sou · H9B366 · 2021-08-10 00:00:00 — Den nya lagen ska möjliggöra en ändamålsenlig personuppgiftsbehandling vid beslutsorganens handläggning av ärenden om stöd samt säkerställa att dataskyddsförordningens krav på proportionalitet samt lämpliga och särskilda åtgärder för den registrerades grundläggande rättigheter och intressen efterlevs vid sådan behandling. Integritetsrisker vid en prövning av ett förtydligat demokrativillkor Vid prövningen av ett förtydligat demokrativillkor kan det komma att bli nödvändigt att behandla integritetskänsliga personuppgifter om en civilsamhällesorganisations företrädare eller andra personer som har deltagit i organisationens verksamhet. Som vi har redogjort för i föregående avsnitt är det svårt att uttala sig om dels hur många organisationer som kan komma att bli föremål för närmare utredning med anledning av införandet av nya förtydligade demokrativillkor, dels hur många fysiska personer som kan komma att En ny lag om behandling av... beröras av sådan behandling. I de ärenden där det uppkommer anledning att närmare utreda om en organisation har agerat i strid med ett demokrativillkor kan det dock komma att gälla personuppgiftsbehandling som berör en relativt stor krets registrerade och det kan komma att gälla behandling av integritetskänsliga personuppgifter. Det tre förslagen till förtydligade demokrativillkor tar delvis sikte på en organisations företrädares agerande. Vid tillämpningen av dessa villkor föreslås begreppet företrädare ges en vid betydelse och ska enligt förslagen inte avse endast en organisations legala företrädare, utan även omfatta en bredare krets personer som på ett eller annat sätt företräder en organisation utåt (se avsnitt 4.6). Detta innebär att den krets personer som ska anses företräda en organisation kan bli vid och kan, beroende på en organisations storlek och uppbyggnad, komma att omfatta ett relativt stort antal personer. Enligt en sådan definition kan det även komma att uppstå gränsdragningsproblematik gällande vem som ska anses företräda en viss organisation. Detta innebär att det inte i alla fall kommer att vara uppenbart för en fysisk person om han eller hon i en viss situation ska anses utgöra en företrädare för en organisation och därmed kan komma att bli föremål för granskning vid ett beslutsorgans prövning av om organisationen har agerat i strid med ett demokrativillkor. Dessa faktorer utgör risker för den personliga integriteten vid tillämpningen av förtydligade demokrativillkor. Utöver uppgifter om en organisations företrädare kan det bli nödvändigt att behandla personuppgifter om t.ex. medlemmar eller andra personer som har medverkat i en organisations verksamhet. Det kan t.ex. gälla personer som har anmält missförhållanden inom en organisation eller uppgifter om att en viss person ska ha utsatts för ett visst agerande inom en organisations verksamhet. Hur många personer som kan komma att beröras av sådan behandling är svårt att uttala sig om. Det kan dock konstateras att det kan komma att gälla både personuppgifter som har lämnats till en organisation eller ett beslutsorgan av den registrerade själv och personuppgifter som har kommit till ett beslutsorgans kännedom via tredje part, t.ex. en före detta medlem, allmänheten eller media. Dessa omständigheter innebär en integritetsrisk. Även typen av personuppgifter som kan komma att behöva behandlas vid en prövning av ett förtydligat demokrativillkor medför en risk för den personliga integriteten vid handläggningen av En ny lag om behandling av... Den typ av ageranden som enligt förslagen till förtydligade demokrativillkor kan komma att leda till att en organisation ska anses ha agerat i strid med ett demokrativillkor rör omständigheter som typiskt sett är integritetskänsliga. Det kan t.ex. röra uppgifter om att någon har gjort sig skyldig till ett våldsbrott eller uppgifter om att någon har utsatts för diskriminering