sou · H9B366 · 2021-08-10 00:00:00 — Vårt förslag: En myndighet eller annat organ som har till uppgift att fördela statligt reglerat stöd till civilsamhället ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten eller organet utför inom ramen för sådan verksamhet. Begreppet personuppgiftsansvarig är ett centralt begrepp i dataskyddsförordningen, eftersom det är den personuppgiftsansvarige som ansvarar för att behandlingen av personuppgifter utförs i enlighet med gällande dataskyddsreglering (artikel 5.2 i dataskyddsförordningen). Med personuppgiftsansvarig avses en fysisk eller En ny lag om behandling av... juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen bestäms av medlemsstaternas nationella rätt, är det möjligt att reglera vem som är personuppgiftsansvarig i lagstiftningen (artikel 4.7 i dataskyddsförordningen). För att det ska vara tydligt vem som är personuppgiftsansvarig vid behandling av personuppgifter i ärenden om stöd till det civila samhället anser vi att personuppgiftsansvaret bör regleras i den nya lagen. Sådan reglering är möjlig enligt datsskyddsförordningen och gör det enkelt för den registrerade att identifiera vem som är personuppgiftsansvarig för viss behandling. Vi föreslår därför att det i lagen ska framgå att ett beslutsorgan som har till uppgift att fördela statligt reglerat stöd till civilsamhället ska vara personuppgiftsansvarig för den behandling av personuppgifter som organet utför inom ramen för en sådan verksamhet. Vårt förslag: Ändamålen för behandling av personuppgifter i ärenden om stöd till det civila samhället ska avgränsas till sådan behandling som är nödvändig för handläggningen av ett ärende. Enligt en av dataskyddsförordningens grundläggande principer får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5.1 b i dataskyddsförordningen). Bestämmelser som anger ett visst ändamål för behandling av personuppgifter tydliggör vilken behandling som är tillåten inom en viss verksamhet och begränsar vilken behandling som en personuppgiftsansvarig får utföra. Ändamålsbestämmelser utgör därmed en form av åtgärd till skydd för personuppgifter som bidrar till att säkerställa en laglig och rättvis behandling (jfr artikel 6.2. och 6.3 i dataskyddsförordningen). I de fall en reglering innebär en begränsning av de grundläggande principerna för behandling av personuppgifter eller av den registrerades rättigheter uppställer dataskyddsförordningen dessutom, när så är relevant, ett krav på reglering av ändamålen med behandlingen (artikel 23.2 a i dataskyddsförordningen). Ändamålsbegränsningar är därför en vanligt förekommande En ny lag om behandling av... typ av bestämmelse i registerförfattningar (se t.ex. 11–13 §§ utlänningsdatalagen [2016:27]). Vi anser att även en ny lag om personuppgiftsbehandling i ärenden om stöd till det civila samhället lämpligen bör innehålla en ändamålsbestämmelse. Genom en sådan bestämmelse tydliggörs för vilket ändamål som personuppgifter får behandlas i dessa ärenden och beslutsorganens möjlighet att behandla personuppgifter begränsas. En sådan bestämmelse utgör även en precisering av den rättsliga grunden för behandling (jfr skäl 41 till dataskyddsförordningen). Enligt vår bedömning bör ändamålen för behandlingen avgränsas till sådan behandling som är nödvändig för handläggningen av ett ärende om stöd. En sådan avgränsning ger beslutsorganen rätten att utföra behandling av personuppgifter i ärenden om stöd till civilsamhället, förutsatt att behandlingen är nödvändig för att organen ska kunna utföra sin uppgift att fördela statligt reglerat stöd i enlighet med gällande regelverk. Genom att uttryckligen knyta ändamålet med behandlingen till vad som är nödvändigt för handläggningen av ärenden om stöd inskränks beslutsorganens möjligheter att behandla personuppgifter som saknar ärendekoppling. En sådan ändamålsbegränsning är därmed snävare än vad som gäller enligt dataskyddslagen (jfr 2 kap. 2 § dataskyddslagen). Bestämmelsen fungerar vidare som ett förtydligande för de registrerade gällande för vilka ändamål ett beslutsorgan får behandla personuppgifter inom ramen för verksamhet att fördela stöd. Vårt förslag: Tillgången till personuppgifter ska begränsas till det som varje anställd eller uppdragstagare behöver för att kunna fullgöra sina arbetsuppgifter. En fysisk person som utför ett arbete under den personuppgiftsansvariges överinseende, och som får tillgång till personuppgifter, får som utgångspunkt endast behandla dessa på instruktion från den personuppgiftsansvarige (artikel 29 i dataskyddsförordningen). Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att personuppgifter inte behandlas utöver vad den personuppgiftsansvarige har gett instruktion om (artikel 32.4 i dataskyddsförord- En ny lag om behandling av... Den personuppgiftsansvarige har alltså ett ansvar för att anställda och andra uppdragstagare inte behandlar personuppgifter utöver vad den personuppgiftsansvarige har bedömt lämpligt. Vilken spridning av personuppgifter som en viss behandling innebär har av naturliga skäl stor inverkan på integritetsriskerna med behandlingen. Om personuppgifter sprids ökar risken för att uppgifterna kommer att användas på ett sätt som innebär ett intrång i de registrerades personliga integritet. Utgångspunkten är därför att personuppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med behandlingen (jfr artikel 5.1 f i dataskyddsförordningen). Att begränsa tillgången till personuppgifter i ärenden om stöd är en viktig åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen (jfr artikel i dataskyddsförordningen). Vi föreslår därför en bestämmelse i den nya lagen som slår fast att tillgången till personuppgifter ska begränsas till det som varje anställd eller uppdragstagare behöver för att kunna fullgöra sina arbetsuppgifter. Ärenden om stöd till det civila samhället handläggs av ett stort antal beslutsorgan. Det är därför svårt att på ett generellt plan närmare ange formerna för hur tillgången till personuppgifter ska begränsas vid dessa organ. Enligt den föreslagna bestämmelsen klargörs dock att varje beslutsorgan har ett ansvar att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att personuppgifter inte sprids utanför den krets av personer som behöver ha tillgång till dessa för att kunna utföra sina arbetsuppgifter (jfr artikel 32 i dataskyddsförordningen). 8.3.8Beslutsorganen ska få behandla uppgifter om brott Vårt förslag: Den nya lagen ska innehålla en bestämmelse om att ett enskilt organ som har till uppgift att fördela statligt reglerat stöd till civilsamhället ska få behandla uppgifter om brott. I bestämmelsen bör tas in en upplysning om att även de myndigheter som har till uppgift att fördela sådant stöd får behandla uppgifter om brott. En ny lag om behandling av... Vid en prövning av om en organisation uppfyller ett demokrativillkor kan det bli nödvändigt för ett beslutsorgan att behandla uppgifter om att fysiska personer som företräder organisationen har dömts för brott. Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder (i detta betänkande benämnda uppgifter om brott) får endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10 i dataskyddsförordningen). Ett beslutsorgan som är en myndighet får därmed med stöd av den generella dataskyddsregleringen behandla uppgifter om brott, utan att det regleras särskilt i den nya lagen (se även 3 kap. 8 § dataskyddslagen). Ärenden om statligt reglerat stöd till civilsamhället handläggs dock inte endast av myndigheter, utan även av ett antal från staten fristående beslutsorgan. Det är inte helt klart hur begreppet under kontroll av myndighet i dataskyddsförordningen ska tolkas i en svensk kontext. Enligt regeringen är en möjlig tolkning att uppgifter om brott får behandlas av ett organ som har anförtrotts uppgifter som ankommer på den offentliga sektorn (se prop. 2017/18:105 s. 99). Enligt en sådan tolkning kan även ett beslutsorgan som inte är en myndighet behandla uppgifter om brott inom verksamhet med handläggning av ärenden om statligt reglerat stöd till det civila samhället. Rättsläget är dock osäkert och det är oklart vad som krävs för att viss behandling av uppgifter om brott ska anses utföras under kontroll av en myndighet (jfr , Dataskyddsförordningen [GDPR] m.m.