prop · H803224 · 2021-09-13 00:00:00 — Myndigheten har även till uppgift att granska behandlingen av uppgifter enligt FM-PuL och FRA-PuL (1–3 §§ förordningen [2009:969] med instruktion för Statens inspektion för försvarsunder- Granskning sker genom inspektioner och andra undersökningar som är föranmälda (5 § första stycket). Statens inspektion för försvarsunderrättelseverksamheten har för sin granskning rätt att få tillgång till de uppgifter och den hjälp som myndigheten begär av den granskade myndigheten (6 §). Om Statens inspektion för försvars- underrättelseverksamheten finner något att anmärka på får den lämna synpunkter och förslag på hur bristerna bör avhjälpas. Om det behövs, ska myndigheten också lämna dessa synpunkter och förslag om åtgärder till regeringen (5 § andra stycket). I fråga om Försvarets radioanstalts signalspaning i försvarsunder- rättelseverksamhet har Statens inspektion för försvarsunderrättelse- verksamheten ett särskilt kontrollansvar för den verksamhet som bedrivs enligt lagstiftningen om signalspaning i försvarsunderrättelseverksamhet. Kontrollen ska särskilt avse granskning av sökbegrepp, förstöring av uppgifter samt rapportering enligt vad som närmare framgår av lagen (10 § lagen om signalspaning i försvarsunderrättelseverksamhet). Statens inspektion för försvarsunderrättelseverksamheten får besluta att viss inhämtning ska upphöra eller att upptagning eller uppteckning av inhämtade uppgifter ska förstöras, om det vid kontroll framkommer att inhämtningen inte är förenlig med tillstånd som har meddelats enligt lagen om signalspaning i försvarsunderrättelse- verksamhet. Statens inspektion för försvarsunderrättelseverksamheten ska vidare, på begäran av en enskild, kontrollera om hans eller hennes meddelanden har inhämtats i samband med signalspaning enligt lagen och, om så är fallet, huruvida inhämtningen och behandlingen av inhämtade uppgifter har skett i enlighet med lagen. Myndigheten ska underrätta den enskilde om att kontrollen har utförts (jfr 10 a § lagen om signalspaning i försvarsunderrättelseverksamhet). Om Statens inspektion för försvarsunderrättelseverksamheten upptäcker brott ska det anmälas till och om nämnden finner något som kan leda till skadeståndsansvar för staten ska det anmälas till Justitiekanslern. Finner Statens inspektion för försvarsunderrättelse- verksamheten omständigheter som bör uppmärksammas på, ska det anmälas till (15 § förordningen med instruktion för Statens inspektion för försvarsunderrättelseverksamheten). ombudsmän () och Justitiekanslern utövar tillsyn över hur lagar och andra föreskrifter tillämpas i offentlig verksamhet. Deras tillsyn omfattar därmed även behandlingen av personuppgifter och skyddet av enskildas personliga integritet vid sådan behandling. Både JO och Justitiekanslern är extraordinära tillsynsorgan. 2020/21:224 13.2 Former för tillsyn till skydd för den personliga Regeringens förslag: Den myndighet som regeringen bestämmer ska utöva tillsyn över Försvarsmaktens och Försvarets radioanstalts behandling av personuppgifter enligt de föreslagna lagarna, enligt föreskrifter som har meddelats i anslutning till lagarna och enligt beslut med stöd av lagarna. ska, när det är motiverat, ge råd och stöd till Försvarsmakten respektive och personuppgifts- biträden i frågor som gäller deras skyldigheter enligt lag eller annan författning. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningens förslag omfattar inte personuppgiftsbiträden. Remissinstanserna invänder inte mot utredningens förslag. Skälen för regeringens förslag: Enligt FM-PuL och FRA-PuL ska den myndighet som regeringen bestämmer utöva tillsyn över Försvarsmaktens och Försvarets radioanstalts behandling av personuppgifter enligt respektive lag (5 kap. 1 §). I de förordningar som ansluter till FM-PuL och FRA-PuL anges som ansvarig tillsyns- myndighet. Detsamma bör gälla även enligt det nya regelverket. Statens inspektion för försvarsunderrättelseverksamhetens kompletterande kontrollansvar för den personuppgiftsbehandling som görs inom Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhets- tjänst och Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet bör inte heller ändras. En central arbetsuppgift för tillsynsmyndigheten är att på eget initiativ eller på begäran ge information eller råd till olika aktörer om regler som styr behandlingen av personuppgifter. Regeringen noterar att det tidigare framgick av 1 § förordningen (2007:975) med instruktion för dåvarande Datainspektionen (numera ) att Data- inspektionen bl.a. särskilt skulle inrikta sin verksamhet på att informera om gällande regler och ge råd och hjälp åt personuppgiftsombud. Denna uppgift togs bort i samband med att brottsdatalagen trädde i kraft som ett led i arbetet med att ge tillsynsmyndigheten ökad självständighet i förhållande till regeringen (prop. 2017/18:232 s. 273– 275). Regeringen fann emellertid att det inte finns något hinder mot att i lag ange råd och stöd till personuppgiftsansvariga och personuppgifts- biträden som en uppgift för tillsynsmyndigheten bland flera, så länge regleringen inte innebär att den viktas högre eller lägre än någon av de andra uppgifterna som tillsynsmyndigheten har. En sådan bestämmelse finns i brottsdatalagen och i lagen om Säkerhetspolisens behandling av personuppgifter. Även de föreslagna bestämmelserna bör på samma sätt ge tydligt uttryck för att tillsynsmyndigheten själv avgör när råd och stöd kan vara motiverat. ska således, när det är motiverat, ge råd och stöd till Försvarsmakten och i frågor som gäller myndigheternas skyldigheter enligt lag eller annan författning. Som utvecklas i avsnitt 13.3 omfattar tillsynsmyndighetens tillsyn även Regeringen föreslår därför att tillsynsmyndighetens uppgift att vid behov lämna råd och stöd även ska Prop. 2020/21:224 avse personuppgiftsbiträden till Försvarsmakten och Försvarets Dataskyddsombuden vid Försvarsmakten och kommer även fortsättningsvis att vid behov inhämta råd och stöd från tillsynsmyndigheten i olika frågor. I den utsträckning dataskyddsombud har behov av råd och stöd från tillsynsmyndigheten bör myndigheten tillgodose det behovet på samma sätt som enligt nuvarande ordning. Regeringens förslag: har rätt att av Försvarsmakten eller eller ett personuppgifts- biträde på begäran få 1.tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.den hjälp och annan information som behövs för tillsynen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte över utredningens förslag. Skälen för regeringens förslag: funktion, uppgifter och undersökningsbefogenheter regleras i 5 kap. 2 § FM-PuL och FRA-PuL. Enligt bestämmelserna har tillsyns- myndigheten rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna och tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Regeringen anser att de nya lagarna, med några tillägg, bör innehålla motsvarande reglering. Det bör således av de nya lagarna framgå att tillsynsmyndigheten på begäran ska få tillgång till personuppgifter som behandlas samt upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder vid behandlingen. Vidare bör tillsynsmyndigheten, utöver rätten till tillträde till sådana lokaler som har anknytning till behandling av personuppgifter, även få tillgång till utrustning och andra medel för behandling av personuppgifter. Det bör också framgå att tillsynsmyndigheten ska få den hjälp och annan information som behövs för tillsynen. 