sou · H9B399 · 2021-12-21 00:00:00 — Vi ska därför närmare analysera de risker vårt förslag om inrättande av en stödfunktion innebär för den personliga integriteten och utifrån denna analys bedöma vilka särskilda skyddsåtgärder som krävs för att uppfylla dataskyddsförordningens krav på proportionalitet och skydd för personuppgifter. 8.7En ny lag om behandling av personuppgifter bör införas 8.7.1Det behövs en ny lag om behandling av personuppgifter Vårt förslag: Det ska införas en ny lag om behandling av personuppgifter vid nationellt centrum mot våldsbejakande extremism inom dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Den nya lagen ska möjliggöra en ändamålsenlig personuppgiftsbehandling vid stödfunktionens utförande av fördjupade granskningar samt säkerställa att dataskyddsförordningens krav på proportionalitet samt lämpliga och särskilda åtgärder för den registrerades grundläggande rättigheter och intressen efterlevs vid sådan behandling. Integritetsrisker vid fördjupade granskningar Vid fördjupade granskningar kan det bli nödvändigt att behandla integritetskänsliga personuppgifter om en verksamhets företrädare eller andra personer som i något avseende har deltagit i verksamheten. Som vi har angett är det svårt att uttala sig om dels hur många verksamheter som kan komma att bli föremål för fördjupade granskningar, dels hur många fysiska personer som kan komma att beröras av sådan behandling. I de ärenden där det uppkommer anledning att närmare utreda om en verksamhet har någon form av koppling till våldsbejakande extremism eller annan antidemokratisk verksamhet kan det dock bli fråga om personuppgiftsbehandling som berör en relativt stor krets registrerade och det kan komma att gälla behandling av integritetskänsliga personuppgifter. Såväl förslagen till förtydligade demokrativillkor som lämplighetskrav tar i olika utsträckning sikte på en verksamhets företrädares agerande. Vid tillämpningen av de föreslagna demokrativillkoren föreslås begreppet företrädare ges en vid betydelse och ska enligt förslagen inte avse endast en organisations legala företrädare, utan även omfatta en bredare krets personer som på ett eller annat sätt företräder en organisation utåt (se SOU 2021:66, avsnitt 4.6). Vid lämplighetsbedömningar omfattas även bl.a. en verksamhets verkställande direktör, styrelseledamöter och andra som har ett bestämmande inflytande över verksamheten. Ägar- och ledningsprövningar tar i regel också direkt sikte på att bedöma fysiska personers lämplighet att bedriva verksamhet. Detta innebär att ett stort antal personer kan komma att omfattas av de fördjupade granskningarna och den övriga verksamheten vid stödfunktionen. Dessa faktorer utgör risker för den personliga integriteten vid de fördjupade granskningar som stödfunktionen kan komma att utföra. Därutöver kan det komma att bli nödvändigt att behandla personuppgifter om t.ex. medlemmar i en civilsamhällesorganisation eller andra personer som på något sätt har medverkat i en organisations verksamhet. Det kan bl.a. gälla anlitade föreläsare. Hur många personer som kan komma att beröras av en sådan behandling är svårt att uttala sig om. Uppgifterna som kan behöva behandlas vid stödfunktionen kommer i merparten av fallen inte komma från en sökande verksamhet eller den registrerade själv. I stället kan det antas att de flesta personuppgifterna sannolikt kommer att komma till stödfunktionens kännedom via tredje part, t.ex. beslutsorganen, andra myndigheter, allmänheten eller media. Detta innebär en integritetsrisk. Även typen av personuppgifter som kan behöva behandlas vid en fördjupad granskning vid stödfunktionen medför en risk för den personliga integriteten vid handläggningen av dessa ärenden. Uppgifter om enskilda som kan uppkomma vid en bedömning av en verksamhets koppling till våldsbejakande extremism är typiskt sett