningen och uppföljningen störs eller hindras. Förutsättningar för att begränsa dataskyddsförordningens rättigheter i nationell rätt I dataskyddsförordningen finns bestämmelser som gör det möjligt för en medlemsstat att begränsa den registrerades rättigheter i samband med att personuppgifter behandlas. Av artikel 23.1 följer att såväl unionsrätten som en medlemsstats nationella rätt får begränsa tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34 samt i artikel 5 i den mån dessa bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. En förutsättning för begränsningen är att den sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa unionens eller en medlemsstats viktiga mål av generellt allmänt intresse eller den registrerades eller andras rättigheter och friheter. I skäl 84 i visselblåsardirektivet anges att de förfaranden som föreskrivs i direktivet och som avser uppföljning av rapporter om överträdelser av unionsrätten inom områden som faller inom dess tillämpningsområde tjänar unionens och dess medlemsstaters allmänintresse i den mening som avses i artikel 23.1 e i förordningen, eftersom det syftar till att stärka kontrollen av efterlevnaden av unionsrätten på vissa politikområden där överträdelser kan orsaka allvarlig skada för allmänintresset. Medlems- staterna bör enligt skälet begränsa utövandet av vissa dataskydds- rättigheter för de berörda personerna genom lagstiftningsåtgärder i enlighet med artikel 23.1 e och i och 23.2 i den mån och så länge det är nödvändigt för att förhindra och åtgärda försök att hindra rapportering eller förhindra, störa eller försena uppföljningen, särskilt utredningar, eller försök att identifiera de rapporterande personernas identitet. Rätten till information när personuppgifterna inte kommer från den registrerade Enligt artikel 14.1–4 är den personuppgiftsansvarige skyldig att lämna information till registrerade personer. På detta sätt har berörda personer möjlighet att få både viss information om själva personuppgifts- behandlingen och specifik information om vem som har försett den personuppgiftsansvarige med personuppgifterna. Det finns även en skyldighet att lämna information om varifrån personuppgifterna kommer. För att utredningen inte ska avsevärt försvåras är det av avgörande betydelse att en berörd person i vissa fall inte får veta om att det pågår en utredning. Genom undantaget i artikel 14.5 b ska skyldigheterna enligt artikel 14.1–4 inte tillämpas i den mån som skyldigheten sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med behandlingen. Vad gäller rätten att få veta varifrån personuppgifterna kommer föreslås i avsnitt 14.1 en sekretessbestämmelse som innebär att sådan information inte får lämnas ut. Motsvarande bestämmelse föreslås i avsnitt 14.4 om tystnadsplikt i enskild verksamhet. Bestämmelserna föreslås att genomföras genom bestämmelser i offentlighets- och sekretesslagen och en bestämmelse i den nya lagen. Eftersom bestämmelserna därmed kommer att framgå av lag blir undantaget i artikel 14.5 d tillämpligt i och med att personuppgifterna måste förbli konfidentiella till följd av en tystnadsplikt enligt den nationella rätten. Rättigheten att få information om var personuppgifterna kommer från kommer därmed att hindras genom bestämmelsen i artikel 14.5 d. Någon ytterligare reglering utöver de nämnda sekretess- och tystnadspliktsbestämmelserna behövs därför inte. Rätten att få tillgång till de personuppgifter som behandlas Enligt artikel 15 ska den registrerade ha rätt att på begäran få ta del av information om personuppgiftsbehandlingen. Som en följd av regleringen har berörda personer rätt till både viss information om själva personuppgiftsbehandlingen och specifik information om vem som har försett den personuppgiftsansvarige med personuppgifterna, vilket skulle kunna försvåra utredningen. Av 5 kap. 1 § dataskyddslagen följer att artiklarna 13–15 i dataskydds- förordningen om information och rätt att få tillgång till personuppgifter inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Om den person- uppgiftsansvarige inte är en myndighet, gäller undantaget i första stycket även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen. Bestämmelsen har sin grund i artikel 23 i dataskyddsförordningen (prop. 2017/18:105 s. 201). I och med att det föreslås sekretess och tystnadsplikt som hindrar utlämnande även till den registrerade behöver det inte införas något särskilt undantag från den registrerades rätt till tillgång. Rätten till rättelse av personuppgifterna Genom rätten till rättelse enligt artikel 16 har berörda personer rätt att få viss information rättad, men också indirekt möjlighet att få bekräftat att deras personuppgifter behandlas. Om en berörd person utnyttjar sin rätt till Prop. 2020/21:193 rättelse skulle det kunna innebära att personen ges en oönskad möjlighet att skaffa undan bevis och hindra utredningen. Rätten till rättelse kan i normalfallet bara göras gällande om den registrerade har fått information om att uppgifter har samlats in eller om den registrerade har fått en bekräftelse på att uppgifter som rör honom eller Eftersom uppgifterna i ett uppföljningsärende kommer att omfattas av sekretess eller tystnadsplikt kommer sådan information inte att ges till den registrerade. I fall då en berörd person inte har informerats om att personuppgifter behandlas i ett uppföljningsärende har personen i normalfallet ingen anledning att vända sig till visselblåsarfunktionen och göra rätten till rättelse gällande. Man skulle dock kunna tänka sig situationen att en berörd person vänder sig med en begäran om rättelse till en visselblåsarfunktion i syfte att ta reda på om dennes personuppgifter Risken för att denna situation skulle komma att uppstå bedöms emellertid vara begränsad. En berörd person som misstänker att det pågår en utredning på grund av att någon har rapporterat om missförhållanden och därför överväger att skaffa undan bevis, kommer sannolikt att vidta åtgärder för att skaffa undan bevis så fort misstanken uppstår snarare än att vända sig till en visselblåsarfunktion med en begäran om rättelse. Rätten till radering av personuppgifterna Enligt artikel 17.1 ska den registrerade i vissa fall ha rätt att utan onödigt dröjsmål få sina personuppgifter raderade. Ett utnyttjande av denna rättighet skulle kunna innebära att den berörda personen i många fall inte