sou · H9B366 · 2021-08-10 00:00:00 — Dataskyddsförordningen är direkt tillämplig i svensk rätt och ska tillämpas av enskilda och myndigheter på samma sätt som om den vore lag antagen av riksdag (jfr artikel 288 andra stycket i fördraget om EU:s funktionssätt). I vissa delar är dock bestämmelserna i förordningen utformade på ett sådant sätt att de ger ett utrymme för eller förutsätter kompletterande nationella dataskyddsbestämmelser. En medlemsstat har därmed ett handlingsutrymme att i viss utsträckning anta kompletterande bestämmelser för att anpassa tillämpningen av förordningen till den nationella kontexten. Dataskyddsförordningen är tillämplig på behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1 i dataskyddsförordningen). Dataskyddsförordningen är inte tillämplig på behandling av personuppgifter som behöriga myndigheter genomför för brottsförebyggande eller brottsbekämpande ändamål (artikel 2.2 d i dataskyddsförordningen). Sådan behandling regleras i stället genom dataskyddsdirektivet4 och brottsdatalagen (2018:1177). Med begreppet behandling avses en åtgärd eller en kombination av åtgärder beträffande personuppgifter, oberoende av om de utförs automatiserat eller manuellt. Exempel på åtgärder som utgör behandling är insamling, registrering, lagring, bearbetning, användning eller spridning av personuppgifter (artikel 4.2 i dataskyddsförordningen). I syfte att förhindra risk för kringgående av förordningens bestämmelser har behandlingsbegreppet getts en teknikneutral utformning (skäl 15 till dataskyddsförordningen). Varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift (artikel 4.1 i dataskyddsförordningen). Uppgifter gällande juridiska personer, såsom föreningar, stiftelser eller trossamfund, omfattas alltså inte av begreppet personuppgift. För att avgöra om en uppgift avser en identifierbar fysisk person bör man beakta alla hjälpmedel som rimligen kan komma att användas för att direkt eller indirekt identifiera personen. Dataskyddsförordningen är därmed inte tillämplig på uppgifter som inte 4Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. kan hänföras till en viss person (skäl 26 till dataskyddsförordningen). Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning utgör känsliga personuppgifter (se artikel 9.1 i dataskyddsförordningen). Personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Såväl offentliga som privata organ kan alltså vara personuppgiftsansvariga enligt dataskyddsförordningen. Avgörande för placeringen av personuppgiftsansvaret är vem som har rätt att bestämma ändamål och medel för behandlingen. Om ändamålen och medlen bestäms av unionsrätten eller medlemsstaternas nationella rätt, är det dock möjligt att reglera vem som är personuppgiftsansvarig i lagstiftningen (artikel 4.7 i dataskyddsförordningen). I svensk rätt finns sådan särskild reglering gällande personuppgiftsansvar i många sektorspecifika specialförfattningar (se t.ex. patientdatalagen [2008:355] och domstolsdatalagen [2015:728]). 5.3.2Grundläggande principer för behandling av personuppgifter Dataskyddsförordningen ställer krav på att all behandling av personuppgifter ska ha en rättslig grund och genomföras i enlighet med vissa grundläggande principer (artikel 5.1 och 6.1 i dataskyddsförordningen). Lite förenklat kan sägas att förordningens krav på rättslig grund utgör en förutsättning för att en personuppgift överhuvudtaget ska få behandlas, medan övriga principer reglerar hur behandlingen får genomföras. Enligt de grundläggande principerna ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt. Uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål, och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning). De insamlade uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålen med behandlingen (uppgiftsminimering). Uppgifterna ska vidare vara riktiga och, om det är nödvändigt, uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att felaktiga personuppgifter raderas eller rättas utan dröjsmål. Slutligen får personuppgifter inte förvaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen och de ska skyddas genom lämpliga skyddsåtgärder (artikel 5.1 i dataskyddsförordningen). Det är den personuppgiftsansvarige som ansvarar för och ska kunna visa att dessa grundläggande principer för behandling av personuppgifter efterlevs (artikel 5.2 i dataskyddsförordningen). Om en personuppgiftsansvarig behandlar personuppgifter i strid med förordningen, kan den personuppgiftsansvarige bli skadeståndsskyldig eller skyldig att betala en administrativ sanktionsavgift (artikel 82 och 83 i dataskyddsförordningen). 