integritetskänsliga. Det kan t.ex. vara fråga om uppgifter om att någon har gjort sig skyldig till eller är misstänkt för brott. Många av de verksamheter som kan komma att förekomma vid stödfunktionen är sådana att redan en uppgift om att en person är medlem eller företrädare är en känslig personuppgift. Behandling av sådana uppgifter kan vidare innebära kartläggning av den enskildes personliga förhållanden och innebär en risk för intrång i den personliga integriteten. Sammantaget utgör dessa faktorer risker för intrång i den personliga integriteten vid stödfunktionens arbete. En förutsättning för stödfunktionens verksamhet kommer att vara ett informationsutbyte med dels uppdragsgivande beslutsorgan, dels andra organ varifrån information inhämtas. Detta innebär en risk för integritetsintrång eftersom det finns en risk för att utomstående får del av uppgifterna. Vid överföring av information till och från stödfunktionen kommer det att ställas höga krav på säkerhet Stödfunktionen måste ha förutsättningar att utföra sitt uppdrag För att stödfunktionen på ett ändamålsenligt sätt ska kunna utföra det uppdrag som vi har angett i avsnitt 6.5.1 måste funktionen kunna utföra den behandling av personuppgifter som är nödvändig för att kunna utföra en fördjupad granskning av en verksamhet. Som vi har konstaterat innebär en fördjupad granskning att stödfunktionen kommer att behöva utföra behandling av personuppgifter, inklusive behandling av känsliga personuppgifter och uppgifter om brott samt misstanke om brott. Syftet med inrättandet av stödfunktionen är i förlängningen att offentliga medel inte ska betalas ut till verksamheter som har koppling till våldsbejakande extremism eller andra antidemokratiska miljöer. Om stödfunktionen ska kunna uppfylla sitt uppdrag måste de personuppgifter som är relevanta vid en fördjupad granskning kunna behandlas. Det finns därmed tungt vägande skäl för att stödfunktionen ska ges förutsättningar att utföra den personuppgiftsbehandling som är nödvändig för att kunna genomföra en fördjupad granskning. Införandet av en särskild lag om personuppgiftsbehandling vid fördjupade granskningar ger förutsättningar för att skydda den personliga integriteten Behandling av personuppgifter innebär en risk för intrång i den personliga integriteten för de fysiska personer vars uppgifter behandlas. Rätten till personlig integritet är en mänsklig rättighet som skyddas inom både folkrätten och svensk rätt och begränsningar av denna rättighet får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt för att uppfylla ändamålet med begränsningen. Stödfunktionens behandling av personuppgifter vid fördjupade granskningar måste därför utföras på ett sätt som säkerställer ett tillräckligt skydd för den personliga integriteten för de fysiska personer som berörs av behandlingen. I svensk rätt regleras rätten till skydd för den personliga integriteten i regeringsformens (RF) bestämmelser om de grundläggande fri- och rättigheterna. Enligt denna reglering är var och en, gentemot det allmänna, skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket RF). Skyddet mot ett sådant intrång kan endast begränsas genom lag (2 kap. 20 § första stycket 2 RF). Med beaktande av den risk för den personliga integriteten som följer av personuppgiftsbehandling har det varit en ambition i svensk rätt att särskilt integritetskänslig behandling ska regleras i lag, även om det inte i alla fall strikt sett är nödvändigt utifrån regeringsformens bestämmelser om normgivning. En av orsakerna till denna ambition är att reglering i lag förutsätter en grundlig utredning och en ingående avvägning mellan integritetsintresset och de intressen som talar för personuppgiftsbehandlingen (SOU 2015:39 s. 71 f.). Att reglera viss personuppgiftsbehandling i en särskild lag utgör i sig en form av skydd för personuppgifter och