2020/21:224 13.3.2 Förebyggande befogenheter Regeringens förslag: Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommenda- tioner eller påpekanden försöka förmå Försvarsmakten eller eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken. får besluta om en skriftlig varning, om en planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om en pågående behandling riskerar att stå i strid med lag eller annan författning. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt ska myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse (5 kap. 3 § FM-PuL och FRA-PuL). En viktig uppgift för tillsynsmyndigheten är att lämna råd till person- uppgiftsansvariga och personuppgiftsbiträden om deras skyldigheter och att stödja deras strävanden att skapa författningsenliga och integritetssäkra lösningar. Inom ramen för det förebyggande arbetet bör tillsyns- myndigheten på olika sätt försöka förmå den som är ansvarig att vidta de åtgärder som behövs för att motverka risken för att behandling av personuppgifter kan komma att stå i strid med lag eller annan författning. Medlen för det bör främst vara muntliga eller skriftliga råd, rekommenda- tioner och påpekanden som inte är tvingande. Vilka åtgärder som bör vidtas bör i första hand lämnas åt den personuppgiftsansvarige eller personuppgiftsbiträdet att avgöra. I många fall kan det enligt regeringen antas vara tillräckligt att tillsynsmyndigheten upplyser om på vilket sätt personuppgiftsbehandlingen riskerar att vara oförenlig med regelverket. Regeringen föreslår att detta kommer till uttryck i de nya lagarna i enlighet med utredningens förslag. bör, som utredningen föreslår, kunna besluta om en varning till Försvarsmakten, eller personuppgifts- biträden för att planerade behandlingar sannolikt kommer att strida mot regelverket för personuppgiftsbehandling. Regeringen anser att denna möjlighet, som är ny, utgör ett lämpligt komplement till de förebyggande åtgärder som finns enligt nuvarande ordning. Beslut om varning bör kunna användas av tillsynsmyndigheten för att i ett enskilt fall markera allvaret i en situation och försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att ändra sig i fråga Prop. 2020/21:224 om planerad behandling. På så sätt kan det undvikas att behandling som inte är förenlig med regelverket påbörjas. Varning bör emellertid även kunna användas om pågående behandling riskerar att strida mot lag eller annan författning. Att besluta om varning bör som regel bli aktuellt först om tillsynsmyndigheten bedömer att den inte på annat sätt kan förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att följa regelverket. Ett beslut om varning bör enligt regeringens mening fungera som en tidig signal för den personuppgiftsansvarige om brister i en planerad eller pågående behandling av personuppgifter. Ett beslut om varning bör inte vara tvingande men bör ändå kunna ses som ett steg på vägen mot ett föreläggande, om åtgärder inte vidtas. Ett beslut om varning bör vara skriftligt och tydligt ange på vilket sätt behandlingen riskerar att strida mot regelverket. Regeringens förslag: Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att Försvarsmakten eller eller ett person- uppgiftsbiträde på annat sätt inte fullgör sina skyldigheter, får tillsyns- myndigheten 1.genom råd, rekommendationer eller påpekanden försöka förmå Försvarsmakten eller eller personuppgifts- biträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter, eller 2.besluta att förelägga Försvarsmakten eller eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Av ett beslut om föreläggande ska det framgå när föreläggandet senast ska ha följts, och om det är lämpligt, vilka åtgärder som ska vidtas. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen anser att det ska finnas en möjlighet för tillsynsmyndigheten att kunna besluta om förbud mot en viss behandling av personuppgifter. Datainspektionen efterfrågar också ett tydliggörande av utredningens förslag om att tillsynsmyndigheten ska få besluta om förelägganden. Övriga remissinstanser yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag får hos förvaltningsrätten inom vars domkrets tillsynsmyndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Beslut om utplånande får inte meddelas om det är oskäligt (5 kap. 4 § FM-PuL och FRA-PuL). Vilka åtgärder kan komma i fråga? Om tillsynsmyndigheten konstaterar att den personuppgiftsansvarige eller personuppgiftsbiträdet inte uppfyller kraven på författningsenlig person- uppgiftsbehandling bör myndigheten uppmana den ansvarige och biträdet att fullgöra sina skyldigheter. Det kan göras genom vissa av de åtgärder som typisk sett används i det förebyggande arbetet, nämligen råd, rekommendationer eller påpekanden. Om den personuppgiftsansvarige eller personuppgiftsbiträdet vidtar de åtgärder som krävs så snart tillsynsmyndigheten väcker en fråga kan fortsatt dialog vara tillräcklig. behöver emellertid också ha möjlighet att få den personuppgiftsansvarige eller personuppgiftsbiträdet att fullgöra sina skyldigheter. Medlet för detta bör enligt regeringen vara beslut om förelägganden. bör, som utredningen föreslår, kunna besluta om förelägganden som innebär en skyldighet för den som är föremål för tillsynen att vidta vissa åtgärder för att göra personuppgiftsbehandlingen författningsenlig. När det gäller sådana åtgärder kan det i vissa fall vara lämpligt att tillsynsmyndigheten i beslutet om föreläggande anger vilken åtgärd som ska vidtas. I andra fall är det dock lämpligare att den som ska fullgöra skyldigheten själv avgör vad som bör göras för att behandlingen ska bli författningsenlig. Det kan t.ex. vara fråga om vilka tekniska åtgärder som bör vidtas eller vilka säkerhetslösningar som bör väljas. bör därför ange vilken åtgärd som ska vidtas enbart i de fall som detta är lämpligt. Däremot ska det alltid framgå av ett beslut om föreläggande när föreläggandet senast ska ha följts. Datainspektionen efterfrågar ett tydliggörande avseende tillsyns- myndighetens möjligheter att besluta om föreläggande som en korrigerande befogenhet. Regeringen, som noterar att en motsvarande bestämmelse bl.a. finns i lagen om Säkerhetspolisens behandling av personuppgifter, ser inte behov av att i de nya lagarna närmare reglera vad ett beslut om föreläggandet får avse. Rättelse, radering och begränsning av behandlingen utgör dock exempel på åtgärder som tillsynsmyndigheten kan besluta ska vidtas. Om tillsynsmyndigheten överväger att besluta att förelägga tillsynsobjektet att radera en uppgift måste myndigheten dock beakta att åtgärden inte får stå i strid med annan lagstiftning, t.ex. 2 kap. tryckfrihetsförordningen. bör inte bara kunna besluta om förelägganden för att säkerställa att personuppgiftsbehandling ska vara författningsenlig. Den bör även kunna besluta om förelägganden som tar sikte på att personuppgiftsansvariga och personuppgiftsbiträden ska fullgöra andra skyldigheter enligt det aktuella regelverket. Det kan t.ex. gälla att införa bättre säkerhetslösningar, fullgöra dokumentationsskyldighet eller att överlämna viss dokumentation eller ge tillträde till lokaler. ska inte få förbjuda behandling av personuppgifter Datainspektionen anser att det ska finnas en möjlighet för tillsyns- myndigheten att besluta om förbud mot en viss behandling av personuppgifter. Regeringen noterar att EU:s dataskyddsförordning och viss annan Prop. 2020/21:224 dataskyddslagstiftning ger tillsynsmyndigheten befogenhet att förbjuda fortsatt behandling av personuppgifter även hos myndigheter. FM-PuL och FRA-PuL ger inte tillsynsmyndigheten en sådan befogenhet. På motsvarande sätt som anfördes i lagstiftningsärendet om Totalförsvarets plikt- och