eller annan kränkande behandling inom en organisations verksamhet. Beroende på vilken verksamhet som en organisation bedriver kan redan en uppgift om medlemskap eller deltagande i en organisations verksamhet vara en känslig personuppgift. Behandling av sådana uppgifter kan vidare innebära kartläggning av den enskildes personliga förhållanden och innebär en risk för intrång i den personliga integriteten. Sammantaget utgör dessa faktorer risker för intrång i den personliga integriteten vid handläggning av ärenden om stöd till det civila samhället. Beslutsorganen måste ha förutsättningar att utföra sitt uppdrag De myndigheter och enskilda organ som handlägger ärenden om stöd till det civila samhället har av eller regeringen getts i uppdrag att fördela statligt reglerat stöd till det civila samhället. För att ett beslutsorgan ska kunna utföra ett sådant uppdrag på ett effektivt och rättssäkert sätt måste organet kunna utföra den behandling av personuppgifter som är nödvändig för att bedöma om en organisation uppfyller villkoren för stöd. Som vi har konstaterat i föregående avsnitt medför nya förtydligade demokrativillkor att beslutsorganen behöver kunna utföra behandling av känsliga personuppgifter och uppgifter om brott i en större omfattning än vad som är nödvändigt enligt nu gällande reglering. Motiven till att det uppställs demokrativillkor inom den statliga bidragsgivningen har sin grund i regeringsformens program- och målsättningsstadgande. Enligt detta stadgande ska det allmänna verka för bl.a. att demokratins idéer blir vägledande inom samhällets alla områden, för att alla människor ska uppnå delaktighet och jämlikhet i samhället och för att barns rätt tas till vara samt motverka diskriminering (1 kap. 2 § RF). Statliga medel ska därför inte lämnas till verksamheter som motverkar eller står i strid med de värderingar som det allmänna ska verka för att skydda. Det har därför bedömts En ny lag om behandling av... motiverat att uppställa demokrativillkor inom den statliga bidragsgivningen till det civila samhället (jfr SOU 2018:18 s. 320 f., SOU 2018:70 s. 147 ff. och SOU 2019:35 s. 330 ff.). De föreslagna demokrativillkoren syftar alltså till att förhindra att allmänna medel betalas ut till verksamheter som inte är förenliga med samhällets grundläggande värderingar såsom de har angetts i regeringsformen och internationella konventioner om mänskliga rättigheter. Om ett demokrativillkor ska uppfylla detta syfte, måste ett beslutsorgan kunna behandla de personuppgifter som är relevanta för prövningen av ett sådant villkor. Det finns därmed tungt vägande skäl för att beslutsorganen ska ges förutsättningar att kunna utföra den personuppgiftsbehandling som är nödvändig för att bedöma om en organisation uppfyller ett förtydligat demokrativillkor. Införandet av en särskild lag om personuppgiftsbehandling ger förutsättningar för att skydda den personliga integriteten Behandling av personuppgifter innebär en risk för intrång i den personliga integriteten för de fysiska personer vars uppgifter behandlas. Rätten till personlig integritet är en mänsklig rättighet som skyddas inom både folkrätten och svensk rätt och begränsningar av denna rättighet får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt för att uppfylla ändamålet med begränsningen. Beslutsorganens behandling av personuppgifter i ärenden om stöd måste därför utföras på ett sätt som säkerställer ett tillräckligt skydd för den personliga integriteten för de fysiska personer som berörs av behandlingen. I svensk rätt regleras rätten till skydd för den personliga integriteten i regeringsformens bestämmelser om de grundläggande fri- och rättigheterna. Enligt denna reglering är var och en, gentemot det allmänna, skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket RF). Skyddet mot ett sådant intrång kan endast begränsas genom lag (2 kap. 20 § första stycket 2 RF). Med beaktande av