är en möjlig väg för att säkerställa att svensk rätt möter dataskyddsförordningens krav på proportionalitet och bestämmelser om lämpliga och särskilda skyddsåtgärder. De beslutsorgan som fördelar offentliga medel i de avseenden som kan bli aktuella vid stödfunktionen, har möjlighet att med stöd av dataskyddsförordningen och kompletterande nationella bestämmelser behandla personuppgifter, inklusive känsliga sådana. Vi har, såvitt avser fördelning av statligt reglerat stöd, också föreslagit kompletterande dataskyddslagstiftning i vårt delbetänkande (se SOU 2021:66). Med beaktande av omfattningen och arten av de personuppgifter som en stödfunktion kan komma att behöva behandla vid en fördjupad granskning anser vi dock att det behövs en särskild reglering av personuppgiftsbehandling för funktionens verksamhet. Förslaget i vårt delbetänkande avser endast behandling av personuppgifter i en verksamhet med handläggning av ärenden om statligt reglerat stöd till civilsamhället som omfattas av ett demokrativillkor. Av förslagets syftesbestämmelse kan utläsas att ärendena ska avse fördelning av statligt reglerat stöd. Det är inte denna typ av ärenden som kommer att aktualiseras hos stödfunktionen. Den lag som vi har föreslagit i vårt delbetänkande kan således inte ge skydd åt de uppgifter som kan komma att förekomma vid stödfunktionen. Som angetts ovan är inte heller brottsdatalagen tillämplig. Av den anledningen krävs det en särskild reglering för stödfunktionens personuppgiftsbehandling. Regleringen bör, med beaktande av den risk för den personliga integriteten som sådan personuppgiftsbehandling innebär, införas i en särskild lag, oavsett om detta är ett formellt krav enligt regeringsformen eller inte. Genom en sådan reglering är det möjligt att anta särskilda bestämmelser såsom bestämmelser om ändamålsbegränsningar, lagringstid och tillgång till personuppgifter som är anpassade för den behandling som är nödvändig inom ramen för just stödfunktionens uppdrag. En särskild lag om behandling av personuppgifter gör det vidare tydligt för de registrerade hur deras personuppgifter får behandlas inom ramen för sådan verksamhet. Även intresset av att skydda de registrerades integritet talar därför för ett införande av en särskild reglering av behandling av personuppgifter. I lagen bör även införas en särskild bestämmelse som reglerar stödfunktionens rätt att utföra nödvändig behandling av uppgifter om brott och misstanke om brott. Sammantaget bedömer vi att en ny lag om behandling av personuppgifter vid stödfunktionens uppdrag som kontaktpunkt för myndigheter och andra beslutsorgan som hanterar frågor om hur verk- samheter som ansöker om eller tar del av offentliga medel förhåller sig till våldsbejakande extremism och andra antidemokratiska miljöer kompletterar och ger förutsättningar för att precisera tillämpningen av dataskyddsförordningens bestämmelser på ett sådant sätt att enskildas personliga integritet skyddas som regleringen tydliggör de ramar och begränsningar som ska gälla för beslutsorganens behandling. En sådan reglering skulle även bidra till förutsebarhet och öppenhet på så sätt att de registrerade kan skapa sig en bild av ramarna för stödfunktionens behandling av personuppgifter. Vi bedömer att en sådan reglering säkerställer att den risk för integritetsintrång som följer av behandling av personuppgifter vid stödfunktionens fördjupade granskningar inte går utöver vad som är nödvändigt för att funktionen ska kunna utföra sitt uppdrag. Vårt förslag: Syftet med den nya lagen är att ge stödfunktionen möjlighet att inom sin verksamhet behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Lagens dubbla syfte ska framgå direkt av författningstexten. Vi anser att den nya lagen ska innehålla en bestämmelse som anger lagens syfte. Syftesbestämmelser saknar visserligen eget materiellt innehåll, men