sou · H9B366 · 2021-08-10 00:00:00 — En personuppgiftsansvarig kan alltså, direkt med stöd av förordningen, behandla personuppgifter utifrån en intresseavvägning mellan ett för den personuppgiftsansvarige berättigat intresse och den registrerades intresse av integritetsskydd. Dataskyddsförordningen innehåller inte någon definition av vad som utgör ett berättigat intresse. Av skälen till förordningen framgår dock att exempel på situationer när den personuppgiftsansvarige kan ha ett berättigat intresse att behandla vissa personuppgifter är när den registrerade är kund hos eller arbetar för den personuppgiftsansvarige (se skäl 47 till dataskyddsförordningen). Även en civilsamhällesorganisation kan ha ett berättigat intresse att behandla personuppgifter om organisationens medlemmar eller om andra personer som deltar i organisationens verksamhet. Exempelvis kan en organisation ha ett berättigat intresse av att behandla vissa personuppgifter för att kunna begära in medlemsavgifter eller planera organisationens verksamhet. Enligt vår bedömning utgör även en civilsamhällesorganisations intresse av att kunna söka och ta del av ett statligt reglerat stöd ett berättigat intresse. Statligt reglerat stöd till det civila samhället riktar sig i regel till icke vinstdrivande organisationer. De organisationer som tar del av sådant stöd är till stor del ideella föreningar av varierande storlek vars verksamhet på ett eller annat sätt är beroende av stöd från medlemmar och externa aktörer, t.ex. medlemsavgifter eller gåvor. Ett ekonomiskt bidrag i form av ett statsbidrag kan därmed vara av stor betydelse för en civilsamhällesorganisation och kan vara direkt avgörande för att organisationen ska kunna bedriva och utveckla sin verksamhet. Personuppgiftsbehandling som är nödvändig för att en civilsamhällesorganisation ska kunna få del av statligt stöd kan därmed utföras med hänvisning till ett för organisationen berättigat intresse. Vi bedömer därför att det finns rättslig grund för civilsamhällesorganisationernas behandling av personupp- Personuppgiftsbehandling i ärenden om stöd gifter i ärenden om stöd, under förutsättning att sådan behandling är nödvändig för organisationens berättigade intresse av att ansöka om och ta del av statligt reglerat stöd till civilsamhället. Personuppgiftsbehandling på denna grund förutsätter dock under alla omständigheter att civilsamhällesorganisationerna, i egenskap av personuppgiftsansvariga, gör en noggrann avvägning mellan motstående intressen. Detta gäller särskilt registrerade som är barn. 7.5.3Civilsamhällesorganisationerna behöver kunna behandla även känsliga personuppgifter utan samtycke av den registrerade Behandling av känsliga personuppgifter är som utgångspunkt förbjuden. För att en civilsamhällesorganisation ska få behandla känsliga personuppgifter i ärenden om stöd till det civila samhället krävs därför att organisationen kan utföra sådan behandling med stöd av något av undantagen från detta förbud. Enligt dessa undantag får känsliga personuppgifter behandlas bl.a. om den registrerade har gett sitt samtycke till behandlingen eller om uppgifterna på ett tydligt sätt har offentliggjorts av den registrerade (artikel 9.2 a och e i dataskyddsförordningen). För stiftelser, föreningar eller andra icke vinstdrivande organ som har ett politiskt, filosofiskt, religiöst eller fackligt syfte gäller ett särskilt undantag från förbudet mot att behandla känsliga personuppgifter. Ett sådant organ får behandla känsliga personuppgifter direkt med stöd av dataskyddsförordningen förutsatt att behandlingen utförs inom ramen för en berättigad verksamhet med lämpliga skyddsåtgärder och enbart rör organets medlemmar eller tidigare medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta. Känsliga personuppgifter som behandlas på denna grund får dock inte lämnas ut utanför organet, om inte den registrerade har gett sitt samtycke till