prövningsverk (Totalförsvarsdatalag – personuppgiftsbehand- ling vid Totalförsvarets rekryteringsmyndighet, prop. 2019/20:51 s. 66)anser regeringen att Försvarsmaktens och Försvarets radioanstalts behandling av personuppgifter är av sådan betydelse för försvaret av och rikets säkerhet att en förbudsmöjlighet inte är rimlig och därför inte bör införas. Regeringen bedömer att de korrigerande befogenheter i form av bl.a. beslut om varning och förelägganden som tillsynsmyndigheten föreslås få är tillräckliga för att den ska kunna utföra sin tillsyn på ett effektivt sätt. 14Sanktioner, skadestånd och rättsmedel 14.1Ingen straffbestämmelse i de nya lagarna Regeringens bedömning: Överträdelser av bestämmelserna om personuppgiftsbehandling bör inte vara straffsanktionerade utöver vad som gäller enligt . Utredningens bedömning överensstämmer med regeringens. Remissinstanserna invänder inte mot utredningens bedömning. Skälen för regeringens bedömning: Bestämmelser om straff för vissa gärningar i samband med personuppgiftshantering regleras särskilt i 6 kap. 2§ FM-PuL och FRA-PuL. Straffbestämmelserna omfattar den som upp- såtligen eller av grov oaktsamhet lämnar osann uppgift i information till den som personuppgiften rör eller till tillsynsmyndigheten, eller som behandlar känsliga uppgifter i strid med vad som gäller enligt de särskilda bestämmelserna för den behandlingen. Straffet är böter eller fängelse , eller om brottet är grovt, fängelse i högst . I ringa fall döms inte till ansvar. Bestämmelserna om straff vid visst förfarande med personuppgifter har sitt ursprung i motsvarande bestämmelser i Dataskyddslagen innehåller inte någon straffbestämmelse. innehåller bestämmelser som kan innebära att vissa gärningar som innefattar personuppgiftsbehandling omfattas av straff- ansvar – såsom bestämmelserna om dataintrång (4 kap. 9 c § brotts- balken), kränkande fotografering (4 kap. 6 a § ), olaga integritetsintrång (4 kap. 6 c § ), förtal (5 kap. 1 § brotts- balken) och tjänstefel (20 kap. 1 § ). Vidare innehåller lagen (1994:260) om offentlig anställning bestämmelser om disciplinansvar som kan aktualiseras om någon bryter mot bestämmelserna om personuppgiftsbehandling. Disciplinansvar förutsätter att den misstänkta gärningen inte ska anmälas till åtal eller, om den redan prövats 2020/21:224 straffrättsligt, att den inte har ansetts vara något brott av annat skäl än bristande bevisning. Kriminalisering som metod för att försöka hindra överträdelser av olika normer i samhället bör användas med försiktighet. Ett skäl till detta är att en alltför omfattande kriminalisering riskerar att undergräva straff- systemets brottsavhållande verkan, särskilt om rättsväsendet inte kan beivra alla brott på ett effektivt sätt. Ett annat skäl är att kriminalisering innebär påtagliga inskränkningar i medborgarnas valfrihet och ingripande tvångsåtgärder mot den som begår brott. När det gäller överträdelser av dataskyddsregleringen utgör straff inte en särskilt effektiv sanktion vid överträdelser av dataskyddsregleringen, eftersom det i många fall är svårt att identifiera en fysisk person som ansvarig för överträdelsen samt att leda i bevis att denne haft uppsåt eller varit oaktsam på det sätt som krävs för straffbarhet. Mot denna bakgrund anser regeringen att de nya lagarna inte bör innehålla särskilda bestämmelser om straff. 14.2Ingen möjlighet att ta ut sanktionsavgift Regeringens bedömning: Det bör inte tas in bestämmelser om sanktionsavgift i de nya lagarna. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Försvarsmakten och ställer sig bakom utredningens bedömning. Datainspektionen anser att sanktionsavgifter fyller en viktig funktion för att säkerställa regelefterlevnad. TCO anser att tillsynsmyndigheten ska kunna besluta om sanktionsavgifter. Skälen för regeringens bedömning: Enligt dataskyddslagen får tillsynsmyndigheten ta ut administrativa sanktionsavgifter av myndigheter vid vissa överträdelser av dataskyddsförordningen. Bestämmelsen reglerar även avgiftens storlek (6 kap. 2 §). 