sou · H9B366 · 2021-08-10 00:00:00 — Vårt uppdrag är nära knutet till de förslag som lämnas i betänkandena Statens stöd till trossamfund i ett mångreligiöst (SOU 2018:18), En arvsfond i takt med tiden (SOU 2018:70) och Demokrativillkor för bidrag till civilsamhället (SOU 2019:35). Konsekvenserna av dessa förslag har analyserats i respektive betänkande, däribland konsekvenserna av ett införande av förtydligade demokrativillkor. De konsekvenser som vi nu analyserar avser endast de förslag som lämnas av oss i detta betänkande. I detta kapitel finns en redogörelse för de konsekvenser som våra förslag kan komma att innebära. De ekonomiska konsekvenserna av förslagen behandlas först. Därefter följer bedömningen av andra konsekvenser. 12.2.1Ekonomiska konsekvenser för det allmänna Vår bedömning: Förslagen bedöms inte leda till kostnadsökningar för det allmänna. Syftet med lagförslaget om personuppgiftsbehandling i ärenden om stöd till det civila samhället är i huvudsak att möjliggöra en ändamålsenlig behandling av personuppgifter i samband med tillämpning av demokrativillkor. Förslagen innebär inte några större förändringar av gällande dataskyddsreglering utan utgör främst förtydliganden. Förslagen bedöms inte medföra några ändrade arbetssätt hos beslutsorganen. Ny lagstiftning kan medföra ett behov av utbildning. Eftersom förslaget främst kompletterar nu gällande dataskyddsreglering bedöms behovet av utbildning dock vara begränsat och inte medföra några kostnader att beakta. Lagen förtydligar den reglering som gäller och bör därför göra behandlingen av känsliga personuppgifter enklare för beslutsorganen. Förslaget om en ny sekretessbestämmelse kan komma att medföra att beslutsorganen i större utsträckning behöver ta ställning till om allmänna handlingar ska lämnas ut eller inte. Detta kan i sin tur leda till fler avslagsbeslut som också kan komma att överklagas. Detta bedöms dock inte vara aktuellt i någon större utsträckning. Av den anledningen bör förslaget inte påverka vare sig beslutsorgan eller domstolar i någon utsträckning som inte är möjlig att hantera inom befintliga budgetramar. Förslagen om revisorsgranskning kan inledningsvis komma att medföra en del ökad administration hos beslutsorganen. När blanketter m.m. är framtagna bedöms detta dock minska. Sammantaget bedöms administrationen med anledning av förslagen i dessa delar inte öka mer än vad som är möjligt att hantera inom ramen för befintliga anslag. 12.2.2Ekonomiska konsekvenser för enskilda Vår bedömning: Förslaget om revisorsgranskning kan komma att medföra viss ekonomisk påverkan för civilsamhällesorganisationerna. Förslaget om revisorsgranskning innebär att fler civilsamhällesorganisationer och trossamfund kommer att behöva anlita en auktoriserad eller godkänd revisor. Beroende på organisationens storlek kan detta komma att medföra en ökad kostnad för organisationen. Om stödet beviljas bedöms förslagen dock inte medföra någon faktisk ökning av kostnaderna för organisationerna. Det kan i stället bli fråga om en mindre indirekt påverkan på organisationernas ekonomi då en del av stödet som beviljats kan komma att gå till kostnaderna för revisionen i stället för att kunna användas i verksamheten. Kostnaden för revisionen kan uppskattas till mellan och , beroende på organisationens storlek. Vår bedömning är att kostnaden kommer att vara större inledningsvis för att därefter minska när administrationen kring granskningen är på plats. Kostnaden kan framstå som kännbar för de mindre organisationerna, men vi bedömer att fördelarna med revisorsgranskning överväger. I övrigt bedöms förslagen inte medföra några ekonomiska konsekvenser för civilsamhällesorganisationer, trossamfund, företag eller andra enskilda. 