sou · H9B399 · 2021-12-21 00:00:00 — Med hänsyn till de vinster för det förebyggande arbetet mot våldsbejakande extremism som ett sådant utbyte av sekretesskyddade uppgifter skulle innebära bedömer vi att den ökade risken för integritetsintrång kan godtas. Genom förslaget till en ny lag om personuppgiftsbehandling möjliggörs en ändamålsenlig personuppgiftsbehandling vid stödfunktionen samtidigt som det säkerställs att dataskyddsförordningens3 krav på lämpliga och särskilda åtgärder till skydd för den registrerades grundläggande rättigheter och intressen efterlevs vid sådan behandling. En lag som innebär att en myndighet ges möjligheter att behandla personuppgifter utöver vad som följer av dataskyddsförordningen och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) innebär en risk för den personliga integriteten. Våra förslag i denna del innebär dock ingen egentlig utökning av stödfunktionens möjligheter att behandla personuppgifter utöver vad som gäller enligt dataskyddsförordningen. Lagförslaget innebär i stort ett tydliggörande av tillämpningen av den generella dataskyddsregleringen inom funktionens verksamhet, utifrån våra förslag gällande formuleringen av funktionens uppdrag och uppgifter. Lagen tydliggör ramarna för den behandling av personuppgifter som stödfunktionen får genomföra vid fullgörandet av sitt uppdrag, bl.a. när det gäller ändamålen med behandlingen, tillgången till personuppgifter och längsta tid för behandling. Införandet av en specifik reglering av personuppgiftsbehandling som tydliggör om och på vilket sätt en personuppgiftsansvarig får behandla personuppgifter kan i sig ses som en integritetshöjande åtgärd, eftersom det blir tydligt för enskilda vilka uppgifter som får behandlas och på vilka grunder. 3Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (GDPR). Detta innebär utökade möjligheter för enskilda att tillvarata sina rättigheter vid sådan behandling. Lagförslaget innebär i flera delar en begränsning av stödfunktionens möjligheter att utföra behandling av personuppgifter, eftersom förslaget bl.a. begränsar funktionens behandling av känsliga personuppgifter samt uppgifter om brott och uppgifter om misstanke om brott samt vilka sökningar som funktionen får utföra vid en sökning i personuppgifter. Förslaget har i dessa delar en integritetsskyddande effekt och förhindrar t.ex. att beslutsorganen utför sökningar i syfte att få fram ett urval av personer baserat på religiös övertygelse eller etniskt ursprung. Sammantaget innebär förslaget till en ny lag om personuppgiftsbehandling ett förstärkt skydd för den personliga integriteten inom stödfunktionens verksamhet. Vår bedömning: Förslagen förväntas inte få några andra konsekvenser. Ett inrättande av en ny stödfunktion kommer att innebära ett visst behov av arbetskraft. Utifrån vår uppskattning gällande omfattningen av stödfunktionens verksamhet är behovet dock inte så stort att det bedöms få några särskilda effekter för sysselsättningen. Förslagen bedöms inte påverka offentlig service i olika delar av landet. Inte heller små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag bör påverkas av förslagen. Förslagen förväntas inte heller få några konsekvenser för jämställdheten, integrationen eller miljön. Enligt vår bedömning kommer förslagen, utöver vad som angetts i detta kapitel, inte att få några andra konsekvenser som anges i 14–15 a §§ kommittéförordningen. Vi har i utformningen av förslagen tagit hänsyn till regeringsformen, , , internationella åtaganden samt de åtaganden som följer av anslutning till Europeiska unionen. Vi bedömer att förslagen är förenliga med dessa. 