att uppgifterna lämnas ut (artikel 9.2 d i dataskyddsförordningen). Detta innebär t.ex. att känsliga personuppgifter som behandlas med stöd av detta undantag inte får lämnas från en organisation till ett beslutsorgan i ett ärende om stöd till det civila samhället, utan att de registrerade har gett sitt samtycke till det. För att en civilsamhällesorganisation ska kunna utföra nödvändig behandling av personuppgifter vid en prövning av en fråga om stöd kan organisationen dock behöva behandla känsliga personuppgifter även utan samtycke av den registrerade. Personuppgiftsbehandling i ärenden om stöd 7.5.4I vissa fall kan civilsamhällesorganisationer behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse Känsliga personuppgifter får, utan samtycke av den registrerade, behandlas om det är nödvändigt av hänsyn till ett viktigt allmänt intresse (artikel i dataskyddsförordningen). Vid behandling på denna grund krävs även att uppgifterna behandlas på grundval av unionsrätten eller medlemsstaternas nationella rätt. Detta innebär att behandling av känsliga personuppgifter med stöd av detta undantag typiskt sett har sin rättsliga grund i en rättslig förpliktelse alternativt en uppgift av allmänt intresse eller myndighetsutövning som har fastställts i svensk rätt (jfr artikel 6.1. c och e samt 6.3 i dataskyddsförordningen, se prop. 2017/18:105 s. 84). Uppgifter av allmänt intresse utförs främst av myndigheter. Även privata aktörer såsom civilsamhällesorganisationer kan dock utföra uppgifter av allmänt intresse på uppdrag av en myndighet eller på eget initiativ. Statligt reglerat stöd till civilsamhället riktar sig till organisationer som bedriver verksamheter inom en rad olika områden, däribland folkbildningen, folkhälsan och det sociala området samt ungdoms- och handikapporganisationer. Bland de organisationer som ansöker om och tar del av stöd finns därmed organisationer som utför uppgifter av allmänt intresse (jfr skäl 45 till dataskyddsförordningen). För att en organisation ska få behandla personuppgifter med hänvisning till en uppgift av allmänt intresse krävs dock, som vi har konstaterat ovan, även att uppgiften har fastställts i rättsordningen. Civilsamhällesorganisationer bedriver typiskt sett verksamheter på eget initiativ, utan att organisationerna enligt författning eller särskilt beslut har getts i uppdrag av det allmänna att utföra en viss uppgift. Organisationerna kan i sådana fall inte utföra behandling av personuppgifter med uppgift av allmänt intresse som rättslig grund. Detta innebär vidare att organisationerna inte heller kan behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse med hänvisning till att organisationen utför en uppgift av allmänt intresse. Även inom det civila samhället finns dock organisationer som utför uppgifter som har fastställts i svensk rätt. Detta gäller exempelvis den statsbidragsfinansierade folkbildningen som bedrivs av folk- Personuppgiftsbehandling i ärenden om stöd högskolor och studieförbund. Att folkhögskolor och studieförbund bedriver utbildnings-, bildnings- och kulturverksamhet framgår direkt av svensk författning (se 2 § förordningen om statsbidrag till folkbildningen). Anordnande och bedrivande av utbildning är en uppgift av såväl ett allmänt intresse som ett viktigt allmänt intresse. Folkhögskolorna och studieförbunden har alltså i uppdrag att utföra en uppgift av allmänt intresse som har fastställts i svensk rätt. Dessa organisationer kan därmed behandla personuppgifter, inklusive känsliga sådana, inom ramen för sin verksamhet förutsatt att behandlingen är nödvändig för t.ex. bedrivande av utbildningsverksamhet (prop. 2017/18:218 s. 102 ff. och 172 ff.). Kompletterande nationella bestämmelser som reglerar studieförbundens och folkhögskolornas behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse har i svensk rätt antagits på förordningsnivå (se t.ex. 17 a–d §§ förordningen om