sou · H9B366 · 2021-08-10 00:00:00 — utgör detta ett sådant anspråk inom ett administrativt förfarande som, likt ansökan om andra offentliga förmåner, kan utgöra ett rättsligt anspråk enligt dataskyddsförordningen. För att det ska röra sig om ett rättsligt anspråk förutsätts dock att det är fråga om ett definierat anspråk på att få ta del av ett visst statligt stöd som har gjorts gällande inom ett specifikt förfarande. Vi bedömer därför att en organisation ska anses ha ett rättsligt anspråk inom förfaranden som innebär att ett beslutsorgan prövar en ansökan om stöd eller på annat sätt tar ställning till en organisations anspråk på stöd, t.ex. i ett ärende om återkallelse eller återkrav. Denna bedömning gäller oaktat av om ett sådant beslut är överklagbart eller inte. En sådan tolkning är även i linje med bedömning att trossamfundens anspråk på medlemsavgifter via den statliga avgiftshjälpen utgör ett rättsligt anspråk (se SOU 1997:39 s. 378). Värt att notera i detta sammanhang är att även i de fall då statligt stöd fördelas av från staten fristående beslutsorgan är det inte fråga om ett privaträttsligt förfarande. Dessa enskilda organ har, genom lag, tilldelats en förvaltningsuppgift och organen utövar, inom ramen för ett sådant uppdrag, myndighet (jfr Förvaltningsrätten iStockholms dom i mål nr 9379-19 och 9408-19). Vi bedömer därmed att en civilsamhällesorganisation, med undantag från förbudet att behandla känsliga personuppgifter, kan behandla sådana uppgifter förutsatt att det är nödvändigt för att fastställa, göra gällande eller försvara organisationens anspråk på stöd. För att en organisation ska få behandla känsliga personuppgifter på denna grund krävs inte att själva behandlingen går ut på att fastställa, göra gällande eller försvara det rättsliga anspråket. Det är tillräckligt att behandlingen av de känsliga personuppgifterna är nödvändig för att kunna fastställa, göra gällande eller försvara sitt anspråk om stöd. Som exempel kan nämnas att det kan vara nödvändigt för en personuppgiftsansvarig att lagra vissa personuppgifter för att kunna göra gällande eventuella kommande rättsliga anspråk (jfr , Dataskyddsförordningen [GDPR] m.m. – En kommentar [, ], kommentaren till artikel 9.2 f). En organisation kan därmed med stöd av denna grund exempelvis behandla känsliga personuppgifter kopplade till en viss händelse inom organisationen som är nödvändiga för att kunna försvara sitt anspråk på stöd vid en kommande prövning av en fråga om stöd. Det behöver alltså inte pågå en formell process där en organisation har nekats stöd Personuppgiftsbehandling i ärenden om stöd för att en organisation ska få behandla personuppgifter på denna grund. Det bör dock påpekas att sådan behandling, precis som all behandling av personuppgifter, omfattas av de grundläggande principerna för behandling av personuppgifter, vilket bl.a. innebär att mängden personuppgifter som behandlas ska begränsas till vad som är nödvändigt för ändamålet och att uppgifterna inte får förvaras längre än vad som är nödvändigt (jfr artikel 5.1 i dataskyddsförordningen). Vid behandling som är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk är den registrerades rätt till radering och rätt att göra invändningar dock begränsad (se artikel 17.3 e och 21.1 i dataskyddsförordningen). Behandling av känsliga personuppgifter för att fastställa, göra gällande eller försvara rättsliga anspråk förutsätter vidare, till skillnad från behandling som utförs för att fullgöra en rättslig förpliktelse, inte att det är just den personuppgiftsansvarige som har ett anspråk (jfr artikel 6.1 c och 9.2 f i dataskyddsförordningen). Detta innebär att känsliga personuppgifter kan behandlas på denna grund av t.ex. ombud och advokater. Detta möjliggör även en ordning där en organisations uppgifter om medlemmar i vissa ärenden om stöd granskas av en extern revisor i stället för att ges in direkt till beslutsorganen (se kapitel 10). 