12.3Konsekvenser för den personliga integriteten Vår bedömning: Förslagen stärker skyddet för den personliga integriteten vid handläggningen av ärenden om statligt reglerat stöd till civilsamhället. De förslag som vi lämnar i detta betänkande utgör olika former av åtgärder som samverkar och på olika sätt stärker skyddet för den personliga integriteten vid prövningen av ärenden om stöd till civilsamhället. Genom förslaget till en ny lag om personuppgiftsbehandling i vissa ärenden om stöd till civilsamhället möjliggörs en ändamålsenlig personuppgiftsbehandling vid beslutsorganens handläggning av ärenden om stöd som det säkerställs att dataskyddsförordningens1 krav på lämpliga och särskilda åtgärder till skydd för den registrerades grundläggande rättigheter och intressen efterlevs vid sådan behandling. En lag som innebär att en myndighet eller ett annat organ ges ytterligare möjligheter att behandla personuppgifter utöver vad som följer av dataskyddsförordningen och dataskyddslagen innebär en risk för den personliga integriteten. Utöver en viss utökning av möjligheten att behandla uppgifter om brott innebär vårt förslag dock ingen egentlig utökning av beslutsorganens möjligheter att behandla personuppgifter i dessa ärenden, utan innebär i stort ett tydliggörande av vad som gäller enligt dataskyddsförordningen. Lagen tydliggör ramarna för den behandling av personuppgifter som ett beslutsorgan får genomföra vid fullgörandet av en uppgift att fördela stöd, bl.a. när det gäller ändamålen med behandlingen, tillgången till personuppgifter och längsta tid för behandling. Införandet av en specifik reglering av personuppgiftsbehandling som tydliggör om och på vilket sätt en personuppgiftsansvarig får behandla personuppgifter kan i sig ses som en integritetshöjande åtgärd, eftersom det blir tydligt för enskilda vilka uppgifter som får behandlas och på vilka grunder. Detta innebär utökade möjligheter för enskilda att tillvarata sina rättigheter vid sådan behandling. Ärenden om stöd till det civila samhället handläggs av ett antal olika myndigheter och enskilda organ enligt ett stort antal olika regleringar. Genom vårt förslag föreslås en tydlig och enhetlig reglering av personuppgiftsbehandlingen i dessa ärenden, oberoende av vilket beslutsorgan som prövar ett ärende. Även detta innebär enligt vår bedömning ett förhöjt skydd för den personliga integriteten vid handläggningen av dessa ärenden. Förslaget innebär alltså endast en mycket begränsad utvidgning av vissa beslutsorgans möjligheter att behandla personuppgifter i ärenden om stöd. Däremot innebär förslaget i flera delar en begränsning av beslutsorganens möjligheter att utföra behandling av personuppgifter, eftersom förslaget bl.a. begränsar beslutsorganens 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (GDPR). behandling av känsliga personuppgifter och uppgifter om brott samt vilka sökningar som ett organ får utföra vid en sökning i personuppgifter. Förslaget har i dessa delar en integritetsskyddande effekt och förhindrar t.ex. att beslutsorganen utför sökningar i syfte att få fram ett urval av personer baserat på religiös övertygelse eller etniskt ursprung. Sammantaget innebär förslaget till en ny lag om personuppgiftsbehandling i vissa ärenden om stöd till civilsamhället ett förstärkt skydd för den personliga integriteten. Detta betänkande innehåller inte några förslag gällande utformningen av förtydligade demokrativillkor. Eventuella konsekvenser för den personliga integriteten vid ett införande av sådana villkor omfattas därmed inte av denna konsekvensanalys. I svensk rätt utgör bestämmelser om sekretess och tystnadsplikt en viktig del av det nationella skyddet för personuppgifter. Även förslaget om en ny bestämmelse om sekretess innebär alltså en förstärkning av skyddet för den personliga integriteten vid handläggningen av ärenden om stöd till det civila samhället. Den föreslagna sekretessbestämmelsen innebär en begränsning av allmänhetens möjlighet till insyn i beslutsorganens handläggning av dessa ärenden till förmån för skyddet för den personliga integriteten. Genom förslaget utökas sekretessregleringen för uppgifter om enskildas personliga förhållanden, vilket innebär att fler uppgifter kommer att omfattas av sekretess än vad som gäller enligt nuvarande reglering. Bestämmelsen minskar därigenom risken för spridning av sådana integritetskänsliga uppgifter som kan förekomma i dessa ärenden. Förslaget har därmed tydligt integritetshöjande effekter. Vidare innebär även förslagen om revisorsgranskning av en civilsamhällesorganisations uppgifter om medlemmar ett utökat skydd för den personliga integriteten vid prövningen av dessa ärenden. Förslagen kommer att innebära att beslutsorganen i de flesta fall inte kommer att behandla uppgifter om medlemmar i civilsamhällesorganisationer. Detta innebär också att det allmänna inte tar del av uppgifter om medlemmar och uppgifterna blir inte heller del av allmänna handlingar. Vår bedömning: Förslagen förväntas