statsbidrag till folkbildningen). Merparten av civilsamhällets organisationer bedriver dock verksamheter utan uttryckligt uppdrag som har fastställts i rättsordningen. Dessa organisationer kan därmed inte behandla personuppgifter med stöd av denna rättsliga grund, även om organisationerna bedriver sådan verksamhet som innebär att de utför en uppgift av allmänt intresse. Behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse kan vidare vara nödvändig utifrån att en personuppgiftsansvarig ska fullgöra en rättslig förpliktelse som har fastställts i svensk rätt. Så kan t.ex. vara fallet för en civilsamhällesorganisation som har beviljats statligt reglerat stöd. För de organisationer som beviljas stöd ställs i många fall krav på att organisationen ska redovisa vissa uppgifter om hur medlen har använts till beslutsorganet. I vissa fall gäller även krav på att organisationer som ansöker om eller har beviljats stöd till beslutsorganet ska anmäla ändrade förhållanden som kan påverka rätten till eller storleken av stödet. Dessa bestämmelser syftar till att möjliggöra en kontroll av att utbetalda medel används till de ändamål som medlen har beviljats för och att säkerställa att statligt stöd inte betalas ut till organisationer som inte uppfyller villkoren för stöd. För stöd som omfattas av ett demokrativillkor kan sådana bestämmelser vidare syfta till att förhindra att allmänna medel tilldelas verksamheter som inte är förenliga med samhällets grundläggande värderingar. Personuppgiftsbehandling i ärenden om stöd I den mån en civilsamhällesorganisation omfattas av en i svensk rätt fastställd skyldighet att redovisa eller anmäla vissa uppgifter till ett beslutsorgan kan organisationen därmed, utan samtycke av den registrerade, utföra personuppgiftsbehandling med hänvisning till att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c och 6.3 i dataskyddsförordningen). Om det är nödvändigt för att fullgöra en sådan rättslig förpliktelsen, får en organisation även behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse. Sådan reglering gäller dock inte för alla former av statligt reglerat stöd och aktualiseras främst i förhållande till organisationer som redan har beviljats stöd. 7.5.5En civilsamhällesorganisations anspråk att få ta del av statligt stöd utgör ett rättsligt anspråk Begreppet rättsligt anspråk enligt dataskyddsförordningen Behandling av känsliga personuppgifter är tillåten om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet (artikel 9.2 f i dataskyddsförordningen). Sådan behandling kan utföras utan samtycke av den registrerade. Dataskyddsförordningen innehåller inte någon definition av begreppet rättsligt anspråk och frågan om vad som utgör ett rättsligt anspråk har inte heller prövats av . Det är därför inte helt klart vilka anspråk som omfattas. Begreppet rättsligt anspråk förekom även dataskyddsdirektiv2 och den numera upphävda personuppgiftlagen (1998:204). Enligt denna reglering fick känsliga personuppgifter behandlas om behandlingen var nödvändig för att rättsliga anspråk skulle kunna fastställas, göras gällande eller försvaras (se 16 § första stycket c personuppgiftslagen, jfr artikel 8.2 e i direktivet). Inte heller enligt den tidigare regleringen fanns det någon klar definition av vad som avsågs med ett rättsligt anspråk. Begreppet tolkades dock i svensk rätt så att det avsåg anspråk om vilka man kan föra talan i domstol eller ett domstolsliknande organ och som kan utkrävas av eller med 2Europaparlamentets och rådet direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Personuppgiftsbehandling i ärenden om stöd hjälp av statsmakterna, t.ex. (se och , Personuppgiftslagen – En kommentar [, ], kommentaren till 16 § första stycket c). Exempel på sådana anspråk som i svensk rätt har ansetts omfattas av begreppet är bl.a. förfaranden som innebär en prövning av ansökan om offentliga förmåner såsom ekonomiskt bistånd eller