den risk för den personliga integriteten som följer av personuppgiftsbehandling har det varit en ambition i svensk rätt att särskilt integritetskänslig behandling ska regle- En ny lag om behandling av... ras i lag, även om det inte i alla fall strikt sett är nödvändigt utifrån regeringsformens bestämmelser om normgivning. En av orsakerna till denna ambition är att reglering i lag förutsätter en grundlig utredning och en ingående avvägning mellan integritetsintresset och de intressen som talar för personuppgiftsbehandlingen (SOU 2015:39 s. 71 f.). Att reglera viss personuppgiftsbehandling i en särskild lag utgör en form av skydd för personuppgifter och är en möjlig väg för att säkerställa att svensk rätt möter dataskyddsförordningens krav på proportionalitet och bestämmelser om lämpliga och särskilda skyddsåtgärder. De beslutsorgan som handlägger ärenden om stöd till det civila samhället har möjlighet att med stöd av dataskyddsförordningen och kompletterande nationella bestämmelser behandla personuppgifter, inklusive känsliga sådana. Med beaktande av den typ av personuppgifter som ett beslutsorgan kan komma att behöva behandla till följd av förslagen till förtydligade demokrativillkor anser vi dock att det bör införas en särskild reglering av personuppgiftsbehandling i dessa ärenden. Regleringen bör med beaktande av den risk för den personliga integriteten som sådan personuppgiftsbehandling innebär införas i en särskild lag, oavsett om detta är ett formellt krav enligt regeringsformen eller inte. Genom en sådan reglering är det möjligt att anta särskilda bestämmelser såsom bestämmelser om ändamålsbegränsningar, lagringstid och tillgång till personuppgifter som är anpassade för den behandling som är nödvändig i just ärenden om statligt reglerat stöd till civilsamhället. En särskild lag om behandling av personuppgifter gör det vidare tydligt för de registrerade hur deras personuppgifter får behandlas inom ramen för sådan verksamhet. Även intresset av att skydda de registrerades integritet talar därför för ett införande av en särskild reglering av behandling av personuppgifter i dessa ärenden. En annan omständighet som talar för en särskild lag är att ärenden om statligt reglerat stöd till civilsamhället handläggs av ett stort antal beslutsorgan. En gemensam reglering av behandling av personuppgifter i dessa ärenden säkerställer ett enhetligt och tillräckligt skydd för personuppgifter, oberoende av vilket organ som handlägger ett ärende. Därutöver har vi bedömt att det bör införas kompletterande nationell reglering som ger enskilda organ som har till uppgift att fördela statligt stöd still civilsamhället rätt att utföra nödvändig behandling av uppgifter om brott (se avsnitt 7.4.3). En ny lag om behandling av... sådan bestämmelse kan lämpligen placeras i en ny lag om personuppgiftsbehandling i dessa ärenden. Sammantaget bedömer vi att en ny lag om behandling av personuppgifter i ärenden om statligt reglerat stöd till civilsamhället kompletterar och ger förutsättningar för att precisera tillämpningen av dataskyddsförordningens bestämmelser på ett sådant sätt att enskildas personliga integritet skyddas som regleringen tydliggör de ramar och begränsningar som ska gälla för beslutsorganens behandling. En sådan lag skulle även bidra till förutsebarhet och öppenhet på så sätt att de registrerade kan skapa sig en bild av ramarna för beslutsorganens behandling av personuppgifter. Vi bedömer att en sådan reglering säkerställer att den risk för integritetsintrång som följer av behandling av personuppgifter i ärenden om stöd till det civila samhället inte går utöver vad som är nödvändigt för att beslutsorganen ska kunna utföra uppdrag att fördela stöd. Det utökade behovet av att behandla känsliga personuppgifter som följer av förtydligade demokrativillkor väcker även frågan om det finns ett behov av utökad sekretessreglering i ärenden om statligt reglerat