sou · H9B399 · 2021-12-21 00:00:00 — Tillskapandet av ett informationsutbyte mellan myndigheter och en ökad myndighetssamverkan i frågor gällande verksamheter med kopplingar till våldsbejakande extremism eller andra antidemokratiska miljöer som tar del av offentliga medel för sin finansiering väcker frågor om skyddet för den personliga integriteten. Vid överväganden av en ökad samordning och utbyte av information ska konsekvenserna för den personliga integriteten beaktas. Som en del av ett sådant övervägande måste de samhällsintressen som talar för att införa sådana bestämmelser vägas mot de integritetsskäl som talar däremot. En sådan avvägning ska i första hand göras vid utformningen av reglerna om sekretess och sekretessgenombrott enligt offentlighets- och sekretesslagen (2009:400), OSL. Våra överväganden i dessa delar finns i kapitel 7. En utökad informationshantering kan dock även medföra krav på ytterligare dataskyddsreglering. Vi har i uppdrag att analysera vilka bestämmelser för personuppgiftsbehandling som behövs för att stödfunktionen ska kunna utföra sitt uppdrag och för att uppgifter om organisationers eller andra aktörers verksamhet ska kunna överlämnas från en myndighet till en annan. I detta kapitel redogör vi för vilka personuppgifter som kan komma att behandlas vid stödfunktionen och analyserar behovet av kompletterande dataskyddslagstiftning. Eftersom det kommer vara fråga om en relativt omfattande behandling av personuppgifter är vår bedömning att det bör införas kompletterande dataskyddslagstiftning. Vi föreslår därför en ny lag om personuppgiftsbehandling som ska vara tillämplig vid stödfunktionens verksamhet. I vårt delbetänkande Rätt mottagare – Demokrativillkor och integritet (SOU 2021:66) finns en utförlig redogörelse för tillämplig personuppgiftslagstiftning (se kapitel 5). Vi upprepar i detta kapitel vad som angetts i delbetänkandet endast i den mån vi anser att det är nödvändigt för våra bedömningar. Vi har i avsnitt 6.5.1 bedömt att stödfunktionen bör placeras vid Center mot våldsbejakande extremism (CVE) som är en enhet vid (Brå). Vi har i avsnitt 6.5.3 kommit till slutsatsen att det finns skäl att överväga om CVE ska bli en egen myndighet. Förslagen i detta kapitel utgår från en placering hos CVE i egenskap av enhet inom Brå. Motsvarande resonemang och förslag som anges är dock tillämpliga även om CVE skulle bli en egen myndighet. I det fallet skulle det dock kunna bli aktuellt med ytterligare registerlagstiftning såvitt avser CVEs totala verksamhet, men det är något som ligger utanför vårt uppdrag. Som vi tidigare angett har vi bedömt att det främst är två grupper av ärenden som kommer att bli aktuella vid stödfunktionen. Dessa är dels ärenden om stöd till civilsamhället, dels ärenden gällande ägar- och ledningsprövningar för enskilda verksamheter inom välfärdssektorn. De beslutsorgan som tillämpar dessa regleringar kan därför, enligt vår bedömning, behöva vända sig till stödfunktionen för att söka funktionens bistånd med fördjupade granskningar. Beslutsorganen tillämpar , såvitt gäller för vår utredning aktuella ärenden, i huvudsak de generella regelverken för behandling av personuppgifter, dvs. dataskyddsförordningen och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Såvitt avser beslutsorgan som fördelar stöd till det civila samhället finns en utförlig redogörelse för tillämplig data- skyddslagstiftning i vårt delbetänkande. Vi har i betänkandet också föreslagit kompletterande dataskyddslagstiftning såvitt avser de beslutsorgan som fördelar statligt reglerat stöd till civilsamhället som omfattas av ett demokrativillkor (se SOU 2021:66 kapitel 5, 7 och 8). För Inspektionen för vård och omsorgs () tillsyn av verksamheter enligt socialtjänstlagen och lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS) finns därutöver sektorspecifik dataskyddsreglering i form av lagen (2001:454) om behandling av personuppgifter inom . IVO:s tillsynsverksamhet av verksamheter enligt socialtjänstlagen och LSS omfattas av denna reglering, eftersom IVO:s verksamhet då innefattas i begreppet socialtjänst (se 2 § lagen om behandling av personuppgifter inom ). Bestämmelsen utformades med inspiration av den tidigare sekretesslagens (1980:100) definition av socialtjänst (se 7 kap. 4 § sekretesslagen), vilken i stort gäller än . Den nu gällande definitionen av tillsyn av innebär i huvudsak att myndigheten ska granska om den tillståndspliktiga verksamheten uppfyller krav och mål enligt lagar och andra föreskrifter samt beslut som har meddelats med stöd av sådana föreskrifter (se 13 kap. 2 § socialtjänstlagen). Vi har föreslagit att stödfunktionen ska inrättas som en del av CVE, som en enhet inom Brå. CVE hanterar inga individärenden och hanteringen av personuppgifter är därför begränsad. För CVE finns ingen särskild dataskyddslagstiftning utan det är de generella regelverken för behandling av personuppgifter som är tillämpliga. 