skatteavdrag (jfr SOU 1997:39 s. 376 ff. och prop. 2017/18:127 s. 25). Efter ikraftträdandet av dataskyddsförordningen har i två mål vid Förvaltningsrätten i yttrat att det av förordningen inte framkommer att den nuvarande undantagsbestämmelsen om rättsliga anspråk ska tolkas annorlunda jämfört med tidigare reglering. Myndigheten anser därmed att begreppet rättsligt anspråk, i avsaknad av vägledning från t.ex. , fortsatt ska tolkas i linje med vad som tidigare gällde enligt dataskyddsdirektiv och personuppgiftslagen (se Förvaltningsrätten i dom i mål nr 9379-19 och 9408-19). Bestämmelsen om behandling av känsliga personuppgifter med rättsligt anspråk som grund har dock getts en delvis annorlunda utformning i dataskyddsförordningen i jämförelse med tidigare bestämmelser dataskyddsdirektiv och personuppgiftslagen. Av bestämmelsens ordalydelse följer numera att känsliga personuppgifter får behandlas om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet. Därutöver innehåller skälen till dataskyddsförordningen, till skillnad från det tidigare direktivet, vissa klargöranden gällande begreppets innebörd. I skälen till förordningen anges bl.a. att behandling av känsliga personuppgifter bör tillåtas där så krävs för fastställande, utövande eller försvar av rättsliga anspråk, oavsett om detta sker inom ett domstolsförfarande eller inom ett administrativt eller ett utomrättsligt förfarande (skäl 52 till dataskyddsförordningen). Detta talar för en vidare tolkning av begreppet rättsligt anspråk än endast sådana anspråk som kan göras gällande genom ett domstolsförfarande (jfr Förvaltningsrätten i dom i mål nr 9379- 19och 9408-19). Begreppet rättsligt anspråk förekommer, utöver i bestämmelsen om behandling av känsliga personuppgifter, även i dataskyddsförordningens kapitel om den registrerades rättigheter (se artikel 17.3 e Personuppgiftsbehandling i ärenden om stöd gällande rätten att bli bortglömd, artikel 18.1 c och 18.2 gällande rätten till begränsning av behandling samt artikel 21.1 gällande rätten att göra invändningar). Därutöver förekommer begreppet i bestämmelserna om överföring av personuppgifter till tredjeländer eller internationella organisationer. Viss ledning gällande hur begreppet rättsligt anspråk ska tolkas vid behandling av känsliga personuppgifter kan därför hämtas utifrån hur begreppet har tolkats i övriga bestämmelser i förordningen. Enligt regleringen av överföring av personuppgifter till tredjeländer eller internationella organisationer får sådan överföring ske bl.a. om det är nödvändigt för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (artikel 49.1 e i dataskyddsförordningen). Av skälen till förordningen framgår att det under vissa omständigheter bör vara möjligt att överföra personuppgifter till tredjeländer eller internationella organisationer bl.a. när överföringen är nödvändig med hänsyn till ett rättsligt anspråk, oavsett om detta sker inom ett rättsligt förfarande eller i ett administrativt eller utomrättsligt förfarande, inbegripet förfaranden inför tillsynsorgan (se skäl 111 till dataskyddsförordningen). Europeiska dataskyddsstyrelsen har antagit riktlinjer gällande tolkningen av denna bestämmelse och uttalat att med rättsligt anspråk avses ett brett spektrum av verksamheter inom bl.a. rättsliga eller administrativa förfaranden, inbegripet förfaranden inför ett tillsynsorgan. Kombinationen av termerna rättsligt anspråk och förfarande innebär dock att det relevanta förfarandet måste ha en grund i lag och innefatta en formell, rättsligt definierad process. Eftersom behandlingen ska utföras inom ett förfarande krävs en nära koppling mellan behandlingen av uppgifter och ett specifikt förfarande när det gäller den aktuella situationen (se Europeiska dataskyddsstyrelsens riktlinjer 2/2018 för undantagen i artikel 49 enligt förordning 2016/679, antagna ). Ett rättsligt anspråk enligt dataskyddsförordningen kan därmed grunda sig på såväl författningsbestämmelser av offentligrättslig eller civilrättslig karaktär som myndighetsbeslut i enskilda fall (se , Dataskyddsförordningen [GDPR] m.m.