sou · H9B387 · 2021-11-02 00:00:00 — Enligt e) är behandlingen laglig, om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. De rättsliga grunderna måste enligt artikel 6.3 fastställas i enlighet med unionsrätten eller en medlems- stats nationella rätt för att kunna läggas till grund för behandling av personuppgifter. Enligt förarbetena till dataskyddslagen innebär de 2Dataskyddsdirektivet innehåller bestämmelser om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Dataskydds- direktivet har genomförts i huvudsak genom brottsdatalagen (2018:1177). nämnda artiklarna inte något krav på att själva behandlingen av personuppgifter måste regleras. Det är i stället den rättsliga för- pliktelsen, uppgiften av allmänt intresse, eller myndighetsutövningen som ska ha stöd i rättsordningen.3 Det uttalas också att alla uppgifter som riksdag eller regering gett statliga myndigheter i uppdrag att utföra är av allmänt intresse. Om uppgifterna inte vore av allmänt intresse, skulle myndigheterna inte ha ålagts att utföra dem.4 Nationella bestämmelser till grund för behandling av person- uppgifter enligt artikel 6.1 c) och e) har införts i 2 kap. 1 och 2 §§ dataskyddslagen. Där anges att personuppgifter får behandlas •med stöd av artikel 6.1 c) i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har med- delats med stöd av lag eller annan författning, och •med stöd av artikel 6.1 e) i EU:s dataskyddsförordning, om behandlingen är nödvändig 1)för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller 2)som ett led i den personuppgiftsansvariges myndighetsut- övning enligt lag eller annan författning. I artikel 5.1 i dataskyddsförordningen listas ett antal principer som alltid måste iakttas när personuppgifter behandlas. Som exempel kan nämnas att uppgifterna ska samlas in för särskilda, uttryckligt an- givna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. 13.2.3Särskilt om känsliga personuppgifter Det är enligt artikel 9 i dataskyddsförordningen som utgångspunkt förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, 2017/18:105, Ny dataskyddslag s. 48 ff. 2017/18:105, Ny dataskyddslag, s. 56 f. biometriska uppgifter för att entydigt, identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Sådana så kallade känsliga personuppgifter får dock enligt artikel ) behandlas, om behandlingen bland annat är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Enligt 3 kap. 3 § dataskyddslagen får känsliga personuppgifter be- handlas av en myndighet med stöd av artikel ) i dataskydds- förordningen 1) om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2) om behandlingen är nödvändig för handläggningen av ett ärende, eller 3) i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Den lagstiftning som avses i första punkten är främst offentlighets- och sekretesslagen (2009:400) och förvaltningslagen (2017:900) som innehåller bestämmelser om hantering av allmänna handlingar och, implicit, skyldighet att ta emot mejl.5 Begreppet handläggning i andra punkten innefattar alla åtgärder som en myndighet vidtar från det att ett ärende inleds till dess att det avslutas. Det kännetecknande för ett ärende är att det regel- mässigt avslutas genom ett uttalande från myndighetens sida som är avsett att få faktiska verkningar för en mottagare i det enskilda fallet.6 Att behandla känsliga personuppgifter som kommit in i ett ärende är nödvändigt för handläggningen av ärendet. Det krävs också enligt lag och sådan behandling träffas alltså också av första punkten. Nödvändighetskravet har därför främst betydelse när det gäller till exempel beslut som myndigheten själv producerar.7 Den tredje punkten behöver användas bara om myndighetens behandling av de känsliga personuppgifterna inte krävs enligt lag och inte heller är nödvändig för handläggningen av ett ärende. Det kan vara fråga om sådan verksamhet som inte är ärendehandläggning, som rådgivning och annan service, uppföljning eller olika former av samverkan utan ärendeanknytning. När det gäller begreppet viktigt allmänt intresse uttalas i förarbetena att verksamhet som innefattar myndighetsutövning utgör ett viktigt allmänt intresse, och att det 2017/18:105, Ny dataskyddslag s. 48 ff. 2017/18:105, Ny dataskyddslag, s. 194. 7Sören , Dataskyddsförordningen (GDPR) m.m., : 1A, . också får anses utgöra ett viktigt allmänt intresse att svenska myndig- heter, även utanför området för myndighetsutövning, kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt. Bestämmelsen i tredje punk- ten är inte avsedd att tillämpas slentrianmässigt i den löpande verksam- heten. Det krävs att den personuppgiftsansvarige i det enskilda fallet gör en bedömning av om behandlingen av de känsliga personupp- gifterna innebär ett otillbörligt intrång i den registrerades personliga integritet.8 13.2.4Särskilt om personuppgifter som rör lagöverträdelser Uppgifter som rör lagöverträdelser tillhör inte de särskilda kate- gorier av personuppgifter som omfattas av förbudet mot behandling i artikel 9 i dataskyddsförordningen men anses ändå vara en kategori personuppgifter som förtjänar särskilt skydd. Enligt artikel 10 i dataskyddsförordningen får behandling av sådana personuppgifter utföras endast under kontroll av myndighet eller när behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får föras endast under kontroll av en myndighet. För att behandlingen av sådana personuppgifter ska få utföras krävs också att det finns en rättslig grund enligt artikel 6.1 i dataskyddsförordningen. En sådan grund finns i 3 kap. 8 § dataskyddslagen. Där anges att personuppgifter som avses i artikel 10 i dataskyddsförordningen – det vill säga person- uppgifter som rör lagöverträdelser – får behandlas av myndigheter. 13.2.5Särskilt om personnummer och samordningsnummer Enligt artikel 87 i dataskyddsförordningen får medlemsstaterna när- mare bestämma på vilka särskilda villkor ett nationellt identifika- tionsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat veder- taget sätt för identifiering ska i sådana fall användas endast med iakt- tagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt förordningen. 2017/18:105 Ny dataskyddslag, s. 83 ff och 194. Personnummer och samordningsnummer får enligt 3 kap. 10 § personuppgiftslagen behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestämmelsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras. Omständigheter som bör tillmätas betydelse vid intresseavvägningen är exempelvis om det eftersträvade syftet med behandlingen kan uppnås på annat sätt, behandlingens omfattning och om den förutsätter samkörning av register.9 13.2.6Det behöver inte införas några ytterligare bestämmelser för att behandlingen ska vara tillåten Bedömning: Dataskyddsförordningen, dataskyddslagen och annan befintlig personuppgiftsreglering är tillämplig på och ger stöd för och andra berörda myndig- heters behandling av personuppgifter vid handläggning av ärenden enligt våra förslag. Regelverket ger stöd också för den personupp- giftsbehandling som kan komma att göras hos investerare och investeringsobjekt. Det behöver inte införas några ytterligare bestämmelser för att personuppgiftsbehandlingen ska vara tillåten. Vid handläggningen av ett ärende enligt granskningssystemet kommer personuppgifter av olika slag att behandlas. Behandlingen kommer att utföras som en följd av de uppgifter som de berörda myndigheterna får till följd av våra förslag. Behandling av personuppgifter kan i viss utsträckning komma att utföras också av de investerare och inve- steringsobjekt som enligt våra förslag kommer att vara skyldiga att lämna uppgifter till granskningsmyndigheten. När det gäller Försvarsmaktens och Säkerhetspolisens personupp- giftsbehandling finns vissa särregleringar. Dessa regler- ingar kan komma att läggas till grund för myndigheternas behandling av personuppgifter också i situationer som uppkommer med anled- ning av våra förslag. Vi bedömer att den rättsliga grunden för den personuppgifts- behandling som i övrigt aktualiseras hos myndigheterna är att behand- 2017/18:105 Ny dataskyddslag, s. 199. lingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av föreslagen lag eller annan författning eller som ett led i myn- dighetsutövning enligt lagen eller annan författning (artikel 6.1 e i dataskyddsförordningen). Den rättsliga grunden för investerares och investeringsobjektens personuppgiftsbehandling är att behand- lingen är nödvändig för att fullgöra en rättslig förpliktelse som följer av lag eller annan författning eller av beslut som har meddelats med stöd av sådana föreskrifter (artikel 6.1 c i dataskyddsförordningen). Dessa