sou · H9B316 · 2021-03-26 00:00:00 — Av 2 kap. 19 § framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (se avsnitt 3.4.2). Offentlighetsprincipen och regler om sekretess Offentlighetsprincipen innebär att allmänheten och massmedierna ska ha insyn i statens och kommunernas verksamhet. Offentlighetsprincipen kommer till uttryck på olika sätt, exempelvis genom yttrande- och meddelarfrihet för offentligt anställda, genom domstolsoffentlighet och genom offentlighet vid beslutande församlingars sammanträden, t.ex. kommunfullmäktige. När det mer allmänt talas om offentlighetsprincipen brukar i första hand syftas på reglerna om allmänna handlingars offentlighet. Dessa regler finns i tryckfrihetsförordningens andra kapitel. Enligt 2 kap. 2 § första stycket tryckfrihetsförordningen får rätten att ta del av allmänna handlingar begränsas endast om det krävs med hänsyn till 1.rikets säkerhet eller dess förhållande till en annan stat eller en mellanfolklig organisation, 2.rikets centrala finanspolitik, penningpolitik eller valutapolitik, 3.myndigheters verksamhet för inspektion, kontroll eller annan tillsyn, 4.intresset av att förebygga eller beivra brott, 5.det allmännas ekonomiska intresse, 6.skyddet för enskildas personliga eller ekonomiska förhållanden, eller 7.intresset av att bevara djur- eller växtart. Av andra och tredje styckena i samma bestämmelse framgår att en begränsning av rätten att ta del av allmänna handlingar ska anges noga i en bestämmelse i en särskild lag eller, om det anses lämpligare i ett visst fall, i en annan lag som den särskilda lagen hänvisar till. Efter bemyndigande i en sådan bestämmelse får regeringen genom förordning meddela närmare föreskrifter om bestämmelsens tillämplighet. eller regeringen får i en sådan bestämmelse som avses i andra stycket ges befogenhet att efter omständigheterna medge att en viss handling lämnas ut. Offentlighets- och sekretesslagen (2009:400), förkortad OSL, utgör den särskilda lag som avses i 2 kap. 2 § andra stycket tryckfrihetsförordningen. Regeringen har vidare, med stöd av den bestämmelsen meddelat närmare föreskrifter om tillämpligheten i offentlighets- och sekretessförordningen (2009:641). Sekretess innebär enligt 3 kap. 1 § OSL ett förbud att röja en uppgift, oavsett om det sker genom utlämnande av en handling eller genom att röja uppgiften muntligen eller på något annat sätt. Sekretessen innebär således dels handlingssekretess, dels tystnadsplikt. Av 2 kap. 2–4 §§ OSL framgår att , beslutande kommunala församlingar och sådana organ som avses i 2 kap. 3 och 4 §§ OSL ska jämställas med myndighet vid tillämpning av offentlighets- och sekretesslagen. Offentlighets- och sekretesslagen gäller för myndigheter och vissa andra organ (1 kap. 1 §). Bestämmelser om tystnadsplikt för anställda inom privat verksamhet finns i ett stort antal lagar, t.ex. för anställda inom den privata hälso- och sjukvården och för advokater. Av 4 kap. 3 § OSL framgår att om en myndighet för handläggning av ett mål eller ärende använder sig av en upptagning för automatiserad behandling, upptagningen ska tillföras handlingarna i målet eller ärendet i läsbar form, om det inte finns särskilda skäl mot det. I förarbetena till bestämmelsen, som ursprungligen utgjorde 14 § i den dåvarande datalagen (1973:289) angavs att ett skäl för införandet av bestämmelsen var att man inte i efterhand kan göra klart för sig vilka uppgifter som har påverkat ett beslut i ett mål eller ärende, om inte alla uppgifter som har betydelse för avgörandet ingår i akten. Det framhölls också att det bör ankomma på myndigheten själv att avgöra i vilka fall man bör kunna underlåta att överföra en upptagning till läsbar form. Ett särskilt skäl för underlåtelse bör kunna vara att upptagningen finns lätt tillgänglig, t.ex. via bildskärm, men att enbart det förhållandet att upptagningens innehåll är enkelt, t.ex. att det endast anger att en viss upplysning saknas i ett register, normalt inte bör föranleda undantag från huvudregeln (prop. 1973:33 s. 141 f.). är den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () inkorporerad i svensk rätt och gäller som lag, se lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna. Av 2 kap. 19 § regeringsformen framgår, som nämnts, att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. Enligt artikel 8 i har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Behandling av personuppgifter kan falla inom tillämpningsområdet för artikel 8 i i de fall behandlingen avser uppgifter om privatliv, familjeliv, hem eller korrespondens. EU-dom- stolen har slagit fast att bestämmelserna i artikel 8 i har viss betydelse vid bedömningen av nationella regler som tillåter behandling av personuppgifter.3 Vidare har slagit fast att artikel 8 i ålägger staten såväl en negativ förpliktelse att avstå från att göra intrång i rätten till respekt för privat- och familjelivet som en positiv förpliktelse att skydda 3Dom Österreichischer Rundfunk m.fl., C-465/00, C-138/01 och C-139/01, EU:C:2003:294. enskilda mot att andra enskilda handlar på ett sätt som innebär integritetsintrång.4 Utöver finns på området konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen, som antogs av 1981. Konventionen trädde i kraft . Samtliga medlemsstater i EU har ratificerat konventionen. Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter. Konventionen tar sikte på behandling av personuppgifter i automatiserade personregister och automatiserad personuppgiftsbehandling i allmän och enskild verksamhet. Personuppgifterna ska enligt konventionen inhämtas och behandlas på ett korrekt sätt och de ska vara relevanta med hänsyn till ändamålet. Vissa kategorier av personuppgifter får inte behandlas genom automatiserad databehandling om inte den nationella lagstiftningen ger ett ändamålsenligt skydd. Till sådana kategorier hör personuppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv samt uppgifter om brott. Ett ändringsprotokoll till konventionen antogs och avvaktar nu ratificering av de fördragsslutande parterna. har signerat protokollet men ännu inte ratificerat det. Det har inom även utarbetats flera rekommendationer på dataskyddsområdet. Dessa är dock, till skillnad från dataskyddskonventionen, inte bindande. Ändringsprotokollet till dataskyddskonventionen avser att stärka dataskyddet enligt konventionen väsentligt. Den uppdaterade konventionen kommer att närmare fastställa principen om laglig behandling och ytterligare stärka skyddet av särskilda uppgiftskategorier. Den uppdaterade konventionen kommer dessutom att innehålla nya skyddsregler för enskilda vars personuppgifter behandlas.5 Texten till ändringsprotokollet bedöms av vara helt i linje med både och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana 4Se t.ex. Airey mot , nr 6289/73, dom , X och Y mot , nr 8978/80, dom , K.U. mot , nr 2872/02, dom och mot , nr 5786/08, dom . 5För en översyn av förändringarna se novelties/16808accf8. uppgifter (den allmänna dataskyddsförordningen) och och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter (polisdirektivet om dataskydd).6 Europeiska unionens stadga om de grundläggande rättigheterna Europeiska unionens stadga om de grundläggande rättigheterna (stadgan) innehåller bestämmelser om skydd för fysiska personer vid behandling av personuppgifter. I artikel 7 i stadgan anges att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. I artikel 8 i stadgan anges vidare att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i det följande EU:s dataskyddsförordning, antogs . Syftet med förordningen är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter, och att främja det fria flödet av personuppgifter inom unionen. EU:s dataskyddsförordning, som är direkt tillämplig i alla medlemsstater, ersatte dataskyddsdirektiv och utgör 6COM/2018/449 final - 2018/0237. den generella regleringen av personuppgiftsbehandling inom EU. Förordningen kallas ofta för GDPR som är en akronym av engelskans Protection Regulation. Det materiella tillämpningsområdet för EU:s dataskyddsförordning omfattar sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). Vissa undantag från tillämpningsområdet görs dock (artikel 2.2). Förordningen tillämpas inte på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten (artikel 2.2 a). Genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, förkortad dataskyddslagen, har dock förordningens tillämpningsområde i utvidgats till att även omfatta behandling av personuppgifter i verksamhet som inte omfattas av unionsrätten, med vissa specifika undantag (1 kap. 2 och 3 §§ dataskyddslagen). EU:s dataskyddsförordning ska inte tillämpas när medlemsstaterna bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken (artikel 2.2 b) eller vid behandling av personuppgifter som utförs av en fysisk person som ett led i verksamhet av privat natur eller som har samband med hans eller hennes hushåll (artikel 2.2 c). Förordningen gäller inte heller för sådan personuppgiftsbehandling som omfattas av dataskyddsdirektivets tillämpningsområde (artikel 2.2 d).7 Slutligen ska förordningens bestämmelser inte tillämpas av EU:s institutioner, organ och byråer.8 EU:s dataskyddsförordning tillämpas på all behandling av personuppgifter som sker inom ramen för den verksamhet som bedrivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i unionen, oavsett om behandlingen utförs i unionen eller 7Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, kallat dataskyddsdirektivet. 8Den behandling av personuppgifter som sker där regleras i stället genom och rådets förordning (EU) 2018/1725 av om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG. Förordningen ska under vissa omständigheter tillämpas även på behandling av personuppgifter som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen. Detta gäller om behandlingen avser registrerade som befinner sig i unionen, under förutsättning att behandlingen har anknytning till antingen utbjudande av varor eller tjänster till sådana registrerade i unionen eller övervakning av deras beteende, så länge beteendet sker inom unionen. Slutligen ska förordningen också tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten (artikel 3). I artikel 5.1 ställs upp ett antal allmänna principer för behandlingen av personuppgifter. a)Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet). b)De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning). c)De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). d)De ska vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (riktighet). e)De får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). f)De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet). I artikel 5.2 anges att det är den personuppgiftsansvarige som ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet). Utöver dessa principer för behandlingen av personuppgifter är EU:s dataskyddsförordnings grundläggande krav att det ska finnas en giltig rättslig grund för varje behandling av personuppgifter (artikel 6). Bland de rättsliga grunder som anges i artikeln kan nämnas att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Därutöver omgärdas varje behandling av personuppgifter också av andra krav. Nationell lagstiftning med anledning av förordningen Även om förordningen är direkt tillämplig och ska tillämpas på samma sätt som nationell lag, både förutsätter och medger den nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag. Vissa av de rättigheter och skyldigheter som föreskrivs i förordningen får också begränsas i nationell rätt. Detta förutsätter att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det förutsätter också att begränsningen sker i syfte att säkerställa något av de ändamål som anges i artikel 23.1, t.ex. en medlemsstats viktiga mål av generellt allmänt intresse (artikel 23.1 e). Förordningen ger alltså medlemsstaterna möjlighet att i lagar på nationell nivå föreskriva vissa anpassade bestämmelser (prop. 2017/18:105 s. 21–23). Principen om unionsrättens företräde innebär dock att bestämmelser i sådana författningar måste vara förenliga med EU:s dataskyddsförordning. I finns sådan lagstiftning i form av dataskyddslagen som innehåller bestämmelser som kompletterar förordningen på ett generellt plan i svensk rätt. Inom ramen för det utrymme som förordningen ger reglerar lagen bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning. Syftet med det är att det ska vara möjligt att ha avvikande bestämmelser i sektorsspecifika registerförfattningar såsom t.ex. lagen (2001:454) om behandling av personuppgifter inom och 114 kap. socialförsäkringsbalken. I artikel 9.1 i EU:s dataskyddsförordning anges att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. I artikel 9.2 anges dock tio undantagssituationer när förbudet mot behandling av sådana uppgifter inte ska tillämpas. Av dessa bör här nämnas: –Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade (artikel 9.2 a). –Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). I 3 kap. 3 § första stycket dataskyddslagen anges att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende, eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vid införandet av bestämmelsen uttalade regeringen att det måste anses utgöra ett viktigt allmänt intresse att svenska myndigheter, även utanför området för myndighetsutövning, kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt (prop. 2017/18:105 s. 83). I 3 kap. 4 § anges att regeringen får meddela ytterligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med hänsyn till ett viktigt allmänt intresse. EU:s dataskyddsförordnings reglering av automatiserat beslutsfattande Enligt artikel 22.1 i förordningen har den registrerade rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Artikel 29-gruppen uttalade innan förordningen trädde i kraft att för att ett beslut som grundas enbart på automatiserad behandling ska få rättsliga följder krävs att beslutet påverkar någons juridiska rättigheter, såsom organisationsfrihet, rösträtt eller rätten att vidta rättsliga åtgärder. En rättslig följd kan även vara något som påverkar en persons rättsliga ställning eller hans eller hennes rättigheter enligt ett avtal. Som exempel angavs uppsägning av ett avtal, rätt till eller nekande av en särskild lagstadgad social förmån, t.ex. barn- eller bostadsbidrag och inreseförbud till ett land eller nekat medborgarskap (Artikel 29-gruppen, WP251rev.01, ”Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning [EU] 2016/679”). I skäl 71 till EU:s dataskyddsförordning anges angående begreppet ”på liknande sätt i betydande grad på- verkar honom eller henne” automatiserat avslag på en kreditansökan online eller rekrytering utan personlig kontakt som typexempel. I förordningen definieras profilering som varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar (artikel 4.4). I artikel 22.2 anges dock att förbudet i punkten 1 inte ska tillämpas om automatiska beslut a)är nödvändigt för ingående eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige, b)tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen, eller c)grundar sig på den registrerades uttryckliga samtycke. Beslut får enligt artikel 22.4 grunda sig på känsliga personuppgifter endast om behandlingen sker med stöd av artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. Artikel 22 är direkt tillämplig i medlemsstaterna men med stöd av artikel 23 är det möjligt att i nationell rätt begränsa tillämpningsområdet för artikeln. Regeringen har i propositionen ”Anpassning till EU:s dataskyddsförordning av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar” (prop. 2017/18:115 s. 30) konstaterat att artikel 22 till sin ordalydelse kan tolkas på olika sätt. Bestämmelsen kan läsas så att den är generellt tillämplig på automatiserade beslut. Formuleringen ”inbegripet profilering” skulle då endast vara en upplysning om att bestämmelsen även omfattar profilering. Artikel 22 kan dock även läsas så att den automatiserade behandlingen måste omfatta profilering enligt definitionen i artikel 4.4 för att bestämmelsen ska bli tillämplig. I remissyttrande i det aktuella lagstiftningsärendet uttalade Datainspektionen (numer ) att myndigheten ansåg att artikel 22 är tillämplig även när profilering inte inbegrips i personuppgiftsbehandlingen. I skäl 71 till EU:s dataskyddsförordning anges följande: Den registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom ett automatiserat avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt.