sou · H9B399 · 2021-12-21 00:00:00 — Att begränsa tillgången till personuppgifter vid fördjupade granskningar är en viktig åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen (jfr artikel i dataskyddsförordningen). Vi föreslår därför en bestämmelse i den nya lagen som slår fast att tillgången till personuppgifter ska begränsas till det som varje anställd eller uppdragstagare behöver för att kunna fullgöra sina arbetsuppgifter. Som vi tidigare angett föreslår vi att stödfunktionen bör inrättas som en del av CVE. CVE är en del av Brå, som därför har ett ansvar för att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att personuppgifter inte sprids utanför den krets av personer som behöver ha tillgång till dessa för att kunna utföra sina arbetsuppgifter (jfr artikel 32 i dataskyddsförordningen). Ett vanligt sätt att begränsa tillgången till personuppgifter är behörighetsbegränsningar i de IT- eller handläggningssystem som används vid en myndighet. Detta kan vara ett exempel på en behörighetsbegränsning som kan vara möjlig för stödfunktionen. Stödfunktionen kommer enligt vårt förslag att inrättas under Brå. Brå har förklarat att det inom myndigheten finns system som möjliggör lämpliga behörighetsbegränsningar. Det ankommer på Brå att utforma detta på ett lämpligt sätt som överensstämmer med kraven enligt denna bestämmelse. Om stödfunktionen inrättas som en enhet under Brå är det av särskild vikt att behörighetsbegränsningarna utformas så att det endast är den personal som arbetar vid stödfunktionen som har tillgång till uppgifterna. 8.7.8Stödfunktionens behandling av känsliga personuppgifter samt uppgifter om brott och misstanke ska begränsas Vårt förslag: Stödfunktionen ska få behandla känsliga personuppgifter samt uppgifter om brott och misstanke om brott endast om de har lämnats inom ramen för stödfunktionens uppdrag som kontaktpunkt för myndigheter och andra beslutsorgan. För att stödfunktionen ska kunna utföra sitt uppdrag kan det bli nödvändigt för funktionen att behandla uppgifter om att fysiska personer misstänks för eller har dömts för brott. Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder (i detta betänkande benämnda uppgifter om brott) får endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10 i dataskyddsförordningen). Eftersom stödfunktionen kommer att vara en del av en myndighet får den därmed med stöd av den generella dataskyddsregleringen behandla uppgifter om brott och misstanke om brott, utan att det regleras särskilt i den nya lagen (se även 3 kap. 8 § dataskyddslagen). Utöver uppgifter om brott behöver stödfunktionen kunna behandla känsliga personuppgifter i samband med utförandet av sitt uppdrag. Stödfunktionen kan utföra sådan behandling av hänsyn till ett viktigt allmänt intresse, förutsatt att behandlingen är nödvändig för att utföra en uppgift att fördela stöd till det civila samhället (se artikel i dataskyddsförordningen). Stödfunktionen har därmed grund för att behandla även känsliga personuppgifter inom ramen för sitt uppdrag som kontaktpunkt, utan att det regleras särskilt i den nya lagen. Vi anser dock att det bör införas en bestämmelse i den nya lagen som tydliggör att stödfunktionen får behandla känsliga personuppgifter endast om uppgifterna har lämnats inom ramen för dess verksamhet eller i den omfattning som i övrigt är nödvändig för att fullgöra uppdraget som kontaktpunkt för myndigheter och andra beslutsorgan. En sådan bestämmelse klargör ramarna för stödfunktionens behandling av känsliga personuppgifter och gör det tydligt för de registrerade i vilka fall stödfunktionen får behandla sådana personuppgifter. Eftersom även uppgifter om brott är särskilt integritetskänsliga anser vi att detsamma bör gälla för behandling av sådana personuppgifter. En uppgift om att någon är misstänkt för brott omfattas av sekretess enligt 35 kap. 1 § OSL. Eftersom vi har föreslagit en bestämmelse som bryter sekretessen enligt 35 kap. 1 § OSL bör detta gälla även för uppgifter om att någon är misstänkt för brott. Genom att i den nya lagen uttryckligen knyta behandling av känsliga personuppgifter och uppgifter om brott samt misstanke om brott till stödfunktionens verksamhet klargörs att stödfunktionen inte får behandla sådana uppgifter om de saknar koppling till dess uppdrag. Den nya lagen inskränker i denna del stödfunktionens möjligheter att behandla känsliga personuppgifter i jämförelse med vad som gäller enligt dataskyddslagen (jfr 3 