11.1Förslaget till lag (2023:000) om viss personuppgiftsbehandling vid nationellt centrum mot våldsbejakande extremism Syftet med denna lag är att ge nationellt centrum mot våldsbejakande extremism möjlighet att inom dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan, behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Paragrafen klargör det övergripande syftet med lagen. Överväganden finns i avsnitt 8.7.2. Syftet med lagen är dubbelt. Den syftar för det första till att göra det möjligt för nationellt centrum mot våldsbejakande extremism (CVE) att inom dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Uppdraget för CVE regleras närmare i förordning (2016:1201) med instruktion för Brå. För det andra syftar lagen till att skydda människor, dvs. fysiska personer, mot att deras personliga integritet kränks vid CVE:s behandling av personuppgifter i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. I detta ligger att lagen syftar till att säkerställa en lämplig balans mellan centrumets behov av att kunna behandla personuppgifter inom ramen för sitt uppdrag och skyddet för den personliga integriteten. Denna lag gäller vid behandling av personuppgifter vid nationellt centrum mot våldsbejakande extremism i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Paragrafen anger lagens tillämpningsområde. Överväganden finns i avsnitt 8.7.3. Lagen ska tillämpas vid sådan behandling av personuppgifter som omfattas av dataskyddsförordningens1 reglering. Lagen är därmed tillämplig vid behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (se artikel 2.1 i dataskyddsförordningen). Begreppen personuppgifter och behandling ska ha samma innebörd som enligt dataskyddsförordningen (se artikel 4.1 och 4.2). Förhållandet till annan reglering Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Överväganden finns i avsnitt 8.7.4. Av paragrafen framgår att lagen utgör ett komplement till dataskyddsförordningen som är direkt tillämplig i svensk rätt och ska tillämpas av enskilda och myndigheter på samma sätt som om den vore lag antagen av riksdag. I vissa avseenden förutsätter eller tillåter förordningen dock kompletterande nationella bestämmelser i form av preciseringar eller undantag, såsom de bestämmelser 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (GDPR). som föreslås i denna lag. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. den avser förordningen i dess gällande lydelse. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Överväganden finns i avsnitt 8.7.4. Paragrafen upplyser om hur lagen förhåller sig till lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Dataskyddslagen innehåller generella bestämmelser som kompletterar dataskyddsförordningen. Paragrafen klargör att dataskyddslagen är subsidiär i förhållande till den föreslagna lagen. Det innebär att dataskyddslagens bestämmelser endast gäller om inte annat föreskrivs i denna lag eller föreskrifter som har meddelats i anslutning till lagen. är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför inom ramen för nationellt centrum mot våldsbejakande extremisms särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Paragrafen reglerar personuppgiftsansvaret vid behandling av personuppgifter som utförs inom ramen för CVE inom dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Överväganden finns i avsnitt 8.7.5. CVE är en enhet inom myndigheten (Brå). Paragrafen anger därför att det är Brå som är personuppgiftsansvarig för den behandling av personuppgifter som CVE utför inom dess särskilda funktion som kontaktpunkt. Brå ansvarar för att den behandling som utförs inom ramen för den särskilda funktionen sker i enlighet med gällande dataskyddsreglering. Den närmare regleringen av den särskilda funktionens uppdrag finns i förordning (2016:1201) med instruktion för Brå. Personuppgifter får behandlas om det är nödvändigt för att nationellt centrum mot våldsbejakande extremism ska kunna utföra sitt uppdrag i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Bestämmelsen anger ändamålet för behandling av personuppgifter som faller inom lagens tillämpningsområde. Överväganden finns i avsnitt 8.7.6. Paragrafen sätter ramarna för CVE:s personuppgiftsbehandling inom ramen för dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Enligt bestämmelsen får behandlingen inte gå utöver vad som är nödvändigt för utförande av uppdraget. Det ska alltså finnas ett direkt samband mellan CVE:s behandling och den rättsliga grunden, dvs. den särskilda funktionen som kontaktpunkt för myndigheter och andra beslutsorgan. Kravet på nödvändighet ska dock inte tolkas som ett krav på att det ska vara omöjligt att utföra en viss uppgift utan att utföra en viss behandlingsåtgärd. En viss behandling av personuppgifter kan exempelvis anses vara nödvändig med hänsyn till att den leder till