– En kommentar [, ], kommentaren till artikel 10). Vi anser därför att det ska tas in en bestämmelse i den nya lagen om att även beslutsorgan som inte är myndigheter får behandla uppgifter om brott i ärenden om stöd. Sådan reglering är tillåten enligt dataskyddsförordningen och undanröjer eventuella frågetecken gällande om ett från staten fristående beslutsorgan får behandla uppgifter om brott vid handläggningen av ett ärende om stöd. Som vi har redogjort för ovan kan ett beslutsorgan som är en myndighet behandla uppefter om brott direkt med stöd av den generella dataskyddsregleringen. För att undvika missförstånd – och underlätta tillämpningen av bestämmelserna om behandling av uppgifter om brott – föreslår vi även att paragrafen ska innehålla en En ny lag om behandling av... upplysning om att det i 3 kap. 8 § dataskyddslagen finns bestämmelser om myndigheters behandling av personuppgifter som avses i artikel 10 i dataskyddsförordningen. Vi anser dock att behandling av uppgifter om brott i ärenden om statligt reglerat stöd till civilsamhället ska begränsas till sådana uppgifter som har lämnats i ett ärende eller är nödvändiga för handläggningen av det, oavsett om ett ärende handläggs av en myndighet eller ett enskilt organ. Denna fråga behandlar vi i avsnittet nedan. 8.3.9Beslutsorganens behandling av känsliga personuppgifter och uppgifter om brott ska begränsas Vårt förslag: Ett beslutsorgan ska få behandla känsliga personuppgifter och uppgifter om brott endast om de har lämnats i ett ärende om stöd eller är nödvändiga för handläggningen av det. Utöver uppgifter om brott behöver ett beslutsorgan kunna behandla känsliga personuppgifter i ärenden om stöd till civilsamhället. Ett beslutsorgan kan utföra sådan behandling av hänsyn till ett viktigt allmänt intresse, förutsatt att behandlingen är nödvändig för att utföra en uppgift att fördela stöd till det civila samhället (se artikel 9.2g i dataskyddsförordningen). Beslutsorganen har därmed grund för att behandla även känsliga personuppgifter i ärenden om stöd, utan att det regleras särskilt i den nya lagen. Detta gäller oavsett om ett beslutsorgan är en myndighet eller ett enskilt organ. Vi anser dock att det bör införas en bestämmelse i den nya lagen som anger att beslutsorganen får behandla känsliga personuppgifter endast om uppgifterna har lämnats i ett ärende eller om uppgifterna är nödvändiga för prövningen av ett ärende om stöd. En sådan bestämmelse klargör ramarna för beslutsorganens behandling av känsliga personuppgifter och gör det tydligt för de registrerade i vilka fall som ett beslutsorgan får behandla sådana personuppgifter. Eftersom även uppgifter om brott är särskilt integritetskänsliga anser vi att detsamma bör gälla för behandling av sådana personuppgifter. Genom att i den nya lagen uttryckligen knyta behandling av känsliga personuppgifter och uppgifter om brott till handläggningen av ärenden klargörs att beslutsorganen inte får behandla sådana En ny lag om behandling av... uppgifter om de saknar koppling till ett ärende. Den nya lagen inskränker i denna del beslutsorganens möjligheter att behandla känsliga personuppgifter i jämförelse med vad som gäller enligt dataskyddslagen (jfr 3 kap. 3 § dataskyddslagen). Vilka uppgifter som är nödvändiga för handläggningen av ett visst ärende avgörs av beslutsorganet utifrån omständigheterna i det enskilda ärendet. 8.3.10Det ska vara förbjudet att utföra vissa sökningar Vårt förslag: Det ska vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller uppgifter om brott. Sökningar som tar sikte på känsliga personuppgifter är av naturliga skäl förknippade med uppenbara risker i integritetshänseende. Vi bedömer därför att beslutsorganen inte ska få utföra sökningar i syfte att få fram ett urval av personer grundat på sådana uppgifter. En sökbegränsning omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter såsom religiös eller politisk tillhörighet. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer, t.ex. för att ta fram verksamhetsstatistik eller för registervård (jfr prop. 2017/18:254 s. 62 f.). Utöver känsliga personuppgifter bör förbudet även omfatta uppgifter om brott. Sådana personuppgifter behöver kunna behandlas vid de beslutsorgan som fördelar statligt reglerat stöd till civilsamhället. Även om dessa uppgifter inte utgör känsliga personuppgifter anser vi att ett urval av personer baserat på uppgifter om brott är särskilt känsligt ur ett integritetshänseende. Vi anser därför att även sådana uppgifter ska omfattas av ett sökförbud. Bestämmelsen går i denna del utöver vad som gäller i fråga om sökbegränsningar enligt datasyddslagen (jfr 3 kap. 3 § andra stycket dataskyddslagen). En ny lag om behandling av... 8.3.11Längsta tid som personuppgifter får behandlas Vårt förslag: Personuppgifter ska inte få behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Detta hindrar dock inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. En av de grundläggande principerna för dataskydd är principen om lagringsminimering. Enligt denna princip får