8.3Stödfunktionens behandling av personuppgifter 8.3.1Nödvändig behandling av personuppgifter vid stödfunktionen Vår bedömning: Stödfunktionen behöver behandla personuppgifter för att på ett ändamålsenligt sätt kunna utföra sitt uppdrag. En stor del av behandlingen kommer att avse känsliga personuppgifter samt uppgifter om brott och misstanke om brott. Den fördjupade granskning som stödfunktionen ska utföra på uppdrag av ett beslutsorgan avser en bedömning av hur en verksamhet som ansöker om eller tar del av offentliga medel förhåller sig till våldsbejakande extremism eller andra antidemokratiska miljöer. Ut- ifrån den praxis som finns i frågan om bedömning av demokrativillkor och lämplighetsbedömningar kan konstateras att det i många fall är fråga om att bedöma enskilda personers agerande och vilken betydelse detta får för verksamheten. Detta innebär att det i många fördjupade granskningar kommer att förekomma uppgifter om enskilda. Även inom ramen för stödfunktionens uppdrag som kontaktpunkt kan detta komma att förekomma. Med tanke på stödfunktionens uppdrag är vår bedömning att det i samtliga fall där det förekommer uppgifter om enskilda i stor utsträckning också kommer att vara fråga om känsliga personuppgifter. Det kommer dessutom att förekomma uppgifter om brott och brottsmisstankar. Behandlingen av sådana personuppgifter är enligt vår bedömning nödvändig för att stödfunktionen ska kunna utföra sitt uppdrag som kontaktpunkt. Syftet med behandlingen av personuppgifter måste vägas mot integritetsriskerna. Som vi tidigare angett är vår bedömning att den informationshantering som är nödvändig för att stödfunktionen ska kunna utföra sitt uppdrag är motiverad med beaktande av det allmänna intresset av att förhindra att offentliga medel betalas ut till verksamheter som har kopplingar till våldsbejakande extremism och andra antidemokratiska miljöer (se avsnitt 7.3). Det är därför också viktigt att stödfunktionen ges förutsättningar att hantera de uppgifter som är nödvändiga för att funktionen ska kunna utföra sitt uppdrag att bistå beslutsorganen med underlag för beslutsfattande och ge beslutsorganen stöd i frågor om verksamheter inom de extremistiska miljöerna som utnyttjar offentliga medel för sin finansiering. Skyddet för den personliga integriteten måste dock vägas mot att ett ökat informationsutbyte leder till en ökad effektivitet hos myndigheter och skapar bättre kontrollmöjligheter för att undvika att legitimiteten för offentlig finansiering till t.ex. civilsamhället eller välfärdssektorn undergrävs av att medel går till verksamheter som inte lämpligen bör ta emot sådana medel. Med hänsyn till de vinster för det förebyggande arbetet mot våldsbejakande extremism som detta skulle innebära bedömer vi att den ökade risken för integritetsintrång måste godtas såvitt avser behandling av personuppgifter. Vi återkommer till detta nedan. 8.4Brottsdatalagen är inte tillämplig på stödfunktionens personuppgiftsbehandling Vår bedömning: Brottsdatalagen är inte tillämplig inom stödfunktionens verksamhet. Vid viss behandling av personuppgifter gäller brottsdatalagen (2018:1177) i stället för dataskyddsförordningen, bl.a. vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Med behörig myndighet avses en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säkerhet, när den behandlar personuppgifter för ett sådant syfte. Även andra som har anförtrotts myndighetsutövning för de nämnda syftena anses vara behörig myndighet när den behandlar personuppgifter för ett sådant syfte. I förarbetena till brottsdatalagen har regeringen bedömt att kontrollverksamhet ligger utanför brottsdatalagens tillämpningsområde (prop. 2017/18:232 s. 113). I kontrollverksamhet är det vanligt med regler som tvingar den kontrollerade att lämna korrekta och fullständiga uppgifter. Kontroll kan visserligen leda till att brott upptäcks, men det är inte syftet med verksamheten. Kontrollen är i första hand avsedd att stödja författningsenlig tillämpning av lagstiftningen och upptäcka avvikelser (SOU 2017:98 s. 198). Stödfunktionens uppdrag att bistå beslutsorganen med fördjupade granskningar kan enligt vår bedömning anses vara en kontrollverksamhet. Det primära syftet är dock inte att upptäcka eller förebygga brott, även om detta kan komma att bli effekten i vissa fall. Mot denna bakgrund är det vår bedömning att brottsdatalagen inte är tillämplig på stödfunktionens personuppgiftsbehandling. Det är i stället de generella regelverken för behandling av personuppgifter, dvs. dataskyddsförordningen och dataskyddslagen, som är tillämpliga. 