sou · H9B366 · 2021-08-10 00:00:00 — Utöver de villkor som gäller vid all behandling av personuppgifter gäller att uppgifter om brott endast får behandlas under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet (artikel 10 i dataskyddsförordningen). Om en uppgift om brott även utgör en känslig personuppgift, gäller därutöver de särskilda krav som gäller för behandling av sådana uppgifter. Detta kan aktualiseras t.ex. vid behandling av uppgifter om fällande domar i mål om sexualbrott eller hets mot folkgrupp. 5.3.7Dataskyddsförordningens förhållande till offentlighetsprincipen Bestämmelserna i dataskyddsförordningen ska inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (artikel 85 i dataskyddsförordningen). Dataskyddsförordningen medför inte heller några begränsningar av rätten att ta del av allmänna handlingar (artikel 86 i dataskyddsförordningen). Den svenska offentlighetsprincipen ges därmed företräde framför rätten till skydd av personuppgifter enligt dataskyddsförordningen. Detta innebär bl.a. att den svenska regleringen om allmänna handlingars offentlighet och rätten att ta del av allmän handling ska tillämpas framför bestämmelserna i dataskyddsförordningen. En EU-förordning är direkt tillämplig och ska inte implementeras i medlemsstaternas nationella rätt (jfr artikel 288 andra stycket i fördraget om EU:s funktionssätt). Dataskyddsförordningen är dock utformad på ett sådant sätt att förordningen till viss del både förutsätter och medger nationell dataskyddsreglering som kompletterar förordningens bestämmelser. Detta gäller inte minst för behandling enligt de rättsliga grunder som, enligt förordningen, ska fastställas i nationell rätt och som innebär krav på särskilda skyddsåtgärder (se artikel 6.3 och i dataskyddsförordningen). Möjligheten att anta kompletterande dataskyddsbestämmelser på nationell nivå medför även en möjlighet för medlemsstaterna att i viss mån anpassa förordningens bestämmelser till den nationella kontexten (se t.ex. artikel 6.2 och 23 i dataskyddsförordningen). Dataskyddsförordningen tillåter vidare att delar av förordningen införlivas i nationell rätt, om det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som bestämmelserna ska tillämpas på (skäl 8 till förordningen). I svensk rätt har kompletterande bestämmelser till dataskyddsförordningen på generell nivå antagits genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning (kompletteringsförordningen). Dessa författningar innehåller bl.a. bestämmelser som tydliggör innebörden av vissa bestämmelser i dataskyddsförordningen och ger vägledning om hur dessa ska tillämpas i svensk rättsordning. Som exempel på tydliggörande bestämmelser kan nämnas förtydliganden gällande att tryckfrihetsförordningen och yttrandefrihetsgrundlagen ska ges företräde framför dataskyddsförordningen och att myndigheter får behandla uppgifter om brott (1 kap. 7 § och 3 kap. 8 § första stycket dataskyddslagen). Dataskyddslagen innehåller även generell reglering i syfte att efterleva dataskyddsförordningens krav gällande skyddsåtgärder vid behandling av personuppgifter såsom en bestämmelse om myndigheters behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse (3 kap. 3 § dataskyddslagen). I kompletteringsförordningen regleras bl.a. när det i svensk rätt är tillåtet för annan än en myndighet att behandla uppgifter om brott (5 § kompletteringsförordningen). Bestämmelserna i dataskyddslagen är subsidiära i förhållande till andra nationella dataskyddsbestämmelser. Det betyder att eventuella specialbestämmelser i andra författningar tillämpas i stället för de allmänna bestämmelserna i dataskyddslagen (1 kap. 6 § dataskyddslagen). Utöver bestämmelserna i dataskyddslagen finns i svensk rätt kompletterande bestämmelser om behandling av personuppgifter i ett stort antal sektorspecifika registerförfattningar och särskilda informationshanteringsförfattningar. Sådana särskilda lagar har antagits på områden där det är nödvändigt för myndigheter att behandla uppgifter om ett stort antal registrerade och med ett särskilt känsligt innehåll (bet. 1990/91:KU11, bet. 1997/98:KU18 och prop. 1997/98:44 s. 41). Som exempel på sådan sektorspecifik dataskyddsreglering kan nämnas patientdatalagen, domstolsdatalagen, lagen (2001:184) om behandling av uppgifter i verksamhet och lagen (2001:454) om behandling av personuppgifter inom . I dessa sektorspecifika författningar finns bl.a. särskilda bestämmelser om skyddsåtgärder vid behandling av personuppgifter såsom föreskrifter om vilka personuppgifter som får behandlas, hur uppgifterna får behandlas, bestämmelser om gallring, sökförbud och åtkomst till personuppgifter samt särskilda begränsningar gällande behandling av känsliga personuppgifter. 