7.5.6Civilsamhällesorganisationerna får med grund i rättsligt anspråk behandla uppgifter om brott Behandling av uppgifter om brott får enligt dataskyddsförordningen utföras av andra än myndigheter endast om behandlingen är tillåten enligt unionsrätten eller en medlemsstats nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10 i dataskyddsförordningen). För att en civilsamhällesorganisation ska få behandla uppgifter om brott i ärenden om stöd till det civila samhället krävs därför stöd i svensk rätt. Enligt kompletteringsförordningen får uppgifter om brott behandlas av andra än myndigheter om behandlingen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att kunna fullgöra en rättslig förpliktelse enligt lag eller förordning (5 § kompletteringsförordningen). I avsnittet ovan har vi redogjort för varför vi bedömer att en civilsamhällesorganisation ska anses ha ett rättligt anspråk i ett ärende om statligt reglerat stöd till Personuppgiftsbehandling i ärenden om stöd civilsamhället (se avsnitt 7.5.5). Denna bedömning medför även att en organisation kan utföra behandling av uppgifter om brott, förutsatt att behandlingen är nödvändig för att fastställa, göra gällande eller försvara organisationens anspråk på stöd. 7.5.7Civilsamhällesorganisationerna har grundläggande rättsliga förutsättningar för att utföra nödvändig personuppgiftsbehandling Sammantaget bedömer vi att civilsamhällesorganisationerna har grundläggande rättsliga förutsättningar för att utföra nödvändig behandling av personuppgifter vid en prövning av frågor om statligt reglerat stöd, inklusive behandling av känsliga personuppgifter och uppgifter om brott. Vilken eller vilka rättsliga grunder som är tillämpliga vid en civilsamhällesorganisations behandling av personuppgifter i ärenden om stöd till det civila samhället kan variera från en organisation till en annan. Vi bedömer dock att en civilsamhällesorganisations intresse av att ansöka om och ta del av ett statligt reglerat stöd i vart fall utgör ett berättigat intresse. En organisation har därmed rättslig grund för nödvändig behandling av personuppgifter vid en prövning av frågor om stöd till det civila samhället. Personuppgiftsbehandling på denna grund förutsätter dock under alla omständigheter att civilsamhällesorganisationen, i egenskap av personuppgiftsansvarig, gör en noggrann avvägning mellan motstående intressen. Vi anser vidare att en organisation ska anses ha ett rättsligt anspråk på stöd inom förfaranden som innebär att ett beslutsorgan prövar en ansökan om stöd eller på annat sätt tar ställning till en organisations anspråk på stöd, t.ex. i ett ärende om återkallelse eller återkrav. Detta gäller oavsett om ett beslut inom ett sådant förfarande kan överklagas eller inte. Detta innebär att organisationerna, med undantag från förbudet att behandla känsliga personuppgifter, kan behandla sådana uppgifter. Denna bedömning medför vidare att organisationerna kan behandla uppgifter om brott enligt kompletteringsförordningen. Vi bedömer därmed att civilsamhällesorganisationerna med stöd av dataskyddsförordningen och kompletteringsförordningen kan behandla känsliga personuppgifter och uppgifter om brott, förutsatt att det är nödvändigt för att fastställa, göra gällande eller försvara organisationens anspråk på stöd. 8En ny lag om behandling av personuppgifter Vi har i uppdrag att analysera behovet av kompletterande bestämmelser för att nödvändig personuppgiftsbehandling ska kunna utföras i ärenden om stöd till det civila samhället och att lämna nödvändiga författningsförslag. I föregående kapitel har vi redogjort för vilka personuppgifter som ett beslutsorgan kan behöva behandla vid handläggningen av ett ärende om statligt reglerat stöd till civilsamhället och analyserat de rättsliga förutsättningarna för sådan personuppgiftsbehandling enligt dataskyddsförordningen1 (se avsnitt 7.3 och 7.4). Vi har bedömt att det bör införas kompletterande nationell reglering som ger enskilda organ som har till uppgift att fördela statligt stöd till civilsamhället rätt att utföra nödvändig behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder (uppgifter om brott). Eftersom vi har kommit till slutsatsen att beslutsorganen behöver kunna behandla personuppgifter, inklusive känsliga sådana, väcks även frågan om det behövs särskild reglering av beslutsorganens behandling av personuppgifter i dessa ärenden. Denna fråga ska bedömas utifrån en analys av de risker och konsekvenser som förslagen till förtydligade demokrativillkor innebär för den personliga integriteten. I detta kapitel analyserar vi därför behovet av en kompletterande dataskyddsreglering för att beslutsorganen ska kunna utföra den behandling av personuppgifter 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (GDPR). En ny lag om behandling av... som är nödvändig för att på ett ändamålsenligt sätt kunna utföra en uppgift att fördela statligt reglerat stöd till det civila samhället (avsnitt 8.2). I kapitlet gör vi bedömningen att det bör införas en ny lag om behandling av personuppgifter i ärenden om stöd till det civila samhället och lämnar förslag till vilka bestämmelser en sådan lag bör innehålla (avsnitt 8.3). I