grunder har på det sätt som krävs enligt artikel 6.3 i dataskydds- förordningen fastställts i dataskyddslagen. När det gäller behandling av personnummer och samordningsnummer bedömer vi att ända- målet med behandlingen och vikten av en säker identifiering moti- verar att sådan behandling utförs av de berörda myndigheterna. Sammanfattningsvis bedömer vi utifrån de redogörelser av regel- verken som gjorts här att dataskyddsförordningen, dataskyddslagen och i förekommande fall annan befintlig personuppgiftsreglering ger stöd för de berörda myndigheternas behandling av personuppgifter, även känsliga sådana, personuppgifter som rör lagöverträdelser, person- nummer och samordningsnummer. Den personuppgiftsbehandling som kommer att utföras hos () och andra berörda myndigheter med anledning av våra förslag är alltså tillåten enligt befintliga regelverk. Dataskyddsförordningen och dataskyddslagen ger stöd också för den personuppgiftsbehand- ling som kan komma att göras hos investerare och investeringsobjekt. Det behöver därför inte införas några ytterligare bestämmelser för att behandlingen ska vara tillåten. 13.2.7Personuppgiftsbehandling inom ramen för samarbetet enligt EU:s förordning om utländska direktinvesteringar Till följd av den samarbetsstruktur som regleras i Europaparlamen- tets och rådets förordning (EU) 2019/452 av om upprättande av en ram för granskning av utländska direktinvesteringar i unionen (EU:s förordning om utländska direktinvesteringar) kom- mer personuppgifter att behandlas av medlemsstaterna och kommis- sionen gemensamt. Av artikel 14 i förordningen framgår att all personuppgiftsbehandling inom ramen för samarbetsstrukturen ska utföras i enlighet med dataskyddsförordningen och förordning (EU) 2018/1725.10 Dataskyddsförordningen gäller för medlemsstaternas behandling, medan förordning (EU) 2018/1725 gäller för den behandling som utförs av kommissionen. Om flera personuppgiftsansvariga, såsom alltså är fallet när det gäller samarbetsstrukturen, gemensamt fastställer ändamålen med och medlen för behandlingen, ska de vara gemensamt personupp- giftsansvariga och fastställa sitt respektive ansvar för att uppfylla sina skyldigheter.11 Medlemsstaterna och kommissionen avser därför att ingå avtal om gemensamt personuppgiftsansvar för behandling av personuppgifter enligt samarbetsstrukturen (Arrangemang om gemensamt personuppgiftsansvar). Det gemensamma personupp- giftsansvaret ska omfatta all personuppgiftsbehandling som till följd av samarbetsstrukturen utförs gemensamt av kommissionen och med- lemsstaterna, det vill säga utbyte av uppgifter som gäller utländska direktinvesteringar, tillhandahållande av synpunkter och utfärdande av yttranden. Genom avtalet ska ändamålet med och parternas ansvar för personuppgiftsbehandlingen regleras. Arbetet med att färdigställa av- talet pågår. Avtalet förväntas undertecknas . När granskningsmyndigheten ska bedöma om en investering utgör en risk för säkerhet, allmän ordning eller allmän säkerhet kommer myndigheten att i viss utsträckning behöva få del av infor- mation som den inte själv har. Sådan information kan finnas hos andra myndigheter, kommuner eller regioner. Vi föreslår i kapitel 12 att det ska regleras i lag att granskningsmyndigheten ska hämta in synpunkter från nämnda aktörer i den utsträckning det behövs och att dessa ska ha en skyldighet att lämna uppgifter till granskningsmyndig- heten. Vi föreslår också en obligatorisk skyldighet för gransknings- myndigheten att samråda med Försvarsmakten, , Myndigheten för samhällsskydd och beredskap (MSB) och Säker- 10Europaparlamentets och rådets förordning (EU) 2018/1725 av om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG. 11Artikel 26 i dataskyddsförordningen och artikel 28 i förordning (EU) 2018/1725. hetspolisen i de ärenden som ska granskas. Det kan i dessa samman- hang uppstå frågor om sekretess. I det följande lämnas först en beskrivning av hur sekretess regle- ras allmänt mellan myndigheter. Därefter anges vilka sekretess- bestämmelser som kan aktualiseras till skydd för allmänna intressen respektive till skydd för enskilds affärs- eller driftförhållanden när en direktinvestering ska bedömas. Därefter kommer en analys av om det behövs sekretessbrytande bestämmelser när uppgifter ska