6 Offentlighet och sekretess Offentlighetsprincipen är en grundläggande princip inom den svenska offentliga förvaltningen. Rätten att ta del av allmänna handlingar utgör ett viktigt led i denna princip och genom handlingsoffentligheten ges allmänheten en möjlighet till insyn i den offentliga sektorn. I detta kapitel redogör vi i korthet för tryckfrihetsförordningens (TF) mer centrala bestämmelser gällande allmänna handlingars offentlighet. Vi ger också en övergripande beskrivning av grunderna för regleringen om sekretess och tystnadsplikt inom offentlig verksamhet. I kapitlet redogör vi även översiktligt för offentlighetsprincipens förhållande till dataskyddsregleringen. Offentlighetsprincipen innebär att all offentlig verksamhet, som utgångspunkt, ska vara öppen för insyn och kontroll från allmänheten. Denna princip genomsyrar den svenska statsförvaltningen och har kommit till uttryck i bl.a. tryckfrihetsförordningens bestämmelser om allmänna handlingars offentlighet. Enligt dessa bestämmelser har var och en rätt att ta del av allmänna handlingar (2 kap. 1 § TF). Med handling avses en framställning i skrift eller bild samt en upptagning som endast med tekniska hjälpmedel kan läsas eller avlyssnas eller uppfattas på annat sätt (2 kap. 3 § TF). Begreppet handling är alltså brett och omfattar såväl pappershandlingar som digitala handlingar såsom e-postmeddelanden eller ett USB-minne. En handling är allmän, om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten (2 kap. 4 § TF). Den som begär ut en allmän handling ska genast eller så snart det är möjligt få ta del av handlingen (2 kap. 15 § TF). Rätten att ta del av allmänna handlingar gäller för var och en och som utgångspunkt kan varje fysisk eller juridisk person begära att få ta del av en allmän handling. Den som begär ut en allmän handling har i regel rätt att vara anonym. En myndighet får endast efterforska vem som begär att få ta del av en handling eller vilket som är syftet med begäran i den mån det behövs för att myndigheten ska kunna pröva om det finns hinder mot att lämna ut handlingen (2 kap. 18 § TF). Rätten att ta del av allmänna handlingar får begränsas endast om det krävs av hänsyn till vissa intressen som anges uttömmande i tryckfrihetsförordningen (2 kap. 2 § första stycket TF). Begränsningar av rätten att ta del av allmänna handlingar följer i huvudsak av offentlighets- och sekretesslagen (2009:400), OSL. Enligt denna lag gäller i vissa fall sekretess för uppgifter i allmänna handlingar. Sekretess innebär ett förbud att röja en uppgift genom utlämnande av en handling eller genom att röja uppgiften muntligen eller på något annat sätt (3 kap. 1 § OSL). Att en uppgift omfattas av sekretess medför alltså dels handlingssekretess, dels tystnadsplikt. Ett förbud att röja eller utnyttja en uppgift gäller för myndigheter och för personer som har fått kännedom om uppgiften genom att delta i en myndighets verksamhet för det allmännas räkning, t.ex. på grund av anställning eller uppdrag hos myndigheten (2 kap. 1 § OSL). Den som bryter mot ett förbud att röja eller utnyttja en uppgift kan dömas för brott mot tystnadsplikten (14 kap. 2 § OSL, se 20 kap. 3 § ). Rätten att ta del av allmänna handlingar gäller i vissa fall även inom verksamheter vid andra organ än myndigheter. Detta gäller främst för organ som genom lag har tilldelats en förvaltningsuppgift såsom en uppgift att fördela allmänna medel. Sådana verksamheter omfattas av bestämmelserna i offentlighets- och sekretesslagen även om de bedrivs av enskilda organ (2 kap. 4 § och bilagan till OSL). Sekretess gäller i förhållande till enskilda och andra myndigheter (8 kap. 1 § OSL). Syftet med sekretess mellan myndigheter är i första hand att värna om den enskildes integritet. Uppgifter i allmänna handlingar som förvaras hos en myndighet kan hos en annan myndighet läggas till grund för åtgärder som, även om de är helt lagenliga, har en negativ innebörd för den enskilde. Ett tillfredsställande integritetsskydd för information hos en myndighet förutsätter därför i princip att informationen inte vidarebefordras utanför den verksamhet i vilken den har inhämtats (se prop. 1979/80:2 Del A s. 90 f.). Uppgifter som omfattas av sekretess får inte lämnas ut utan stöd i offentlighets- och sekretesslagen. För att möjliggöra