kan, enligt vår mening, ändå fylla en viktig funktion eftersom de ger vägledning gällande hur de materiella bestämmelserna i en författning ska tolkas. När det gäller just sektorspecifik dataskyddsreglering är syftet dessutom i regel dubbelt. Dessa författningar syftar dels till att möjliggöra en ändamålsenlig personuppgiftsbehandling vid en myndighet eller annat organ, dels till att skydda enskilda mot integritetsintrång. En syftesbestämmelse är ett sätt att på ett tydligt sätt klargöra ett sådant dubbelt syfte (jfr prop. 2014/15:148 s. 29). Vårt förslag till ny lag om behandling av personuppgifter vid stödfunktionens uppdrag som kontaktpunkt för myndigheter och andra beslutsorgan som inom ramen för sina respektive myndighetsuppdrag fördelar offentliga medel eller på annat sätt granskar offentligt finansierade verksamheter syftar till att möjliggöra en ändamålsenlig personuppgiftsbehandling vid stödfunktionen. Ett av lagens syften är alltså att säkerställa att stödfunktionen har de rättsliga förutsättningarna för att kunna utföra sådan personuppgiftsbehandling. Genom att detta syfte klargörs direkt i författningstexten tydliggörs även vilken som är den rättsliga grunden för stödfunktionens personuppgiftsbehandling, dvs. uppgiften för stödfunktionen att vara kontaktpunkt för myndigheter och andra beslutsorgan. Lagen syftar även till att skydda fysiska personer mot att deras personliga integritet kränks vid utförandet av stödfunktionens uppdrag. Vi bedömer att stödfunktionens uppdrag kommer att medföra en ökad behandling av känsliga personuppgifter. Detta innebär en ökad risk för den personliga integriteten, vilket medför högre krav på dataskydd vid utförandet av stödfunktionens uppdrag. Den nya lagen syftar till att säkerställa en lämplig balans mellan stödfunktionens behov av att kunna behandla personuppgifter vid utförandet av dess uppdrag och skyddet för den personliga integriteten. För att på att ett tydligt sätt klargöra lagens dubbla syfte bedömer vi att lagen bör innehålla en syftesbestämmelse. Vårt förslag: Den nya lagen ska tillämpas vid behandling av personuppgifter i verksamhet enligt vårt förslag till uppdrag för stödfunktionen i dess särskilda funktion som kontaktpunkt för myndigheter och andra beslutsorgan. Den föreslagna lagens tillämpningsområde bör, enligt vår mening, avgränsas till att gälla inom verksamhet som avser stödfunktionens uppdrag enligt vårt förslag till ändring av förordningen med instruktion för Brå. Genom att knyta lagens tillämpningsområde till stödfunktionens uppdrag blir det tydligt i vilken verksamhet som lagen ska tillämpas. En sådan avgränsning framstår också som lämplig och säkerställer att tillämpningsområdet blir tydligt definierat. Om det är fråga om en verksamhet som bedrivs inom ramen för stödfunktionens uppdrag som kontaktpunkt för myndigheter och andra beslutsorgan som inom ramen för sina respektive myndighetsuppdrag fördelar offentliga medel eller på annat sätt granskar offentligt finansierade verksamheter är lagen tillämplig på all behandling av personuppgifter som kan bli aktuell. 8.7.4Lagen ska komplettera den allmänna dataskyddsregleringen Vårt förslag: Den nya lagen ska innehålla bestämmelser som klargör att den kompletterar dataskyddsförordningen. Dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid behandlingen av personuppgifter vid stödfunktionen. Dataskyddsförordningen är direkt tillämplig i svensk rätt och ska tillämpas av enskilda och myndigheter på samma sätt som om den vore lag antagen av riksdag. Förordningen gäller alltså oavsett om det i den föreslagna lagen införs en bestämmelse som hänvisar till den eller inte. Vi anser dock att det bör införas en upplysningsbestämmelse för att tydliggöra att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. En sådan bestämmelse tydliggör den nya lagens förhållande till