sou · H9B366 · 2021-08-10 00:00:00 — Om uppgifterna gäller företrädare för en organisation som har bildats på exempelvis politisk eller religiös grund, kan uppgifterna avslöja politiska åsikter eller Personuppgiftsbehandling i ärenden om stöd religiös övertygelse och därmed utgöra känsliga personuppgifter (jfr artikel 9.1 i dataskyddsförordningen). För merparten av den statliga bidragsgivningen till civilsamhällets organisationer gäller villkor om syftet med stödet samt någon form av villkor gällande en organisations uppbyggnad och verksamhet. Vanligt förekommande villkor är sådana som gäller verksamhetens syfte samt strukturella villkor såsom krav på att organisationen saknar vinstsyfte, att verksamheten har en viss geografisk spridning och att verksamheten har bedrivits under ett visst antal år före ansökan om stöd. Ett av de vanligast förekommande villkoren är vidare att stöd inte får lämnas till en organisation som har skulder för svenska skatter eller avgifter hos eller som är i likvidation eller försatt i konkurs. Dessa typer av vanligt förekommande villkor tar i första hand sikte på den bidragssökande organisationen och den verksamhet som organisationen bedriver, inte de fysiska personer som anordnar eller deltar i en sådan verksamhet. Dessa villkor medför därför typiskt sett ett begränsat behov av att behandla personuppgifter vid en prövning av ett ärende om stöd. Vissa stöd till det civila samhället riktar sig till organisationer som bedriver verksamheter vars syfte har koppling till uppgifter som, om de skulle kunna hänföras till identifierbara fysiska personer, skulle kunna utgöra känsliga personuppgifter. Detta kan gälla för organisationer som bedriver verksamheter som riktar sig till en viss målgrupp utifrån t.ex. sexuell läggning, religiös övertygelse eller etniskt ursprung. Villkor som medför att en organisation behöver lämna uppgifter om syftet med den verksamhet som organisationen bedriver medför dock inte i sig att organisationen behöver lämna uppgifter som identifierar de fysiska personer som har deltagit i en sådan verksamhet. Vid en prövning av en fråga om stöd kan det visserligen vara av betydelse att organisationens verksamhet faktiskt kommer den avsedda målgruppen till godo. En organisation kan dock i regel redogöra för detta utan att uppge uppgifter som identifierar enskilda fysiska personer. Vi bedömer därmed att sådana villkor typiskt sett inte medför något omfattande behov av att behandla personuppgifter inom ramen för ett ärende om statligt reglerat stöd till civilsamhället. För vissa stöd ställs även villkor med direkt koppling till organisationernas medlemmar såsom villkor gällande minsta medlemsantal eller villkor om medlemmarnas bosättning, ålder eller kön. Personuppgiftsbehandling i ärenden om stöd villkor medför att en organisation som vill ta del av stöd måste behandla vissa personuppgifter om dess medlemmar, t.ex. i form av en medlemsförteckning där uppgifter kopplade till villkoren för stöd antecknas. Beroende på vilken verksamhet en organisation bedriver kan uppgifter om organisationens medlemmar utgöra känsliga personuppgifter (jfr artikel 9.1 i dataskyddsförordningen). För att undvika att känsliga personuppgifter om en organisations medlemmar lämnas till ett beslutsorgan, och därmed blir del av en allmän handling, innehåller vissa regleringar bestämmelser som innebär att organisationens uppgifter om dess medlemmar ska intygas av en revisor. En sådan ordning innebär att ett beslutsorgan inte behöver behandla uppgifter om en organisations medlemmar i ett sådant format att de utgör personuppgifter, eftersom de uppgifter som lämnas ut till organet inte identifierar fysiska personer. Det är dock inte alla regleringar som innehåller stödvillkor kopplade till en organisations medlemmar som även innehåller bestämmelser om revisorsgranskning av sådana medlemsuppgifter. Vi behandlar frågan om revisorsgranskning av medlemsuppgifter närmare i kapitel 10. Vilka personuppgifter som behandlas i ärenden om stöd till det civila samhället påverkas även av beslutsorganens handläggning. Genom att beslutsorganen begränsar det underlag som begärs in från sökande organisationer minimeras personuppgiftsbehandlingen till vad som är nödvändigt för att pröva en fråga om stöd. Exempel på underlag som det är vanligt att ett beslutsorgan begär in i samband med en ansökan om stöd är en organisations stadgar, årsmötesprotokoll, verksamhetsberättelse, balans- och resultaträkning, projektbeskrivning och budget. Denna typ av underlag innehåller i regel inte personuppgifter i någon större omfattning. Det förekommer även att beslutsorgan söker uppgifter om en sökande organisation i öppna källor såsom media och internet. Ett beslutsorgan kan dock, till följd av tryckfrihetsförordningens (TF) bestämmelser om allmänna handlingars offentlighet, inte fullt ut styra vilka personuppgifter som tillförs ett ärende om stöd till det civila samhället (jfr 2 kap. 4 § TF och 5 kap. 1 § offentlighets- och sekretesslagen [2009:400], OSL). En civilsamhällesorganisation kan till ett beslutsorgan ge in det underlag som organisationen bedömer som relevant för prövningen av en fråga om stöd. Detta medför att personuppgiftsbehandlingen i dessa ärenden kan komma att omfatta fler uppgifter än de som beslutsorganen bedömer som nödvändiga. Personuppgiftsbehandling i ärenden om stöd Därutöver kan det även komma in uppgifter till beslutsorganen från andra än själva organisationen, t.ex. via medlemmar, allmänheten eller media. Även sådana upplysningar från tredje part kan innehålla personuppgifter om t.ex. företrädare eller medlemmar som, om de tillförs ett ärende, behöver behandlas av organisationen och beslutsorganet. 7.3.2Förslagen till förtydligade demokrativillkor medför ett behov av att kunna behandla känsliga personuppgifter och uppgifter om brott Demokrativillkor är en av de vanligaste typerna av villkor för stöd till civilsamhällets organisationer. I stora drag kan dessa villkor delas in i dels villkor om att en organisation ska ha en demokratisk uppbyggnad, dels villkor om att en organisations syfte och verksamhet ska vara förenlig med demokratins idéer. De demokrativillkor som gäller är dock inte enhetligt utformade och villkoren har kritiserats bl.a. för att vara svåra att tillämpa i praktiken (se avsnitt 4.6). Regeringen har för avsikt att ta fram ett förtydligat, rättssäkert och enhetligt demokrativillkor för statens bidragsgivning till civilsamhället. Regeringen avser även att ta fram ett förtydligat demokrativillkor för det statliga stödet till trossamfunden. I betänkandena Statens stöd till trossamfund i ett mångreligiöst (SOU 2018:18), En arvsfond i takt med tiden (SOU 2018:70) och Demokrativillkor för bidrag till civilsamhället (SOU 2019:35) har tre olika statliga utredningar lagt fram tre olika förslag till nya förtydligade demokrativillkor för statligt reglerat stöd till civilsamhället. De tre olika förslagen skiljer sig delvis åt, men grundtanken bakom förslagen är densamma; allmänna medel ska endast tilldelas verksamheter som är förenliga med samhällets grundläggande värderingar såsom de har angetts i regeringsformen och internationella konventioner om mänskliga rättigheter. Alla tre förslagen till demokrativillkor ställer därför krav på en bidragssökande organisations och dess företrädares agerande. Begreppet företrädare föreslås i detta sammanhang ges en vid betydelse och avser inte bara en organisations legala företrädare, utan omfattar en bredare krets personer som på ett eller annat sätt företräder en organisation utåt (se avsnitt 4.6). Eftersom förslagen till demokrativillkor till stor del tar sikte på ageranden av de fysiska personer som företräder en organisation Personuppgiftsbehandling i ärenden om stöd medför förslagen ett behov av att behandla personuppgifter. Vid en prövning av om en civilsamhällesorganisation eller dess företrädare har agerat på ett sätt som står i strid med ett demokrativillkor kan därför både en organisation och ett beslutsorgan behöva behandla personuppgifter gällande organisationens företrädare eller andra personer som har deltagit i en organisations verksamhet. De typer av ageranden som, enligt de tre förslagen till nya demokrativillkor, kan medföra att en organisation nekas stöd är exempelvis utövande av våld, tvång eller hot eller annan kränkning av enskilds grundläggande fri- och rättigheter samt diskriminering eller annat agerande som bryter mot principen om alla människors lika värde. En prövning av ett demokrativillkor kan därför komma att gälla t.ex. uppgifter om brott eller om kränkningar av enskilda som har skett inom en organisations verksamhet. Vid en sådan prövning kan det vara nödvändigt att behandla känsliga personuppgifter om både företrädare för organisationen och andra fysiska personer, t.ex. en person som har anmält ett missförhållande eller en person som har utsatts för diskriminering eller annan kränkande behandling. Beroende på vilken typ av omständigheter som kommer till organisationens eller beslutsorganets kännedom kan det komma att röra sig om en i sammanhanget omfattande behandling av känsliga personuppgifter och uppgifter om brott. 