nödvändigt informationsutbyte av sekretesskyddade uppgifter innehåller lagen en rad sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess. Av dessa bestämmelser följer bl.a. att sekretess inte hindrar att en enskild eller en myndighet som är part i ett mål eller ett ärende hos domstol eller annan myndighet tar del av en handling eller annat material i målet eller ärendet, s.k. partsinsyn (10 kap. 3 § OSL). En sekretessbestämmelse är uppbyggd utifrån tre olika faktorer: sekretessens föremål, räckvidd och styrka. Vilka uppgifter som kan bli föremål för sekretess styrs av de intressen som kan motivera en begränsning av rätten att ta del av en allmän handling (jfr 2 kap. 2 § TF). Med beaktande av dessa intressen har det antagits bestämmelser dels om sekretess till skydd för allmänna intressen, dels om sekretess till skydd för enskildas personliga eller ekonomiska förhållanden (avd. IV och V OSL). Begreppet enskild kan i detta sammanhang avse såväl en juridisk som en fysisk person. Sekretess för en viss uppgift kan ha generell räckvidd och gälla inom i princip hela den offentliga sektorn. Merparten av sekretessbestämmelserna har dock begränsad räckvidd, dvs. bestämmelserna gäller endast för uppgifter i vissa typer av ärenden, i en viss typ av verksamhet eller hos vissa angivna myndigheter. Sekretessens styrka bestäms med hjälp av ett s.k. skaderekvisit som brukar delas upp i raka och omvända. Vid ett rakt skaderekvisit råder presumtion för att uppgifterna är offentliga och sekretess gäller endast om det kan antas att viss skada uppstår om uppgiften lämnas ut. Vid ett omvänt skaderekvisit är utgångspunkten att uppgifterna omfattas av sekretess, om det inte står klart att uppgiften kan lämnas ut utan att viss skada uppstår. Sekretessens styrka beror i vissa fall därutöver på vilken grad av skada som krävs för att sekretess ska gälla, s.k. kvalificerat skaderekvisit. Sekretess för vissa uppgifter kan även vara absolut, dvs. sekretessen gäller utan någon skadeprövning. 6.4Offentlighetsprincipens förhållande till dataskyddsförordningen Bestämmelserna i dataskyddsförordningen1 ska inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (artikel 85 i dataskyddsförordningen, se även 1 kap. 7 § lagen [2018:218] med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen). Dataskyddsförordningen medför inte heller några begränsningar av rätten att ta del av allmänna handlingar (artikel 86 i dataskyddsförordningen). Detta innebär att bestämmelserna i dataskyddsförordningen inte påverkar rätten att ta del av allmänna handlingar enligt tryckfrihetsförordningen. Att en viss uppgift omfattas av sekretess utgör dock en form av skyddsåtgärd vid behandling av personuppgifter och det finns därmed en tydlig samverkan mellan bestämmelserna i dataskyddsförordningen och bestämmelser som innebär en begränsning av rätten att ta del av allmänna handlingar. Bestämmelserna i offentlighets- och sekretesslagen är därmed en grundläggande del av skyddet för personuppgifter i svensk rätt. Lagen innehåller vidare en särskild bestämmelse som föreskriver sekretess för personuppgifter, om det kan antas att uppgifterna efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen (21 kap. 7 § OSL). Om en myndighet bedömer att det kan antas att personuppgifter efter ett utlämnande kommer att behandlas i strid med gällande dataskyddsreglering kan alltså myndigheten neka att lämna ut personuppgifterna, även om uppgifterna inte omfattas av sekretess enligt någon annan bestämmelse i offentlighets- och sekretesslagen. En myndighet får dock som utgångspunkt inte efterforska vad som är syftet med en viss begäran om att få ta del av en allmän handling. Det krävs därför konkreta omständigheter som indikerar att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot dataskyddsregleringen för att en myndighet ska få undersöka hur personuppgifter kommer att behandlas efter ett utlämnande. Så kan t.ex. vara fallet om det rör sig om en begäran att få ta del av uppgifter om väldigt många personer eller uppgifter om ett urval av 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (GDPR). personer utifrån vissa karakteristika såsom inkomst, ålder eller språktillhörighet, s.k. selekterade uppgifter (jfr JO:s beslut den 28augusti 2013 dnr 4171-2011). En annan effekt av den svenska offentlighetsprincipen är att en myndighet inte fullt ut kan styra vilka personuppgifter som myndigheten behandlar, bl.a. eftersom en myndighet inte kan styra vilka handlingar som kommer in till myndigheten