personuppgifter inte lagras än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5.1 e i dataskyddsförordningen). Samma princip gäller även enligt dataskyddsdirektivet2 (se artikel 4.1 e i direktivet). Genom att minimera lagringstiden minskar den risk för den personliga integriteten som en viss behandling av personuppgifter innebär. Bestämmelser som tydliggör hur länge personuppgifter får behandlas inom en verksamhet innebär därmed en form av skyddsåtgärd. Vi anser därför att det bör införas en bestämmelse om längsta tid för personuppgiftsbehandling i den nya lagen. Stöd till det civila samhället fördelas i olika former och över olika tidsperioder, där t.ex. visst stöd fördelas medan annat stöd kan sträcka sig . Det är därför svårt att på ett generellt plan uttala sig om hur länge det kan vara nödvändigt att lagra uppgifter i ett visst ärende om stöd. Vi bedömer därför att den lämpligaste lösningen är en ändamålsrelaterad bestämmelse om längsta tid för behandling som innebär att ett beslutsorganen inte får behandla personuppgifter längre än vad som är nödvändigt med hänsyn till ändamålet. Det som avses är ändamålet i det enskilda fallet. Behovet av att fortsätta behandla uppgifterna måste därför prövas kontinuerligt. En sådan bestämmelse säkerställer att personuppgifter inte behandlas än vad som är nödvändigt för handläggningen av ett ärende om stöd. Med undantag från principen för lagringsminimering får personuppgifter dock lagras i den mån som person- 2Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. En ny lag om behandling av... uppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål (artikel 5.1 e i dataskyddsförordningen). För att tydliggöra att personuppgifter som utgör en del av en allmän handling får arkiveras föreslår vi därför att det ska anges i bestämmelsen att det som anges gällande längsta tid för behandling av personuppgifter inte hindrar att sådana uppgifter arkiveras i enlighet med gällande arkivlagstiftning. I vilken utsträckning personuppgifter ska gallras i samband med arkivering regleras i det arkivrättsliga regelverket. Till skillnad från vad som gäller enligt många andra författningar på dataskyddsförordningens område innehåller vårt förslag ingen reglering gällande bevarande och gallring (jfr t.ex. 24 § kustbevakningsdatalagen [2019:429] och 19 § lagen [2016:526] om behandling av personuppgifter i ärenden om licens för läkemedel). Vi föreslår i stället en renodlad dataskyddsbestämmelse gällande längsta tid för behandling av personuppgifter i enlighet med vad som gäller på dataskyddsdirektivets område (se t.ex. 2 kap. 17 § brottsdatalagen [2018:1177]). Anledningen är att vi anser att det är lämpligt att skilja mellan arkivrättsliga regler och regler om dataskydd och att de arkivrättsliga begreppen bevara och gallra därför inte bör tas in i bestämmelsen. I stället föreslår vi att bestämmelsen ska utgå från hur länge personuppgifter får behandlas med hänsyn till ändamålet med behandlingen (jfr prop. 2017/18:232 s. 163 ff.). Den föreslagna bestämmelsen får även ett vidare tillämpningsområde eftersom begreppet behandling till skillnad från de arkivrättsliga begreppen bevarande och gallring inte endast tar sikte på personuppgifter som förekommer i allmänna handlingar, utan gäller för all behandling av personuppgifter som faller inom lagens tillämpningsområde (jfr 3 och 10 §§ arkivlagen [1990:782]). 8.3.12Rätt att meddela föreskrifter Vårt förslag: Den nya lagen ska innehålla en bestämmelse som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter som kompletterar den nya lagen. En ny lag om behandling av... De bestämmelser gällande beslutsorganens behandling av personuppgifter i ärenden om stöd till civilsamhället som är av central betydelse för integritetsskyddet bör anges i den nya lagen. Lagen föreslås tillämpas vid samtliga beslutsorgan som handlägger statligt reglerat stöd till civilsamhället. Det rör sig om ett stort antal myndigheter och andra organ och det kan uppkomma ett behov av att komplettera den nya lagen genom bestämmelser i förordning eller föreskrift. Bestämmelser om myndigheters personuppgiftsbehandling anses normalt falla in under regeringens s.k. restkompetens (8 kap. 7 § RF). Regeringen eller den myndighet som regeringen bestämmer har alltså möjlighet att meddela kompletterande bestämmelser till den föreslagna lagen (jfr prop. 2017/18:105 s. 26). De föreskrifter som regeringen meddelar får dock inte innebära ett betydande intrång i den personliga integriteten (jfr 2 kap. 6 § andra stycket och 20 § RF). För att tydliggöra att kompletterande bestämmelser kan finnas i förordning eller myndighetsföreskrifter föreslår vi att en upplysning om regeringens normgivningskompetens förs in i lagen. 