5.3.3Rättsliga grunder för behandling av personuppgifter Allmänt om kravet på rättslig grund Behandling av personuppgifter är endast laglig om och i den mån den utförs med stöd av en rättslig grund. De rättsliga grunderna för personuppgiftsbehandling anges uttömmande i förordningen. Enligt dessa grunder får personuppgifter behandlas med stöd av den registrerades samtycke, för att fullgöra ett avtal eller en rättslig förpliktelse, till skydd för intressen som är av grundläggande betydelse för en fysisk person, för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller utifrån en intresseavvägning mellan den personuppgiftsansvariges eller tredje parts berättigade intressen och den registrerades intressen och grundläggande fri- och rättigheter (artikel 6.1 i dataskyddsförordningen). De rättsliga grunderna är i viss mån överlappande och viss behandling kan därmed omfattas av mer än en rättslig grund. Om ingen av de rättsliga grunderna är tillämplig, är behandlingen inte laglig och får därmed inte utföras. Behandling av personuppgifter är, med undantag för personuppgifter som behandlas med stöd av den registrerades samtycke, endast laglig om behandlingen är nödvändig i förhållande till den rättsliga grunden. Nödvändighetskravet har en nära koppling till principerna om ändamålsbegränsning och uppgiftsminimering och medför ett krav på ett direkt samband mellan behandlingen och den Att behandlingen ska vara nödvändig ska dock inte tolkas som ett krav på att det ska vara omöjligt att utföra en viss uppgift utan att utföra en viss behandlingsåtgärd. En viss behandling av personuppgifter kan exempelvis anses vara nödvändig om den leder till effektivitetsvinster, även om behandlingen inte är en förutsättning för att uppnå syftet med behandlingen. Som exempel kan nämnas att det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte är ett realistiskt alternativ för vare sig myndigheter eller företag. Den metod som den personuppgiftsansvarige väljer måste dock vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Även administrativa behandlingsåtgärder som i praktiken krävs för att en personuppgiftsansvarig ska kunna fullgöra en viss uppgift utgör nödvändig behandling enligt dataskyddsförordningen (prop. 2017/18:105 s. 47 f. och 60 f.). Begränsningar av möjligheten att behandla personuppgifter med grund i samtycke eller ett berättigat intresse Möjligheten att behandla personuppgifter med hänsyn till den personuppgiftsansvariges berättigade intressen är en form av generalklausul som möjliggör behandling utifrån en avvägning mellan den personuppgiftsansvariges och den registrerades intressen. Exempel på situationer när den personuppgiftsansvarige kan ha ett berättigat intresse att behandla vissa personuppgifter är när den registrerade är kund hos eller arbetar för den personuppgiftsansvarige. En tillämpning av bestämmelsen kräver dock under alla omständigheter en noggrann intresseavvägning. Vid denna bedömning ska bl.a. beaktas om den registrerade för inhämtandet av personuppgifter rimligen kunde förvänta sig att den aktuella personuppgiftsbehandlingen kunde komma att ske. Det är lagstiftarens sak att genom lagstiftning tillhandahålla rättslig grund för myndigheters behandling av personuppgifter. En myndighet kan därför inte behandla personuppgifter utifrån en intresseavvägning mellan den personuppgiftsansvariges eller tredje parts berättigade intressen och den registrerades intressen när myndigheten fullgör sina uppgifter (skäl 47 samt artikel 6.1 f och 6.1 andra stycket i dataskyddsförordningen). En myndighet har vidare begränsade möjligheter att behandla personuppgifter med stöd av den registrerades samtycke, eftersom det kan antas råda betydande ojämlikhet mellan den registrerade och myndigheten (jfr skäl 43 till dataskyddsförordningen). Personuppgifter får behandlas om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c i dataskyddsförordningen). Behandling av personuppgifter enligt denna grund förutsätter att det är