och därigenom blir allmänna (jfr 2 kap. 4 § TF). Allmänna handlingar ska i regel registreras så snart de har kommit in till eller upprättats hos en myndighet (5 kap. 1 § OSL). En handling som kommer in till en myndighet är alltså en allmän handling och ska som sådan registreras hos myndigheten. Allmänna handlingar ska vidare bevaras och en statlig myndighet får inte gallra, dvs. radera eller förstöra, en allmän handling utan stöd i föreskrifter eller särskilda beslut (2 kap. 23 § TF, se 3 och 10 §§ arkivlagen [1990:782]). Detta innebär t.ex. att en myndighet kan komma att behandla personuppgifter i större omfattning än vad myndigheten bedömer som nödvändigt (jfr artikel 5 i dataskyddsförordningen). Eftersom tryckfrihetsförordningen ska ges företräde framför dataskyddsförordningen har dock myndigheten stöd för att behandla personuppgifter i den omfattning som krävs enligt bestämmelserna om allmänna handlingars offentlighet. 7Personuppgiftsbehandling i ärenden om stöd Vi har i uppdrag att analysera vilka personuppgifter som kan behöva behandlas i ärenden om statligt reglerat stöd till civilsamhället och att analysera behovet av kompletterande bestämmelser för att nödvändig personuppgiftsbehandling ska kunna utföras vid prövningen av ärenden om stöd. I detta kapitel redogör vi för vilka personuppgifter som typiskt sett förekommer i dessa ärenden och analyserar hur tillämpningen av förtydligade demokrativillkor kan komma att påverka vilka personuppgifter som behöver behandlas i ärenden om stöd (se avsnitt 7.3). En rättssäker, korrekt och effektiv handläggning av frågor om stöd förutsätter att såväl beslutsorganen som de civilsamhällesorganisationer som ansöker om stöd har rättsliga förutsättningar att kunna utföra nödvändig behandling av personuppgifter. vidärför de rättsliga förutsättningarna för sådan personuppgiftsbehandling enligt dataskyddsförordningen1 (se avsnitt 7.4 och 7.5). Vi kommer till slutsatsen att såväl beslutsorganen som organisationerna har grundläggande rättsliga förutsättningar för att kunna utföra nödvändig behandling av personuppgifter i ärenden om stöd. När det gäller civilsamhällesorganisationerna bedömer vi att nödvändig behandling kan utföras direkt med stöd av gällande dataskyddsreglering. För beslutsorganens behandling krävs dock kompletterande nationella dataskyddsbestämmelser. Vi behandlar denna fråga vidare i kapitel 8. 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (GDPR). Personuppgiftsbehandling i ärenden om stöd 7.2Rättsliga utgångspunkter för behandling av personuppgifter i ärenden om stöd Dataskyddsförordningen ställer krav på att all behandling av personuppgifter ska ha en rättslig grund och genomföras i enlighet med vissa grundläggande principer (se artikel 5.1 och 6.1 i dataskyddsförordningen). De grundläggande principerna genomsyrar hela dataskyddsregleringen och kan medföra krav på rättslig reglering av personuppgiftsbehandling i form av bl.a. ändamålsbegränsningar och särskilda skyddsåtgärder. I vilken omfattning det krävs särskild rättslig reglering till skydd för personuppgifter beror på en rad olika faktorer, bl.a. vem som är personuppgiftsansvarig, behandlingens omfattning och om behandlingen omfattar känsliga personuppgifter. Även om det av dataskyddsförordningen kan följa ett krav på rättslig reglering av viss personuppgiftsbehandling, är det primärt den personuppgiftsansvarige som ansvarar för att anpassa sin behandling utifrån de krav som följer av förordningen. En prövning av ett ärende om stöd till det civila samhället förutsätter att såväl en sökande organisation som ett beslutsorgan kan utföra den behandling av personuppgifter som är nödvändig för att kunna bedöma om organisationen uppfyller villkoren för stöd. I ärenden om stöd förekommer det därför typiskt sett två olika personuppgiftsansvariga: de organisationer som ansöker om att få ta del av eller har tagit del av stöd och de organ som handlägger och beslutar i frågor om stöd. En organisation som ansöker om ett visst stöd måste kunna redogöra för de personuppgifter som är relevanta för bedömningen av om villkoren för stöd är uppfyllda. Det beslutsorgan som tar emot organisationens ansökan måste i sin tur kunna utföra den personuppgiftsbehandling som är nödvändig för att kunna bedöma om stöd ska beviljas. Dataskyddsförordningens grundläggande principer för personuppgiftsbehandling och krav på rättslig grund gäller för all behandling av personuppgifter, oavsett om behandlingen utförs av en myndighet eller av en