bet · H901KU28 · 2022-04-11 00:00:00 — har vid behandlingen av ämbetsberättelsen återkommande understrukit betydelsen av att myndigheter och kommuner fullgör sina skyldigheter enligt offentlighetsprincipen på ett korrekt sätt och i överensstämmelse med gällande regelverk, se bl.a. betänkandena /20:KU11 och 2021/22:KU11. Offentlighetsprincipen och EU:s dataskyddsförordning Dataskyddsförordningen utgör den generella regleringen av personuppgiftsbehandlingen inom EU. Förordningen är direkt tillämplig i medlemsstaterna men innehåller många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Dataskyddsförordningen hindrar inte att personuppgifter i allmänna handlingar lämnas ut för att myndigheter ska kunna uppfylla skyldigheten att lämna ut allmänna handlingar enligt offentlighetsprincipen. Om myndigheten väljer att lämna ut allmänna handlingar digitalt krävs dock att reglerna i dataskyddsförordningen följs. Känsliga personuppgifter som lämnas ut på detta sätt måste t.ex. skyddas genom lämpliga säkerhetsåtgärder. I lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) finns kompletterande bestämmelser till dataskyddsförordningen. I dataskyddslagen anges att dataskyddsförordningen och dataskyddslagen inte ska tillämpas om det skulle strida mot TF eller YGL. är tillsynsmyndighet enligt bl.a. dataskyddsförordningen och dataskyddslagen (2 a § förordningen [2007:975] med instruktion för ). Tillkännagivande om inskränkningar i meddelarfriheten och sekretess vid regeringens förhandlingar om EU-rättsakter m.m. har gett regeringen till känna att den bör redogöra för hur den avser att följa utvecklingen när det gäller inskränkningar i meddelarfriheten och sekretessbestämmelsernas utformning samt hur den svenska meddelarfriheten ska uppmärksammas i samband med förhandlingar om EU-rättsakter. Av tillkännagivandet följer även att regeringen bör redovisa noggranna överväganden i fråga om inskränkningar av meddelarfriheten och sekretessbestämmelsers utformning (rskr. 2012/13:77, bet. 2012/13:SkU8 punkt 5 c och yttr. 2012/13:KU3y). I avsnitt 15 i regeringens proposition 2016/17:208 Några frågor om offentlighet och sekretess redogörs för regeringens arbete i avseenden som nämnts ovan. Det anförs att regeringen i förhandlingsarbetet i EU prioriterar arbetet med att verka för att den sekretessreglering som följer av unionens rättsakter inte medför större inskränkningar i offentlighetsprincipen och meddelarfriheten än vad som är motiverat med hänsyn till uppgifternas karaktär och när man beaktar allmänhetens och mediernas intresse av insyn. Enligt regeringen har detta arbete i stor utsträckning varit framgångsrikt och i de allra flesta fall inneburit att de krav på sekretess som följer av unionsrätten i allt väsentligt har kunnat genomföras i nationell rätt i enlighet med de principer och enligt den systematik som den svenska offentlighets- och sekretessregleringen bygger på. Regeringen anför att i samtliga frågor som rör EU, vilket inkluderar EU-rättsliga ärenden och ärenden om svenska lagar och förordningar med anknytning till , sker samråd med för samordning av EU-frågor. Regeringen menar att det horisontella perspektiv som finns hos kansliet bidrar till en konsekvent hållning från regeringen i olika förhandlingsarbeten. Regeringen anger att frågor som kan påverka svensk grundlagsreglering, som offentlighetsprincipen och rätten att meddela och offentliggöra uppgifter, också bereds med grundlagsenhet som ansvarar för TF och den svenska sekretesslagstiftningen. När det gäller förhandlingar inom ramen för EU-samarbetet anges i propositionen att ska lämna en promemoria till inför en förhandling om ett förslag till lagstiftningsakt i Europeiska unionens råd och . I promemorian ska det bl.a. göras en inledande analys av vilka effekter förslaget kan komma att få på svensk grundlag och sekretesslagstiftning. Regeringen anför att det inför varje förhandlingstillfälle görs en analys inom av vilken påverkan förslaget kan få på den svenska offentlighetsprincipen och sekretessregleringen, inbegripet meddelarskyddet, i samband med att det ansvariga departementet tar fram en instruktion för den svenska förhandlingsdelegationens handlingslinje. Regeringens inställning är att förhandlingsarbetet ska bedrivas i en öppenhetsvänlig riktning, och bestämmelser som kan påverka svensk offentlighetsprincip och meddelarfrihet prioriteras i förhandlingarna. Regeringen anför att den arbetar aktivt och