inte få några andra konsekvenser. Vi bedömer att förslagen inte får några konsekvenser för regioner eller kommuner och påverkar inte heller det kommunala självstyret. Kravet på revisorsgranskning kan komma att medföra ett ökat behov av revisorer vilket då bör medföra positiva effekter för sysselsättningen. I övrigt bedöms förslagen inte påverka offentlig service i olika delar av landet. Inte heller små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag bör påverkas av förslagen. Förslagen förväntas inte heller få några konsekvenser för brottsligheten, det brottsförebyggande arbetet, jämställdheten, integrationen eller miljön. Enligt vår bedömning kommer förslagen, utöver vad som angetts i detta kapitel, inte att få några andra konsekvenser som anges i 14–15 a §§ kommittéförordningen. Vi har i utformningen av förslagen tagit hänsyn till regeringsformen, , , internationella åtaganden samt de åtaganden som följer av anslutning till Europeiska unionen. Vi bedömer att förslagen är förenliga med dessa. 13.1Förslag till lag (2022:000) om personuppgiftsbehandling i vissa ärenden om stöd till civilsamhället 1 § Syftet med denna lag är att ge myndigheter och andra organ som har till uppgift att fördela statligt reglerat stöd till civilsamhället möjlighet att inom sådan verksamhet behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Paragrafen klargör det övergripande syftet med lagen. Överväganden finns i avsnitt 8.3.2. Syftet med lagen är dubbelt. Den syftar för det första till att göra det möjligt för de myndigheter och enskilda organ som fördelar statligt reglerat stöd till civilsamhället att behandla personuppgifter på ett ändamålsenligt sätt inom sådan verksamhet. Med begreppet uppgift att fördela stöd avses hela ärendeprocessen från att en ansökan kommer in till ett beslutsorgan till beslut i fråga om en organisation ska få ta del av ett visst stöd och i så fall med vilket belopp. I många fall följer beslutsorganen även upp hur utbetalda medel har nyttjats. I vissa ärenden kan det vidare komma att bli fråga om en efterkommande process gällande återkallelse eller återkrav av stöd. I de allra flesta stödärenden handläggs alla frågor om stöd av ett och samma beslutsorgan. I vissa frågor har dock beslutsprocessen delats upp mellan olika beslutsorgan och ett stödärende kan därför komma att handläggas av mer än ett organ. Detta gäller t.ex. ärenden om stöd enligt lagen (2021:401) om Allmänna arvsfonden. Stöd ur Allmänna arvsfonden fördelas av Arvsfondsdelegationen. För det fall Arvs- fondsdelegationen anser att en organisation bör betala tillbaka stöd ur arvsfonden, ska delegationen överlämna ärendet till Kammarkollegiet som beslutar i frågor om återkrav och återbetalningsskyldighet (se 2 kap. 1 och 14 §§ lagen om Allmänna arvsfonden). Lagen syftar till att möjliggöra ändamålsenlig personuppgiftbehandling under alla steg av handläggningen av ett ärende om stöd, även i de fall ett ärende handläggs av mer än ett beslutsorgan. För det andra syftar lagen till att skydda människor, dvs. fysiska personer, mot att deras personliga integritet kränks vid beslutsorganens behandling av personuppgifter vid handläggningen av ärenden om stöd. I detta ligger att lagen syftar till att säkerställa en lämplig balans mellan beslutsorganens behov av att kunna behandla personuppgifter i ärenden om stöd och skyddet för den personliga integriteten. För en närmare förklaring av begreppen statligt reglerat stöd och civilsamhället, se kommentaren till 2 § nedan. 2 § Denna lag gäller vid behandling av personuppgifter i verksamhet med handläggning av ärenden om statligt reglerat stöd till civilsamhället som omfattas av ett demokrativillkor. Paragrafen anger lagens tillämpningsområde. Förslaget behandlas i avsnitt 8.3.3. Lagen ska tillämpas vid sådan behandling av personuppgifter som omfattas av dataskyddsförordningens1 reglering. Lagen är därmed tillämplig vid behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (se artikel 2.1 i dataskyddsförordningen). Begreppen personuppgifter och behandling ska ha samma innebörd som enligt dataskyddsförordningen (se artikel 4.1 och 4.2). Begreppet statligt reglerat stöd är ett vitt begrepp som främst omfattar de olika statsbidrag som med stöd av lag eller förordning 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (GDPR). fördelas till civilsamhällets organisationer. Begreppet