8.3.13Det behövs inte särskilda bestämmelser om behandling av personnummer och samordningsnummer Vår bedömning: Det behöver inte införas några särskilda bestämmelser om behandling av personnummer och samordningsnummer i den nya lagen. Beslutsorganen behöver behandla personnummer och i förekommande fall samordningsnummer vid handläggningen av ärenden om stöd till det civila samhället. Sådana uppgifter får behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (3 kap. 10 § dataskyddslagen). Vi bedömer att denna generella reglering av behandling av personuppgifter och samordningsnummer i dataskyddslagen är tillräcklig för den behandling som ett beslutsorgan behöver utföra vid en prövning av en fråga om stöd. Vår bedömning är därför att det inte finns något behov av särskilda villkor eller skyddsåtgärder för behandling av sådana uppgifter i den föreslagna lagen. En ny lag om behandling av... 8.3.14Det saknas behov av en bestämmelse som begränsar rätten att göra invändningar Vår bedömning: Det saknas behov av att begränsa rätten att göra invändningar vid behandling av personuppgifter i ärenden om statligt reglerat stöd till civilsamhället. Vid behandling av personuppgifter som utförs för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna om inte denne kan visa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter (artikel 21.1. i dataskyddsförordningen). Rätten att göra invändningar innebär att den registrerade har möjlighet att få till stånd en prövning av om viss behandling är tillåten. Medlemsstaterna har möjlighet att begränsa denna rätt och många författningar som reglerar myndigheters behandling av personuppgifter innehåller sådana begränsningar (artikel 23.1 i dataskyddsförordningen, se t.ex. 3 kap. 3 § lagen [2001:181] om behandling av uppgifter i beskattningsverksamhet och 5 § studiestödsdatalagen [2009:287]). Det huvudsakliga motivet till att ett flertal registerförfattningar innehåller reglering som begränsar rätten att göra invändningar är att det har ansetts vara av stor betydelse att personuppgifter får behandlas i myndigheternas verksamheter oberoende av den registrerades inställning. Den personuppgiftsbehandling som ett beslutsorgan utför för att fullgöra ett uppdrag att fördela stöd till det civila samhället genomförs för att utföra en uppgift av allmänt intresse eller som ett led i organets myndighetsutövning. Detta innebär att dataskyddsförordningens bestämmelse om rätten att göra invändningar gäller vid behandling av personuppgifter som utförs i enlighet med den nya lagen. Enligt vår bedömning finns det ett behov för beslutsorganen att kunna behandla personuppgifter i ett ärende om stöd oberoende av den registrerades inställning. Så kan t.ex. vara fallet vid en prövning av ett förtydligat demokrativillkor, eftersom det då det kan var nödvändigt för ett beslutsorgan att utföra sådan personuppgifts- En ny lag om behandling av... behandling som den registrerade kan ha ett tydligt intresse av att invända mot. Som exempel på sådana uppgifter kan nämnas uppgifter om att en företrädare för en organisation är misstänkt för brott, uppgifter om att en företrädare har kränkt enskilds grundläggande fri- och rättigheter eller att det har kommit fram uppgifter om att en företrädare har samröre med en organisation som motarbetar det demokratiska styrelseskicket. För att ett beslutsorgan ska kunna genomföra den behandling som är nödvändig för en prövning av ett demokrativillkor är det viktigt att beslutsorganen har möjlighet att utföra nödvändig behandling av personuppgifter trots invändningar från den registrerade. Vi bedömer dock att ett beslutsorgan i sådana fall närmast undantagslöst skulle kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet (jfr prop. 2017/18:254 s. 45). Beslutsorganet kan i sådana fall direkt med stöd av dataskyddsförordningen fortsatt behandla de aktuella personuppgifterna trots invändningar från den registrerade. Vi anser därför att det saknas tillräckliga skäl för att föreslå en bestämmelse som begränsar den registrerades rätt att göra invändningar mot behandling av personuppgifter i ärenden om stöd till det civila samhället.