– En kommentar [, ], kommentaren till artikel 49.1 e). Utöver anspråk inom ett domstolsförfarande omfattar alltså begreppet rättsligt anspråk även anspråk inom bl.a. ett administrativt förfarande. Vad som utgör ett administrativt förfarande definieras Personuppgiftsbehandling i ärenden om stöd inte i förordningen. Begreppet förekommer dock även i andra EU- och folkrättsliga akter som en benämning för olika förfaranden vid handläggningen av ärenden vid en stats nationella myndigheter. Begreppet administrativa förfaranden används även i vissa sammanhang för att avgränsa straffrättsliga förfaranden från andra offentligrättsliga förfaranden (se t.ex. och rådet direktiv (EU) 2016/343 av om förstärkning av vissa aspekter av oskuldspresumtionen och av rätten att närvara vid rättegången i straffrättsliga förfaranden och bilaga till lagen [2018:1197] om konvention om barnets rättigheter samt HFD 2015 ref. 20 och HFD 2015 ref. 31). En svensk förvaltningsmyndighets handläggning av ärenden, s.k. förvaltningsärenden, utgör därmed som utgångspunkt ett administrativt förfarande. En sådan tolkning är även i linje med andra språkversioner av dataskyddsförordningen. I den engelska och franska språkversionen av förordningen anges att begreppet rättsliga anspråk omfattar administrative procedure respektive procédure administrative. Enligt den tyska språkversionen omfattar begreppet Verwaltungsverfahren. I dataskyddsförordningen förekommer därutöver begreppet administrativt prövningsförfarande. Detta begrepp tar, till skillnad från det vidare begreppet administrativa förfaranden, tydligt sikte på ett prövningsförfarande som ger den registrerade en möjlighet att få ett klagomål prövat av ett, från den personuppgiftsansvarige, fristående offentligt organ (se artikel 77–79 i dataskyddsförordningen). Även detta talar för att begreppet administrativa förfaranden bör ges en vidare betydelse. En organisations anspråk på stöd utgör ett rättsligt anspråk Det saknas alltså tydlig vägledning gällande vilka anspråk som ska anses utgöra rättsliga anspråk enligt dataskyddsförordningen. En möjlig tolkning av begreppet är att endast anspråk om vilka man kan föra talan i domstol eller domstolsliknande organ ska omfattas. I ärenden om stöd till det civila samhället innebär en sådan tolkning att en civilsamhällesorganisations anspråk på statligt reglerat stöd utgör ett rättsligt anspråk enligt dataskyddsförordningen endast i frågor som kan överklagas till allmän förvaltningsdomstol (jfr SOU 2009:29 s. 187). Personuppgiftsbehandling i ärenden om stöd Vilka beslut i ärenden om statligt reglerat stöd till civilsamhället som kan överklagas har en nära koppling till frågan om i vilken mån beslut i dessa ärenden innebär en prövning av en civil rättighet. Denna fråga har varit föremål för prövning i som har bedömt att en prövning av om ett trossamfund är berättigat till stöd enligt lagen (1999:932) om stöd till trossamfund och en prövning av rätten till organisationsbidrag enligt förordningen (2008:63) om statsbidrag till organisationer bildade på etnisk grund innebär en prövning av en civil rättighet (se HFD 2011 ref. 10 och HFD 2016 ref. 49). Av denna praxis följer bl.a. att en prövning av en ansökan om statsbidrag som, enligt i författning fastställda kriterier, fördelas mellan samtliga sökande organisationer som uppfyller förutsättningarna för bidrag utgör en prövning av en civil rättighet. Sådana beslut kan överklagas och därmed bli föremål för en domstolsprövning. Generellt har även beslut i fråga om återkallelse eller återkrav av stöd ansetts innebära en prövning av en civil rättighet (se SOU 2018:18 s. 384 och SOU 2019:35 s. 437 f.). Många förordningar som reglerar stöd till det civila samhället innehåller