stöd till civilsamhället. Denna fråga behandlar vi närmare i kapitel 9. I kapitel 10 behandlar vi frågan om utökad reglering om revisorsgranskning av en organisations medlemsuppgifter. Vårt förslag: Syftet med den nya lagen är att ge myndigheter och andra organ som har till uppgift att fördela statligt reglerat stöd till civilsamhället möjlighet att inom denna verksamhet behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Lagens dubbla syfte ska framgå direkt av författningstexten. Vi anser att den nya lagen ska innehålla en bestämmelse som anger lagens syfte. Syftesbestämmelser saknar visserligen eget materiellt innehåll, men kan, enligt vår mening, ändå fylla en viktig funktion eftersom de ger vägledning gällande hur de materiella bestämmelserna i en författning ska tolkas. När det gäller just sektorspecifik En ny lag om behandling av... datsskyddsreglering är syftet dessutom i regel dubbelt. Dessa författningar syftar dels till att möjliggöra en ändamålsenlig personuppgiftsbehandling vid en myndighet eller annat organ, dels till att skydda enskilda mot integritetsintrång. En syftesbestämmelse är ett sätt att på ett tydligt sätt klargöra ett sådant dubbelt syfte (jfr prop. 2014/15:148 s. 29). Vårt förslag till en ny lag om behandling av personuppgifter i ärenden om stöd till det civila samhället syftar till att möjliggöra en ändamålsenlig personuppgiftsbehandling vid de myndigheter och andra organ som har till uppgift att fördela sådant stöd. Ett av lagens syften är alltså att säkerställa att beslutsorganen har de rättsliga förutsättningarna för att kunna utföra nödvändig personuppgiftsbehandling inom sådan verksamhet. Genom att detta syfte klargörs direkt i författningstexten tydliggörs även vilken som är den rättsliga grunden för beslutsorganens personuppgiftsbehandling, dvs. uppgiften att fördela statligt reglerat stöd till civilsamhället. Med begreppet uppgift att fördela stöd avses hela ärendeprocessen från att en ansökan kommer in till ett beslutsorgan till beslut i fråga om en organisation ska få ta del av ett visst stöd och i så fall med vilket belopp. I många fall följer beslutsorganen även upp hur utbetalda medel har nyttjats. I vissa ärenden kan det vidare komma att bli fråga om en efterkommande process gällande återkallelse eller återkrav av stöd. I de allra flesta stödärenden handläggs alla frågor om stöd av ett och samma beslutsorgan. I vissa fall har dock beslutsprocessen delats upp mellan olika beslutsorgan och ett stödärende kan därför komma att handläggas av mer än ett organ. Detta gäller t.ex. i ärenden om stöd enligt lagen (2021:401) om Allmänna arvsfonden. Stöd ur Allmänna arvsfonden fördelas av Arvsfondsdelegationen. För det fall Arvsfondsdelegationen anser att en organisation bör betala tillbaka stöd ur arvsfonden, ska delegationen överlämna ärendet till Kammarkollegiet som beslutar i frågor om återkrav och återbetalningsskyldighet (2 kap. 1 och 14 §§ lagen om Allmänna arvsfonden). För att ett beslutsorgan ska kunna utföra en uppgift att fördela stöd till civilsamhällets organisationer på ett korrekt och rättssäkert sätt är det viktigt att organet har möjlighet att utföra den behandling av personuppgifter som är nödvändig för att kunna handlägga och fatta beslut i dessa ärenden. Lagen syftar därför till att möjliggöra ändamålsenlig personuppgiftbehandling under alla steg i handläggningen av ett ärende om stöd. En ny lag om behandling av... Den nya lagen syftar även till att skydda fysiska personer mot att deras personliga integritet kränks vid handläggningen av ett ärende om stöd till det civila samhället. Vi har bedömt att nya förtydligade demokrativillkor kommer att medföra en utökad behandling av känsliga personuppgifter i ärenden om stöd. Detta innebär en ökad risk för den personliga integriteten, vilket medför högre krav på dataskydd vid handläggningen av dessa ärenden. Den nya lagen syftar till att