organisation inom det civila samhället. Om den personuppgiftsansvarige är en myndighet eller inte påverkar dock vilka rättsliga grunder för behandling som är tillämpliga och i vilken omfattning det krävs rättslig reglering av grunden för behandling. Det är lagstiftarens uppgift att genom lagstiftning tillhandahålla en rättslig grund för myndigheters behandling av personuppgifter Personuppgiftsbehandling i ärenden om stöd som utförs som ett led i fullgörandet av ett myndighetsuppdrag (se skäl 47 till dataskyddsförordningen). Detsamma gäller för enskilda organ som, med stöd i lag, har tilldelats en förvaltningsuppgift. För att de organ som beslutar i frågor om stöd till det civila samhället ska få behandla personuppgifter vid handläggningen av dessa ärenden krävs därmed att grunden för behandlingen, dvs. uppgiften att fördela stöd, har fastställts i svensk rätt (jfr artikel 6.3 i dataskyddsförordningen). Behandling av personuppgifter som utförs av organisationer inom det civila samhället kan däremot i större utsträckning genomföras direkt med stöd av dataskyddsförordningen. I vissa fall kan det dock krävas särskild rättslig reglering även för den personuppgiftsbehandling som utförs av civilsamhällesorganisationer. Sådana krav gäller framför allt vid behandling av känsliga personuppgifter och behandling av personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder, uppgifter om brott (se artikel 9 och 10 i dataskyddsförordningen). I svensk rätt finns inte någon särskild informationshanteringsförfattning som reglerar beslutsorganens behandling av personuppgifter i ärenden om stöd till civilsamhället, utan i dessa ärenden tillämpas i stort de generella bestämmelserna i dataskyddsförordningen samt lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning (kompletteringsförordningen). I vissa av de förordningar som reglerar stöd till folkbildningen har det dock antagits särskilda bestämmelser om behandling av känsliga personuppgifter som utförs av sökande organisationer och organisationer som har beviljats stöd (se t.ex. 17 a–d §§förordningen [2015:218] om statsbidrag till folkbildningen och 10 a–d §§ förordningen [2015:521] om statsbidrag till särskilda folkbildningsinsatser för asylsökande och vissa nyanlända invandrare). I den mån ett beslut i fråga om stöd till det civila samhället kan överklagas och därmed bli föremål för en domstolsprövning kan även en allmän förvaltningsdomstol behöva behandla de personuppgifter som förekommer i ärendet. Behandling av personuppgifter i de allmänna förvaltningsdomstolarnas rättskipande och rättsvårdande verksamhet regleras särskilt genom domstolsdatalagen (2015:728). Personuppgiftsbehandling i ärenden om stöd Det finns därför inte skäl för oss att närmare analysera grunderna för de allmänna förvaltningsdomstolarnas behandling av personuppgifter vid en prövning av ett mål gällande stöd till det civila samhället. 7.3Nödvändig behandling av personuppgifter i ärenden om stöd Vår bedömning: Regleringen av stöd till civilsamhället medför att både sökande organisationer och beslutsorgan behöver kunna behandla personuppgifter. I vissa fall kan en sådan prövning förutsätta behandling av känsliga personuppgifter och uppgifter om brott. Detta gäller inte minst vid en prövning av ett demokrativillkor som tar sikte på en organisations och dess företrädares agerande. 7.3.1Nu gällande reglering av stöd förutsätter viss behandling av personuppgifter Vilka personuppgifter som kan behöva behandlas i ett ärende om stöd till det civila samhället styrs i huvudsak av de villkor som en organisation måste uppfylla för att beviljas stöd. Den rättsliga regleringen av statligt stöd till det civila samhället är inte enhetlig och de villkor som ställs för att en organisation ska beviljas stöd varierar (se avsnitt 4.2–4.7). Gemensamt för de civilsamhällesorganisationer som ansöker om stöd är dock att de i samband med en ansökan måste uppge vissa grundläggande uppgifter om organisationen som är nödvändiga för att ett beslutsorgan överhuvudtaget ska kunna handlägga ansökan. Det kan bl.a. röra sig om uppgifter om vem eller vilka personer som är firmatecknare och kontaktuppgifter till företrädare för organisationen såsom namn, adress, telefonnummer och e-postadress. För att ett beslutsorgan ska kunna identifiera de som har rätt att företräda en viss organisation kan även krävas att organisationen uppger personnummer för bl.a. organisationens firmatecknare. Sådana uppgifter utgör personuppgifter enligt dataskyddsförordningen.