på flera plan för en ökad öppenhet inom EU. Regeringen anser att det är av stor vikt att upprätthålla principerna om största möjliga öppenhet i i och rådets förordning (EG) nr 1049/2001 av om allmänhetens tillgång till , rådets och kommissionens handlingar (öppenhetsförordningen). Regeringen anger att den bevakar att förordningens regler beaktas vid utformningen av bestämmelser om sekretess i nya rättsakter och att öppenhetsförordningen i största möjliga utsträckning görs tillämplig på handlingar som finns hos EU-organ och EU-byråer genom hänvisningar till förordningen i de särskilda EU-förordningar som gäller specifikt för dessa organ och byråer. Vidare anges att regeringen aktivt bevakar mål i EU:s domstolar som rör frågor om utlämnande av handlingar från EU:s institutioner och EU-organ och EU-byråer samt att ofta intervenerar i den typen av mål för att få till stånd en öppenhetsvänlig tolkning av olika principfrågor. Enligt regeringen verkar också konsekvent i rådets arbetsgrupp för informationsfrågor för att rådets tillämpning av EU:s öppenhetsförordning ska leda till största möjliga transparens när frågor om utlämnande av rådets handlingar prövas. Detta anges även ha varit regeringens hållning i förhandlingsarbetet i fråga om en revidering av öppenhetsförordningen. Utskottet har ställt sig bakom de överväganden som görs i propositionen och har välkomnat regeringens arbete med offentlighet och sekretess i EU-samarbetet (bet. 2017/18:KU3 s. 28, rskr. 2017/18:37). Tillkännagivandet anses vara slutbehandlat (skr. 2017/18:75 s. 8). Årlig skrivelse om verksamheten i EU Regeringen redovisar i en skrivelse till verksamheten i EU (jfr 9 kap. 21 § riksdagsordningen). överlämnade regeringen skrivelsen Verksamheten i Europeiska unionen (skr. 2021/22:115) till . I skrivelsen redogör regeringen bl.a. för sitt arbete med öppenhet och insyn i EU (s. 136). Det framhålls t.ex. att regeringen bevakar samtliga mål vid och tribunalen som anknyter till allmänhetens tillgång till handlingar. Vidare fortsatte att agera i de mål om öppenhet och insyn där redan tidigare varit aktivt, och ansökte även om intervention och lämnade in en interventionsinlaga i ett nytt mål vid tribunalen. Målet rör en talan om ogiltigförklaring av rådets beslut att inte bevilja tillgång till arbetsdokument från rådets generalsekretariat till en arbetsgrupp (T-163/21 De Capitani mot rådet [2021/331]). Det är av yttersta vikt att offentlighetsprincipen upprätthålls och att öppenhet och insyn värnas både nationellt och inom EU. Utskottet finner dock inte skäl att föreslå någon åtgärd med anledning av det som anförs i motionen. Myndigheters handel med personuppgifter Utskottets förslag i korthet avslår motioner om myndigheters handel med personuppgifter. (S) begär i motion 2021/22:959 ett tillkännagivande om att stärka individens skydd mot att myndigheter offentliggör och säljer personuppgifter för användning i kommersiella syften. Motionären menar att individens skydd bör stärkas exempelvis genom att individen måste ge sitt medgivande till att personuppgifter lämnas ut eller säljs vidare av myndigheten. (KD) begär i motion 2021/22:17 ett tillkännagivande om förändrade riktlinjer och förordningar i syfte att begränsa myndigheters möjligheter att offentliggöra och sälja personuppgifter. Enligt motionären bör myndigheternas offentliggörande och försäljning av personuppgifter ske mer restriktivt och förslagsvis endast till allmännyttiga applikationer, såsom t.ex. till adressregister. Vidare bör personuppgifter endast få offentliggöras eller säljas om den enskilde informerats om behandlingen och gett sitt samtycke till den. Myndigheter är personuppgiftsansvariga för behandling av personuppgifter som sker i respektive myndighets verksamhet. Vid behandling av personuppgifter måste myndigheter följa flera regelverk, såsom dataskyddsförordningen, dataskyddslagen och sektorsspecifik registerförfattning. Offentlighetsprincipen innebär att allmänheten och massmedierna ska ha insyn i den offentliga förvaltningen hos staten och kommunerna och i viss enskilt bedriven verksamhet som innefattar offentliga förvaltningsuppgifter. Offentlighetsprincipen kommer till uttryck på olika sätt, exempelvis genom yttrande- och meddelarfrihet för tjänstemän, genom domstolsoffentlighet och genom offentlighet vid beslutande församlingars sammanträden. När det mer allmänt talas om offentlighetsprincipen åsyftas dock i första hand reglerna om allmänna handlingars offentlighet i TF. Av 2 kap. 1 § TF följer att var och en ska ha rätt att ta del av allmänna handlingar. Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § TF begränsas endast om det krävs med hänsyn till vissa intressen, bl.a. skyddet för en enskilds personliga eller ekonomiska förhållanden. Som redan har nämnts i betänkandets inledning ska varje inskränkning i rätten att ta del av allmänna handlingar enligt TF anges noga i en särskild lag. Offentlighetsprincipen anses vara en hörnsten i demokratiska statsskick. Syftet med rätten att ta del av allmänna handlingar är, som det uttrycks i 2 kap. 1 § TF, att främja ett fritt meningsutbyte och en allsidig upplysning. Genom tillgången till allmänna handlingar underlättas en fri åsiktsbildning, en fri och på fakta grundad debatt i skilda samhällsfrågor och en medborgerlig kontroll av den offentliga maktutövningen. Dataskyddsförordningen hindrar inte att personuppgifter i allmänna handlingar lämnas ut för att myndigheter ska kunna uppfylla skyldigheten att lämna ut allmänna handlingar enligt offentlighetsprincipen. Om myndigheten väljer att lämna ut allmänna handlingar digitalt krävs dock att reglerna i dataskyddsförordningen följs. Känsliga personuppgifter som lämnas ut på detta sätt måste t.ex. skyddas genom lämpliga säkerhetsåtgärder. Rätten att ta del av allmänna handlingar gäller inte om handlingarna innehåller uppgifter som omfattas av sekretess. Enligt 21 kap. 7 § OSL gäller sekretess för personuppgifter om det kan antas att den som begär ut personuppgifterna kommer att behandla dem på ett sätt som strider mot dataskyddsförordningen. och rådet antog direktivet 2003/98/EG om vidareutnyttjande av information från den offentliga sektorn, det s.k. PSI-direktivet. Direktivet innehåller en uppsättning minimiregler för vidareutnyttjande av handlingar som finns hos offentliga myndigheter. PSI-direktivet genomfördes i genom lagen (2010:566) om vidareutnyttjande av handlingar från den offentliga förvaltningen (PSI-lagen). PSI-direktivet har ändrats genom och rådets direktiv /37/EU av om ändring av direktiv /98/EG om vidareutnyttjande av information från den offentliga sektorn, det s.k. ändringsdirektivet. Ändringsdirektivet har genomförts genom ändringar i PSI-lagen. Lagändringarna trädde i kraft . PSI-direktivet, liksom ändringsdirektivet, syftar till att göra offentlig information mer tillgänglig. Det innebär bl.a. att olika aktörer i samhället ska kunna använda offentlig information för att skapa nya produkter och tjänster. Genom ändringsdirektivet har förutsättningarna för enskilda att vidareutnyttja myndigheternas informationsresurser för kommersiella och icke kommersiella ändamål underlättats. PSI-lagen syftar till att främja utvecklingen av en informationsmarknad genom att underlätta medborgarnas och företagens användning av handlingar som tillhandahålls av myndigheter. Lagen innehåller bestämmelser om villkor för att få vidareutnyttja handlingar som finns hos myndigheter och vissa andra organ (2 § andra stycket PSI-lagen). Med vidareutnyttjande menas användning av handlingar för andra ändamål än vad de var avsedda för från början. Lagen innehåller bestämmelser som avser att förhindra att myndigheter beslutar om sådana villkor för hur handlingar får användas som begränsar konkurrensen. Myndigheterna är enligt PSI-lagen skyldiga att publicera en förteckning över vilka typer av handlingar de vanligen tillhandahåller elektroniskt (11 § andra stycket). För handlingar som omfattas av PSI-lagen finns även bestämmelser om avgiftstak, relevanta och icke-diskriminerande villkor samt förbud för myndigheter att gynna sin egen affärsverksamhet och mot att bevilja någon en exklusiv rätt att vidareutnyttja handlingar. Myndigheter ska vidare informera om avgifter och andra villkor för vidareutnyttjande. En begäran om vidareutnyttjande ska behandlas skyndsamt. och rådet antog direktiv (EU) 2019/1024 om öppna data och vidareutnyttjande av information från den offentliga sektorn, det s.k. öppna data-direktivet. Öppna data-direktivet är en omarbetning av PSI-direktivet som nämnts ovan men innehåller några väsentliga förändringar bl.a. när det gäller tillämpningsområdet och formatkrav vid tillgängliggörande av olika slag av information. När det gäller tillämpningsområdet som framgår av kapitel I är en nyhet i öppna data-direktivet att universitet och högskolor samt vissa offentliga företag även