omfattar förutom rena statsbidrag även t.ex. medel ur Allmänna arvsfonden som fördelas till civilsamhället och vissa andra former av stöd såsom beslut om statlig avgiftshjälp till trossamfund enligt lagen (1998:1593) om trossamfund. Utanför lagens tillämpningsområde faller annat än statligt reglerat stöd, t.ex. kommunalt och regionalt stöd till det civila samhället. Lagen ska tillämpas i verksamhet med handläggning av ärenden om statligt reglerat stöd till civilsamhället som omfattas av ett demokrativillkor och är tillämplig vid samtliga organ som har till uppgift att fördela sådant stöd, dock endast i den del organets verksamhet består av handläggning av ärenden om stöd. Med civilsamhället avses organisationer inom den ”arena, skild från staten, marknaden och det enskilda hushållet, där människor, grupper och organisationer agerar tillsammans för gemensamma intressen” (jfr prop. 2009/10:55 s. 28). Det civila samhället består i stor utsträckning av ideella föreningar, men innefattar även andra organisationer och sammanslutningar såsom t.ex. trossamfund, ekonomiska föreningar och samfällighetsföreningar. Begreppet demokrativillkor syftar på sådana stödvillkor som ställer krav på att en organisation, för att kunna tilldelas stöd, ska vara demokratiskt uppbyggd, ha ett syfte som är förenligt med de värderingar som präglar ett demokratiskt samhälle och i sin verksamhet respektera grundläggande demokratiska värderingar (jfr prop. 2009/10:55 s. 148). Förutsatt att det är fråga om handläggning av ett stödärende som omfattas av ett demokrativillkor är lagen dock tillämplig på all behandling av personuppgifter i ärendet, oavsett om personuppgifterna har koppling till ett demokrativillkor eller något annat villkor för stöd. Förhållandet till annan reglering 3 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Förslaget behandlas i avsnitt 8.3.4. Av paragrafen framgår att lagen utgör ett komplement till dataskyddsförordningen som är direkt tillämplig i svensk rätt och ska tillämpas av enskilda och myndigheter på samma sätt som om den vore lag antagen av riksdag. I vissa avseenden förutsätter eller tillåter förordningen dock kompletterande nationella bestämmelser i form av preciseringar eller undantag, såsom de bestämmelser som föreslås i denna lag. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. den avser förordningen i dess gällande lydelse. 4 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Förslaget behandlas i avsnitt 8.3.4. Paragrafen upplyser om hur lagen förhåller sig till lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Dataskyddslagen innehåller generella bestämmelser som kompletterar dataskyddsförordningen. Av paragrafen framgår att dataskyddslagen är subsidiär i förhållande till den föreslagna lagen. Det innebär att dataskyddslagens bestämmelser endast gäller om inte annat föreskrivs i denna lag eller föreskrifter som har meddelats i anslutning till lagen. 5 § En myndighet eller annat organ som har till uppgift att fördela statligt reglerat stöd till civilsamhället är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten eller organet utför inom en sådan verksamhet. Paragrafen reglerar personuppgiftsansvaret vid behandling av personuppgifter som utförs i verksamhet med att fördela statligt reglerat stöd till civilsamhället. Överväganden finns i avsnitt 8.3.5. Paragrafen anger att en myndighet eller annat organ som har till uppgift att fördela statligt reglerat stöd till civilsamhället är person- uppgiftsansvarig för den behandling av personuppgifter som myndigheten eller organet utför inom en sådan verksamhet. Ett beslutsorgan ansvarar därmed för att den behandling som organet utför vid fullgörandet av en uppgift att fördela stöd till det civila samhället utförs i enlighet med gällande dataskyddsreglering. För en närmare beskrivning av vad som avses med uppgift att fördela, statligt reglerat stöd och civilsamhället, se kommentarerna till 1 och 2 §§ ovan. 6 § Personuppgifter får behandlas om det är nödvändigt för handläggningen av ett ärende om stöd. Bestämmelsen anger ändamålet för behandling av personuppgifter som faller inom lagens tillämpningsområde. Förslaget behandlas i avsnitt 8.3.6. Paragrafen sätter ramarna för beslutsorganens behandling av personuppgifter i ärenden om stöd till det civila samhället. Enligt bestämmelsen får behandlingen inte gå utöver vad som är nödvändigt för handläggningen av ett ärende om stöd. Det ska alltså finnas ett direkt samband mellan ett beslutsorgans behandling av personuppgifter och den rättsliga grunden, dvs. organets uppgift att fördela stöd. Kravet på nödvändighet ska dock inte tolkas som ett krav på att det ska vara omöjligt att utföra en viss uppgift utan att utföra en viss behandlingsåtgärd. En viss behandling av personuppgifter kan exempelvis anses vara nödvändig med hänsyn till att den leder till effektivitetsvinster, även om behandlingen inte är en förutsättning för att uppnå syftet med behandlingen. I kravet på nödvändighet ligger dock att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att uppgifterna anonymiseras. 7 § Tillgången till personuppgifter ska begränsas till det som varje anställd eller uppdragstagare behöver för att kunna fullgöra sina arbetsuppgifter. Förslaget behandlas i avsnitt 8.3.7. Bestämmelsen klargör att varje beslutsorgan har ett ansvar att vidta lämpliga tekniska och organisatoriska åtgärder för att begränsa tillgången till personuppgifter. Syftet med bestämmelsen är att förstärka skyddet för den personliga integriteten genom att begränsa den krets av personer som får tillgång till de personuppgifter som behandlas vid ett beslutsorgan. Det är vilka arbetsuppgifter den enskilde medarbetaren har som ska vara styrande för vilka personuppgifter som han eller hon ska få tillgång till. Det är beslutsorganens skyldighet att säkerställa att personuppgifter inte sprids utanför den krets av personer som behöver ha tillgång till dessa för att kunna utföra sina arbetsuppgifter. Detta ansvar gäller vid personuppgiftsbehandling som utförs av såväl organets egna anställda som eventuella uppdragstagare som medverkar vid handläggningen av ärenden om stöd. Behandling av personuppgifter som rör lagöverträdelser och känsliga personuppgifter 8 § Ett enskilt organ som har till uppgift att fördela statligt reglerat stöd till civilsamhället får behandla uppgifter som avses i artikel 10 i EU:s dataskyddsförordning (uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott). Att en myndighet som har till uppgift att fördela statligt reglerat stöd till civilsamhället får behandla uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott framgår av artikel 10 i EU:s dataskyddsförordning och 3 kap. 8 § dataskyddslagen. Paragrafen reglerar beslutsorganens rätt att behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen. Överväganden finns i avsnitt 8.3.8. I första stycket föreskrivs att ett enskilt organ som har till uppgift att fördela statligt reglerat stöd till civilsamhället får behandla sådana personuppgifter som avses i artikel 10, dvs. personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder (i detta betänkande benämnda uppgifter om brott). Bestämmelsen innebär att även från staten fristående beslutsorgan, med stöd av svensk rätt, får behandla uppgifter om brott. I andra stycket förtydligas att även de myndigheter som handlägger ärenden om statligt reglerat stöd till civilsamhället har rätt att behandla uppgifter om brott. Bestämmelsen är i denna del en upplysning om vad som gäller enligt dataskyddsförordningen och dataskyddslagen. 9 § En myndighet eller annat organ som anges i 8 § får behandla personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) och uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott, endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Paragrafen reglerar när ett beslutsorgan får behandla känsliga personuppgifter med stöd av artikel i dataskyddförordningen och när organen får behandla uppgifter om brott. Överväganden finns i avsnitt 8.3.9. De särskilda kategorier av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning (känsliga personuppgifter). Sådana personuppgifter och uppgifter om brott får behandlas endast om de har lämnats i ett ärende om stöd eller är nödvändiga för handläggningen av det, t.ex. vid en prövning av ett demokrativillkor. Vilka uppgifter som är nödvändiga för handläggningen av ett visst ärende avgörs av beslutsorganet utifrån omständigheterna i det enskilda ärendet. För en närmare beskrivning av nödvändighetskravet, se kommentaren till 6 § ovan. 10 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Paragrafen föreskriver ett förbud mot vissa integritetskänsliga sökningar. Förslaget behandlas i avsnitt 8.3.10.