detta kapitel föreslår vi en ny lag om personuppgiftsbehandling i vissa ärenden om stöd till civilsamhället. Efter redovisningen av detta betänkande kommer vi att fortsätta arbetet med att analysera och ta ställning till inrättande av en stödfunktion som ska kunna bistå myndigheter vid en fördjupad granskning av en bidragssökande organisation eller av annan offentligt finansierad verksamhet enligt vårt tilläggsdirektiv (dir. 2020:117). Vårt uppdrag enligt tilläggsdirektivet ska redovisas . Utifrån de förslag vi lämnar i samband med slutredovisningen av vårt uppdrag kan det bli nödvändigt att lämna ytterligare förslag gällande reglering av personuppgiftsbehandling i dessa ärenden. Våra förslag i detta kapitel kan därmed komma att kompletteras i samband med vårt slutbetänkande. 8.2Behovet av en särskild reglering av beslutsorganens behandling av personuppgifter Vår bedömning: För att uppnå ett lämpligt skydd för personuppgifter och möjliggöra en ändamålsenlig behandling av personuppgifter i ärenden om statligt reglerat stöd till civilsamhället krävs kompletterande dataskyddsreglering. 8.2.1Dataskyddsförordningen ställer vissa krav gällande kompletterande nationell dataskyddsreglering I föregående kapitel har vi redogjort för de rättsliga utgångspunkterna för beslutsorganens behandling av personuppgifter i ärenden om stöd till det civila samhället. Enligt vår bedömning utgör ett beslutsorgans uppgift att fördela statligt reglerat stöd till det civila samhället en uppgift av allmänt intresse som har fastställts i svensk rätt. I den del som handläggningen av ärenden om stöd innebär myndighets- En ny lag om behandling av... utövning kan personuppgiftsbehandling även vara nödvändig som ett led i beslutsorganens myndighetsutövning (se avsnitt 7.4.1). När det gäller behandling av känsliga personuppgifter anser vi att det utgör ett viktigt allmänt intresse att ett beslutsorgan kan utföra en uppgift att fördela stöd till civilsamhällets organisationer (se avsnitt 7.4.2). Beslutsorganen har därmed grundläggande rättsliga förutsättningar för behandling av personuppgifter i ärenden om stöd till det civila samhället, förutsatt att behandlingen är nödvändig för att utföra en uppgift att handlägga eller besluta i ärenden om stöd. För behandling av personuppgifter som genomförs på dessa grunder ställer dock dataskyddsförordningen särskilda krav gällande proportionalitet och reglering till skydd för personuppgifter. Detta innebär att det kan krävas kompletterande bestämmelser om hur beslutsorganen får behandla personuppgifter i ärenden om stöd. Den rättsliga grunden kan därför behöva innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Sådana särskilda bestämmelser kan bl.a. innehålla de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling (artikel 6.3 andra stycket dataskyddsförordningen). Vid behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse krävs därutöver att det rättsliga stödet står i proportion till det eftersträvade syftet, är förenligt med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2g i datsskyddsförordningen). För mer omfattande behandling av personuppgifter, i synnerhet behandling av känsliga personuppgifter, krävs därför i många fall särskild nationell reglering till skydd för personuppgifter. En ny lag om behandling av... 8.2.2Svensk rätt erbjuder ett grundläggande skydd för personuppgifter Det finns inte i någon särskild författning som reglerar beslutsorganens behandling av personuppgifter i ärenden om statligt reglerat stöd till civilsamhället. Bland de beslutsorgan som prövar ärenden om stöd finns myndigheter vars verksamheter i andra delar omfattas av särskild dataskyddsreglering. Detta gäller t.ex. , och Kriminalvården (se 1 § lagen [1998:543] om hälsodataregister, 1 § lagen [2012:453] om register över nationella vaccinationsprogram m.m. och 1 § kriminalvårdsdatalagen [2018:1235]). Denna reglering är dock inte tillämplig inom verksamhet som avser prövning av ärenden om stöd till det civila samhället. Vid handläggningen av dessa ärenden tillämpas därför, utöver bestämmelserna i dataskyddsförordningen, den generella kompletterande nationella dataskyddsregleringen, dvs. lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning (kompletteringsförordningen). Dessa två författningar kompletterar dataskyddsförordningen och ger ett grundläggande skydd för den personliga integriteten vid behandling av personuppgifter i svensk rätt. I denna reglering tydliggörs bl.a. när personuppgifter får behandlas för att utföra en uppgift av allmänt intresse och när