7.4Beslutsorganens behandling av personuppgifter i ärenden om stöd Vår bedömning: Ett beslutsorgans uppdrag att fördela statligt reglerat stöd till civilsamhället är en uppgift av allmänt intresse som har fastställts i svensk rätt. Det finns därmed rättslig grund för beslutsorganens behandling av personuppgifter i ärenden om stöd till det civila samhället. När det gäller behandling av känsliga personuppgifter bedömer vi att det utgör ett viktigt allmänt intresse att ett beslutsorgan kan utföra en uppgift att fördela stöd till civilsamhällets organisationer. Beslutsorganen har därmed även grund för behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse. För behandling av personuppgifter på dessa grunder följer särskilda krav på bl.a. proportionalitet och särskilda skyddsåtgärder, vilket kan medföra att det krävs kom- Personuppgiftsbehandling i ärenden om stöd pletterande nationell dataskyddsreglering av beslutsorganens personuppgiftsbehandling. Vi bedömer vidare att de beslutsorgan som är myndigheter kan behandla uppgifter om brott direkt med stöd av dataskyddsförordningen. För enskilda organ som fördelar statligt stöd bör det dock införas en nationell bestämmelse som ger organen rätt att behandla sådana personuppgifter. 7.4.1Uppdrag att fördela stöd är en uppgift av allmänt intresse som har fastställts i svensk rätt För att ett beslutsorgan ska få behandla personuppgifter i ett ärende om stöd till civilsamhället måste organet ha rättslig grund för behandlingen. Enligt dataskyddsförordningen finns rättslig grund för behandling om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e i dataskyddsförordningen). Behandling med stöd av denna rättsliga grund förutsätter att grunden för behandlingen har fastställts i rättsordningen och kan medföra krav på särskilda dataskyddsbestämmelser (artikel 6.3 i dataskyddsförordningen). Gemensamt för den statligt reglerade bidragsgivningen till det civila samhället är det underliggande allmänna intresset av att främja ett demokratiskt samhälle. Ett fritt och självständigt civilsamhälle med en mångfald av organisationer, verksamheter och röster är en förutsättning för en väl fungerande demokrati. Statligt stöd till det civila samhället fördelas i syfte att säkra existensen av ett självständigt civilsamhälle och med beaktande av den samhällsnytta som organisationerna bidrar med. Utifrån detta underliggande demokratiperspektiv fördelar staten stöd till organisationer inom det civila samhället. Stödet fördelas främst av ett stort antal olika myndigheter under regeringen. Det förekommer dock även att regeringen beslutar att fördela bidrag direkt till civilsamhällesorganisationer. Därutöver har ett antal enskilda organ, med stöd i lag, i uppdrag att fördela statsbidrag (se avsnitt 3.4). Oavsett om det är ett offentligt eller ett enskilt organ som fördelar stödet, fördelas det i enlighet med ett uppdrag som följer av en författning eller ett regeringsbeslut. Personuppgiftsbehandling i ärenden om stöd Uppdraget att fördela stöd utgör alltså en uppgift som eller regeringen har gett i uppdrag åt en myndighet eller enskilt organ att utföra. Vi bedömer därför att uppgiften att handlägga och besluta i frågor om stöd till det civila samhället är en uppgift av allmänt intresse som, enligt beslut av eller regeringen, har fastställts i svensk rätt. Denna bedömning är även i linje med den vägledande bestämmelsen i dataskyddslagen som anger att personuppgifter får behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 2 § dataskyddslagen). I den del som handläggningen av ärenden om stöd innebär myndighetsutövning kan personuppgiftsbehandling även vara nödvändig som ett led i beslutsorganens myndighetsutövning. Beslutsorganen får därmed utföra behandling av personuppgifter i ärenden om stöd till det civila samhället förutsatt att behandlingen är nödvändig för att utföra en uppgift att handlägga eller besluta i frågor om stöd. 7.4.2Beslutsorganen kan behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse Dataskyddsförordningen uppställer ett principiellt förbud mot behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning, s.k. känsliga personuppgifter (artikel 9.1 i dataskyddsförordningen). Förordningen medger dock ett antal undantag från detta förbud. För att beslutsorganen ska få behandla känsliga personuppgifter i ärenden om stöd måste det därmed ske med stöd av något av dessa undantag. Det undantag som är aktuellt vid myndigheters behandling av känsliga personuppgifter är främst att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. För