just den personuppgiftsansvarige som har en rättslig skyldighet att fullgöra. För att en skyldighet ska utgöra en rättslig förpliktelse krävs legal grund. Begreppet tar i första hand sikte på offentligrättsliga förpliktelser som följer direkt av en författning eller en skyldighet som har slagits fast i en dom eller ett myndighetsbeslut (prop. 2017/18:105 s. 52 ff.). Behandling av personuppgifter på denna grund förutsätter inte att det måste finnas en författningsreglerad skyldighet att genomföra själva behandlingen av personuppgifterna, utan det räcker att behandlingen är nödvändig för att kunna fullgöra en rättslig förpliktelse (jfr artikel 6.3 i dataskyddsförordningen). Inom begreppet faller dock även författningsreglerade skyldigheter att genomföra viss behandling, t.ex. skyldighet att föra ett register eller att anmäla vissa uppgifter till en myndighet. Uppgift av allmänt intresse och myndighetsutövning Den rättsliga grund som aktualiseras vid myndigheters behandling av personuppgifter är främst att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e i dataskyddsförordningen). Med uppgift av allmänt intresse avses i första hand uppgifter som utförs av myndigheter och andra offentliga organ såsom förvaltning av hälso- och sjukvårdstjänster och sjukförsäkring (skäl 45 och 52 till dataskyddsförordningen). Begreppet har dock en vid betydelse och omfattar uppgifter av vitt skilda slag. Uppgifter som riksdag eller regering har gett i uppdrag åt statliga myndigheter att utföra är som utgångspunkt av allmänintresse (prop. 2017/18:105 s. 56 f.). Uppgifter av allmänt intresse kan dock även utföras av privata aktörer på uppdrag av en myndighet eller på eget initiativ. I har avskaffanden av statliga monopol och konkurrensutsättning av offentlig verksamhet inneburit att privaträttsliga organ numera utför en inte obetydlig del av de uppgifter som är av allmänt intresse. En privat aktör som, på uppdrag av en myndighet, utför en uppgift som är fastställd i författning eller regeringsbeslut kan därmed vidta nödvändig behandling av personuppgifter på samma grund som om myndigheten själv hade utfört arbetsuppgiften (prop. 2017/18:105 s. 58 f.). Begreppet myndighetsutövning karaktäriseras av beslut eller andra ensidiga åtgärder som ytterst är ett uttryck för samhällets maktbefogenheter. Myndighetsutövning kan både medföra förpliktelser för enskilda och mynna ut i gynnande beslut. Inom begreppet myndighetsutövning faller t.ex. en stor del av den behandling av personuppgifter som en myndighet utför inom ramen för dess handläggning av ärenden. Råd, upplysningar och andra inte bindande uttalanden omfattas dock inte av begreppet (prop. 2017/18:105 s. 62). Myndighet utövas, av naturliga skäl, i första hand av statliga och kommunala myndigheter. Även juridiska och fysiska personer kan dock med stöd av lag anförtros förvaltningsuppgifter som innefattar myndighetsutövning (12 kap. 4 § RF). 5.3.4Krav på att grunden för behandling ska fastställas i rättsordningen Den rättsliga grunden ska i vissa fall fastställas i unionsrätten eller en medlemsstats nationella rätt För behandling av personuppgifter som är nödvändig för att fullgöra en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning ska grunden för behandlingen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt (artikel 6.3 första stycket i dataskyddsförordningen). Tillämpningen av dessa rättsliga grunder förutsätter alltså särskilt stöd i rättsordningen. grunder kan tillämpas direkt med stöd av bestämmelserna i dataskyddsförordningen. Unionsrätten och medlemsstaternas nationella rätt ska vid fastställelse av en rättslig grund uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Kravet på fastställelse kan även medföra krav på att den rättsliga grunden ska innehålla bestämmelser om särskilda skyddsåtgärder såsom bestämmelser om de allmänna villkor som ska gälla för behandlingen, vilken typ av uppgifter som ska behandlas samt begränsningar gällande ändamål och lagringstid (artikel 6.3 andra stycket i dataskyddsförordningen). Det är grunden för behandlingen, dvs. den rättsliga förpliktelsen, uppgiften av allmänt intresse eller rätten att utöva myndighet, som ska fastställas i rättsordningen. Det finns dock inte något krav på att själva behandlingen av personuppgifter ska