kap. 3 § dataskyddslagen). Vilka uppgifter som är nödvändiga för utförande av uppdraget avgörs av stödfunktionen från fall till fall. 8.7.9Det ska vara förbjudet att utföra vissa sökningar Vårt förslag: Det ska vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller uppgifter om brott och misstanke om brott. Sökningar som tar sikte på känsliga personuppgifter är av naturliga skäl förknippade med uppenbara risker i integritetshänseende. Vi bedömer därför att det inom stödfunktionens verksamhet inte ska vara tillåtet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller uppgifter om brott. En sökbegränsning omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter såsom religiös eller politisk tillhörighet. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer, t.ex. för att ta fram verksamhetsstatistik eller för registervård (jfr prop. 2017/18:254 s. 62 f.). Utöver känsliga personuppgifter bör förbudet även omfatta uppgifter om brott. Sådana personuppgifter behöver kunna behandlas vid stödfunktionen när den utför sitt uppdrag. Även om dessa uppgifter inte utgör känsliga personuppgifter anser vi att ett urval av personer baserat på uppgifter om brott är särskilt känsligt ur ett integritetshänseende. Vi anser därför att även sådana uppgifter ska omfattas av ett sökförbud. Mot bakgrund av vårt förslag om en bestämmelse som bryter sekretessen enligt 35 kap. 1 § OSL bör detta omfatta även uppgifter om misstanke om brott. Bestämmelsen går i denna del utöver vad som gäller i fråga om sökbegränsningar enligt datasyddslagen (jfr 3 kap. 3 § andra stycket dataskyddslagen). 8.7.10Längsta tid som personuppgifter får behandlas Vårt förslag: Personuppgifter ska inte få behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Detta hindrar dock inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. En av de grundläggande principerna för dataskydd är principen om lagringsminimering. Enligt denna princip får personuppgifter inte lagras än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5.1 e i dataskyddsförordningen). Samma princip gäller även enligt dataskyddsdirektivet2 (se artikel 4.1 e i direktivet). Genom att minimera lagringstiden minskar den risk för den personliga integriteten som en viss behandling av personuppgifter innebär. Bestämmelser som tydliggör hur länge personuppgifter får behandlas inom en verksamhet innebär därmed en form av skyddsåtgärd. Vi anser därför att det bör införas en bestämmelse om längsta tid för personuppgiftsbehandling i den nya lagen. Stöd till det civila samhället fördelas i olika former och över olika tidsperioder, där t.ex. visst stöd fördelas medan annat stöd kan sträcka sig . Tillstånd att bedriva viss verksamhet kan också meddelas och tillsyn av tillståndspliktig verksamhet bedrivs löpande. Det är därför svårt att på ett generellt plan uttala sig om hur länge det kan vara nödvändigt att lagra uppgifter som behandlas inom ramen för stödfunktionens verksamhet. Vi bedömer därför att den lämpligaste lösningen är en ändamålsrelaterad bestämmelse om längsta tid för behandling som innebär att ett beslutsorganen inte får behandla personuppgifter längre än vad som är nödvändigt med hänsyn till ändamålet. Det som avses är ändamålet i det enskilda fallet. Behovet av att fortsätta behandla uppgifterna måste därför prövas kontinuerligt. En sådan bestämmelse säkerställer att personuppgifter inte behandlas än vad som är nödvändigt för utförande av stödfunktionens verksamhet enligt vårt förslag till uppdrag i förordningen med instruktion för Brå. 2Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Med undantag från principen för lagringsminimering får personuppgifter dock lagras i den mån personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, eller för vetenskapliga eller historiska forskningsändamål (artikel 5.1 e i dataskyddsförordningen). För att tydliggöra att personuppgifter som utgör en del av en allmän handling får arkiveras föreslår vi därför att det ska anges i bestämmelsen att det som anges gällande längsta tid för behandling av personuppgifter inte hindrar att sådana uppgifter arkiveras i enlighet med gällande arkivlagstiftning. I vilken utsträckning personuppgifter ska gallras i samband med arkivering regleras i det arkivrättsliga regelverket. Till skillnad från vad som gäller enligt många andra författningar på dataskyddsförordningens område innehåller vårt förslag ingen reglering gällande bevarande och gallring (jfr t.ex. 24 § kustbevakningsdatalagen [2019:429] och 19 § lagen [2016:526] om behandling av personuppgifter i ärenden om licens för läkemedel). Vi föreslår i stället en renodlad dataskyddsbestämmelse gällande längsta tid för behandling av personuppgifter i enlighet med vad som gäller på dataskyddsdirektivets område (se t.ex. 2 kap. 17 § brottsdatalagen [2018:1177]). Anledningen är att vi anser att det är lämpligt att skilja mellan arkivrättsliga regler och regler om dataskydd och att de arkivrättsliga begreppen bevara och gallra därför inte bör tas in i bestämmelsen. I stället föreslår vi att bestämmelsen ska utgå från hur länge personuppgifter får behandlas med hänsyn till ändamålet med behandlingen (jfr prop. 2017/18:232 s. 163 ff.). En sådan reglering får även ett vidare tillämpningsområde eftersom begreppet behandling till skillnad från de arkivrättsliga begreppen bevarande och gallring inte endast tar sikte på personuppgifter som förekommer i allmänna handlingar, utan gäller för all behandling av personuppgifter som faller inom lagens tillämpningsområde (se 3 och 10 §§ arkivlagen [1990:782]). 8.7.11Rätt att meddela föreskrifter Vårt förslag: Den nya lagen ska innehålla en bestämmelse som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter som kompletterar den nya lagen. De bestämmelser gällande stödfunktionens behandling av personuppgifter vid fördjupade granskningar som är av central betydelse för integritetsskyddet bör anges i den nya lagen. Lagen föreslås tillämpas vid den myndighet där stödfunktionen inordnas. Bestämmelser om myndigheters personuppgiftsbehandling anses normalt falla in under regeringens s.k. restkompetens (8 kap. 7 § RF). Regeringen eller den myndighet som regeringen bestämmer har alltså möjlighet att meddela kompletterande bestämmelser till den föreslagna lagen (jfr prop. 2017/18:105 s. 26). De föreskrifter som regeringen meddelar får dock inte innebära ett betydande intrång i den personliga integriteten (jfr 2 kap. 6 § andra stycket och 20 § RF). För att tydliggöra att kompletterande bestämmelser kan finnas i förordning eller myndighetsföreskrifter föreslår vi att en upplysning om regeringens normgivningskompetens förs in i lagen. 8.7.12Det behövs inte särskilda bestämmelser om behandling av personnummer och samordningsnummer Vår bedömning: Det behöver inte införas några särskilda bestämmelser om behandling av personnummer och samordningsnummer i den nya lagen. Stödfunktionen kan behöva behandla personnummer och i förekommande fall samordningsnummer vid utförandet av uppdraget som kontaktpunkt för myndigheter och andra beslutsorgan. Sådana uppgifter får behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (3 kap. 10 § dataskyddslagen). Vi bedömer att denna generella reglering av behandling av personuppgifter och samordningsnummer i dataskyddslagen är tillräcklig för den behandling som stödfunktionen behöver utföra i dess uppdrag som kontaktpunkt. Vår bedömning är därför att det inte finns något behov av särskilda villkor eller skyddsåtgärder för behandling av sådana uppgifter i den föreslagna lagen. 8.7.13Det saknas behov av en bestämmelse som begränsar rätten att göra invändningar Vår bedömning: Det saknas behov av att begränsa rätten att göra invändningar vid stödfunktionens behandling av personuppgifter. Vid behandling av personuppgifter som utförs för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna om inte denne kan visa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter (artikel 21.1. i dataskyddsförordningen). Rätten att göra invändningar innebär att den registrerade har möjlighet att få till stånd en prövning av om viss behandling är tillåten. Medlemsstaterna har möjlighet att begränsa denna rätt och många författningar som reglerar myndigheters behandling av personuppgifter innehåller sådana begränsningar (artikel 23.1 i dataskyddsförordningen; se t.ex. 3 kap. 3 § lagen [2001:181] om behandling av uppgifter i beskattningsverksamhet och 5 § studiestödsdatalagen [2009:287]). Det huvudsakliga motivet till att ett flertal registerförfattningar innehåller reglering som begränsar rätten att göra invändningar är att det har ansetts vara av stor betydelse att personuppgifter får behandlas i myndigheternas verksamheter oberoende av den registrerades inställning. Den personuppgiftsbehandling som stödfunktionen utför för att fullgöra uppdraget att vara kontaktpunkt för myndigheter och andra beslutsorgan genomförs för att utföra en uppgift