prop · H803193 · 2021-05-25 00:00:00 — Dataskyddsdirektivet ska dels skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informations- utbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. Direktivet har i huvudsak genomförts genom en ramlag, brottsdatalagen (2018:1177). Brottsdatalagen drar upp gränsen mellan å ena sidan den särskilda regleringen av behandling av personuppgifter vid brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet och å andra sidan dataskyddsförordningens 2020/21:193 tillämpningsområde. Lagen ska tillämpas av de som är behöriga myndig- heter enligt lagen, om syftet med personuppgiftsbehandlingen är att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Lagen är subsidiär i förhållande till annan lag eller förordning. Det innebär att om det finns avvikande bestämmelser i sektorsspecifika registerförfatt- ningar ska de tillämpas framför motsvarande bestämmelser i dataskydds- lagen. I anslutning till dataskyddslagen finns också förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförord- ning som innehåller bestämmelser som kompletterar dataskyddsförord- ningen och dataskyddslagen. 12.3Närmare om dataskyddsförordningens bestämmelser Vissa allmänna principer vid behandling av personuppgifter Med anledning av den nya lagen kommer olika uppgifter som rör en identifierad eller identifierbar fysisk person, dvs. personuppgifter enligt dataskyddsförordningen, att behandlas. Vilka allmänna krav som gäller för behandling av personuppgifter anges i artikel 5.1. Den första principen som läggs fast är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (artikel 5.1 a). Vidare anges att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska dock inte anses vara oförenlig med de ursprungliga ändamålen (artikel 5.1 b). Vidare ska uppgifterna bl.a. vara adekvata och korrekta och får inte förvaras än vad som är nödvändigt (artikel 5.1 c, d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet (artikel Det är den personuppgiftsansvarige som ska ansvara för och kunna visa att artikel 5.1 efterlevs (artikel 5.2). Det måste alltid finnas en rättslig grund för personuppgiftsbehandling Dataskyddsförordningen utgår från att varje behandling av personupp- gifter måste vila på en av de rättsliga grunder som räknas upp i artikel 6.1. Behandlingen är enligt artikel 6.1 laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutöv- ning. f)Behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Detta villkor gäller dock inte för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter, vilket framgår av artikel 6.1 andra stycket. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling för att efterleva artikel 6.1 c och e (rättslig förpliktelse respektive allmänt intresse eller myndighetsutövning). Detta får göras genom att man närmare fastställer specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX som innehåller bestämmelser om särskilda behandlings- situationer (artikel 6.2). När det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning måste det även finnas ett annat stöd i rättsordningen än det som ges i dataskyddsförordningen. I artikel 6.3 första stycket anges nämligen att den grund för behandlingen som avses i artikel 6.1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. I samma artikel anges att syftet med behandlingen ska fastställas i den rättsliga grunden eller, när det gäller artikel 6.1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning. Av skäl 45 framgår att förordningen inte medför något krav på en särskild lag för varje enskild behandling, utan att det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som ankommer på den personuppgiftsansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. I propositionen till dataskyddslagen anfördes att det av ordalydelsen i artikel 6.3 första stycket framgår att det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av själva personuppgiftsbehandlingen som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften 2020/21:193 av allmänt intresse eller rätten att utöva myndighet (prop. 2017/18:105 s. 49). Särskilda kategorier av personuppgifter Enligt artikel 9.1 är det förbjudet att behandla särskilda kategorier av personuppgifter (känsliga personuppgifter). Förbudet omfattar uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. I artikel 9.2 anges ett antal uttömmande undantag från förbudet. Ett sådant undantag är om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Denna rätt ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10). 