effektivitetsvinster, även om behandlingen inte är en förutsättning för att uppnå syftet med behandlingen. I kravet på nödvändighet ligger dock att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att uppgifterna anonymiseras. Tillgången till personuppgifter ska begränsas till det som varje anställd eller uppdragstagare behöver för att kunna fullgöra sina arbetsuppgifter. Överväganden finns i avsnitt 8.7.7. CVE är en enhet inom myndigheten . Bestämmelsen klargör att Brå har ett ansvar att vidta lämpliga tekniska och organisatoriska åtgärder för att begränsa tillgången till personuppgifter. Syftet med bestämmelsen är att förstärka skyddet för den personliga integriteten genom att begränsa den krets av personer som får tillgång till de personuppgifter som behandlas vid ett beslutsorgan. Det är vilka arbetsuppgifter den enskilde medarbetaren har som ska vara styrande för vilka personuppgifter som han eller hon ska få tillgång till. Det är Brå:s skyldighet att säkerställa att personuppgifter inte sprids utanför den krets av personer som behöver ha tillgång till dessa för att kunna utföra sina arbetsuppgifter. Behandling av personuppgifter som rör lagöverträdelser och känsliga personuppgifter Nationellt centrum mot våldsbejakande extremism får i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan behandla personuppgifter som avses i artikel 9.1 (känsliga personuppgifter) och artikel 10 i EU:s dataskyddsförordning (uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott) samt uppgifter om misstanke om brott, endast om uppgifterna är nödvändiga för fullgörandet av uppdraget som kontaktpunkt. Paragrafen reglerar när CVE får behandla sådana personuppgifter som avses i artikel 9.1. och 10 i dataskyddsförordningen. Överväganden finns i avsnitt 8.7.8. De särskilda kategorier av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning (känsliga personuppgifter). Sådana personuppgifter och uppgifter om brott samt misstanke om brott får behandlas endast om de är nödvändiga för fullgörandet av CVE:s uppdrag som kontaktpunkt. Vilka uppgifter som är nödvändiga för fullgörande av uppdraget avgörs av CVE utifrån omständigheterna i det enskilda ärendet. För en närmare beskrivning av nödvändighetskravet, se kommentaren till 6 § ovan. Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller uppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott och misstanke om brott. Paragrafen föreskriver ett förbud mot vissa integritetskänsliga sökningar. Överväganden finns i avsnitt 8.7.9. Sökbegränsningen omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller uppgifter om brott. Vilka uppgifter som utgör känsliga personuppgifter och uppgifter om brott samt misstanke om brott framgår av kommentaren till 8 § ovan. Genom bestämmelsen förbjuds alltså sökningar som görs i syfte att få fram ett urval av personer som t.ex. har en viss politisk åsikt, sexuell läggning eller som har dömts för brott. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer, t.ex. för att ta fram verksamhetsstatistik eller för registervård. Längsta tid som personuppgifter får behandlas Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Bestämmelsen i första stycket hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Paragrafen reglerar hur länge personuppgifter får behandlas för andra ändamål än för att tillgodose tryckfrihetsförordningens krav om allmänna handlingars offentlighet samt för arkivändamål. Överväganden finns i avsnitt 8.7.10. I första stycket föreskrivs att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen, dvs. vad som är nödvändigt för att CVE ska kunna utföra dess uppdrag som särskilda funktion som kontaktpunkt mellan myndigheter och andra beslutsorgan som inom ramen för sina respektive myndighetsuppdrag fördelar offentliga medel eller på annat sätt granskar offentligt finansierade verksamheter. Det som avses är ändamålet i det enskilda fallet. Behovet av att fortsätta behandla uppgifterna måste därför prövas kontinuerligt. Om det är tillräckligt att behandla avidentifierade uppgifter är det inte längre tillåtet att behandla personuppgifterna. Finns det inte längre något behov av att behandla uppgifterna med hänsyn till ändamålet med behandlingen får de bara behandlas