läm- nas mellan myndigheterna. Avslutningsvis anges den sekretess som gäller för uppgifter hos granskningsmyndigheten. kommer att kunna få information från andra myndigheter till följd av myndigheternas skyldighet att lämna uppgifter när myndigheten ber om synpunkter eller när samråd sker. Denna skyldighet kommer till uttryck i bland annat 8 § förvalt- ningslagen (2017:900) och 6 § myndighetsförordningen (2007:515). En precisering av bestämmelserna finns i 6 kap. 5 § offentlighets- och sekretesslagen (2009:400) (OSL) som innebär att en myndig- het13 på begäran av en annan myndighet ska lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Av 8 kap. 1 § OSL framgår att uppgifter som omfattas av sekre- tess inte får röjas för andra myndigheter, om det inte finns stöd för det i OSL eller i en annan lag eller förordning som OSL hänvisar till. Eftersom sekretess gäller även mellan myndigheter kan uppgifter som omfattas av sekretess inte lämnas över inom ramen för myndig- heternas skyldighet att lämna synpunkter eller samråda utan att någon sekretessbrytande bestämmelse är tillämplig. Sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess finns i 10 kap. OSL. 12En myndighet är i varje offentligt organ som ingår i den offentliga förvaltningen eller rättskipningen, jfr prop. 1975/76:160 Regeringens proposition om nya grundlagsbestäm- melser angående allmänna handlingars offentlighet, s. 134. Det finns både statliga och kom- munala förvaltningsmyndigheter, jfr 1 kap. 8 § regeringsformen. 13Vid tillämpning av OSL ska och beslutande kommunala församlingar jämställas med myndigheter (2 kap. 1 § OSL. Sekretess kan motiveras av skydd för allmänna intressen som exempelvis rikets säkerhet. Det kan också vara fråga om sekretess för att skydda enskilda intressen som skydd för affärs- och drift- förhållanden. I detta avsnitt ges exempel på sekretessbestämmelser som kan aktualiseras för de uppgifter som granskningsmyndigheten, det vill säga ISP, hämtar in när myndigheten samverkar med andra. Sekretess till skydd för allmänna intressen ISP kan behöva få tillgång till handlingar med känsliga uppgifter rörande säkerhet, allmän ordning eller allmän säkerhet för att kunna bedöma en utländsk direktinvestering. Uppgifterna kan komma att omfattas av sekretess enligt flera olika sekretessbestäm- melser. I 15 kap. 1 a § OSL regleras det internationella samarbetet. Av bestämmelsens första stycke framgår att sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av godkänt avtal med en annan stat eller med en mellanfolklig organi- sation, om det kan antas att möjlighet att delta i det inter- nationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. Motsvarande sekretess gäller enligt bestäm- melsens andra stycke också för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt som avses i första stycket. Bestämmelsen i 15 kap. 1 a § OSL är alltså tillämplig på uppgifter som tagits emot eller hämtats in som en direkt följd av en EU-rättsakt. Vidare bör bestämmelsen vara tillämplig på uppgifter som lämnats till eller in- hämtats av en myndighet på grund av andra former av internationella överenskommelser, till exempel bilaterala avtal och sådana så kallade blandade avtal som måste ratificeras både av EU och av dess med- lemsstater för att kunna träda i kraft. En förutsättning för bestäm- melsens tillämplighet i ett sådant fall bör dock vara att avtalet har godkänts av . Sekretessen bör alltså också gälla för en uppgift som finns hos en myndighet på grund av ett av godkänt avtal med en annan stat eller en mellanfolklig organisation. Avtalen kan avse informationsutbyte inom en mängd olika verksam- hetsområden, bland annat inom finansmarknadssektorn, försvars- och säkerhetsområdet och brottsbekämpningen.14 Uppgifter som fås på annat sätt omfattas alltså inte av bestämmelsen. Sådana upp- gifter kan i stället komma att omfattas av sekretess enligt 15 kap. 1 eller 2 §§ OSL. I 15 kap. 1 § OSL regleras den så kallade utrikessekretessen. Sekre- tess gäller för uppgift som rör förbindelser med bland annat en annan stat eller i övrigt rör annan stat, mellanfolklig organisation eller myndighet, om det kan antas att det stör mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs. Skadebegreppet, det vill säga att ett röjande skulle störa mellanfolkliga