12.4 Visselblåsardirektivets bestämmelser om behandling av personuppgifter I artikel 17 i visselblåsardirektivet anges att behandling av personupp- gifter, inbegripet de behöriga myndigheternas utbyte eller överföring av personuppgifter, ska ske i enlighet med dataskyddsförordningen och Personuppgifter som uppenbart inte är relevanta för handläggningen av en viss rapport får inte samlas in. Om de har samlats in av misstag ska de raderas utan onödigt dröjsmål. I skäl 84 anges att förfaranden för uppföljning av rapporter om överträdelser av unionsrätten tjänar unionens och dess medlemsstaters allmänintresse, i den mening som avses i artikel 23.1 e i dataskydds- förordningen, eftersom det syftar till att stärka kontrollen av efterlevnaden av unionsrätten på vissa politikområden där överträdelser kan orsaka allvarlig skada för allmänintresset. Ett effektivt sekretesskydd för rapporterande personers identitet är nödvändigt för att skydda andras, i synnerhet de rapporterande personernas, fri- och rättigheter. Medlemsstaterna bör vidare enligt skäl 84 säkerställa att direktivet är ändamålsenligt och vid behov genom lagstiftningsåtgärder begränsa utövandet av vissa dataskyddsrättigheter för de berörda personerna i enlighet med artikel 23.1 e och i och 23.2 i dataskyddsförordningen. bör ske i den mån och så länge det är nödvändigt för att förhindra och åtgärda försök att hindra rapportering eller förhindra, störa eller försena uppföljningen, särskilt utredningar, eller försök att identifiera de rapporterande personernas identitet. Även de rättigheter som ges den Prop. 2020/21:193 berörda personen enligt artiklarna 13.3 a och e, 15.1 a och e, 16.4 a och e och 31.5 i dataskyddsdirektivet bör begränsas av samma skäl och under samma förutsättningar (skäl 85). I skäl 74 anges att personal vid de behöriga myndigheterna som ansvarar för att handlägga rapporter bör få fortbildning, även i fråga om gällande dataskyddsregler, för att handlägga rapporter och säkerställa att kom- munikationen med den rapporterande personen och uppföljningen av rapporten sker på lämpligt sätt. 12.5Behandling av personuppgifter vid intern och extern rapportering 12.5.1Dataskyddsdirektivets krav på personuppgiftsbehandling tillgodoses av befintliga bestämmelser i brottsdatalagen Regeringens bedömning: Det behöver inte införas några särskilda bestämmelser för att tillgodose dataskyddsdirektivets krav på person- uppgiftsbehandling. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen av remissinstanserna har någon synpunkt på bedömningen. Skälen för regeringens bedömning: Behandling av personuppgifter enligt visselblåsardirektivet, inbegripet de behöriga myndigheternas utbyte eller överföring av personuppgifter, ska enligt artikel 17 ske i enlighet med dataskyddsdirektivet. I skäl 83 anges att särskild hänsyn bl.a. bör tas till principerna för behandling av personuppgifter i artikel 4 och principen om inbyggt dataskydd och dataskydd som standard i artikel 20 i dataskyddsdirektivet. Dataskyddsdirektivet är tillämpligt på personuppgiftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (artikel 2). Direktivet är genomfört i svensk rätt genom brotts- datalagen vars tillämpningsområde stämmer överens med direktivets. Det är syftet med behandlingen av personuppgifter i det enskilda fallet som avgör när brottsdatalagen ska tillämpas, inte i vilken verksamhet behandlingen utförs. Den uppföljning som görs inom ramen för visselblåsarfunktionen kommer att ha till huvudsakligt syfte att bedöma riktigheten av de påståenden som har framställts i en rapport. Det kommer att finnas möjligheter att lämna information från visselblåsarärendet vidare till andra funktioner utanför visselblåsarfunktionen. Beroende på visselblåsar- funktionens slutsatser kan ett sådant utlämnade t.ex. komma att göras till en tillsynsenhet hos en myndighet, en enhet för personalansvarsfrågor hos 2020/21:193 privata eller offentliga verksamhetsutövare, eller till brottsbekämpande myndigheter om det är motiverat att göra en polisanmälan. I de fall ett brott kan antas ha begåtts kommer det inte att vara visselblåsarfunktionens uppgift att utreda ansvaret för brottet eller verka för att lagföring sker. Den uppgiften är förbehållen de brottsbekämpande myndigheterna som tillämpar brottsdatalagens personuppgiftsbestäm- melser. Detta innebär att den verksamhet som kommer att bedrivas inom visselblåsarfunktionerna i såväl offentlig som privat verksamhet aldrig kommer att ha det syfte som definierar tillämpningsområdet för data- skyddsdirektivet och brottsdatalagen. I den mån åtgärder för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder framstår som påkallade kommer det att vara möjligt att lämna uppgifter ur uppföljningsärendet till myndigheter som är behöriga att vidta sådana åtgärder. Eftersom dessa myndigheter är skyldiga att följa de regler om personuppgiftsbehandling som återfinns i dataskyddsdirektivet och brottsdatalagen är kravet i artikel 17 i direktivet på sådan personuppgifts- behandling redan uppfyllt. Några särskilda bestämmelser för att säkerställa att personuppgiftsbehandling sker i enlighet med dataskyddsdirektivet behöver därför inte införas. 