säkerställa en lämplig balans mellan beslutsorganens behov av att kunna behandla personuppgifter i ärenden om stöd och skyddet för den personliga integriteten. För att på att ett tydligt sätt klargöra lagens dubbla syfte bedömer vi att lagen bör innehålla en syftesbestämmelse. Vårt förslag: Den nya lagen ska tillämpas vid behandling av personuppgifter i verksamhet med handläggning av ärenden om statligt reglerat stöd till civilsamhället som omfattas av ett demokrativillkor. Den föreslagna lagens tillämpningsområde bör, enligt vår mening, avgränsas till att gälla inom verksamhet med handläggning av ärenden om statligt reglerat stöd till civilsamhället som omfattas av ett demokrativillkor. Begreppet statligt reglerat stöd är ett vitt begrepp som främst omfattar de olika statsbidrag som med stöd av lag eller förordning fördelas till civilsamhällets organisationer. Inom begreppet faller förutom rena statsbidrag även t.ex. medel ur Allmänna arvsfonden som fördelas till civilsamhället och vissa andra former av stöd såsom statlig avgiftshjälp till trossamfund enligt lagen (1998:1593) om trossamfund. Utanför den föreslagna lagens tillämpningsområde faller annat stöd än statligt reglerat stöd, t.ex. kommunalt och regionalt stöd till det civila samhället. Med stöd till civilsamhället avses stöd som fördelas till organisationer inom den ”arena, skild från staten, marknaden och det enskilda hushållet, där människor, grupper och organisationer agerar tillsammans för gemensamma intressen” (jfr prop. 2009/10:55 s. 28). Civilsamhället består i stor utsträckning av olika former av ideella föreningar och benämns ofta som föreningslivet. En ny lag om behandling av... av organisationer och sammanslutningar omfattas dock av begreppet, t.ex. trossamfund, ekonomiska föreningar och samfällighetsföreningar. Inom begreppet ryms även mer informella och öppna former av organisering, exempelvis nätverk och andra samverkansformer som inte är juridiska personer. Det är dock inte i alla fall enkelt att avgöra vilka statligt reglerade stöd som ska anses utgöra stöd till just det civila samhället. Många statsbidrag fördelas i princip uteslutande till civilsamhällets organisationer. Detta gäller bl.a. för bidrag till folkbildningen, idrotten, folkhälsan och det sociala området samt bidrag till ungdoms-, handikapps- och pensionärsorganisationer. Bland de cirka 80 förordningar som reglerar stöd till det civila samhället finns dock även ett antal statsbidrag som huvudsakligen har andra bidragsmottagare än civilsamhällesorganisationer. Så är fallet för bl.a. bidrag inom konst- och kulturområdet, skol- och utbildningsområdet samt miljö- och naturvård. Dessa statsbidrag riktar sig inte specifikt till civilsamhället, utan kan tilldelas såväl enskilda, aktiebolag, kommuner eller regioner som civilsamhällesorganisationer (se SOU 2019:35 s. 379 ff.). För att undvika att det uppstår gränsdragningsproblematik i fråga om vilka stöd som ska anses utgöra stöd till civilsamhället och därmed vilka stödärenden som ska omfattas av lagens tillämpningsområde, anser vi att lagens tillämpning bör avgränsas till att gälla sådant stöd till civilsamhället som omfattas av ett demokrativillkor. Med demokrativillkor avses sådana stödvillkor som ställer krav på att en organisation, för att kunna tilldelas stöd, ska vara demokratiskt uppbyggd, ha ett syfte som är förenligt med de värderingar som präglar ett demokratiskt samhälle och i sin verksamhet respektera grundläggande demokratiska värderingar (jfr prop. 2009/10:55 s. 148). Genom att knyta lagens tillämpning till sådant stöd till civilsamhället som fördelas enligt regleringar som uppställer ett demokrativillkor blir det tydligt i vilka verksamheter som lagen ska tillämpas. En sådan avgränsning av lagens tillämpningsområde är även lämplig mot bakgrund av att vi har bedömt att det är just det utökade behovet av att behandla personuppgifter till följd