av allmänt intresse eller som ett led i organets myndighetsutövning. Detta innebär att dataskyddsförordningens bestämmelse om rätten att göra invändningar gäller vid behandling av personuppgifter som utförs i enlighet med den nya lagen. Enligt vår bedömning finns det ett behov för stödfunktionen att kunna behandla personuppgifter vid utförande av uppdraget som kontaktpunkt oberoende av den registrerades inställning. Det kan antas att merparten av granskningarna kommer att innebära att det är nödvändigt att utföra sådan personuppgiftsbehandling som den registrerade kan ha ett tydligt intresse av att invända mot. exempel på sådana uppgifter kan nämnas uppgifter om att en företrädare för en organisation är misstänkt för brott, uppgifter om att en företrädare har kränkt enskilds grundläggande fri- och rättigheter eller att det har kommit fram uppgifter om att en företrädare har samröre med en organisation som motarbetar det demokratiska styrelseskicket. För att stödfunktionen ska kunna genomföra den behandling som är nödvändig för utförande av uppdraget som kontaktpunkt är det viktigt att funktionen har möjlighet att utföra nödvändig behandling av personuppgifter trots invändningar från den registrerade. Vi bedömer, mot bakgrund av syftet med stödfunktionen, att funktionen i sådana fall närmast undantagslöst skulle kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet (jfr prop. 2017/18:254 s. 45). Stödfunktionen kan i sådana fall direkt med stöd av dataskyddsförordningen fortsatt behandla de aktuella personuppgifterna trots invändningar från den registrerade. Vi anser därför att det saknas tillräckliga skäl för att föreslå en bestämmelse som begränsar den registrerades rätt att göra invändningar mot behandling av personuppgifter vid utförande av stödfunktionens uppdrag som kontaktpunkt för myndigheter och andra beslutsorgan som inom ramen för sina respektive myndighetsuppdrag fördelar offentliga medel eller på annat sätt granskar offentligt finansierade verksamheter. Vår bedömning: Beslutsorganen får behandla personuppgifter med stöd av respektive dataskyddslagstiftning. Stödfunktionen kommer att lämna yttranden till beslutsorganen. Utifrån vad som framkommit under de fördjupade granskningarna kan dessa yttranden komma att innehålla personuppgifter. Det kan även vara fråga om såväl känsliga personuppgifter som uppgifter om brott. Vi har ovan redogjort för den dataskyddslagstiftning som är tillämplig avseende de beslutsorgan som kommer att ta del av stödfunktionens fördjupade granskningar. Enligt vår bedömning har beslutsorganen rätt att behandla de personuppgifter som kan föranledas av de fördjupade granskningarna med stöd av sin befintliga dataskyddslagstiftning. Även såvitt avser känsliga personuppgifter och uppgifter om brott samt misstanke om brott får de behandlas på samma grunder som angetts för stödfunktionen ovan (se avsnitt 8.4.1 och 8.4.2). Vårt förslag: De föreslagna regleringarna ska träda i kraft . Våra förslag har samband med de förslag som har lämnats i betänkandena Statens stöd till trossamfund i ett mångreligiöst (SOU 2018:18), En arvsfond i takt med tiden (SOU 2018:70) respektive Demokrativillkor för bidrag till civilsamhället (SOU 2019:35), Nya regler för skolor med konfessionell inriktning (SOU 2019:64) samt vårt delbetänkande Rätt mottagare – demokrativillkor och integritet (SOU 2021:66). Det kan därför finnas skäl att samordna ikraftträdandet av de förslag som lämnas med nämnda förslag. Med hänsyn till den tid som behövs för remissförfarande, fortsatt beredning inom och behandling i bör dock de av oss föreslagna regleringarna tidigast kunna träda i kraft . Några särskilda övergångsbestämmelser behövs inte för den föreslagna regleringen. Enligt 14–15 a §§ kommittéförordningen (1998:1474) ska vi redovisa vilka konsekvenser våra förslag kan få i vissa angivna avseenden. Enligt våra direktiv ska vi vidare redovisa verksamhetsmässiga, ekonomiska och personella konsekvenser av de förslag som vi lämnar. Därutöver ska vi särskilt beskriva förslagens konsekvenser för den personliga integriteten och säkerställa att förslagen är förenliga med regeringsformen, Europakonventionen1 och barnkonventionen2. Om kostnader för det allmänna förväntas ska förslag till finansiering lämnas. I detta kapitel redovisar vi konsekvenserna av våra förslag. Vi redogör först för förslagens konsekvenser för det allmänna och därefter följer en analys av konsekvenserna för enskilda. Vi bedömer att ett inrättande av en ny stödfunktion kommer att innebära utökade kostnader för det allmänna och vi lämnar därför förslag till finansiering av våra förslag. 