för att uppfylla krav enligt tryckfrihetsförordningen alternativt för arkivändamål. Av andra stycket framgår att bestämmelsen om längsta tid för behandling inte hindrar att personuppgifterna arkiveras av en behörig myndighet eller att arkivmaterial lämnas till en arkivmyndighet. Rätt att meddela föreskrifter Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter som kompletterar denna lag. Överväganden finns i avsnitt 8.7.11. Bestämmelsen upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter. Behörigheten för regeringen att meddela föreskrifter följer av 8 kap. 7 § regeringsformen (RF), dvs. regeringen kan med stöd av den s.k. restkompetensen meddela föreskrifter på området. Bestämmelsen utgör alltså inte något bemyndigande till regeringen att meddela föreskrifter. Av 8 kap. 11 § RF följer att regeringen har full bemyndiganderätt till myndighet att meddela föreskrifter inom det område som omfattas av regeringens restkompetens. Denna lag träder i kraft . 11.2Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) Verksamhet vid nationellt centrum mot våldsbejakande extremism Sekretess gäller hos nationellt centrum mot våldsbejakande extremism i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde lider skada eller men. För uppgift i en allmän handling gäller sekretess i högst . Överväganden till förslaget finns i avsnitt 7.4.2. Paragrafen med tillhörande rubrik är ny och innehåller i första stycket en bestämmelse om skydd för uppgifter om enskildas personliga och ekonomiska förhållanden som förekommer hos CVE i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Sekretess ska gälla för sådana uppgifter om det inte står klart att uppgiften kan röjas utan att den enskilde lider skada eller men. Paragrafen har alltså utformats med ett omvänt skaderekvisit, vilket innebär att utgångspunkten är att de uppgifter som faller inom bestämmelsens tillämpningsområde omfattas av sekretess. Bestämmelsen föreslås mot bakgrund av de uppgifter som kan komma att förekomma vid CVE i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Inom ramen för denna funktion ska CVE bistå myndigheter och andra beslutsorgan med fördjupade granskningar av om en verksamhet förhåller sig till våldsbejakande extremism eller andra antidemokratiska miljöer på ett sätt som ger myndigheten eller beslutsorganet skäl att vidta särskilda åtgärder. Det är primärt inom ramen för sådana granskningar som det finns behov av att hantera en större mängd information om enskildas personliga och ekonomiska förhållanden. Stödfunktionen är också avsedd att fungera som en central kontaktpunkt för myndigheter och andra beslutsorgan som inom ramen för sina respektive myndighetsuppdrag fördelar offentliga medel eller på annat sätt granskar offentligt finansierade verksamheter. Funktionen kan därför förväntas få in uppgifter utan koppling till en specifik fördjupad granskning. Sådan information kommer inte sällan att innehålla uppgifter om en verksamhet eller individer inom en verksamhet som innebär att enskilda lider skada eller men om uppgifterna blir offentliga. Paragrafens tillämpning har därför knutits till verksamhet hos CVE i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Förutsatt att en uppgift förekommer inom ramen för denna verksamhet är paragrafen dock tillämplig på alla uppgifter om enskildas ekonomiska och personliga förhållanden om det inte står klart att uppgifterna kan röjas utan att den enskilde lider skada eller men. De uppgifter som kan komma att hanteras inom ramen för funktionen är integritetskänsliga uppgifter av vitt skilda slag såsom uppgifter om politiska eller religiösa aktiviteter eller uppgifter om brott. Uppgifter om att en verksamhet har kopplingar med våldsbejakande extremism är känsliga och kan få långtgående konsekvenser för en verksamhet som är föremål för granskning. För det fall uppgifterna är sådana att det inte står klart att de kan röjas utan att den enskilde lider skada eller men ska de sekretessbeläggas med stöd av denna paragraf. Vilka uppgifter som kan komma att omfattas av sekretessen måste dock bedömas från fall till fall. För uppgifter om enskilds personliga och ekonomiska förhållanden i en allmän handling gäller sekretessen i högst . Det