omfattas. En ytterligare nyhet är att vissa forskningsdata omfattas av tillämpningsområdet. Kapitel II i öppna data-direktivet innehåller bestämmelser om handläggning av en begäran om vidareutnyttjande och vad som gäller i fråga om överklagande av ett beslut. Bestämmelserna överensstämmer i allt väsentligt med regleringen i PSI-direktivet. Kapitel III innehåller bestämmelser om villkor för vidareutnyttjande. Här finns nya bestämmelser om dynamiska data och värdefulla datamängder och i vilka format dessa ska tillgängliggöras. När det gäller avgiftsprinciper införs en huvudregel om att vidareutnyttjande ska vara avgiftsfritt. I likhet med vad som anges i PSI-direktivet kvarstår dock en möjlighet att ta ut avgift enligt marginalkostnadsprincipen eller enligt principen om full kostnadstäckning. Kravet på avgiftsfrihet gäller i praktiken endast forskningsdata och värdefulla datamängder. Kapitel IV i öppna data-direktivet innehåller bestämmelser om icke-diskriminering och konkurrens. Bestämmelserna överensstämmer i huvudsak med PSI-direktivet. En nyhet är dock att regleringen även omfattar rättsliga och praktiska arrangemang som inte uttryckligen upplåter en exklusiv rätt men som ändå får den effekten genom att tillgången till information begränsas för andra vidareutnyttjare. Kapitel V innehåller helt nya bestämmelser om tillgängliggörande av värdefulla datamängder. Vilka datamängder som avses beslutas av kommissionen i en genomförandeakt. I syfte att genomföra öppna data-direktivet i svensk rätt beslutade regeringen om lagrådsremissen Den offentliga sektorns tillgängliggörande av data. Lagrådsremissen innehåller förslag på en ny lag om den offentliga sektorns tillgängliggörande av data som föreslås ersätta den s.k. PSI-lagen. Den nya lagen, som föreslås träda i kraft , ska gälla när en myndighet, ett organ som jämställs med en myndighet eller ett offentligt företag tillgängliggör data för vidareutnyttjande. Av första paragrafen framgår att lagen syftar till att främja den offentliga sektorns tillgängliggörande av data för vidareutnyttjande, särskilt i form av öppna data, under förutsättning att krav på informationssäkerhet och skydd av personuppgifter kan upprätthållas och att det inte innebär risker för säkerhet. I andra paragrafen anges bl.a. vidare att lagen inte ska påverka bestämmelser i någon annan lag eller förordning om skyddet av personuppgifter. I sina överväganden anför regeringen bl.a. följande (s. 15 f.). Erfarenheterna av PSI-lagen visar att den har haft ett relativt svagt genomslag i den offentliga förvaltningen och att kunskapen om lagen är begränsad. Flera aktörer i den offentliga förvaltningen upplever att lagen är otydlig eller att dess innehåll i praktiken inte berör dem. Lagstiftarens ambitioner med PSI-lagen har alltså inte i tillräcklig utsträckning förverkligats när det gäller den offentliga förvaltningens arbete med att tillgängliggöra information för vidareutnyttjande. Öppna data-direktivet innehåller ett antal väsentliga förändringar jämfört med PSI-direktivet. Det införs helt nya bestämmelser om forskningsdata, dynamiska data och värdefulla datamängder, och tillämpningsområdet utvidgas till att bl.a. omfatta vissa offentliga företag. Det utvidgade tillämpningsområdet medför behov av en ny lagteknisk lösning jämfört med PSI-lagen. Det finns också behov av att anpassa och modernisera den svenska lagstiftningen så att den bättre överensstämmer med direktivets reglering. Öppna data-direktivet är ett s.k. minimiharmoniseringsdirektiv. Det innebär att medlemsstaterna kan införa strängare regler än vad som krävs i direktivet. Regeringens utgångspunkt vid genomförandet av direktivet är att den nationella regleringen i största möjliga utsträckning bör spegla direktivet och inte gå utöver det. Det bör därför inte införas några ytterligare skyldigheter när det gäller tillgängliggörande av data för vidareutnyttjande än de som föreskrivs i direktivet. Utskottet har tidigare, , avstyrkt motionsyrkanden med samma eller liknande innehåll (bet. 2014/15:KU15, bet. 2018/19:KU26 och bet. 2020/21:KU19). Utskottet har i samband med detta uttalat att den befintliga regleringen av offentlighetsprincipen och förutsättningarna för att hindra ett utlämnande av uppgifter på grund av sekretess är lämpligt avvägda. Utskottet vidhåller sitt tidigare ställningstagande och finner inte skäl att ta sådana initiativ som efterfrågas i motionerna. Personlig integritet och