8.4.1Rättslig grund för behandlingen Vår bedömning: Stödfunktionens behandling av personuppgifter inom ramen för dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan är nödvändig för att utföra en uppgift av allmänt intresse som har fastställts i svensk rätt. Det finns därmed rättslig grund för stödfunktionens behandling av personuppgifter. När det gäller behandling av känsliga personuppgifter bedömer vi att det utgör ett viktigt allmänt intresse att funktionen kan utföra sin uppgift att vara kontaktpunkt för myndigheter och andra beslutsorgan. Stödfunktionen har därmed även grund för behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse. För behandling av personuppgifter på dessa grunder följer särskilda krav på bl.a. proportionalitet och särskilda skyddsåtgärder, vilket kan medföra att det krävs kompletterande nationell dataskyddsreglering av stödfunktionens personuppgiftsbehandling. För att stödfunktionen ska få behandla personuppgifter i sin verksamhet enligt det uppdrag som vi föreslår, måste det finnas en rättslig grund för behandlingen. Enligt dataskyddsförordningen1 finns rättslig grund för behandling om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e i dataskyddsförordningen). Behandling med stöd av denna rättsliga grund förutsätter att grunden för behandlingen har fastställts i rättsordningen och kan medföra krav på särskilda dataskyddsbestämmelser (artikel 6.3 i dataskyddsförordningen). Utifrån våra förslag om uppdrag för stödfunktionen (se avsnitt 6.4 och 6.5.1) kommer det att vara en uppgift som regeringen genom en förordning har gett stödfunktionen i uppdrag att utföra. Vi bedömer därför att uppgiften att utföra stödfunktionens uppdrag på det sätt som vi har föreslagit är en uppgift av allmänt intresse som, enligt uppdrag från regeringen, har fastställts i svensk rätt. 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (GDPR). bedömning är även i linje med den vägledande bestämmelsen i dataskyddslagen som anger att personuppgifter får behandlas om det är nödvändigt för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 2 § dataskyddslagen). Dataskyddsförordningen uppställer ett principiellt förbud mot behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning, s.k. känsliga personuppgifter (artikel 9.1 i dataskyddsförordningen). Förordningen medger dock ett antal undantag från detta förbud. För att stödfunktionen ska få behandla känsliga personuppgifter måste det därmed ske med stöd av något av dessa undantag. Det undantag som är aktuellt vid myndigheters behandling av känsliga personuppgifter är främst att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. För behandling av personuppgifter med stöd av detta undantag ställs krav på rättsligt stöd som uppfyller villkor gällande bl.a. proportionalitet och skyddsåtgärder (artikel i dataskyddsförordningen). Att en myndighet ska kunna utföra en av riksdag eller regering tilldelad uppgift på ett korrekt, rättssäkert och effektivt sätt är ett viktigt allmänt intresse. Detta har förtydligats genom dataskyddslagen som anger att en myndighet får behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse bl.a. om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § dataskyddslagen). Enligt vår mening står det klart att stödfunktionens uppdrag är ett viktigt allmänt intresse och stödfunktionen får därför behandla känsliga personuppgifter förutsatt att behandlingen är nödvändig för dess verksamhet. Behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse förutsätter stöd i rättsordningen. Vi har ovan konstaterat att stödfunktionens uppdrag enligt vårt förslag kommer att följa av författning. Stödfunktionen kommer därför att ha grund för att utföra nödvändig behandling av känsliga personuppgifter i sin verksamhet enligt vårt förslag till reglering i förordningen med instruktion för Brå. 8.4.2Stödfunktionens behandling av uppgifter om brott Vår bedömning: Stödfunktionen får utföra nödvändig behandling av uppgifter