fastställas (prop. 2017/18:105 s. 49). Kravet på fastställelse medför inte heller något krav på en särskild lag till grund för varje behandling, utan det kan räcka med en lag som grund för flera behandlingar. De rättsliga grunderna bör dock fastställas på ett sådant sätt att grunderna är tydliga och precisa och att tillämpningen av dessa är förutsägbar för dem som omfattas av regleringen (skäl 41 och 45 till dataskyddsförordningen). Vilken grad av tydlighet och precision som krävs vid fastställelse av den rättsliga grunden får bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. Ett mer kännbart intrång i den personliga integriteten, såsom t.ex. omfattande behandling av känsliga personuppgifter, kräver en högre grad av precision av den rättsliga grunden och därmed en hög grad av förutsebarhet (prop. 2017/18:105 s. 51). Fastställelse av en rättslig grund i svensk rätt I svensk rättsordning fastställs en rättslig grund för behandling genom lagar och andra föreskrifter i enlighet med regeringsformens bestämmelser om normgivning (se 8 kap. RF). Svenska myndigheter har inte någon generell befogenhet att utöva myndighet. Statliga myndigheters uppdrag följer av författning eller regeringsbeslut, som har beslutats i enlighet med regeringsformens bestämmelser om normgivning. De åtgärder som en myndighet vidtar i syfte att utföra ett sådant uppdrag har därmed i sig en legal grund. Grunden för behandling av personuppgifter som är nödvändig för att en myndighet ska kunna utföra en uppgift av allmänt intresse eller som ett led i dess myndighetsutövning är därigenom fastställd i enlighet med nationell rätt (prop. 2017/18:105 s. 48 ff.). En rättslig förpliktelse måste vara fastställd i enlighet med gällande rätt, men behöver inte framgå direkt av författningstexten. Vid bedömningen av om en förpliktelse följer av exempelvis en lagbestämmelse kan bl.a. förarbetsuttalanden och bestämmelsens syfte och sammanhang behöva beaktas. Det är alltså inte bara lagtextens ordalydelse som är av betydelse för att avgöra om en skyldighet följer av lag (prop. 2017/18:105 s. 188). För behandling av personuppgifter som utförs för att fullgöra en rättslig förpliktelse ska vidare syftet med behandlingen fastställas i den rättsliga grunden (artikel 6.3 andra stycket i dataskyddförordningen). Detta innebär ett krav på att det ska vara möjligt för såväl den personuppgiftsansvarige som den registrerade att förstå varför behandlingen av personuppgifter ska utföras (prop. 2017/18:105 s. 54). 5.3.5Behandling av känsliga personuppgifter Förbudet mot att behandla känsliga personuppgifter och möjligheter till undantag från förbudet Utöver de grundläggande principerna för personuppgiftsbehandling och kravet på rättslig grund för behandling gäller särskilda krav för behandling av uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och för behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning, s.k. känsliga personuppgifter. Dessa kategorier av personuppgifter är till sin natur särskilt känsliga och därmed särskilt skyddsvärda. Behandling av sådana uppgifter kan innebära betydande risker för de grundläggande fri- och rättigheterna och dataskyddsförordningen uppställer därför särskilda bestämmelser om skydd för dessa personuppgifter (skäl 51 till dataskyddsförordningen). Behandling av känsliga personuppgifter är som utgångspunkt förbjuden (artikel 9.1 i dataskyddsförordningen). kompletteras dock med en rad undantag som anges uttömmande i förordningen (artikel 9.2 i dataskyddsförordningen). Likt de rättsliga grunderna för behandling av personuppgifter är vissa av dessa undantag direkt tillämpliga, medan andra grunder förutsätter rättslig reglering. Enligt de undantag som kan tillämpas direkt med stöd av dataskyddsförordningen får nödvändig behandling av känsliga personuppgifter utföras om den registrerade har lämnat sitt samtycke eller på ett tydligt sätt offentliggjort uppgifterna samt för att skydda en fysisk persons grundläggande intressen (artikel 9.2 a, c och e i dataskyddsförordningen). Förordningen innehåller även ett särskilt undantag för behandling som utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte. Ett sådant organ får behandla känsliga personuppgifter med stöd av förordningen förutsatt att behandlingen utförs med lämpliga skyddsåtgärder