behandling av personuppgifter med stöd av detta undantag ställs krav på rättsligt stöd som uppfyller villkor gällande bl.a. proportionalitet och skyddsåtgärder (artikel i dataskyddsförordningen). Personuppgiftsbehandling i ärenden om stöd Att en myndighet ska kunna utföra en av riksdag eller regering tilldelad uppgift på ett korrekt, rättssäkert och effektivt sätt är ett viktigt allmänt intresse. Detta har förtydligats genom dataskyddslagen som anger att en myndighet får behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse bl.a. om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § dataskyddslagen). Vi bedömer därför att det står klart att uppgiften att fördela stöd till civilsamhället är ett viktigt allmänt intresse. Ett beslutsorgan får därmed behandla känsliga personuppgifter förutsatt att behandlingen är nödvändig för handläggningen av ett ärende om stöd. Detta gäller oavsett om beslutsorganet är en myndighet eller ett enskilt organ. Behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse förutsätter stöd i rättsordningen. Vi har i föregående avsnitt konstaterat att uppdrag att fördela stöd till det civila samhället följer av författning eller regeringsbeslut (se avsnitt 7.4.1). Ett beslutsorgan har därmed grund för att utföra nödvändig behandling av känsliga personuppgifter i ärenden om stöd till det civila samhället på grundval av svensk rätt. 7.4.3Beslutsorganen behöver kunna behandla uppgifter om brott Vid tillämpningen av ett demokrativillkor kan det vara nödvändigt för ett beslutsorgan att hantera uppgifter om att en företrädare för en organisation har gjort sig skyldig till brott. Personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder (i detta betänkande benämnda uppgifter om brott) får endast behandlas under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10 i dataskyddsförordningen). Det är inte helt klart hur begreppet under kontroll av en myndighet ska tolkas i en svensk kontext. Enligt regeringen är en möjlig tolkning att uppgifter om brott får behandlas av ett organ som har anförtrotts uppgifter som ankommer på den offentliga sektorn (prop. 2017/18:105 s. 99). Att en myndighet får behandla uppgifter om brott framgår direkt av dataskyddsförordningen och har även tydliggjorts genom data- Personuppgiftsbehandling i ärenden om stöd skyddslagen (se 3 kap. 8 § dataskyddslagen). Ett beslutsorgan som är en myndighet kan därför direkt med stöd av den allmänna dataskyddsregleringen utföra nödvändig behandling av uppgifter om brott vid handläggningen av ett ärende om stöd till civilsamhället. Bland de organ som handlägger dessa ärenden finns dock, utöver ett stort antal statliga myndigheter, ett antal från staten fristående organ såsom t.ex. , Stiftelsen och Svenskt friluftsliv. Dessa beslutsorgan är alltså inte myndigheter men har, inom ramen för sina uppdrag att fördela statligt stöd, anförtrotts en uppgift som annars ankommer på den offentliga sektorn. Vi anser därför att det finns goda argument för att även dessa organ kan behandla uppgifter om brott vid handläggningen av ärenden om stöd direkt med tillämpning av dataskyddsförordningen (jfr prop. 2017/18:105 s. 99). Som vi har redogjort för ovan är det dock inte självklart hur begreppet under kontroll av en myndighet ska tolkas i en svensk kontext. För att undvika osäkerhet gällande frågan om ett beslutsorgan som inte är en myndighet får behandla uppgifter om brott anser vi därför att sådan behandling ska regleras särskilt i svensk rätt. 7.4.4Beslutsorganen har grundläggande rättsliga förutsättningar för att utföra nödvändig personuppgiftsbehandling Sammantaget bedömer vi att beslutsorganen har grundläggande rättsliga förutsättningar för att utföra nödvändig behandling av personuppgifter i ärenden om statligt reglerat stöd till civilsamhället, inklusive behandling av känsliga personuppgifter. Grunden för denna behandling är organens uppgift att fördela stöd till det civila samhället, som utgör såväl ett allmänt intresse som ett viktigt allmänt intresse enligt dataskyddsförordningen. I den del som handläggningen av ärenden om stöd innebär myndighetsutövning kan personuppgiftsbehandling även vara nödvändig som ett led i beslutsorganens myndighetsutövning. För behandling på dessa grunder ställs dock även krav avseende proportionalitet och lämpliga skyddsåtgärder, vilket kan medföra att det krävs kompletterande nationell dataskyddsreglering av beslutsorganens personuppgiftsbehandling. Vi anser vidare att det bör införas en nationell bestämmelse som ger Personuppgiftsbehandling i ärenden om stöd enskilda organ som fördelar statligt stöd till civilsamhället rätt att behandla uppgifter om brott. Dessa frågor behandlar vi i kapitel 8. 