om brott och misstanke om brott med stöd av den allmänna dataskyddsregleringen. Vid en fördjupad granskning (se avsnitt 6.4.2) kan det vara nödvändigt att hantera uppgifter om att en enskild med koppling till en verksamhet har gjort sig skyldig till brott. Personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder (i detta betänkande benämnda uppgifter om brott) får endast behandlas under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10 i dataskyddsförordningen). Att en myndighet får behandla uppgifter om brott framgår direkt av dataskyddsförordningen och har även tydliggjorts genom dataskyddslagen (se 3 kap. 8 § dataskyddslagen). Stödfunktionen kommer att utgöra en del av en myndighet och får därför direkt med stöd av den allmänna dataskyddsregleringen utföra nödvändig behandling av uppgifter om brott i samband med en fördjupad granskning. Uppgifter om att någon är misstänkt för brott omfattas av sekretess enligt 35 kap. 1 § OSL. Vi har i avsnitt 7.5.2 föreslagit en bestämmelse som under vissa förutsättningar bryter sekretessen enligt 35 kap. 1 § OSL. Detta kan komma att medföra att stödfunktionen kommer att behandla även uppgifter om att en enskild är eller har varit misstänkt för brott. Dessa uppgifter får behandlas på samma grunder som ovan. 8.5Verksamheternas behandling av personuppgifter Vår bedömning: En verksamhets intresse av att ta del av statligt stöd eller beviljas tillstånd alternativt godkännande för att bedriva viss verksamhet som finansieras av offentliga medel utgör ett berättigat intresse. Verksamheterna har därmed rättslig grund för nödvändig behandling av personuppgifter i ärenden som innebär en fördelning av offentliga medel. Personuppgiftsbehandling på denna grund förutsätter dock att verksamheten, i egenskap av personuppgiftsansvarig, gör en noggrann avvägning mellan motstående intressen. Sådana verksamheter som ansöker om att få ta del av eller har beviljats ett tillstånd som finansieras av offentliga medel ska vidare, enligt vår bedömning, anses ha ett rättsligt anspråk i dataskyddsförordningens mening. Detta medför att en verksamhet får behandla även känsliga personuppgifter och uppgifter om brott vid en prövning av en fråga om rätt till stöd. Verksamheterna kan således utföra nödvändig behandling av personuppgifter direkt med stöd av dataskyddsförordningen och kompletteringsförordningen utan ytterligare lagstiftningsåtgärder på nationell nivå. Det yttrande som stödfunktionen ska avge över en fördjupad granskning kommer att överlämnas till berört beslutsorgan och därmed utgöra en del av beslutsorganets beslutsunderlag. Av förvaltningslagens (2017:900) bestämmelser följer då att den som är part i ärendet har rätt att ta del av allt material som har tillförts ärendet (se 10 § förvaltningslagen). Innan ett beslut fattas ska också parten i regel ges möjlighet att yttra sig över allt material av betydelse för beslutet (se 25 § förvaltningslagen). Det yttrande som stödfunktionen lämnar till beslutsorganet kommer således den berörda verksamheten i princip alltid att ta del av. Yttrandena kan komma att innehålla känsliga personuppgifter eller uppgifter om brott. Av denna anledning är det viktigt att även den aktuella verksamheten har förutsättningar att utföra nödvändig personuppgiftsbehandling. Vi har i vårt delbetänkande gjort bedömningen att en organisation som ansöker om att få ta del av statligt reglerat stöd till civilsamhället ska anses ha rättslig grund för sådan behandling. Vi har vidare bedömt att organisationerna under vissa förhållanden ska anses ha ett rättsligt anspråk i dataskyddsförordningens mening. Detta innebär att organisationerna också får behandla känsliga personuppgifter och uppgifter om brott vid prövning av en fråga om rätt till stöd. Organisationerna kan således utföra nödvändig behandling av personuppgifter direkt med stöd av dataskyddsförordningen och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning (kompletteringsförordningen) utan ytterligare lagstiftningsåtgärder på nationell nivå (se SOU 2021:66 avsnitt 7.5). Utöver ärenden om statligt reglerat stöd kan stödfunktionen även komma att hantera frågor om kommunalt och regionalt stöd samt lämplighetsbedömningar inom ramen för ägar- och ledningsprövningar för enskilda verksamheter inom välfärdssektorn. Detta innebär att ytterligare verksamheter kan komma att behöva behandla personuppgifter. Enligt vår mening finns det inte skäl att göra någon annan bedömning såvitt avser dessa verksamheters rätt att utföra den personuppgiftsbehandling som kan föranledas av stödfunktionens fördjupade granskningar. En verksamhets intresse av att ansöka om stöd eller tillstånd alternativt godkännande att bedriva viss verksamhet utgör således ett berättigat intresse som medför att dessa har rättslig grund för nödvändig behandling av personuppgifter. Personuppgiftsbehandling på denna grund förutsätter dock under alla omständigheter att verksamheten, i egenskap av personuppgiftsansvarig, gör en noggrann avvägning mellan motstående intressen. I vårt delbetänkande har vi ansett att en organisation ska anses ha ett rättsligt anspråk på stöd inom förfaranden som innebär att ett beslutsorgan prövar en ansökan om stöd eller på annat sätt tar ställning till en organisations anspråk på stöd, t.ex. i ett ärende om återkallelse eller återkrav. Enligt vår bedömning finns det inte skäl att göra någon annan bedömning i denna fråga såvitt avser de verksamheter som ansöker eller innehar ett tillstånd eller godkännande som förutsätter en ägar- och ledningsprövning eller annan lämplighetsbedömning. Detta innebär att även dessa verksamheter ska anses ha ett rättsligt anspråk som medför rätt att – med undantag från förbudet att behandla känsliga personuppgifter – behandla sådana uppgifter. Denna bedömning medför vidare att verksamheterna kan behandla uppgifter om brott enligt kompletteringsförordningen. 8.6Behovet av en särskild reglering av stödfunktionens behandling av personuppgifter Vår bedömning: För att uppnå ett lämpligt skydd av personuppgifter och möjliggöra en ändamålsenlig behandling av personuppgifter vid de fördjupade granskningar som stödfunktionen kommer att utföra krävs kompletterande dataskyddsreglering. Vi har ovan konstaterat att stödfunktionen, enligt vårt förslag, kommer att ha rättslig grund för att behandla personuppgifter och känsliga personuppgifter, förutsatt att behandlingen är nödvändig för att utföra en fördjupad granskning. Vi har i vårt delbetänkande redogjort för vilka krav dataskyddsförordningen ställer gällande kompletterande nationell dataskyddsreglering samt vilket skydd svensk rätt erbjuder (se SOU 2021:66 avsnitt 8.2.2 och 8.2.3) Vid en bedömning av vilka krav på skyddsåtgärder som bör gälla vid stödfunktionens behandling av personuppgifter måste de risker och konsekvenser som den aktuella behandlingen kan innebära för den personliga integriteten kartläggas. Det uppdrag som vi föreslår att stödfunktionen ska ha kommer att medföra att stödfunktionen i stor utsträckning behöver hantera personuppgifter. En stor del av dessa kommer också att vara känsliga personuppgifter. Dataskyddsförordningen och dataskyddslagen ger ett grundläggande skydd för personuppgifter vid stödfunktionens fördjupade granskningar. Därutöver föreslår vi att uppgifter om enskildas personliga förhållanden som förekommer i stödfunktionens verksamhet ska vara sekretessreglerade (se avsnitt 7.4.2). Vi har i avsnitt 6.4.8 uppskattat att stödfunktionen kommer att hantera ett hundratal ärenden . Antalet ärenden i sig kan således inte antas innebära någon omfattande hantering av personuppgifter. Mot bakgrund av stödfunktionens uppdrag och den information som kommer att hanteras kan det dock antas att i princip varje granskning kommer att innefatta behandling av personuppgifter och också känsliga sådana. Uppgifterna kan t.ex. avse frågor med koppling till fysiska personers politiska eller religiösa aktiviteter, uppgifter om att vissa individer har utsatts för diskriminering eller annan kränkande behandling inom en organisations verksamhet eller uppgifter om att en företrädare för en organisation har utövat eller uppmanat till våld. rade som berörs av en sådan behandling innebär det att stödfunktionen behöver behandla personuppgifter om dem som är av en mycket känslig karaktär. Vi bedömer därför att inrättandet av stödfunktionen innebär en ökad risk för den personliga integriteten vid de fördjupade granskningarna, vilket i sin tur ställer högre krav på proportionalitet och lämpliga åtgärder till skydd för den personliga integriteten. Utifrån det utökade behovet av att behandla känsliga personuppgifter som följer av förslagen om inrättande av en stödfunktion bedömer vi att den nuvarande regleringen inte ger ett tillräckligt skydd för personuppgifter vid fördjupade granskningar. Vi anser därmed att förslagen medför krav på ytterligare åtgärder till skydd för den personliga integriteten vid behandling av personuppgifter vid stödfunktionen.