2017/18:105 utvecklar regeringen skälen för att tillsynsmyndigheten ska ha möjlighet att ta ut administrativa sanktionsavgifter från myndigheter (s. 139–142). Lagen om Säkerhetspolisens behandling av personuppgifter innehåller inte några bestämmelser om sanktionsavgifter (prop. 2018/19:163 s. 182–184). De krav på sanktionsavgifter som unionsrätten ställer gäller inte för sådan behandling av personuppgifter som regleras i den lagstiftning som är aktuell. Dataskyddskonventionen som även omfattar personuppgifts- behandling som rör nationell säkerhet, ställer krav på att det ska finnas lämpliga sanktioner och rättsmedel för överträdelser av bestämmelser om dataskydd, men anger inte närmare vilka krav som ställs på sådana sanktioner. Den nuvarande regleringen ger möjlighet till skadestånd. Regeringen föreslår inte någon ändring i detta avseende. Vidare kan straffrättsligt ansvar utkrävas enligt i enlighet med vad som redovisas i avsnitt 14.1. Utöver tillsynsverksamhet granskar Statens inspektion för försvarsunderrättelseverksamheten behandlingen av personuppgifter enligt FM-PuL och FRA-PuL. När det gäller Försvarets radioanstalts signalspaning i försvarsunder- Prop. 2020/21:224 rättelseverksamhet finns även bestämmelser som är av intresse i lagen om signalspaning i försvarsunderrättelseverksamheten. Signalspanings- myndigheten () ska ansöka om tillstånd hos Försvarsunderrättelsedomstolen för signalspaning enligt lagen (4 a §). (Statens inspektion för försvarsunderrättelse- verksamheten) får besluta att viss inhämtning ska upphöra eller att upptagning eller uppteckning av inhämtade uppgifter ska förstöras, om det vid kontroll framkommer att inhämtningen inte är förenlig med tillstånd som har meddelats enligt lagen (10 §). Som Datainspektionen uppmärksammar kan sanktionsavgift i många fall fylla en viktig funktion för att säkerställa regelefterlevnad. Till skillnad från TCO anser regeringen dock inte att det finns skäl att överväga en sådan ordning för tillsyn enligt de nya lagarna. Mot bakgrund av den tillsyn, kontroll och granskning som gäller för de verksamheter som de nya lagarna omfattar, med tillhörande sanktionsmöjligheter, bedömer regeringen att dataskyddskonventionens krav på lämpliga sanktioner och rättsmedel är uppfyllda genom utredningens förslag. 14.3.1 Det allmännas skadeståndsansvar Enligt 3 kap. 2 § skadeståndslagen (1972:207) ska staten eller en kommun ersätta personskada, sakskada eller ren förmögenhetsskada som vållas genom fel eller försummelse vid myndighetsutövning i verksamhet för vars fullgörande staten eller kommunen svarar. omfattar även ideell skada på grund av att någon genom fel eller försummelse vid myndighetsutövning kränkts på det sätt som anges i 2 kap. 3 § samma lag. I 2 kap. 3 § skadeståndslagen anges att den som allvarligt kränker någon annan genom brott som innefattar ett angrepp mot dennes person, frihet, frid eller ära ska ersätta den skada som kränkningen innebär. skadestånd för att den personliga integriteten har kränkts, dvs. icke-ekonomisk natur, förutsätter alltså att kränkningen har orsakats Det krävs också att kränkningen är allvarlig. Ersättning för kränkning med stöd av 3 kap. 2 § jämförd med 2 kap. 3 § skadeståndslagen förutsätter att kränkningen har orsakats vid myndighets- Om det inte är fråga om myndighetsutövning kan skadestånd ändå utgå enligt 3 kap. 1 § skadeståndslagen för skada som vållats av Det förutsätter att kränkningen har orsakats av att den anställde har begått brott i tjänsteutövningen.