förbindelser eller på annat sätt skada landet, ska inte ges en alltför vid innebörd. Det måste röra sig om någon olägenhet för landet för att skada ska anses föreligga. Motsvarande gäller i fråga om störningar av de mellanfolkliga förbindelserna. Att mindre och tillfälliga störningar eller irritationer inom ett annat lands ledning inte kan uteslutas om uppgifter lämnas ut bör alltså inte alltid leda till sekretess.15 Försvarssekretessen regleras i 15 kap. 2 § OSL. Sekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. ISP kan också behöva ta del av uppgifter som omfattas av för- undersökningssekretess som regleras i 18 kap. 1 § OSL eller sekre- tess i underrättelseverksamhet hos enligt 18 kap. 2 § OSL. Sekretess till skydd för det allmännas ekonomiska intresse kan aktualiseras även genom upphandlingssekretess enligt 19 kap. 3 § OSL. Bestämmelsen syftar till att skydda uppgifter hos myndigheter under ett upphandlingsförfarande genom bland annat absolut sekre- tess för anbud fram till tilldelningsbeslut. 2012/13:192 Sekretess i det internationella samarbetet, s. 31. 1979/80:2 Del A Regeringens proposition med förslag till sekretesslag, s. 131. Sekretess till skydd för enskilds affärs- eller driftförhållanden När ISP ska bedöma en utländsk direktinvestering kan det finnas information om investeraren hos andra myndigheter som omfattas av sekretess till skydd för enskilda intressen. Begreppet enskilda innefattar både fysiska och juridiska personer, såväl svenska som utländska. Sekretess gäller exempelvis enligt 30 kap. 1 § OSL i Konkurrens- verkets verksamhet som består i tillsyn och utredning för 1) uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat, om det kan antas att den enskilde lider skada om uppgiften röjs, och 2) uppgift om andra ekonomiska eller personliga förhållanden än som avses i 1) för den som har trätt i affärsför- bindelse eller liknande förbindelse med den som är föremål för myn- dighetens verksamhet. Begreppet ekonomiska förhållanden innefattar bland annat affärs- och driftförhållanden. Enligt 30 kap. 2 § OSL gäller sekretess för uppgift som avses i 1 § och som enbart hänför sig till rådgivning inför en anmälan om en sådan företagskoncentration som avses i 4 kap. 6 eller 7 § konkurrenslagen (2008:579). Relevant information för att kunna bedöma en utländsk direkt- investering kan finnas också till exempel hos . Enligt 30 kap. 4 § OSL gäller sekretess för tillståndsgivning eller till- syn med avseende på bank- och kreditväsendet, värdepappersmark- naden eller försäkringsväsendet för uppgift om affärs- eller drift- förhållanden hos den som myndighetens verksamhet avser, om det kan antas att denne lider skada om uppgiften röjs, och för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som myndig- hetens verksamhet avser. Inom en myndighets verksamhet kan även förekomma uppgifter som omfattas av sekretess enligt 31 kap. 16 § OSL. Enligt den bestäm- melsen gäller sekretess för uppgift om en enskilds affärs- eller drift- förhållanden när denne i vissa fall har trätt i affärsförbindelse med en myndighet, om det av särskild anledning kan antas att den enskilde lider skada om uppgiften röjs. Bestämmelsen kan bli tillämplig efter att den absoluta anbudssekretessen enligt 19 kap. 3 § OSL har upp- hört. Sekretess kan alltså aktualiseras även enligt 31 kap. 16 § OSL när myndigheterna lämnar uppgifter till ISP. 13.3.4Sekretess mellan ISP och andra myndigheter Förslag: Sekretess i det internationella samarbetet ska inte hindra Försvarsmakten eller Säkerhetspolisen att lämna uppgifter till i ett ärende enligt gransk- ningssystemet. En sådan sekretessbrytande bestämmelse ska in- föras i offentlighets- och sekretesslagen. Bedömning: Genom befintlig sekretessreglering samt våra för- slag om en ny sekretessbrytande bestämmelse i offentlighets- och sekretesslagen och en skyldighet för kommuner, regioner och vissa statliga myndigheter att tillhandahålla granskningsmyndig- heten de uppgifter som myndigheten begär, tillgodoses behovet av sekretessbrytande bestämmelser. Några ytterligare sekretess- brytande bestämmelser behövs inte. Befintliga sekretessbrytande regler i sekretesslagstiftningen Enligt 8 kap. 1 § OSL får uppgifter som omfattas av sekretess inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till.