7.5Civilsamhällesorganisationernas behandling av personuppgifter vid prövning av frågor om stöd Vår bedömning: Vilken eller vilka rättsliga grunder som är tillämpliga vid en civilsamhällesorganisations behandling av personuppgifter i ärenden om stöd till det civila samhället kan variera från en organisation till en annan. En civilsamhällesorganisations intresse av att ansöka om och ta del av ett statligt stöd utgör dock ett berättigat intresse. En organisation har därmed rättslig grund för nödvändig behandling av personuppgifter i ärenden om stöd till det civila samhället. Personuppgiftsbehandling på denna grund förutsätter dock under alla omständigheter att civilsamhällesorganisationen, i egenskap av personuppgiftsansvarig, gör en noggrann avvägning mellan motstående intressen. En organisation som ansöker om att få ta del av statligt stöd ska, enligt vår bedömning, anses ha ett rättsligt anspråk i dataskyddsförordningens mening. Detta medför att en civilsamhällesorganisation får behandla även känsliga personuppgifter och uppgifter om brott vid en prövning av en fråga om rätt till stöd. Organisationerna kan således utföra nödvändig behandling av personuppgifter direkt med stöd av dataskyddsförordningen och kompletteringsförordningen utan ytterligare lagstiftningsåtgärder på nationell nivå. 7.5.1Civilsamhällesorganisationerna behöver kunna behandla personuppgifter utan samtycke av den registrerade Varje personuppgiftsansvarig ansvarar för att den egna behandlingen av personuppgifter utförs i enlighet med gällande dataskyddsreglering. Att en civilsamhällesorganisation behandlar personuppgifter i enlighet med dataskyddsförordningens krav på rättslig grund och respekt för de grundläggande principerna för behandling av personuppgifter är därmed i första hand organisationens eget ansvar. Personuppgiftsbehandling i ärenden om stöd Den rättsliga regleringen av stöd till det civila samhället ställer dock vissa villkor för stöd som har koppling till organisationernas medlemmar och företrädare. Dessa villkor medför att en organisation som önskar ta del av stöd kan behöva behandla personuppgifter, utöver vad som annars hade krävts av verksamhetsskäl. För att denna reglering ska kunna tillämpas i praktiken krävs därför att organisationerna har rättsliga förutsättningar för att kunna behandla de personuppgifter som är nödvändiga för en prövning av om organisationen uppfyller villkoren för stöd. För att en civilsamhällesorganisation ska få utföra den behandling av personuppgifter som är nödvändig för en prövning av en fråga om stöd krävs rättslig grund för behandlingen. Statligt reglerat stöd till det civila samhället fördelas till organisationer av varierande karaktär som bedriver verksamheter av vitt skilda slag. Vilken eller vilka rättsliga grunder som är tillämpliga vid viss behandling av personuppgifter kan därför variera från en organisation till en annan. Den rättsliga grunden för en civilsamhällesorganisations behandling av personuppgifter måste därför bedömas från fall till fall. Generellt gäller dock att behandling av personuppgifter som utförs av organisationer inom det civila samhället inte förutsätter att grunden för behandlingen har fastställts i rättsordningen i samma utsträckning som gäller för beslutsorganen. Organisationernas personuppgiftsbehandling kan därför till stor del genomföras direkt med stöd av dataskyddsförordningen. Exempelvis kan civilsamhällesorganisationer i större utsträckning än myndigheter behandla personuppgifter med stöd av den registrerades samtycke (artikel 6.1 a i dataskyddsförordningen). Vid en prövning av om en organisation uppfyller villkoren för stöd, t.ex. ett demokrativillkor, kan det dock bli nödvändigt för organisationen att behandla vissa personuppgifter trots att den registrerade inte har gett sitt samtycke till sådan behandling. För att en civilsamhällesorganisation ska kunna utföra den behandling som är nödvändig vid en prövning av en fråga om stöd krävs därför att organisationen kan behandla personuppgifter även utan samtycke av den registrerade. Personuppgiftsbehandling i ärenden om stöd 7.5.2Civilsamhällesorganisationernas intresse av att få del av statligt reglerat stöd utgör ett berättigat intresse Enligt dataskyddsförordningen får en personuppgiftsansvarig, utan samtycke av den registrerade, behandla personuppgifter om behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre (artikel 6.1 f i dataskyddsförordningen).