förordningen och klargör att lagen inte kan tillämpas fristående, utan ska tillämpas tillsammans med dataskyddsförordningen. Hänvisningen till dataskyddsförordningen föreslås vara dynamisk, vilket innebär att hänvisningen avser förordningen i dess gällande lydelsen. Denna hänvisningsteknik bedöms som den lämpligaste, eftersom lagen annars kan komma att behöva ändras vid varje eventuell ändring av dataskyddsförordningen. Bestämmelsen bör därför utformas på samma sätt som i andra sektorspecifika lagar som kompletterar dataskyddsförordningen (se t.ex. 3 § domstolsdatalagen [2015:728]). I svensk rätt har kompletterande bestämmelser till dataskyddsförordningen på generell nivå antagits genom dataskyddslagen. Dataskyddslagens bestämmelser är subsidiära i förhållande till annan nationell dataskyddsreglering, dvs. eventuella specialbestämmelser i andra författningar om behandling av personuppgifter ska tillämpas framför de allmänna bestämmelserna i dataskyddslagen. Detta följer direkt av lagen (se 1 kap. 6 § dataskyddslagen). Det behövs därför egentligen inte någon materiell bestämmelse för att specialbestämmelser i den nya lagen ska ges företräde framför de generella bestämmelserna i dataskyddslagen. För att det ska vara tydligt hur den nya lagen förhåller sig till dataskyddslagen föreslår vi dock en bestämmelse som tydliggör att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid stödfunktionens behandling av personuppgifter, om inte annat följer av den nya lagen eller föreskrifter som har meddelats i anslutning till den. Sådana tydliggörande bestämmelser är även vanligt förekommande i andra registerförfattningar (se t.ex. 4 § domstolsdatalagen). Vårt förslag: ska vara personuppgiftsansvarig. Begreppet personuppgiftsansvarig är ett centralt begrepp i dataskyddsförordningen, eftersom det är den personuppgiftsansvarige som ansvarar för att behandlingen av personuppgifter utförs i enlighet med gällande dataskyddsreglering (artikel 5.2 i dataskyddsförordningen). Med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen bestäms av medlemsstaternas nationella rätt, är det möjligt att reglera vem som är personuppgiftsansvarig i lagstiftningen (artikel 4.7 i dataskyddsförordningen). För att det ska vara tydligt vem som är personuppgiftsansvarig vid det uppdrag som kontaktpunkt som vi föreslår att stödfunktionen ska ha anser vi att personuppgiftsansvaret bör regleras i den nya lagen. Sådan reglering är möjlig enligt dataskyddsförordningen och gör det enkelt för den registrerade att identifiera vem som är personuppgiftsansvarig för viss behandling. Stödfunktionen är inget självständigt organ utan kommer att vara en del av en annan myndighet. Enligt vårt förslag ska stödfunktionen placeras vid CVE som är en enhet vid Brå. CVE är således inte heller någon egen myndighet. Vi föreslår därför att det i lagen ska framgå att Brå ska vara personuppgiftsansvarig för den behandling av personuppgifter som stödfunktionen utför inom ramen för sitt uppdrag som kontaktpunkt. Vårt förslag: Ändamålen för behandling av personuppgifter vid stödfunktionen ska avgränsas till sådan behandling som är nödvändig för stödfunktionens uppdrag som kontaktpunkt för myndigheter och andra beslutsorgan. Enligt en av dataskyddsförordningens grundläggande principer får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5.1 b i dataskyddsförordningen). Bestämmelser som anger ett visst ändamål för behandling av personuppgifter tydliggör vilken behandling som är tillåten inom en viss verksamhet och begränsar vilken behandling som en personuppgiftsansvarig får utföra. Ändamålsbestämmelser utgör därmed en form av åtgärd till skydd för personuppgifter som bidrar till att säkerställa en laglig och rättvis behandling (jfr artikel 6.2. och 6.3 i dataskyddsförordningen). I de fall en reglering innebär en begränsning av de grundläggande