10.2Ekonomiska konsekvenser för staten 10.2.1Kostnader för ett inrättande av en ny stödfunktion Vår bedömning: Förslagen bedöms leda till kostnadsökningar för det allmänna. Det är svårt att med säkerhet bedöma hur omfattande stödfunktionens verksamhet med fördjupade granskningar kommer att bli. Detta utgör en av flera osäkerhetsvariabler i våra uppskattningar. Utifrån tillgängligt underlag bedömer vi dock att ett inrättande av en stödfunktion i enlighet med våra förslag skulle medföra en årlig kostnad om i vart fall . 1Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. 2Förenta nationernas konvention om barnets rättigheter. Utgångspunkter för vår uppskattning av kostnaderna för ett genomförande av våra förslag Vi föreslår att det ska inrättas en ny stödfunktion som ska fungera som en central kontaktpunkt i frågor som gäller verksamheter med kopplingar till våldsbejakande extremism och andra antidemokratiska miljöer som ansöker om eller tar del av offentliga medel för sin finansiering. Inom ramen för sitt uppdrag ska funktionen bistå beslutsorganen med fördjupade granskningar av enskilda verksamheter i ärenden där det finns anledning att anta att en verksamhet har kopplingar till sådana miljöer (se avsnitt 6.4.2 och 6.5.1). Ett inrättande av en stödfunktion i enlighet med våra förslag innebär ett tillskapande av ett nytt myndighetsuppdrag inom ramen för Center mot våldsbejakande extremism (CVE) och ett genomförande av våra förslag skulle innebära kostnader för det allmänna. Vi ska därför redovisa en beräkning av de förväntade kostnaderna för att genomföra förslagen. CVE är en del av (Brå). Vi har redogjort för varför vi anser att det finns skäl att överväga om centrets verksamhet ska skiljas från Brå:s verksamhet och bilda en egen myndighet (se avsnitt 6.5.3). Oaktat bedömningen av frågan om centret bör blir en egen myndighet eller inte, anser vi dock att stödfunktionen bör placeras vid CVE. Vi har inte utrymme att, inom ramen för vårt uppdrag, genomföra en total utredning och beräkning av kostnaderna för ett inrättande av CVE som en självständig myndighet. Den beräkning av kostnaderna för ett inrättande av en ny stödfunktion som vi redogör för nedan utgår därför från en placering inom ramen för Brå. Vi bedömer dock att beräkningen av stödfunktionens kostnader i vissa delar i stort sett är oberoende av funktionens placering, t.ex. kostnader för löner och övriga personalkostnader. Vår beräkning av overheadkostnader för en ny stödfunktion inom ramen för Brå inkluderar vidare lokalkostnader baserade på myndighetens nuvarande lokalisering i , inklusive vissa kostnader för ombyggnation och annan anpassning av befintliga lokaler. Vi bedömer därför att funktionens overheadkostnader i vart fall inte kan antas bli markant högre om CVE skulle bli en egen myndighet. Vi har i avsnitt 6.4.8 uppskattat omfattningen av stödfunktionens verksamhet och denna ligger till grund för våra bedömningar nedan. Uppskattade kostnader för ett inrättande av en ny stödfunktion Vi har i avsnitt 6.4.8 bedömt att ett inrättande av en stödfunktion i enlighet med våra förslag förutsätter en verksamhet motsvarande 15 årsarbetskrafter. Som vi har redogjort för är denna uppskattning dock baserad på ett antal antaganden om dels hur många fördjupade granskningar som kommer att utföras vid funktionen, dels hur omfattande dessa granskningar kan förväntas bli. Den kostnadsuppskattning som följer av beräkningarna nedan utgår från en bemanning på femton årsarbetskrafter (tabell 10.1) Beräkningarna avser . Det kan därefter bli aktuellt att utöka verksamheten utifrån antalet fördjupade granskningar som begärs och omfattningen av dessa. Detta är dock svårt att uppskatta och får avgöras när verksamheten har etablerats och varit i gång . De uppskattade kostnaderna har tagits fram utifrån kostnadsunderlag som vi har hämtat in från Brå. Uppskattningen av lönekostnaderna har tagits fram utifrån den kravprofil som vi har identifierat för stödfunktionen (se avsnitt 6.4.1). I de uppskattade lönekostnaderna ingår en årlig uppräkning motsvarande för att kompensera för den årliga lönerevisionen samt lönkostnadspåslag. I verksamhetskostnader ingår uppskattade kostnader för övriga personalkostnader, resekostnader, köp av tjänster och övriga tjänster.