12.5.2Den rättsliga grunden för personuppgiftsbehandlingen Regeringens bedömning: Den rättsliga grunden enligt dataskyddsförordningen för behandlingen av personuppgifter vid intern och extern rapportering kommer i allmänhet vara att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: , tidigare Data- inspektionen, anser att behandlingen av personuppgifter inte kan stödjas på den registrerades samtycke. Enligt myndigheten kan syftet med behandlingen såvitt avser den rättsliga förpliktelsen att ha rapporterings- kanaler och förfaranden inte anses fastställd genom den föreslagna lagen. Myndigheten påpekar vidare att det saknas en analys av hur det kommer att fungera när en arbetsgivare anlitar en utomstående för att hantera visselblåsarfunktioner samt vid behandling av personuppgifter inom kommunala visselblåsarfunktioner. efterfrågar en bestäm- melse som tydliggör personuppgiftsansvaret. Skälen för regeringens bedömning All behandling av personuppgifter måste ha stöd i någon av de rättsliga grunder som anges i artikel 6.1. Direktivet ställer krav på att interna och externa rapporteringskanaler och förfaranden ska inrättas för att information om överträdelser ska kunna rapporteras till rättsliga enheter i den privata och offentliga sektorn som i sin tur kan vidta åtgärder för att komma till rätta med de missförhållanden som rapporterats. För att möta direktivets krav på inrättande av interna och externa rapporteringskanaler föreslås att en sådan skyldighet ska fastställas i lag (avsnitt 10 och 11). Även den närmare utformningen av kanalerna och förfarandena föreslås fastställas i lag. Som regeringen anger i avsnitt 4.4 bör motsvarande bestämmelser om externa rapporterings- kanaler och förfaranden meddelas genom förordning. I lag och förordning kommer det således att finnas specifika förfaranderegler för både verksamhetsutövare och behöriga myndigheter. I dessa regler kommer det att bl.a. fastställas vilka personer som ska kunna rapportera, vilka rapporteringssätt som ska finnas tillgängliga och hur kommunikationen ska ske med den rapporterande personen. Det kommer vidare att framgå att de personer och enheter som utses för att sköta kanalerna och förfarandena kommer att ta emot rapporter och ha kontakt med rapporterande personer, följa upp det som rapporteras samt lämna återkoppling om uppföljningen till den rapporterande personen. Rapporteringskanalerna och förfarandena kommer enligt förslagen att behöva dokumenteras och det kommer att finnas uppgiftsskyldighet som reglerar när uppgifter ska lämnas från de som sköter rapporterings- kanalerna. Behandling av personuppgifter är laglig om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgifts- ansvarige (artikel 6.1 c). En förutsättning är att den rättsliga förpliktelsen och syftet med behandlingen fastställs i unionsrätten eller i den nationella rätten (artikel 6.3). I 2 kap. 1 § dataskyddslagen finns en kompletterande bestämmelse till grunden rättslig förpliktelse som anger att person- uppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Regeringen bedömer att den personuppgiftsbehandling som kommer att ske med stöd av den nya lagen i allmänhet kommer att utföras som en följd av att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige enligt lag, förordning eller i förekom- mande fall enligt kollektivavtal. Den rättsliga förpliktelsen föreslås regleras i 5 kap. 2 §, 6 kap. 1 § respektive i 1 kap. 6 § i den nya lagen. Det handlar om en skyldighet för vissa verksamhetsutövare respektive behöriga myndigheter att ha interna eller externa rapporteringskanaler och förfaranden för rapportering och uppföljning. Integritetsskydds- myndigheten anger att syftet med behandlingen såvitt avser den rättsliga förpliktelsen, dvs. skyldigheten att ha rapporteringskanaler och förfaranden, inte kan anses fastställd genom den föreslagna lagen. Regeringen vill därför förtydliga att personuppgifter kommer att behöva tas emot, registreras, lämnas ut och på andra sätt behandlas i ett uppföljningsärende inom ramen för en intern eller extern visselblåsar- funktion. Verksamhetsutövaren eller den behöriga myndigheten kommer att behöva behandla personuppgifterna i syfte att bedöma riktigheten i de påståenden som framställs i rapporten och även i övrigt vidta uppföljnings- åtgärder. Regeringen bedömer därför att den rättsliga förpliktelsen att ha rapporteringskanaler och förfaranden är fastställd på det sätt som krävs (se 2 kap. 1 § dataskyddslagen). 2020/21:193 vidare den aktuella behandlingen av personuppgifter inte stödjas på den registrerades samtycke. Regeringen delar myndighetens bedömning. Även andra rättsliga grunder kommer att kunna utgöra stöd för den personuppgiftsbehandling som är nödvändig enligt den föreslagna lagen. Det gäller i synnerhet att behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse (artikel 6.1 e). En väsentlig del i visselblåsar- regleringen är uppföljningen av rapporterna. Behandlingen av person- uppgifter i hela kedjan av förfarandet bör därför kunna stödja sig på den grunden att behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse. En uppgift av allmänt intresse ska liksom en rättslig förpliktelse vara fastställd i unionsrätten eller i den nationella rätten. Regeringen bedömer att uppgiften följer av den föreslagna lagen och att den också skulle kunna följa av ett kollektivavtal som avviker från lagen. Den rättsliga grunden bedöms därför vara fastställd på det sätt som krävs (se 2 kap. 2 § dataskyddslagen). Enligt artikel 6.3 andra stycket i dataskyddsförordningen ska den nationella rätten som fastställs i den rättsliga grunden uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som efter- strävas. Syftet med den föreslagna lagen är att genomföra visselblåsar- direktivet och därmed stärka kontrollen av unionsrättens och unions- politikens efterlevnad (jfr artikel 1 i visselblåsardirektivet). För att åstad- komma detta behöver det införas skydd för personer som rapporterar om överträdelser av unionsrätten. Syftet med lagen är därtill att skydda personer som rapporterar om andra missförhållanden än sådana överträdelser under förutsättning att det finns ett allmänintresse av att de kommer fram. För att uppnå dessa syften behöver personuppgifter behandlas i uppföljningsärenden. Utan en sådan personuppgiftsbehandling kommer förutsättningarna att fastställa om de påståenden som framställs i rapporteringen stämmer att vara begränsade. Därmed kommer det att vara svårt och i många fall omöjligt att avhjälpa missförhållandena. För att minimera intrånget i den personliga integriteten föreslås nedan ett antal integritetshöjande och skyddande åtgärder i form av ändamåls- och behörighetsbegränsningar samt tidsfrister. Med dessa åtgärder får lagstiftningen anses vara proportionerlig mot de mål som eftersträvas. I artikel 4.7 definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Bedömningen av vem som är person- uppgiftsansvarig för en viss behandling ska därmed enligt huvudregeln göras utifrån förordningen och med utgångspunkt i de faktiska omständigheterna i varje enskilt fall. Personuppgiftsbiträde definieras i artikel 4.8 som den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Ett person- uppgiftsbiträde kan vara en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Regeringen föreslår att verksamhetsutövare av en viss storlek och behöriga myndigheter ska vara skyldiga att ha interna respektive externa rapporteringskanaler och förfaranden för att ta emot och följa upp Prop. 2020/21:193 rapporter om missförhållanden. myndigheter bedöms normalt vara de som bestämmer ändamålen och medlen för behandlingen av personuppgifter och därmed kommer de normalt att vara personuppgiftsansvariga för den personuppgifts- behandling som görs i uppföljningsärenden. Regeringen anser att detta följer direkt av dataskyddsförordningen och att det därför inte, som föreslår, behöver anges i lagen. påpekar att det saknas en analys av hur det kommer att fungera när en arbetsgivare anlitar en utomstående för att hantera visselblåsarfunktioner. Regeringen kan konstatera att utomstående aktörer, som har anlitats av en personuppgiftsansvarig verksamhetsutövare eller behörig myndighet för att behandla personuppgifter för dennes räkning, normalt kommer att vara personuppgiftsbiträden i dataskydds- förordningens mening. Dataskyddsförordningens bestämmelser om personuppgiftsbiträden måste således beaktas vid anlitande av personuppgiftsbiträden, bl.a. om att den personuppgiftsansvarige endast får anlita personuppgiftsbiträden som uppfyller vissa krav som data- skyddsförordningen uppställer och om att personuppgiftsbiträdets hantering av personuppgifterna ska regleras i särskild ordning (artikel 28.1 och 3). efterfrågar även en närmare utredning av personuppgiftsansvaret vid behandling av personuppgifter inom ramen för kommunala visselblåsarfunktioner. Som framgår av avsnitt 5.4.3 föreslås att bl.a. en kommun ska kunna anses som verksamhetsutövare. Inom den kommunala sektorn är det kommunen som sådan som är arbetsgivare och regeringen anser det lämpligt att den som har arbetsgivaransvaret inom den kommunala sektorn ska anses som verksamhetsutövare enligt den nya lagen. Det kommer därför ofta att vara kommunen som sådan som fullgör rollen som verksamhetsutövare inom kommunen.