av förslagen om nya förtydligade demokrativillkor som innebär att det finns ett behov av särskild dataskyddsreglering i ärenden om stöd. Avgränsningen säkerställer därmed att den nya lagens tillämpningsområde blir tydligt definierat som lagen blir tillämplig i de stödärenden där det kan komma att genomföras sådan omfattande En ny lag om behandling av... personuppgiftsbehandling som lagen avser att reglera. Förutsatt att det är fråga om handläggning av ett stödärende som omfattas av ett demokrativillkor är lagen dock tillämplig på all behandling av personuppgifter i ärendet, oavsett om personuppgifterna har koppling till ett demokrativillkor eller något annat villkor för stöd. Statligt reglerat stöd till det civila samhället fördelas vidare av ett stort antal statliga myndigheter och ett antal från staten fristående organ som, genom lag, har tilldelats en förvaltningsuppgift att fördela visst stöd. Oberoende av vilket beslutsorgan som handlägger ett ärende om stöd bör skyddet för personuppgifter vara detsamma. Den nya lagen ska därför tillämpas vid samtliga beslutsorgan i den del deras verksamhet består av handläggning av ärenden om stöd. Lagen bör dock inte vara tillämplig inom annan verksamhet vid dessa myndigheter och enskilda organ. 8.3.4Lagen ska komplettera den allmänna dataskyddsregleringen Vårt förslag: Den nya lagen ska innehålla bestämmelser som klargör att den kompletterar dataskyddsförordningen. Dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid behandlingen av personuppgifter i ärenden om stöd till civilsamhället, om inte annat följer av den nya lagen eller av föreskrifter som har meddelats i anslutning till lagen. Dataskyddsförordningen är direkt tillämplig i svensk rätt och ska tillämpas av enskilda och myndigheter på samma sätt som om den vore lag antagen av riksdag. Förordningen gäller alltså oavsett om det i den föreslagna lagen införs en bestämmelse som hänvisar till den eller inte. Vi anser dock att det bör införas en upplysningsbestämmelse för att tydliggöra att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. En sådan bestämmelse tydliggör den nya lagens förhållande till förordningen och klargör att lagen inte kan tillämpas fristående, utan ska tillämpas tillsammans med dataskyddsförordningen. Hänvisningen till dataskyddsförordningen föreslås vara dynamisk, vilket innebär att hänvisningen avser förordningen i dess gällande En ny lag om behandling av... Denna hänvisningsteknik bedöms som den lämpligaste, eftersom lagen annars kan komma att behöva ändras vid varje eventuell ändring av dataskyddsförordningen. Bestämmelsen bör därför utformas på samma sätt som i andra sektorspecifika lagar som kompletterar dataskyddsförordningen (se t.ex. 3 § domstolsdatalagen [2015:728]). I svensk rätt har det antagits generella kompletterande bestämmelser till dataskyddsförordningen genom dataskyddslagen. Dataskyddslagens bestämmelser är subsidiära i förhållande till annan nationell dataskyddsreglering, dvs. eventuella specialbestämmelser i andra författningar om behandling av personuppgifter ska tillämpas framför de allmänna bestämmelserna i dataskyddslagen. Detta följer direkt av lagen (se 1 kap. 6 § dataskyddslagen). Det behövs därför egentligen inte någon materiell bestämmelse för att specialbestämmelser i den nya lagen ska ges företräde framför de generella bestämmelserna i dataskyddslagen. För att det ska vara tydligt hur den nya lagen förhåller sig till dataskyddslagen föreslår vi dock en bestämmelse som tydliggör att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid behandling av personuppgifter i ärenden om stöd till det civila samhället, om inte annat följer av den nya lagen eller föreskrifter som har meddelats i anslutning till den. Sådana tydliggörande bestämmelser är även vanligt förekommande i andra registerförfattningar (se t.ex. 4 § domstolsdatalagen). 8.3.5Beslutsorganen ska vara personuppgiftsansvariga