och enbart rör organets medlemmar eller tidigare medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta samt att uppgifterna inte lämnas ut utanför organet utan den registrerades samtycke (artikel 9.2 d i dataskyddsförordningen). Behandling för att fastställa, göra gällande eller försvara rättsliga anspråk Behandling av känsliga personuppgifter får även utföras om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet (artikel 9.2 f i dataskyddsförordningen). Dataskyddsförordningen innehåller inte någon definition av begreppet rättsligt anspråk. Av skälen till förordningen framgår dock att begreppet omfattar såväl anspråk inom ett domstolsförfarande som anspråk inom ett administrativt eller utomrättsligt förfarande (skäl 52 till dataskyddsförordningen). En möjlig tolkning av vad som avses med rättsligt anspråk är att begreppet omfattar anspråk om vilka man kan föra talan i domstol eller ett domstolsliknande organ och som kan utkrävas av eller med hjälp av statsmakterna, t.ex. (se , Dataskyddsförordningen [GDPR] m.m. – En kommentar [, ], kommentaren till artikel 9.2 f). Exempel på anspråk som i svensk rätt har ansetts omfattas av begreppet är anspråk på offentliga förmåner såsom ekonomiskt bistånd eller skatteavdrag och trossamfundens anspråk på medlemsavgifter via den statliga avgiftshjälpen (jfr. SOU 1997:39 s. 376 ff. och prop. 2017/18:127 s. 25). Begreppet rättsliga anspråk kan därmed omfatta såväl anspråk som kan göras gällande genom att väcka talan vid domstol som andra förvaltningsrättsliga anspråk. Känsliga personuppgifter om vem som helst får behandlas förutsatt att det är nödvändigt för att fastställa, göra gällande eller försvara det rättsliga anspråket. Det krävs alltså inte att det är den registrerade eller den personuppgiftsansvarige som har det rättsliga anspråket, utan även t.ex. ombud kan behandla känsliga personuppgifter med stöd av denna grund. Själva behandlingen av de känsliga personuppgifterna behöver inte heller gå ut på att fastställa, göra gällande eller försvara det rättsliga anspråket. Det räcker att behandlingen av de känsliga personuppgifterna är nödvändig för att någon ska kunna fastställa, göra gällande eller försvara det rättsliga anspråket. Som exempel kan nämnas att det kan vara nödvändigt för en personuppgiftsansvarig att registrera personuppgifter om olika slags försummelser för att eventuellt ha grund för att avsluta ett avtalsförhållande genom t.ex. hävning av avtal (se , Dataskyddsförordningen [GDPR] m.m. – En kommentar [, ], kommentaren till artikel 9.2 f.). Behandling av hänsyn till ett viktigt allmänt intresse Undantag från förbudet mot att behandla känsliga personuppgifter gäller vidare vid behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse (artikel i dataskyddsförordningen). Detta undantag tillämpas huvudsakligen inom myndigheters verksamhet, men kan även aktualiseras vid viss behandling som utförs av privata aktörer (jfr skäl 19 till dataskyddsförordningen). Viktiga allmänna intressen är enligt dataskyddsförordningen exempelvis EU:s eller en medlemsstats viktiga ekonomiska och finansiella intressen, folkhälsan och social trygghet (jfr artikel 23.1 e i dataskyddsförordningen). Det är svårt att på ett generellt plan definiera vad som skiljer ett allmänt intresse från ett viktigt allmänt intresse (jfr artikel 6.1 e och i dataskyddsförordningen). Att en svensk myndighet kan bedriva den verksamhet som tydligt faller inom ramen för myndighetens befogenheter på ett korrekt, rättssäkert och effektivt sätt anses dock utgöra ett viktigt allmänt intresse. Detta gäller inte minst i sådan verksamhet som innefattar myndighetsutövning (prop. 2017/18:105 s. 83). Vid behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse krävs även att uppgifterna behandlas på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel i dataskyddsförordningen). För att känsliga personuppgifter ska få behandlas på denna grund ställs alltså särskilda krav på ett rättsligt stöd som uppfyller villkor gällande proportionalitet och skyddsåtgärder. 5.3.6Behandling av personuppgifter som rör lagöverträdelser Dataskyddsförordningen innehåller även särskilda bestämmelser till skydd för personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder (i detta betänkande benämnda uppgifter om brott).