konsumentskydd Utskottets förslag i korthet avslår motioner om personlig integritet och konsumentskydd. Jämför reservation 3 (L). I kommittémotion 2021/22:4000 yrkande 19 av m.fl. (L) begärs att konsumenters integritetsskydd vid köp på internet förstärks. Motionärerna menar att den växande näthandeln innebär att konsumenter lämnar ifrån sig alltmer uppgifter om sig själva och sina konsumtionsmönster, och att dessa uppgifter säljs vidare till andra företag på ett sätt som är omöjligt för individen att överblicka. Enligt motionärerna behöver skyddet stärkas t.ex. i fråga om vilken typ av uppgifter företagen får spara och hur länge uppgifterna får sparas innan ett nytt samtycke måste inhämtas från den enskilde. Konsumenter bör även få bättre möjligheter att få sina uppgifter raderade. Enligt motionärerna finns det också ett behov av att förbättra konsumentskyddet för barn och skyddet mot marknadsföring riktad till barn på internet. I kommittémotion 2021/22:3996 yrkande 20 av m.fl. (L) begärs ett tillkännagivande om ett stärkt skydd för den personliga integriteten på internet. Enligt motionärerna är det viktigt att värna individens privatliv och integritet t.ex. genom att följa upp lagar och regler som inskränker den enskildes rätt till sina personuppgifter på internet. Vidare bör enligt motionärerna alla nya lagförslag i EU analyseras ur ett integritetsperspektiv och åtgärder på internet som syftar till att bekämpa organiserad brottslighet måste vägas mot den enskildes rätt till integritet. I motion 2021/22:2349 yrkande 1 av och (båda L) begärs ett tillkännagivande om att individens integritet vid datainsamling på internet bör säkerställas. Motionärerna anför att det ska vara möjligt för konsumenter att handla på internet utan att registrera sig och behöva ange en mängd uppgifter om sig själva samt att personuppgifter inte bör få spridas vidare till andra utan den enskildes samtycke. Vidare begärs en förstärkt dataskyddslagstiftning och att konsumenter alltid ska kunna radera och ta med sig sina personuppgifter från digitala tjänster som samlar information om användaren. En konsument bör också få möjlighet att ta del av informationen om den egna personen, att avsluta konton och att under vissa förutsättningar bli ”glömd”. I yrkande 2 begär motionärerna ett tillkännagivande om att kraftigt höja böterna och vitena för företag som samlar in personliga data på ett otillbörligt sätt. Reglering i dataskyddsförordningen och dataskyddslagen Som framgår av betänkandets inledande avsnitt är dataskyddsförordningens bestämmelser den generella regleringen av behandling av personuppgifter inom EU . Dataskyddsförordningen kompletteras av dataskyddslagen och av sektorsspecifika registerförfattningar. Dataskyddsförordningens syfte uttrycks i skäl 13 till förordningen. Där framgår bl.a. att för att säkerställa en enhetlig skyddsnivå över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden behövs det en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer och som ger fysiska personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger personuppgiftsansvariga och personuppgiftsbiträden samma ansvar. Vidare anförs att på så sätt blir övervakningen av behandling av personuppgifter enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt. Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I dataskyddsförordningen räknas dessa rättsliga grunder upp i artikel 6.1. Behandling är enligt denna bestämmelse laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen är tillämplig, omgärdas varje behandling av personuppgifter också av andra krav. Principerna för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i dataskyddsförordningen. Den första principen som läggs fast i artikel 5.1 är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (led a). I artikel 5.1 anges vidare att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål (led b). Kopplingen mellan den rättsliga grunden för behandlingen och kravet på särskilda, uttryckligt angivna och berättigade ändamål förstärks genom dataskyddsförordningen, där det av artikel 6.3 andra stycket framgår att syftet med behandlingen, i fråga om behandling som grundar sig på en rättslig förpliktelse, ska framgå av förpliktelsen. Vad gäller behandling som sker i myndighetsutövning och för att utföra uppgifter av allmänt intresse anges i stället att syftet med behandlingen ska vara nödvändigt för att utföra uppgiften eller myndighetsutövningen.