en myndighet får behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse (2 kap. 2 § och 3 kap. 3 § dataskyddslagen). I lagen föreskrivs även ett generellt förbud för myndigheter att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter vid behandling av hänsyn till ett viktigt allmänt intresse (3 kap. 3 § andra stycket dataskyddslagen). Vid en bedömning av om den nationella rätten uppfyller dataskyddsförordningens krav gällande skydd för personuppgifter ska den nationella rättsordningen beaktas som en helhet. I svensk rätt utgör bestämmelser om sekretess och tystnadsplikt en viktig del av det nationella skyddet för personuppgifter. Ärenden om stöd till det civila samhället handläggs av ett stort antal beslutsorgan och medel fördelas till organisationer av varierande slag. För uppgifter i ärenden gällande vissa av dessa stöd finns särskilda bestämmelser om En ny lag om behandling av... sekretess, främst till skydd för allmänna intressen. Därutöver kan vissa uppgifter skyddas av generellt tillämpliga sekretessbestämmelser för uppgifter om enskildas personliga förhållanden. Uppgifter som förekommer i ärenden om stöd till det civila samhället faller dock till stor del utanför gällande sekretessreglering och uppgifterna i dessa ärenden är därmed i regel offentliga. Utöver renodlade dataskyddsbestämmelser och bestämmelser om sekretess kan det även finnas andra bestämmelser som innebär ett skydd för personuppgifter. I svensk rätt föreskrivs ett grundläggande skydd för den personliga integriteten i regeringsformens (RF) bestämmelser om de grundläggande fri- och rättigheterna. Dessa bestämmelser ger ett skydd för den personliga integriteten och innebär begränsningar av vilka personuppgifter som får behandlas av det allmänna. Det grundlagsstadgade skyddet för den personliga integriteten innebär vissa begränsningar av ett beslutsorgans möjligheter att behandla uppgifter om en civilsamhällesorganisations medlemmar. Detta gäller särskilt om sådana uppgifter avslöjar en persons åskådning i politiskt, religiöst, kulturellt eller annat sådant hänseende (jfr 2 kap. 2 och 3 §§ samt 6 § andra stycket RF). Det är bl.a. med beaktande av regeringsformens bestämmelser till skydd för den personliga integriteten som det i olika stödregleringar har antagits särskilda bestämmelser om revisorsgranskning av uppgifter om en organisations medlemmar. Enligt dessa bestämmelser ska en sökande organisations uppgifter om dess medlemmar i vissa fall intygas av en från staten fristående revisor och uppgifterna lämnas därmed inte ut direkt till något beslutsorgan. Genom en sådan reglering undviks att uppgifter om vilka personer som är medlemmar i en viss organisation lämnas till det allmänna och därmed blir del av en allmän handling. Vi anser därför att även denna typ av bestämmelser innebär en form av skyddsåtgärd vid behandling av personuppgifter i ärenden om stöd till det civila samhället. Sammantaget erbjuder svensk rätt därmed ett grundläggande skydd för de personuppgifter som behandlas i ärenden om stöd. En ny lag om behandling av... 8.2.3Förtydligade demokrativillkor medför högre krav på åtgärder till skydd för personuppgifter Vid en bedömning av vilka krav på skyddsåtgärder som bör gälla vid behandling av personuppgifter i ärenden om statligt reglerat stöd till civilsamhället måste de risker och konsekvenser som den aktuella behandlingen kan innebära för den personliga integriteten kartläggas. Utifrån de villkor som gäller för stöd till det civila samhället finns det typiskt sett ett relativt begränsat behov av att behandla personuppgifter vid en prövning av ett ärende om stöd. Redan enligt nu gällande reglering kan det dock vara nödvändigt att behandla personuppgifter, inklusive känsliga sådana, i dessa ärenden. De tre förslagen till förtydligade demokrativillkor innebär att såväl en organisations som dess företrädares agerande kan medföra att en organisation inte uppfyller villkoren för stöd. Denna typ av demokrativillkor, som delvis tar sikte på fysiska personers ageranden, innebär att ett beslutsorgan kan behöva behandla personuppgifter av varierande slag i större omfattning än vad som är nödvändigt enligt den nuvarande regleringen (se avsnitt 7.3). Demokrativillkor är en av de vanligaste typerna av villkor för stöd till det civila samhället. Villkoren har dock i praktiken sällan blivit föremål för prövning och det har förekommit endast ett fåtal ärenden där en organisation har nekats stöd eller blivit skyldig att återbetala statsbidrag med anledning av att organisationen eller dess företrädare har agerat i strid med ett demokrativillkor (se SOU 2019:35 s. 286 ff.). Det är svårt att med säkerhet uttala sig om vilka effekter ett införande av nya förtydligade demokrativillkor kommer att få för tillämpningen av dessa villkor. Dataskyddsförordningen och dataskyddslagen ger ett grundläggande skydd för personuppgifter vid handläggningen av ärenden om stöd till det civila samhället. Därutöver skyddas dessa personuppgifter i vissa fall av bestämmelser om sekretess och reglering som begränsar beslutsorganens granskning av en organisations medlemsuppgifter. Mot bakgrund av att antalet ärenden där en organisation har nekats stöd eller blivit skyldig att återbetala statsbidrag enligt nu gällande demokrativillkor är ytterst få till antalet, skulle det kunna argumenteras för att dessa villkor även efter ett införande av förtydligade demokrativillkor kan antas bli föremål för närmare utredning i en mycket liten andel av det totala En ny lag om behandling av... antalet ärenden om stöd till det civila samhället. I enlighet med en sådan slutsats skulle det kunna argumenteras för att det dataskydd som gäller enligt dataskyddsförordningen med kompletterande generella dataskyddsbestämmelser i nationell rätt erbjuder ett tillräckligt skydd för personuppgifter. De tre förslagen till förtydligade demokrativillkor har dock alla utformats i syfte att tydliggöra vilka ageranden som kan medföra att en organisation ska anses ha agerat i strid med samhällets grundläggande värderingar. Att direkt i författningstexten ange vilka ageranden som kan innebära att en organisation ska nekas stöd innebär att det blir enklare för de beslutsorgan som ska tillämpa villkoren att avgöra när det finns grund för att neka stöd. Enligt förslagen ska även fler statsbidrag framöver omfattas av ett demokrativillkor än vad som gäller enligt nuvarande reglering. Vi anser att dessa faktorer talar för att ett införande av föreslagna demokrativillkor kommer att medföra en ökning av antalet ärenden där en organisation nekas stöd eller blir skyldig att återbetala statsbidrag med hänvisning till att organisationen har agerat i strid med ett sådant villkor. Vi bedömer dock att frågan om en organisation uppfyller ett demokrativillkor även fortsättningsvis kommer att behöva utredas närmare i endast en liten andel av det totala antalet ärenden om stöd till det civila samhället. I det mindre antal ärenden där det uppstår frågetecken gällande om en organisation har agerat i strid med ett demokrativillkor kan det dock, beroende på omständigheterna i det enskilda ärendet, bli nödvändigt att utföra en relativt omfattande behandling av känsliga personuppgifter. Dessa ärenden kan komma att gälla t.ex. frågor med koppling till fysiska personers politiska eller religiösa aktiviteter, uppgifter om att vissa individer har utsatts för diskriminering eller annan kränkande behandling inom en organisations verksamhet eller uppgifter om att en företrädare för en organisation har utövat eller uppmanat till våld. För de registrerade som berörs av en sådan behandling innebär det att ett beslutsorgan behöver behandla personuppgifter om dem som är av en mycket känslig karaktär. Detta är en typ av personuppgifter som sällan förekommer i dessa ärenden . Vi bedömer därför att ett införande av förtydligade demokrativillkor innebär en ökad risk för den personliga integriteten vid handläggningen av ärenden om statligt reglerat stöd till civilsamhället, vilket ställer högre krav på proportionalitet och lämpliga åtgärder till skydd för den personliga inte- En ny lag om behandling av... Utifrån det utökade behovet av att behandla känsliga personuppgifter som följer av förslagen till förtydligade demokrativillkor bedömer vi att den nuvarande regleringen inte ger ett tillräckligt skydd för personuppgifter vid handläggningen av ärenden om stöd. Vi anser därmed att förslagen medför krav på ytterligare åtgärder till skydd för den personliga integriteten vid behandling av personuppgifter i ärenden om stöd till det civila samhället. Vi ska därför närmare analysera de risker förslagen till förtydligade demokrativillkor innebär för den personliga integriteten och utifrån denna analys bedöma vilka särskilda skyddsåtgärder som krävs för att uppfylla dataskyddsförordningens krav på proportionalitet och skydd för personuppgifter. 8.3En ny lag om behandling av personuppgifter bör införas 8.3.1Det behövs en ny lag om behandling av personuppgifter Vårt förslag: Det ska införas en ny lag om behandling av personuppgifter i ärenden om stöd till det civila samhället.