framgår av andra stycket. Sekretessen enligt 1 § första stycket hindrar inte att en uppgift lämnas till nationellt centrum mot våldsbejakande extremism i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan, om uppgiften behövs i ett ärende om fördjupad granskning. En uppgift får lämnas endast om intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Överväganden till förslaget finns i avsnitt 7.5.2. Paragrafen är ny och innehåller en sekretessbrytande bestämmelse som möjliggör visst uppgiftslämnande från brottsbekämpande myndigheter till nationellt centrum mot våldsbejakande extremism. En förutsättning för att uppgifter ska lämnas ut är dock att CVE har behov av uppgifterna i ett ärende om fördjupad granskning. I paragrafens första stycke föreskrivs att uppgifter, trots angiven sekretess, får lämnas ut till CVE i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan, om uppgiften behövs i ett ärende om fördjupad granskning. Avsikten är således att de uppgifter som lämnas ut ska ha en koppling till en fördjupad granskning vid stödfunktionen. Det är därmed inte aktuellt att, med stöd av paragrafen, lämna ut rent allmän information om t.ex. enskilda som förekommer inom vissa extremistmiljöer, utan det krävs att uppgifterna behövs inom ramen för ett ärende om fördjupad granskning. Det kan vara svårt att avgöra vilken information som behövs i ett ärende om fördjupad granskning. En prövning ska göras i varje enskilt fall. Genom att begränsa den sekretessbrytande bestämmelsens tillämpningsområde till sådana uppgifter som behövs vid en fördjupad granskning motverkas risken för uppgiftsutlämnanden som går utöver vad som är motiverat utifrån syftet med regleringen. Detta hindrar dock inte att annat uppgiftsutlämnande kan vara möjligt med stöd av generalklausulen i 10 kap. 27 § offentlighets- och sekretesslagen. I andra stycket föreskrivs att en ytterligare förutsättning är att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Det är alltså inte fråga om en uppgifts- skyldighet utan paragrafen ger endast en möjlighet för brottsbekämpande myndigheter att, utan hinder av sekretess, lämna ut uppgifter till CVE efter en intresseavvägning. betänkande 2015/16:KU4, Åtgärder för att göra samhället mer motståndskraftigt mot våldsbejakande extremism. betänkande 2016/17:KU23, Förebyggande av våldsbejakande extremism. 1979/80:2, Förslag till sekretesslag m.m. Prop. 1993/94:165, Några frågor om sekretess. 2008/09:150, Offentlighets- och sekretesslag. 2014/15:148, Domstolsdatalag. 2016/17:180, En modern och rättssäker förvaltning – ny förvaltningslag. 2016/17:208, Några frågor om offentlighet och sekretess. 2017/18:105, Ny dataskyddslag. 2017/18:158, Ökade tillståndskrav och särskilda regler för upphandling inom välfärden. 2017/18:232, Brottsdatalag. 2017/18:254, Anpassning av utlänningsdatalagen till EU:s dataskyddsförordning. SOU 2013:81, När vi bryr oss – förslag om samverkan och utbildning för att effektivare förebygga våldsbejakande extremism. SOU 2015:7, Krav på privata aktörer i välfärden. SOU 2016:78, Ordning och reda i välfärden. SOU 2016:92, demokratin mot våldsbejakande extremism – Nationell samordning och kommunernas ansvar. SOU 2018:18, Statens stöd till trossamfund i ett mångreligiöst . SOU 2018:70, En arvsfond i takt . SOU 2019:35, Demokrativillkor för bidrag till civilsamhället. SOU 2019:42, Digifysiskt vårdval. Tillgänglig primärvård baserad på behov och kontinuitet. SOU 2019:64, Nya regler för skolor med konfessionell inriktning. SOU 2021:66, Rätt mottagare. Demokrativillkor och integritet. Regeringens skrivelse 2007/08:64, Nationellt ansvar och internationellt engagemang – En nationell strategi för att möta hotet från terrorism. Regeringens skrivelse 2011/12:44, Handlingsplan för att värna demokratin mot våldsbejakande extremism. Regeringens skrivelse 2014/15:146, Förebygga. Den svenska strategin mot terrorism. Regeringsbeslut , dnr Ju2017/07399/. HFD 2021 ref. 10. Kammarrätten i beslut i mål nr 10348-18. Kammarrätten i dom i mål nr 1383-19. Kammarrätten i beslut i mål nr 8234-19. Kammarrätten i beslut i mål nr 2704-20. Förvaltningsrätten i dom i mål nr 192-17. Förvaltningsrätten i dom i mål nr 3749-18. Förvaltningsrätten i dom i mål nr 9821-18.