principerna för behandling av personuppgifter eller av den registrerades rättigheter uppställer dataskyddsförordningen dessutom, när så är relevant, ett krav på reglering av ändamålen med behandlingen (artikel 23.2 a i dataskyddsförordningen). Ändamålsbegränsningar är därför en vanligt förekommande typ av bestämmelse i registerförfattningar (se t.ex. 11–13 §§ utlänningsdatalagen [2016:27]). Vi anser att även en ny lag om personuppgiftsbehandling inom stödfunktionens verksamhet lämpligen bör innehålla en ändamålsbestämmelse. Genom en sådan bestämmelse tydliggörs för vilket ändamål som personuppgifter får behandlas inom ramen för stödfunktionens verksamhet och stödfunktionens möjlighet att behandla personuppgifter begränsas. En sådan bestämmelse utgör även en precisering av den rättsliga grunden för behandling (jfr skäl 41 till dataskyddsförordningen). Enligt vår bedömning bör ändamålen för behandlingen avgränsas till sådan behandling som är nödvändig inom stödfunktionens verksamhet enligt det förslag som vi har lämnat till ändring i instruktionen för Brå, dvs. i dess särskilda funktion som kontaktpunkt mellan myndigheter och andra beslutsorgan (se avsnitt 6.5.1). En sådan avgränsning ger stödfunktionen rätt att utföra behandling av personuppgifter vid sin verksamhet, förutsatt att behandlingen är nödvändig för att funktionen ska kunna utföra sitt uppdrag som kontaktpunkt mellan myndigheter och andra beslutsorgan. Genom att uttryckligen knyta ändamålet med behandlingen till vad som är nödvändigt för utförandet av stödfunktionens uppdrag, inskränks stödfunktionens möjligheter att behandla personuppgifter som saknar koppling till verksamheten. En sådan ändamålsbegränsning är därmed snävare än vad som gäller enligt dataskyddslagen (jfr 2 kap. 2 § dataskyddslagen). Bestämmelsen fungerar vidare som ett förtydligande för de registrerade gällande för vilka ändamål stödfunktionen får behandla personuppgifter inom ramen för sin verksamhet. En del av stödfunktionens uppdrag kommer enligt vårt förslag att vara att lämna yttranden till beslutsorganen. Yttrandena kommer i många fall att innehålla personuppgifter. För att stödfunktionen ska kunna utföra sitt uppdrag kommer en nödvändig behandling av personuppgifter således att förutsätta överföring av personuppgifter. Överföringen får dock inte gå utöver ändamålet med behandlingen. Denna typ av informationsöverföring sker mellan myndigheter och vi förutsätter att det i förekommande fall kommer att tillämpas relevanta och tillräckligt säkra system vid överföringen. Vårt förslag: Tillgången till personuppgifter ska begränsas till det som varje anställd eller uppdragstagare behöver för att kunna fullgöra sina arbetsuppgifter. Myndigheten ansvarar för att åtkomsten till personuppgifter kontrolleras på ett ändamålsenligt sätt. En fysisk person som utför ett arbete under den personuppgiftsansvariges överinseende, och som får tillgång till personuppgifter, får som utgångspunkt endast behandla dessa på instruktion från den personuppgiftsansvarige (artikel 29 i dataskyddsförordningen). Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att personuppgifter inte behandlas utöver vad denne har gett instruktion om (artikel 32.4 i dataskyddsförordningen). Den personuppgiftsansvarige har alltså ett ansvar för att anställda och andra uppdragstagare inte behandlar personuppgifter utöver vad denne har bedömt lämpligt. Vilken spridning av personuppgifter som en viss behandling innebär har av naturliga skäl stor inverkan på integritetsriskerna med behandlingen. Om personuppgifter sprids ökar risken för att upp- gifterna kommer att användas på ett sätt som innebär ett intrång i de registrerades personliga integritet. Utgångspunkten är därför att personuppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med behandlingen (jfr artikel 5.1 f i dataskyddsförordningen).