dock fortsatt uttryckliga överklagandeförbud (se t.ex. 12 § förordningen [2000:7] om statsbidrag till handikapporganisationer och 12 § förordningen [2003:752] om statsbidrag till pensionärsorganisationer). I de fall ett ärende om stöd rör en fråga som kan överklagas till allmän förvaltningsdomstol finns det alltså ett tydligt stöd för slutsatsen att den berörda organisationen ska anses ha ett rättsligt anspråk. Det osäkra rättsläget gällande vilka beslut i ärenden om stöd till civilsamhället som kan överklagas medför dock att det är oklart vilka anspråk som kan bli föremål för domstolsprövning och därmed vilka anspråk, som enligt en snäv tolkning av begreppet, kan utgöra ett rättsligt anspråk. För att säkerställa att en sökande organisation har stöd för nödvändig behandling av känsliga personuppgifter skulle det därför i många fall krävas en alternativ grund för behandling av känsliga personuppgifter, t.ex. en rättslig förpliktelse för en sökande organisation att av hänsyn till ett viktigt allmänt intresse lämna vissa uppgifter till ett beslutsorgan. För sådan reglering gäller särskilda krav på bl.a. proportionalitet samt lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (jfr artikel 6.3 och i dataskyddsförordningen). Personuppgiftsbehandling i ärenden om stöd Enligt vår mening finns det dock goda argument för att begreppet rättsligt anspråk ska tolkas så att även förvaltningsrättsliga anspråk som inte kan bli föremål för domstolsprövning kan utgöra rättsliga anspråk enligt dataskyddsförordningen. Vi anser att såväl bestämmelsens ordalydelse som skälen till dataskyddsförordningen talar för att begreppet, enligt förordningen, ska tolkas vidare än den tidigare tolkningen av begreppet dataskyddsdirektiv och personuppgiftslagen. Det kan i detta sammanhang noteras att inte heller den tidigare regleringen innehöll någon tydlig definition av begreppet rättsligt anspråk och att det därmed inte heller var helt tydligt vilka anspråk som avsågs enligt den regleringen. Av skälen till dataskyddsförordningen framgår att behandling av känsliga personuppgifter bör vara tillåten för att fastställa, göra gällande eller försvara rättsliga anspråk, oavsett om detta sker inom ett domstolsförfarande eller inom ett administrativt förfarande. Förordningen anger inte att detta endast ska gälla inom sådana administrativa förfaranden som kan bli föremål för prövning i domstol och som kan utkrävas av eller med hjälp av statsmakterna. Den Europeiska dataskyddsstyrelsen har uttalat att begreppet rättsligt anspråk avser ett brett spektrum av verksamheter inom bl.a. rättsliga eller administrativa förfaranden. Dataskyddsstyrelsen har därmed gjort en vid tolkning av vilka förfaranden som kan omfattas av begreppet, i vart fall i samband med överföring av personuppgifter till tredjeländer eller internationella organisationer. Däremot innebär kombinationen av termerna rättsligt anspråk och förfarande, enligt dataskyddsstyrelsen, att det relevanta förfarandet måste ha en grund i lag och innefatta en formell, rättsligt definierad process. Eftersom behandlingen ska utföras inom ett förfarande krävs vidare en nära koppling mellan behandlingen av uppgifter och ett specifikt förfarande när det gäller den aktuella situationen. Enligt vår mening talar den Europeiska dataskyddsstyrelsens riktlinjer för att en parts anspråk inom ett förvaltningsrättsligt förfarande som innebär handläggning av ett enskilt ärende som utgångspunkt kan utgöra ett rättsligt anspråk enligt dataskyddsförordningen. Statligt reglerat stöd till civilsamhället utgör en offentligrättsligt reglerad förmån som, efter ansökan, kan tilldelas en organisation som uppfyller villkoren för stöd. Genom en ansökan förklarar en civilsamhällesorganisation att organisationen, utifrån vissa i rättsordningen reglerade villkor, gör anspråk på att få ta del av det sökta stödet. Personuppgiftsbehandling i ärenden om stöd